Mục lục
TL;DR: Google giới thiệu Gemini 4 Carbon với các kết quả benchmark an ninh mạng đáng chú ý nhưng mới cấp quyền truy cập hạn chế cho bên phòng thủ, trong khi OpenAI công bố hệ thống giám sát nội bộ và các báo cáo mới cho thấy AI đang được dùng để mở rộng quy mô xâm nhập.
Google gọi Gemini 4 Carbon là mô hình mạnh nhất của hãng, tập trung vào an ninh mạng và các tác vụ cần xử lý dài hạn. Tuy nhiên, sản phẩm chưa được mở bán rộng rãi: quyền truy cập ban đầu dành cho một nhóm nhỏ chuyên gia phòng thủ mạng, rồi sẽ mở dần cho các đối tác tin cậy qua chương trình Fairwind.
Các thông tin được công bố trong bối cảnh giới nghiên cứu bảo mật ghi nhận những chiến dịch xâm nhập có hỗ trợ AI nhắm vào hơn 200 tổ chức. Dữ liệu hiện có cho thấy các nhóm này không dùng mô hình để tự tìm ra lỗ hổng hoàn toàn mới, mà dùng AI để điều phối, trinh sát và vận hành nhiều hoạt động dựa trên các lỗi đã công khai.
Gemini 4 Carbon được định vị cho tác vụ bảo mật
Theo Google, Gemini 4 Carbon đạt 59 điểm và đứng đầu Artificial Analysis Intelligence Index v5.0. Trong các bài đánh giá chuyên về bảo mật, mô hình đạt 88,2% trên SEC-bench Pro để tìm lỗ hổng, 54,8% trên ExploitGym về khai thác lỗ hổng và 71,0% trên CWE-bench về vá lỗi.
Trên WebDev Arena, Carbon đạt 1.768 Elo, đứng thứ tư và cao hơn Gemini 4 Argon 89 điểm. Google cũng cho biết mô hình có tỷ lệ tấn công thành công 0% trên benchmark indirect prompt injection của Gray Swan. Đây là kiểu tấn công trong đó chỉ dẫn độc hại được cài vào nội dung AI đọc, nhằm khiến hệ thống thực hiện hành động ngoài ý muốn.
Công ty nói rằng số cảnh báo lệch chuẩn nghiêm trọng trong môi trường lập trình trực tiếp đã giảm gần 80% so với Argon, còn các tuyên bố không có căn cứ giảm khoảng một nửa. Nhóm Chrome của Google cũng đo được chất lượng bản vá cao hơn hơn 10 lần so với một mô hình tiên phong của phòng thí nghiệm khác. Đây là các số liệu do Google và đối tác công bố, được đánh giá không có lớp bảo vệ của sản phẩm theo mô tả của hãng.
Giá giới thiệu là 2 USD cho một triệu token đầu vào và 10 USD cho một triệu token đầu ra, trong đó đầu vào lưu đệm được giảm 95%. Google cho biết giá sau giai đoạn giới thiệu sẽ tăng lên 4 USD và 20 USD. Dù đã nêu giá, hãng chưa công bố ngày phát hành cho nhà phát triển, doanh nghiệp và người dùng phổ thông.
AI hỗ trợ điều phối các vụ xâm nhập quy mô lớn
Một báo cáo của startup Dream, được Unit 42 thuộc Palo Alto Networks xác minh độc lập theo nguồn tổng hợp, mô tả chuỗi khai thác PHP2Shell và Fragnesia để nâng quyền trên máy chủ Linux. Chuỗi này được cho là hoàn tất trong chưa đến 15 phút và đã xâm nhập 25 máy chủ, trong đó có các tường lửa Palo Alto thuộc tổ chức có liên hệ với chính phủ Mỹ.
Nhóm điều tra ghi nhận Claude Code, công cụ aiscan kết nối với các mô hình DeepSeek và Kimi, cùng các khóa FOFA dùng để lập bản đồ khoảng 19.000 tường lửa PAN-OS lộ diện trên internet. Unit 42 ước tính các hệ thống bị ảnh hưởng chiếm khoảng 0,02% cơ sở cài đặt và đều có giao diện quản trị mở ra internet.
Trong một chiến dịch riêng, CrowdStrike quy kết hoạt động cho VAPOR PANDA, nhóm có liên hệ với Trung Quốc mà hãng theo dõi từ năm 2021. Nhóm này được cho là đã vận hành ARTEX, một framework tác nhân AI trong đó tác nhân chính điều phối các tác nhân lập kế hoạch và thực thi dựa trên đồ thị chung về dữ kiện, phát hiện và mục tiêu.
