Một startup bảo mật có tên depthfirst vừa gây chú ý khi công bố phát hiện 21 lỗ hổng zero-day trong thư viện xử lý đa phương tiện FFmpeg, phần mềm âm thầm vận hành trong các trình duyệt và nền tảng streaming lớn. Điều đáng nói, một số lỗ hổng này đã tồn tại trong mã nguồn từ 15 đến 20 năm mà chưa từng bị phát hiện dù trước đó Google và Anthropic đã dùng các mô hình AI tiên tiến để rà soát.

Cách depthfirst dùng AI để săn lỗ hổng

Không giống các công cụ AI thông thường chỉ hỗ trợ lập trình viên viết mã, depthfirst xây dựng một "tác nhân bảo mật" có khả năng tự động phân tích kiến trúc mã nguồn, xác định các điểm mà dữ liệu từ kẻ tấn công có thể xâm nhập, và tạo ra PoC (bằng chứng khái niệm) để xác nhận lỗ hổng. Chi phí cho mỗi lần phát hiện chỉ khoảng 1.000 USD, thấp hơn nhiều so với mức 10.000 USD thông thường. Đây là minh chứng cho thấy tác nhân AI đang dần thay thế các cuộc kiểm thử thủ công tốn kém.

FFmpeg với hơn 1,5 triệu dòng mã C được tối ưu hóa cao là một thách thức lớn ngay cả với các chuyên gia bảo mật giàu kinh nghiệm. Việc depthfirst tìm ra lỗ hổng mà Google và Anthropic bỏ sót cho thấy sức mạnh của các tác nhân AI chuyên dụng trong lĩnh vực công nghệ bảo mật.

Tác động đến người dùng thông thường

FFmpeg là "trái tim" xử lý video và âm thanh trong Chrome, Firefox, VLC, YouTube, Netflix và hàng loạt ứng dụng khác. Một lỗ hổng không cần tương tác trong thư viện này có thể cho phép tin tặc chiếm quyền kiểm soát thiết bị chỉ bằng một tệp đa phương tiện độc hại. Việc depthfirst phát hiện và báo cáo các lỗ hổng giúp cộng đồng mã nguồn mở vá chúng trước khi bị khai thác thực tế.