Tốc độ mã hóa do AI tạo ra đang nhanh hơn tốc độ kiểm tra của các nhóm bảo mật. Một nghiên cứu mới do Linux Foundation thực hiện, được ActiveState tài trợ và tham gia, cho thấy 58% các nhóm đã phát hành mã nhanh hơn khả năng theo kịp của các cuộc kiểm tra bảo mật; đồng thời, 60% số người được khảo sát cho biết trợ lý lập trình AI đã làm tăng số lượng gói phần mềm bên ngoài trong kho mã của họ. Tuy nhiên, đối với các phụ thuộc gián tiếp do các gói này gây ra—tức là “phụ thuộc truyền dẫn”—các nhóm chỉ kiểm tra khoảng một nửa số trường hợp.
ActiveState là nhà tài trợ và đóng góp cho nghiên cứu mới này. Nghiên cứu được hỗ trợ bởi Open Source Security Foundation (OpenSSF) và LF AI & Data Foundation. ActiveState đã công bố kết quả nghiên cứu mang tên "State of AI Impact on Software Security and Cybersecurity 2026" vào thứ Hai. Nghiên cứu cho thấy đang xuất hiện khoảng cách ngày càng lớn giữa tốc độ phát triển phần mềm được thúc đẩy bởi AI và khả năng của các tổ chức trong việc bảo vệ an toàn cho mã nguồn do họ tạo ra.
Nghiên cứu cho thấy, khi AI đồng thời tăng tốc quá trình tạo mã và phát hiện lỗ hổng, những thách thức này đang trở nên cấp bách hơn bao giờ hết, khiến các tổ chức có ít thời gian hơn để phát hiện và khắc phục vấn đề trước khi kẻ tấn công khai thác các lỗ hổng bảo mật. Lỗ hổng PHP2Shell vào tháng 10 năm 2026 đã làm nổi bật tính cấp bách này: ngay trong vài giờ sau khi lỗ hổng được công bố, các bản vá khẩn cấp đã được phát hành và các nỗ lực khai thác đã được báo cáo. Nghiên cứu cho biết, với tốc độ phát hiện và khai thác lỗ hổng ngày càng tăng, các tổ chức đang chịu áp lực ngày càng lớn để đảm bảo rằng các cuộc kiểm tra bảo mật, đánh giá phụ thuộc và công tác khắc phục có thể theo kịp nhịp độ.
Khảo sát này bao gồm 172 chuyên gia an ninh đến từ các doanh nghiệp và dự án mã nguồn mở. Khảo sát cũng phát hiện rằng AI cũng là một phần của giải pháp, nhưng đi kèm với một số sự đánh đổi. Những người được khảo sát cho biết, 30% lỗ hổng được phát hiện trong năm qua đã được phát hiện nhờ các công cụ hỗ trợ AI; 69% người được hỏi cho biết các công cụ này đã cải thiện đáng kể tình hình an ninh của họ. Trung bình, các công cụ AI giúp tăng tốc công việc an ninh lên 17%, nhưng tỷ lệ báo lỗi sai đã làm tăng khối lượng công việc của các chuyên gia lên 30%, điều này nhấn mạnh nhu cầu cân bằng giữa hiệu quả mang lại bởi AI và sự giám sát an ninh hiệu quả.
Abby Kearns, CEO của ActiveState, cho biết: “Các trợ lý lập trình AI không chỉ viết mã, mà còn chọn các phụ thuộc của bạn, và nghiên cứu này cho thấy các nhóm chỉ kiểm tra khoảng một nửa nội dung đi kèm. Điều này phù hợp với những gì chúng tôi nghe từ khách hàng mỗi tuần. Việc làm chậm tốc độ của các nhà phát triển không giải quyết được vấn đề. Giải pháp là xác định những gì đáng tin cậy trước khi mã được đưa vào kho lưu trữ, để các nhà phát triển và công cụ AI của họ có thể bắt đầu từ các thành phần đã được đội ngũ an toàn phê duyệt.”
Các phát hiện chính khác bao gồm:
- Kỹ năng đang đối mặt với rủi ro. 82% số người được hỏi đồng ý rằng việc phụ thuộc quá mức vào các công cụ AI sẽ làm suy yếu kỹ năng bảo mật của các nhà phát triển.
- Nỗi lo vượt quá mức độ chuẩn bị. Đối với mỗi mối đe dọa liên quan đến AI được đo lường, số lượng chuyên gia bày tỏ lo ngại đều nhiều hơn số người cho rằng họ đã sẵn sàng. Khoảng cách lớn nhất là trong việc tự động hóa khai thác lỗ hổng và kiểm thử mờ do AI, lên tới 41 điểm phần trăm.
