Mục lục
TL;DR: OpenAI đang chuẩn bị security sprint nội bộ mới cùng Cathedral, đồng thời tăng hơn bốn lần tiền thưởng cho các phát hiện lỗ hổng nghiêm trọng nhằm dùng chính mô hình AI để tìm và khắc phục điểm yếu trước kẻ tấn công.
Theo OpenAI, đợt đánh giá an ninh sắp tới sẽ đưa các nhà nghiên cứu và đối tác bảo mật làm việc cùng đội ngũ nội bộ để kiểm thử hệ thống. Cathedral là đối tác được nêu tên; các nhà nghiên cứu của tổ chức này sẽ sử dụng mô hình của OpenAI cùng nhóm công ty để thử thách các lớp phòng thủ và tìm điểm yếu.
Đây là bước tiếp nối cách OpenAI gọi là phòng thủ liên tục: dùng AI để hỗ trợ phát hiện, tái tạo và sửa lỗ hổng trong chu kỳ ngắn hơn. Công ty cho rằng chỉ dựa vào các biện pháp an ninh mạng truyền thống không còn đủ, bởi mối đe dọa có thể xuất hiện nhanh trên toàn ngành.
Security sprint mới tập trung vào kiểm thử phòng thủ
Security sprint là đợt tập trung nguồn lực trong một giai đoạn để rà soát và gia cố bảo mật. Với sprint kế tiếp, OpenAI cho biết họ sẽ kết hợp chuyên môn và cách tiếp cận khác nhau từ Cathedral với đội ngũ của mình để kiểm tra các giả định trong hệ thống phòng thủ.
Cách làm này không chỉ hướng đến việc phát hiện lỗi kỹ thuật cụ thể. Theo công ty, mục tiêu còn là củng cố phương pháp phòng thủ, tức quy trình mà họ dùng để nhận diện, xác minh và xử lý điểm yếu. OpenAI chưa công bố thời điểm diễn ra sprint mới, phạm vi hệ thống được kiểm thử hay tiêu chí đánh giá kết quả.
Tiền thưởng bug bounty cho lỗi nghiêm trọng tăng hơn bốn lần
Song song với sprint, OpenAI cho biết đang cải tiến chương trình Security Bug Bounty, chương trình trả thưởng cho nhà nghiên cứu báo cáo lỗ hổng. Mức thưởng cho các phát hiện được xếp loại nghiêm trọng sẽ tăng hơn gấp bốn lần.
Bug bounty là một cơ chế phổ biến để khuyến khích nhà nghiên cứu bảo mật độc lập báo cáo lỗi theo quy trình có kiểm soát, thay vì công khai hoặc khai thác chúng. OpenAI nói thay đổi này nhằm khuyến khích cộng đồng thử thách các giả định của công ty và đóng góp vào việc tăng độ vững chắc cho hệ thống lẫn cách thức phòng thủ.
Công ty không nêu mức tiền thưởng cụ thể sau điều chỉnh, cũng như chưa công bố các thay đổi khác của chương trình ngoài việc tăng mạnh thưởng đối với phát hiện nghiêm trọng.
Đợt trước đã dùng Codex để điều tra và chuẩn bị bản vá
OpenAI dẫn kết quả từ security sprint trước để lý giải cho kế hoạch mới. Theo công ty, họ đã phân bổ 25% kỹ sư sản phẩm cho việc tìm kiếm và sửa các điểm yếu trong hệ thống.
Trong đợt này, các kỹ sư dùng Codex để điều tra các phát hiện, tái tạo lỗ hổng trong môi trường cô lập và chuẩn bị bản vá để đưa vào quy trình xem xét. Những chuỗi công việc như vậy đòi hỏi mô hình có thể phối hợp nhiều công cụ mà vẫn giữ được ngữ cảnh của từng bước. Môi trường cô lập giúp kiểm tra một lỗ hổng mà không tác động trực tiếp đến hệ thống vận hành.
OpenAI không công bố số lượng lỗ hổng được tìm thấy, số bản vá đã triển khai hay số liệu độc lập để đánh giá hiệu quả của đợt sprint trước. Vì vậy, nhận định rằng mô hình này đem lại kết quả là đánh giá của công ty.
AI phòng thủ được mở rộng cho nhóm bảo vệ hạ tầng thiết yếu
OpenAI cho biết đang dùng các mô hình có năng lực cao nhất của mình để tăng cường phòng thủ nội bộ, đồng thời cung cấp chúng cho khách hàng Daybreak. Công ty trước đó đã cam kết 1 tỷ USD dưới dạng trợ cấp quyền truy cập trong sáu tháng cho các lực lượng phòng thủ tuyến đầu bảo vệ dịch vụ thiết yếu và hạ tầng số.
Điểm đáng chú ý là OpenAI đặt các hoạt động này trong bối cảnh rộng hơn của an ninh mạng: khả năng AI mạnh hơn có thể được dùng để hỗ trợ bên phòng thủ phát hiện và xử lý điểm yếu sớm hơn. Tuy nhiên, hiệu quả thực tế sẽ phụ thuộc vào cách các tổ chức kết hợp mô hình AI với chuyên gia bảo mật, quy trình kiểm duyệt và việc vá lỗi trong hệ thống thực tế.
Vì sao đáng chú ý?
Thông báo cho thấy OpenAI đang nhấn mạnh một hướng sử dụng AI trong an ninh mạng: không chỉ hỗ trợ phân tích sự cố sau khi xảy ra, mà đưa AI vào vòng lặp kiểm thử, tái tạo và xử lý lỗ hổng trước đó. Việc mời đối tác bên ngoài và tăng thưởng bug bounty cũng cho thấy công ty muốn mở rộng nguồn kiểm tra vượt ra ngoài đội ngũ nội bộ.
Với doanh nghiệp, câu chuyện đặt ra yêu cầu về quy trình hơn là chỉ công cụ. AI có thể rút ngắn một số bước điều tra kỹ thuật, nhưng việc biến phát hiện thành bản vá an toàn, được xem xét đầy đủ và triển khai đúng lúc vẫn là phần cốt lõi của phòng thủ.
- Nguồn chính thức: Preparing our next security sprint to harden OpenAI, OpenAI, 03/11/2026