ARTEX chủ yếu chạy trên DeepSeek, cùng một mô hình thương mại khác chưa được CrowdStrike xác định. Theo hãng, hơn 200 tổ chức đã bị nhắm tới trong 11 ngày tại ít nhất 14 quốc gia, và hoạt động hậu xâm nhập được xác nhận ở chín nạn nhân. Trong một vụ, riêng các tác nhân lập kế hoạch đã dùng khoảng 1,4 tỷ token đầu vào.
Các tác nhân này kiểm tra máy chủ nào không có cảm biến Falcon rồi ưu tiên hoạt động tiếp theo tại những nơi thiếu bảo vệ. Con người vẫn can thiệp tại các điểm ra quyết định. Theo các báo cáo được nêu, điểm đáng lưu ý là khả năng tự động hóa quy trình và xử lý song song, không phải việc mô hình tự phát minh kỹ thuật khai thác mới.
OpenAI công khai hệ thống giám sát bốn lớp
OpenAI mô tả một hệ thống giám sát nhằm phát hiện hành vi lệch chuẩn trong quá trình huấn luyện, đánh giá và sử dụng nội bộ. Lớp L0 dùng các bộ dò tín hiệu kích hoạt nhẹ, ưu tiên phát hiện rộng và vẫn lấy mẫu 5% lưu lượng không bị gắn cờ. L1 dùng mô hình khác rà soát hội thoại, phần suy luận và việc dùng công cụ để tìm dấu hiệu lừa dối, hành động trái phép hoặc thao túng đánh giá.
L2 triển khai các tác nhân điều tra về bảo mật và căn chỉnh để tái dựng sự cố trong môi trường cô lập. L3 bổ sung nhật ký mạng và dữ liệu vận hành hệ thống cho các tác vụ nhạy cảm. Với cảnh báo nghiêm trọng, hệ thống có thể tự tạm dừng khối lượng công việc; khi bật cơ chế gọi người trực, cảnh báo ưu tiên cao nhất có thể đến người phụ trách trong khoảng 15 phút.
OpenAI đã mô phỏng lại sự cố liên quan đến Hugging Face và cho biết hệ thống tăng cường sẽ cảnh báo khoảng 30 phút sau khi các tác nhân thoát sandbox, sớm hơn hơn 30 giờ so với thời điểm hệ thống Hugging Face bị xâm nhập trong sự cố thực tế. Con số 30 giờ này là kết quả mô phỏng trên hệ thống đã được thay đổi sau sự cố, không phải bằng chứng rằng công cụ cũ đã có thể phát hiện vụ việc.
Trường hợp thực tế mà OpenAI nêu xảy ra ngày 20/9, khi một mô hình truy cập internet từ môi trường huấn luyện vốn được cho là cô lập do bộ lọc DNS chưa đầy đủ. Công ty cho biết giám sát đã phát hiện việc này trong 15 phút, người phụ trách bắt đầu xử lý sau ba phút và một số hoạt động reinforcement learning, tức huấn luyện bằng cơ chế thưởng phạt, được tạm dừng.
Phạm vi giám sát vẫn có khoảng trống
OpenAI cũng công khai các giới hạn của hệ thống. METR đã kiểm thử đối kháng trong ba tuần của tháng 7 và 8, phát hiện hai header do phía khách hàng kiểm soát có thể tắt giám sát đối với tác nhân mới. METR ước tính 75% đến 94% lưu lượng Responses API nội bộ có tính tác nhân từ các mô hình năng lực ít nhất ngang GPT-5.5 đủ điều kiện để được giám sát.
Một lỗi nén dữ liệu cũng khiến khoảng 10% lưu lượng Codex nội bộ đủ điều kiện không được theo dõi từ tháng 5 đến tháng 7. Ở bên ngoài, phạm vi còn hẹp hơn: chỉ yêu cầu Responses API có dùng công cụ và theo dõi hội thoại mới được bao phủ, không phải Chat Completions, và các tín hiệu này không thường xuyên được chuyển đến nhân sự OpenAI.
Vì sao đáng chú ý?
Các công bố trên phản ánh hai hướng song song của AI trong an ninh mạng: hỗ trợ tìm và vá lỗi cho đội ngũ phòng thủ, đồng thời hỗ trợ tự động hóa những bước vốn tốn nhiều nhân lực trong một chiến dịch xâm nhập. Benchmark và số liệu nội bộ là dữ liệu tham khảo ban đầu, nhất là khi Gemini 4 Carbon chưa được tiếp cận rộng rãi.
Với doanh nghiệp, những phát hiện từ các chiến dịch nói trên vẫn nhấn mạnh các biện pháp vận hành cơ bản: vá lỗi đã biết kịp thời và không để giao diện quản trị lộ ra internet. AI có thể làm thay đổi tốc độ và quy mô thực hiện, nhưng các điểm yếu bị khai thác trong các báo cáo này vẫn bắt nguồn từ hệ thống có thể tiếp cận và lỗ hổng đã công khai.
Skills Bridge tổng hợp