- Đội ngũ chuỗi cung ứng đứng đầu danh sách lo ngại. Các cuộc tấn công vào chuỗi cung ứng là vấn đề khiến các chuyên gia bảo mật lo lắng nhất, chiếm 93%; tiếp theo là tiêm prompt, chiếm 90%; và gánh nặng bảo trì do cập nhật thường xuyên các thành phần phổ biến, chiếm 87%.
- Trách nhiệm không rõ ràng. Chỉ có 30% các đội ngũ có vị trí chuyên trách về các mối đe dọa an ninh liên quan đến AI, và chỉ khoảng một phần ba các đội ngũ có chính sách an ninh chính thức bao gồm AI.
- Việc xác định rõ trách nhiệm sẽ mang lại lợi ích. Trong các nhóm có vị trí chuyên trách an toàn AI, 75% cho biết họ đã sẵn sàng đầy đủ để đối phó với các cuộc tấn công đối kháng nhắm vào hệ thống AI; trong khi tỷ lệ này ở toàn bộ người được khảo sát là 50%.
- Việc xem xét thủ công không phải là yêu cầu mặc định. Trong các nhóm có chính sách an toàn AI, chỉ 57% yêu cầu xem xét thủ công mã do AI tạo ra.
Nghiên cứu cho thấy những phát hiện này cùng nhau chỉ ra rằng, khi mức độ áp dụng AI tăng lên, cần xác định rõ trách nhiệm an toàn và tăng cường quản trị. Nghiên cứu cũng chỉ ra rằng việc thiết lập các vị trí chuyên trách, xây dựng chính sách rõ ràng và triển khai đúng cách các công cụ có liên quan đến mức độ chuẩn bị cao hơn; tuy nhiên, cuộc khảo sát này không chứng minh rằng những thực hành này gây ra sự khác biệt.
Laura Guazzelli, kiến trúc sư bảo mật phụ trách AI/ML/LLM/Agentic Systems của OpenSSF, cho biết: “Khi AI đẩy nhanh quá trình phát triển phần mềm, các tổ chức cũng cần quản lý và bảo vệ mã đầu ra một cách cẩn trọng tương tự. Điều này bắt đầu bằng việc hiểu rõ AI gây ra rủi ro ở những giai đoạn nào trong chuỗi cung ứng phần mềm, xác định ai chịu trách nhiệm ứng phó với những rủi ro này, và đảm bảo các thực hành bảo mật theo kịp sự thay đổi trong cách xây dựng phần mềm.”
Báo cáo khuyến nghị các tổ chức nên chỉ định người phụ trách rõ ràng cho các mối đe dọa an ninh liên quan đến AI, xây dựng chính sách an ninh AI chính thức và tích hợp việc kiểm tra thủ công đối với mã được tạo ra, đồng thời tăng cường kiểm soát đối với các phụ thuộc trực tiếp và phụ thuộc gián tiếp. Dựa trên những phát hiện này, ActiveState khuyến nghị thực hiện quản trị ngay từ giai đoạn giới thiệu thành phần nguồn mở, để đội ngũ an ninh có thể quyết định trước những thành phần nào được phép đưa vào chuỗi cung ứng phần mềm, trước khi các nhà phát triển hoặc trợ lý AI kéo chúng vào.
Báo cáo đầy đủ “Hiện trạng ảnh hưởng của AI đến an toàn phần mềm và an ninh mạng năm 2026” có thể xem trên trang web của Linux Foundation, bao gồm các phát hiện nghiên cứu và khuyến nghị thực tiễn: https://www.linuxfoundation.org/research/ai-impact-on-cybersecurity-2026
Về ActiveState
ActiveState cho biết công ty cam kết đảm bảo an toàn chuỗi cung ứng phần mềm ngay từ nguồn trong thời đại mã hóa AI. Nhờ vào ActiveState Curated Catalog — một kho thành phần nguồn mở riêng tư và đã được duyệt — các đội an ninh có thể quyết định những thành phần nào được phép đưa vào phần mềm doanh nghiệp trước khi chúng được các nhà phát triển hoặc trợ lý lập trình AI giới thiệu. Công ty cho biết điều này giúp các đội an ninh kiểm soát được quy trình, đồng thời duy trì tốc độ phát triển của đội kỹ thuật. Curated Catalog có thể tích hợp với các kho thành phẩm, công cụ quét và trợ lý lập trình AI mà đội ngũ đang sử dụng. Xem thêm tại activestate.com.
Nguồn tin: ActiveState