Theo các nguồn tin thân cận với vụ việc, các quan chức an ninh mạng hàng đầu của Mỹ đang xem xét một đề xuất quyết liệt nhằm cắt giảm mạnh khung thời gian phản ứng đối với các lỗ hổng công nghệ thông tin trong hệ thống chính phủ. Động thái này diễn ra trong bối cảnh lo ngại sâu sắc rằng tin tặc có thể sử dụng các công cụ AI tiên tiến để thực hiện các cuộc tấn công với tốc độ và độ chính xác chưa từng có.

Mỹ hiện đang cân nhắc thay đổi tiêu chuẩn bảo mật toàn cầu trước mối đe dọa từ trí tuệ nhân tạo. Ảnh: Reuters

Cuộc đua nghẹt thở với AI thế hệ mới

Tâm điểm của sự lo ngại nằm ở sức mạnh và sự phổ biến nhanh chóng của các mô hình AI chuyên dụng như Mythos của Anthropic hay GPT-5.4-Cyber của OpenAI. Mặc dù giới tội phạm mạng đã bắt đầu triển khai AI từ năm 2023, nhưng các thế hệ mô hình mới nhất này được đánh giá là có khả năng tự động nhận diện các lỗ hổng chưa từng được biết đến (zero-day) hoặc nhanh chóng chiếm quyền kiểm soát dựa trên các lỗi mới vừa được công bố.

Hệ quả là khung thời gian để tin tặc lợi dụng các lỗ hổng phần mềm đã bị nén lại một cách cực đoan. Nếu như trước đây, quy trình này thường mất vài tuần hoặc vài tháng, thì nay trong một số trường hợp, thời gian chỉ còn tính bằng giờ.

Ông Stephen Boyer, nhà sáng lập công ty an ninh mạng Bitsight - đơn vị từng hỗ trợ Cơ quan An ninh mạng và Hạ tầng (CISA) lập danh mục lỗ hổng khẳng định: "Nếu muốn bảo vệ các cơ quan dân sự, bạn buộc phải hành động nhanh hơn. Cửa sổ thời gian của chúng ta không còn rộng mở như trước đây nữa."

Siết chặt kỷ luật "phản ứng nhanh"

Theo nguồn tin của Reuters, Nick Andersen, Quyền Giám đốc CISA và Sean Cairncross, Giám đốc An ninh mạng Quốc gia Mỹ, đang trực tiếp thảo luận về đề xuất này. Nếu được thông qua, thời hạn để các cơ quan chính phủ phản ứng với các lỗ hổng đang bị khai thác tích cực sẽ bị cắt giảm từ mức trung bình 2 - 3 tuần xuống chỉ còn tối đa 3 ngày.

Trong nhiều năm, CISA đã duy trì danh mục các Lỗ hổng đã biết và bị khai thác (KEV). Đây là cơ sở dữ liệu về những điểm yếu đang bị tội phạm mạng hoặc các cơ quan tình báo lạm dụng trên thực tế. Thông thường, các cơ quan dân sự có thời hạn 3 tuần để vá lỗi kể từ khi chúng xuất hiện trong danh mục này (gần đây đã giảm xuống còn khoảng 2 tuần). Đề xuất mới dự kiến sẽ đưa khung 3 ngày trở thành tiêu chuẩn mặc định cho mọi trường hợp nghiêm trọng.

Sự xáo trộn này không chỉ dừng lại ở khối chính phủ. Ngành ngân hàng và các lĩnh vực bảo mật số đang phải ráo riết xoay xở khi giới quản lý nỗ lực kiểm soát mức độ nguy hiểm của công nghệ AI mới.

Những thách thức thực thi và nỗi lo lực lượng

Ông Nitin Natarajan, cựu Phó Giám đốc CISA, cho rằng việc thắt chặt thời hạn sẽ là hình mẫu cho chính quyền các bang, địa phương và cả khối doanh nghiệp. "Đây là tín hiệu gửi tới thế giới rằng: 'Này, các bạn cần phải thực hiện việc này nhanh chóng hơn nữa'," ông nhấn mạnh.

Tuy nhiên, ông Natarajan cũng đưa ra lời cảnh báo thực tế. CISA hiện đang rơi vào tình trạng hao mòn nhân sự sau các đợt cắt giảm việc làm sâu rộng và chịu ảnh hưởng tiêu cực từ các đợt đóng cửa chính phủ dưới thời cựu Tổng thống Donald Trump. "Chúng ta đã thấy sự sụt giảm nguồn lực của họ, cả về kinh phí lẫn chuyên môn," ông nói, đồng thời đặt câu hỏi về năng lực của cơ quan này trong việc xử lý áp lực từ các thời hạn ngặt nghèo hơn.

Ở góc độ kỹ thuật, bà Kecia Hoyt, Phó Chủ tịch công ty tình báo mối đe dọa Flashpoint, lưu ý rằng vá lỗi là một quy trình phức tạp bao gồm nhiều bước kiểm tra chi tiết trước khi triển khai thực tế. Bà cảnh báo: "Về mặt thực tế, 3 ngày là điều không tưởng đối với một số môi trường hệ thống nhất định."

Trong khi đó, ông John Hammond, chuyên gia nghiên cứu bảo mật cấp cao tại Huntress, nhìn nhận đề xuất này là một "sự thay đổi rất lớn". Dù bày tỏ sự lạc quan thận trọng, ông cho rằng "chỉ có thời gian mới trả lời được liệu ngành công nghiệp bảo mật có thể theo kịp tốc độ này hay không."

Hiện tại, cả CISA và Văn phòng Giám đốc An ninh mạng Quốc gia Mỹ đều chưa đưa ra bình luận chính thức về thời điểm ban hành quyết định cuối cùng. Tuy nhiên, sự tồn tại của cuộc thảo luận này đã cho thấy mức độ báo động đỏ trong giới chức Mỹ trước làn sóng tấn công mạng bằng AI đang cận kề.

Lệ Thanh (theo Reuters)