Các mô hình AI mã nguồn mở thu hẹp khoảng cách về năng lực tấn công mạng so với hệ thống đóng với chi phí cực rẻ

Khoảng cách về năng lực giữa các mô hình AI mã nguồn mở (open-weight) và các mô hình đóng sở hữu độc quyền trong các tác vụ an ninh mạng tự hành đang thu hẹp nhanh chóng, theo dữ liệu benchmark mới từ công ty nghiên cứu Vals AI.

Trong các bài kiểm tra được thực hiện trên hệ thống đánh giá Vals CyberOffense, các mô hình mã nguồn mở miễn phí đã tiếp cận sát sao hiệu suất của các hệ thống đóng hàng đầu khi thực hiện các cuộc tấn công mạng đa giai đoạn với chi phí vận hành chỉ bằng một phần nhỏ.

Khai thác mạng doanh nghiệp tự hành

Hệ thống Vals CyberOffense thử nghiệm các tác nhân AI (AI agents) trong môi trường tấn công cô lập, mô phỏng mạng doanh nghiệp thực tế. Mỗi mô hình hoạt động độc lập trên một máy ảo Kali Linux cách ly mà không có sự trợ giúp của con người, bắt đầu chỉ với một địa chỉ web công khai. Để thành công, tác nhân AI phải thực thi các câu lệnh dòng lệnh, xâm nhập ứng dụng web, điều hướng qua các máy chủ Windows và leo thang đặc quyền để giành toàn quyền kiểm soát quản trị. Tất cả các lệnh và hành động đều được ghi nhật ký từ bên ngoài và chấm điểm tự động qua hai bộ kịch bản chính: Nova (21 mục tiêu) và Lighthouse (31 mục tiêu).

Trong các bài kiểm tra benchmark, GPT-6 Sol Daybreak—một mô hình được phát triển dưới chương trình an ninh mạng Daybreak giới hạn của OpenAI—đã đạt điểm tổng thể cao nhất, hoàn thành 80,8% các mục tiêu tấn công. Trong bài kiểm tra Lighthouse đa công ty, Daybreak đã chiếm quyền kiểm soát quản trị thành công của công ty đầu tiên, thu thập mật khẩu và xâm nhập sang mạng của công ty thứ hai, hoàn thành 27 trên 31 mục tiêu trong chưa đầy 3 giờ.

Tuy nhiên, mô hình mã nguồn mở Deepseek V4.1 Flash 1017 đã bám sát ngay sau đó, đạt tỷ lệ hoàn thành mục tiêu tổng thể là 72,8%. Trong bài kiểm tra Nova, Deepseek thậm chí còn vượt qua Daybreak với trung bình 16,3 mục tiêu hoàn thành (dao động từ 15–18) so với 15,7 của Daybreak (dao động từ 12–19).

Đáng chú ý, Deepseek thực hiện các lượt chạy với chi phí chỉ khoảng 3 USD, so với mức xấp xỉ 22 USD cho mỗi lượt chạy của GPT-6 Sol Daybreak.

Mô hình mở của Meta, Meta Wonder, cho thấy hiệu suất đặc biệt mạnh mẽ trong kịch bản phức tạp hơn, hoàn thành 28 trên 31 mục tiêu trong bài kiểm tra Lighthouse mặc dù có điểm Nova thấp hơn (chỉ đạt 7 điểm).

Thời gian xử lý Token kéo dài hé lộ năng lực thực sự

Một phát hiện quan trọng từ nghiên cứu là tác động của thời gian tính toán đối với hiệu suất của mô hình mở. Các đánh giá benchmark ngắn hạn thường đánh giá thấp các mô hình mở vì tiến trình tấn công của chúng đòi hỏi xử lý ngữ cảnh dài hơn.

Trong quá trình thử nghiệm, Deepseek V4.1 Flash không đạt được mục tiêu nào trong 25 triệu token xử lý đầu tiên. Mô hình chỉ bắt đầu đạt được những đột phá đáng kể sau khi vượt qua ngưỡng 100 triệu token. Các nhà nghiên cứu lưu ý rằng hầu hết các mô hình mở của Trung Quốc được thử nghiệm đều không có tiến triển đáng kể cho đến khi vượt qua ngưỡng 100 triệu token này, cho thấy các benchmark an toàn trong thời gian ngắn đã bỏ lỡ tiềm năng vận hành thực tế của các hệ thống này.

Thu hẹp mốc thời gian và sự bất đối xứng về chi phí

Phát hiện của Vals AI phản ánh một xu hướng rộng lớn hơn đã được các tổ chức an toàn công cộng xác nhận. Một phân tích được Viện An toàn AI Vương quốc Anh (AISI) công bố vào tháng 7 lưu ý rằng khoảng cách năng lực giữa các mô hình mã nguồn mở và các mô hình đóng hàng đầu trong lĩnh vực mạng đã thu hẹp xuống còn từ 4 đến 7 tháng, giảm so với mức 6 đến 10 tháng trong phần lớn năm 2025.

Sự chênh lệch chi phí giữa các dịch vụ mã nguồn mở và đóng vẫn rất lớn. Theo dữ liệu đánh giá của AISI, việc chạy thử nghiệm trên môi trường mạng với Deepseek V4-Pro tốn 1,19 USD, so với 85 USD của Opus 4.5 từ Anthropic. Hơn nữa, các rào chắn an toàn (guardrails) được nhúng trong các mô hình mã nguồn mở tỏ ra phần lớn không hiệu quả một khi các trọng số (weights) có thể truy cập được, vì người dùng không phải đối mặt với các hạn chế thực thi lệnh từ nhà cung cấp dịch vụ tập trung.

Các phát hiện bổ sung từ Anthropic tiết lộ rằng mô hình truy cập tự do GLM-5-3 có thể xây dựng các mã khai thác bảo mật với mức năng lực gần như tương đương với mô hình đóng nội bộ của Anthropic là Mythos.

Hệ lụy đối với phòng thủ

Các nhà nghiên cứu của Vals AI nhấn mạnh rằng một khi trọng số của mô hình được công bố, các nhà cung cấp sẽ mất khả năng kỹ thuật để kiểm soát hoặc thu hồi quyền truy cập vào các năng lực nguy hiểm. Do đó, các cuộc tấn công mạng trong thế giới thực sử dụng các tác nhân AI tự động được dự báo sẽ gia tăng trong những tháng tới.

Tuy nhiên, các nhà nghiên cứu cũng chỉ ra rằng xu hướng này mang lại một cơ hội thiết yếu cho các đội ngũ an ninh mạng: chính các mô hình mã nguồn mở có khả năng dò quét mạng doanh nghiệp này có thể được các chuyên gia phòng thủ triển khai nội bộ để kiểm tra hệ thống, phát hiện lỗ hổng zero-day và vá các lỗi bảo mật trước khi những kẻ tấn công có thể khai thác chúng.