Gần đây, Sangfor AI đã đạt được kết quả xuất sắc trên CyberGym , một chuẩn mực được quốc tế công nhận để đánh giá khả năng bảo mật của AI. Sangfor AI đã đối mặt với toàn bộ bộ thử thách lỗ hổng bảo mật cực kỳ khó khăn bao gồm ARVO và OSS-Fuzz, giải quyết thành công 1.301 trong số 1.507 nhiệm vụ, đạt tỷ lệ thành công chung là 86,3%. Trong cuộc đánh giá này, Sangfor AI đã cạnh tranh cùng với các mô hình và tác nhân từ các hệ thống AI hàng đầu thế giới như OpenAI, Anthropic và Meta, và cuối cùng xếp hạng trong top 4 toàn cầu.
Là một chuẩn mực đánh giá an ninh AI, CyberGym vượt ra ngoài các bài kiểm tra lý thuyết tĩnh hoặc quy mô nhỏ truyền thống để tập trung vào các thách thức phức tạp, thực tế — bao gồm nhiều dự án phần mềm mã nguồn mở phổ biến và các lỗ hổng lịch sử khó khắc phục (ví dụ: ARVO và OSS-Fuzz). Nó kiểm tra khả năng của các mô hình lớn và các tác nhân an ninh trong suy luận, tái tạo lỗ hổng và xác thực PoC trên các cơ sở mã khổng lồ, bối cảnh phức tạp và môi trường tấn công đa giai đoạn. Với sự phù hợp chặt chẽ với các kịch bản phòng thủ công nghiệp thực tế và các tiêu chuẩn xác minh nghiêm ngặt, CyberGym được coi là một trong những nơi chứng minh uy tín và có thẩm quyền nhất trên toàn cầu để đánh giá khả năng hoạt động thực tế của các mô hình an ninh mã nguồn.
Kiến trúc đằng sau con số 86,3%: Sự hợp tác bầy đàn của các tác nhân
Nghiên cứu lỗ hổng bảo mật không chỉ đơn thuần là phân tích mã nguồn hay tạo bằng chứng khái niệm (PoC) một lần duy nhất. Thay vào đó, nó là một quá trình nghiên cứu liên tục hình thành giả thuyết, thu thập bằng chứng, loại bỏ các hướng đi sai và đưa ra kết luận cuối cùng trong điều kiện thông tin không đầy đủ. Trong khi một mô hình đơn lẻ có thể thực hiện suy luận cục bộ, việc xử lý ổn định quá trình khám phá chuỗi dài, các giả thuyết song song và xác thực nghiêm ngặt đòi hỏi một cơ chế hệ thống có thể tổ chức, lưu giữ và giới hạn các khả năng này. Để giải quyết thách thức này, thay vì dựa vào việc xếp chồng xác suất đơn giản, Sangfor AI đã tiên phong kiến trúc cộng tác "Đàn tác nhân" (Agent Swarm) và giới thiệu cơ chế "quản trị bằng chứng" nghiêm ngặt. Điều này đảm bảo rằng mọi bước trong quá trình điều tra lỗ hổng bảo mật đều rõ ràng và đáng tin cậy.
- Khám phá: Công cụ Agent Swarm mở rộng phạm vi tìm kiếm bằng cách tiến hành các cuộc điều tra độc lập, được giới hạn rõ ràng xung quanh các giả thuyết bảo mật khác nhau. Điều này cho phép các giải thích bổ sung được kiểm tra song song mà không bị lẫn lộn, đảm bảo rằng một giả định không được chứng minh không âm thầm trở thành tiền đề chung.
- Bằng chứng: Các cuộc điều tra được phối hợp dựa trên bằng chứng chứ không phải toàn bộ lịch sử hội thoại. Cả những quan sát đã được xác thực và những hướng đi bị bác bỏ đều được lưu giữ – nghĩa là bằng chứng vẫn tồn tại xuyên suốt các vòng điều tra, do đó không cần phải tìm lại những hướng đi sai.
- Đánh giá: Điều phối viên sử dụng trạng thái bằng chứng đang phát triển này để xác định những giả thuyết nào vẫn khả thi, những câu hỏi nào chưa được giải quyết và những lĩnh vực nào cần điều tra thêm. Các vòng tiếp theo do đó trở thành quá trình thu hẹp không gian tìm kiếm dựa trên bằng chứng.
- Đánh giá: Chỉ khi bằng chứng hỗ trợ một chiến lược kích hoạt cụ thể, hệ thống mới xây dựng một đầu vào ứng cử viên và gửi nó để đánh giá phản biện. Quá trình đánh giá thách thức cả khả năng tái tạo lỗi đã quan sát được và mối quan hệ của nó với lỗ hổng được chỉ định. Một ứng cử viên bị từ chối có thể được sử dụng để định hướng lại cuộc điều tra, biến phán quyết tiêu cực thành một ràng buộc cho bước tìm kiếm tiếp theo. Chỉ một ứng cử viên vượt qua được quá trình đánh giá nghiêm ngặt này mới trở thành tuyên bố bảo mật cuối cùng của hệ thống.
