Một preprint tháng 11 do Thomas Mosk viết báo cáo rằng các công ty được cấp quyền truy cập sớm vào mô hình AI Claude Mythos Preview của Anthropic – một phần của dự án Project Glasswing – đã công bố khoảng 120% lỗ hổng phần mềm so với nhóm kiểm soát gồm 267 công ty Trung Quốc không có quyền truy cập này. Phân tích, bao phủ giai đoạn từ tháng 10/2025 đến tháng 9/2026, cho thấy sự tăng mạnh trong công bố công khai không đi kèm với sự chậm lại đo được trong các quy trình sửa chữa được xem xét.

Thiết kế nghiên cứu và nhóm so sánh

Nghiên cứu so sánh 13 công ty tham gia nhận quyền truy cập Glasswing với một tập hợp lớn hơn các công ty Trung Quốc có thể sử dụng các công cụ AI khác nhưng không phải mô hình của Anthropic. Việc lựa chọn vào Glasswing không ngẫu nhiên, và các thực tiễn công bố quốc gia khác nhau hạn chế khả năng rút ra kết luận nhân quả chắc chắn, theo preprint. Tuy nhiên, mức tăng khoảng 120% trong các lỗ hổng được công bố là nhất quán trên toàn mẫu.

Tốc độ sửa chữa vẫn ổn định

Mosk đã xem xét hai kênh sửa chữa chính: các bản vá của nhà cung cấp được theo dõi bởi Zero Day Initiative (ZDI) và các bản sửa được tích hợp vào các bản phân phối Linux lớn như Debian, Ubuntu, Red Hat và SUSE. Trong 658 lỗ hổng được ZDI báo cáo (đến tháng 6/2026) và 14.855 lỗ hổng trong các bản phân phối Linux (đến tháng 7/2026), thời gian trung vị để sửa vẫn duy trì ở một ngày, và các kiểm định thống kê không phát hiện sự chậm lại nào. Phân tích ở mức nhà cung cấp loại trừ sự chậm lại lớn hơn khoảng 13%, dù các ảnh hưởng nhỏ hơn không thể bị loại bỏ.

Hệ quả cho crypto và an ninh phần mềm rộng hơn

CryptoSlate đã từng ghi nhận Bitcoin Core công bố ba lỗ hổng được AI phát hiện sau khi xác thực và phát hành bản vá, nhấn mạnh tầm quan trọng của việc săn lỗi hỗ trợ AI đối với hạ tầng blockchain. Tuy nhiên, nghiên cứu nhấn mạnh rằng số lượng công bố công khai không bao gồm các phát hiện chưa được công bố và không phản ánh các yếu tố downstream như việc người dùng cài đặt bản vá. Mặc dù tỷ lệ lỗ hổng công bố đã biết bị khai thác giảm trong một số so sánh, nhưng số lượng lỗ hổng bị khai thác thực tế vẫn chưa đủ chính xác để khẳng định giảm các cuộc tấn công thực tế.

Những gì cần theo dõi tiếp theo

Nghiên cứu trong tương lai nên giám sát các luồng lỗ hổng chưa được công bố và tốc độ người dùng cuối áp dụng bản vá, đặc biệt trong các lĩnh vực có giá trị cao như tiền mã hóa. Dữ liệu dọc thời gian bổ sung sẽ cần thiết để xác định liệu việc phát hiện bằng AI cuối cùng có giảm tỷ lệ khai thác hay chỉ thay đổi thời điểm công bố công khai.