Như đã được nhấn mạnh trong thiết kế kỹ thuật của nhóm dự án: "Giả thuyết mở rộng phạm vi tìm kiếm. Bằng chứng xác định kết luận." Cơ chế này cho phép hệ thống khám phá rộng rãi nhiều giả thuyết trong khi vẫn duy trì một tiêu chuẩn bằng chứng cực kỳ nghiêm ngặt trước khi đưa ra kết luận. Cuối cùng, phương pháp này đã đạt được tỷ lệ thành công 87,2% trên các tác vụ ARVO, tỷ lệ thành công 77,7% trên các tác vụ OSS-Fuzz và tỷ lệ thành công chuẩn tổng thể là 86,3%.
Tích hợp đổi mới vào phát triển doanh nghiệp
Với sự phát triển nhanh chóng của trí tuệ nhân tạo (AI), tin tặc đang tận dụng các công nghệ này để giảm đáng kể rào cản trong việc phân tích và khai thác lỗ hổng, rút ngắn thời gian từ khi phát hiện lỗi đến khi khai thác trên quy mô lớn. Đối với các doanh nghiệp, việc xác định, kiểm chứng và khắc phục các lỗ hổng trước khi kẻ thù thực hiện là điều vô cùng quan trọng. Do đó, các phương pháp kiểm thử bảo mật ứng dụng tĩnh (SAST) truyền thống dựa trên việc khớp quy tắc cần phải nhanh chóng phát triển thành các tác nhân bảo mật được trang bị khả năng suy luận tự chủ, hiểu mã, phân tích logic nghiệp vụ và kiểm chứng lỗ hổng. Các tác nhân bảo mật mới này không chỉ phải xác định chính xác các lỗ hổng thông thường như tấn công SQL injection và thực thi lệnh, mà còn phải hiểu sâu sắc các quy trình nghiệp vụ phức tạp để phát hiện các vấn đề rủi ro cao – chẳng hạn như lỗi kiểm soát truy cập và bỏ qua xác thực – mà các công cụ truyền thống khó có thể xử lý. Đồng thời, việc sử dụng các mô hình lớn để đạt được những đột phá trong hệ thống bảo mật phát triển dựa trên AI là chìa khóa để duy trì thế chủ động trong bảo mật mã nguồn.
Thứ hạng trên bảng xếp hạng CyberGym không chỉ đơn thuần là một chuẩn mực xuất sắc; nó còn chứng minh khả năng thực tiễn của các tác nhân bảo mật AI trong các kịch bản bảo mật mã nguồn thực tế, cấp doanh nghiệp. Sangfor AI đang tăng cường sức mạnh cho toàn bộ dòng sản phẩm của mình, tích hợp sâu vào vòng đời phát triển doanh nghiệp và mang lại giá trị đột phá cho người dùng:
- Nâng cao khả năng phát hiện lỗ hổng: Khắc phục hiệu quả những hạn chế của SAST truyền thống bằng cách xác định toàn diện các lỗi logic nghiệp vụ, leo thang đặc quyền và bỏ qua xác thực, từ đó mở rộng đáng kể phạm vi bảo mật mã nguồn.
- Giảm chi phí kiểm toán thủ công: Tận dụng trí tuệ nhân tạo để tự động hóa việc hiểu mã, phân tích tương quan giữa các tập tin, suy luận đường dẫn tấn công và xác thực rủi ro, giúp giảm đáng kể khối lượng công việc thủ công cho các chuyên gia bảo mật.
- Giảm thiểu lỗi dương tính giả và tăng hiệu quả: Dựa vào lập luận đa giai đoạn và các cơ chế xác thực bằng chứng nghiêm ngặt để giảm tỷ lệ lỗi dương tính giả, cho phép các nhà phát triển tập trung vào các rủi ro thực sự cần khắc phục và tránh các sửa đổi không hiệu quả.
- Rút ngắn chu kỳ phát triển và phân phối: Chuyển việc kiểm thử bảo mật sang giai đoạn lập trình và quy trình CI/CD để đạt được "kiểm tra tự động khi cam kết mã", giảm chi phí làm lại ở giai đoạn cuối và đẩy nhanh quá trình triển khai kinh doanh.
- Nâng cao khả năng bảo mật tổng thể của doanh nghiệp: Giúp các doanh nghiệp thiết lập hệ thống phòng thủ bảo mật mạnh mẽ hơn ngay từ giai đoạn đầu phát triển, giảm thiểu rủi ro tuân thủ và tài chính do vi phạm dữ liệu và gián đoạn kinh doanh, đồng thời bảo vệ hoạt động kỹ thuật số.
Đối với người dùng doanh nghiệp, giá trị cốt lõi của các tác nhân bảo mật AI vượt xa việc chỉ đơn thuần "tìm thêm lỗi". Nó nằm ở việc đạt được bước tiến vượt bậc đồng thời về hiệu quả phát triển và bảo mật mã nguồn thông qua độ chính xác cao hơn, giảm thiểu thao tác thủ công và khả năng phản hồi nhanh hơn.
Thành tích xuất sắc này, với tư cách là một trong những giải pháp bảo mật AI hàng đầu của Trung Quốc trong cuộc đánh giá CyberGym, đánh dấu một cột mốc quan trọng đối với Sangfor AI trên con đường hướng tới bảo mật mã thông minh. Trong tương lai, chúng tôi sẽ tiếp tục tiên phong trong các đổi mới về công nghệ bảo mật mô hình lớn, chuyển đổi các khả năng tiên tiến thành năng suất thiết thực cho các kịch bản kinh doanh của doanh nghiệp, và làm cho quá trình chuyển đổi số trở nên đơn giản và an toàn hơn cho mọi người dùng.
