Số công bố lỗ hổng tại 13 tổ chức Glasswing ước tính tăng 120%

Số lỗ hổng bảo mật được công bố tại các tổ chức tham gia Dự án Glasswing (Project Glasswing) được ước tính tăng khoảng 120% so với nhóm doanh nghiệp Trung Quốc dùng làm đối chứng. Nghiên cứu cũng không ghi nhận việc các nhà cung cấp và bản phân phối Linux trong phạm vi khảo sát sửa lỗi, phát hành bản vá chậm đi một cách có ý nghĩa thống kê.

Nhà nghiên cứu Thomas Mosk thuộc Đại học Queen Mary London (Queen Mary University of London) phân tích dữ liệu từ tháng 10/2025 đến tháng 9/2026 trong một bài nghiên cứu bản tiền xuất bản công bố ngày 4 tháng 11. Mẫu nghiên cứu gồm 13 tổ chức liên quan đến Glasswing và 267 doanh nghiệp Trung Quốc.

Bài nghiên cứu ước tính mức thay đổi số công bố giữa hai nhóm chênh khoảng 120%. Nếu lấy mức trung bình 29 công bố mỗi tháng của các tổ chức trước khi được tiếp cận chương trình làm cơ sở, con số này tương đương khoảng 36 công bố bổ sung mỗi tổ chức mỗi tháng.

Số công bố lỗ hổng có mức ảnh hưởng cao cũng được ước tính tăng khoảng 150% so với nhóm đối chứng. Nghiên cứu xếp một lỗ hổng vào nhóm ảnh hưởng cao nếu điểm tác động về tính bảo mật, tính toàn vẹn hoặc tính sẵn sàng trong thang điểm mức độ nghiêm trọng tiêu chuẩn cao hơn trung vị của các lỗ hổng được công bố từ tháng 1/2024 đến tháng 10/2026.

Anthropic công bố Glasswing ngày 7 tháng 4 năm 2026. Một số tổ chức tham gia đã dùng Claude Mythos Preview để tìm lỗ hổng trong phần mềm nội bộ và các dự án mã nguồn mở.

Các tổ chức tham gia không được chọn ngẫu nhiên. Nhóm doanh nghiệp Trung Quốc cũng chịu những quy định và thông lệ công bố khác, đồng thời không thể xem là nhóm không sử dụng AI. Vì vậy, nghiên cứu ước tính khác biệt giữa các tổ chức được tiếp cận một mô hình cụ thể và nhóm đối chứng, chứ không đo lường tác động chung của việc sử dụng AI.

Nghiên cứu đánh giá riêng thời gian xử lý của nhà cung cấp và việc phát hành bản vá của các bản phân phối Linux. Thời gian sửa lỗi của nhà cung cấp được phân tích dựa trên 658 lỗ hổng báo cáo cho Sáng kiến Zero Day (Zero Day Initiative, ZDI). Việc phát hành bản vá được xem xét qua 14.855 lỗ hổng do Debian, Ubuntu, Red Hat và SUSE theo dõi.

Cả hai hướng phân tích đều không cho thấy độ trễ sửa lỗi có ý nghĩa thống kê. Thời gian trung vị để các bản phân phối phát hành bản vá là 1 ngày. Tuy nhiên, nghiên cứu không loại trừ khả năng tỷ lệ lỗ hổng được sửa trong vòng 90 ngày giảm khoảng 11 điểm phần trăm.

Nghiên cứu chỉ quan sát các lỗ hổng đã được công bố và những quy trình sửa lỗi có thể đo lường. Phân tích không xem xét số lỗ hổng chưa được công bố còn tồn đọng hay việc người dùng cuối đã cài đặt bản vá hay chưa.

Trong bản cập nhật ngày 22 tháng 5, Anthropic cho biết khoảng 50 đối tác đã tìm thấy hơn 10.000 lỗ hổng nghiêm trọng và rủi ro cao. Đây là số phát hiện do công ty tổng hợp, khác với số lỗ hổng thực tế được công bố và số công bố quan sát được trong mẫu 13 tổ chức của nghiên cứu.

Bài nghiên cứu phân biệt lỗ hổng mới được phát hiện với lỗ hổng đã biết nhưng chưa công bố. Thời gian trung vị từ lúc đặt trước mã định danh lỗ hổng đến khi công bố giảm từ 75 ngày trước khi được tiếp cận mô hình xuống còn 22 ngày sau đó, phù hợp hơn với khả năng số phát hiện mới tăng lên. Tuy nhiên, nghiên cứu lưu ý khoảng thời gian này không cho biết chính xác lỗ hổng được phát hiện lần đầu khi nào.

Tỷ lệ lỗ hổng bị khai thác trong vòng một tháng sau khi công bố giảm, nhưng số vụ khai thác không thay đổi một cách có ý nghĩa thống kê. Khi số công bố tăng, tỷ trọng lỗ hổng bị khai thác có thể giảm; vì vậy, mức giảm của tỷ lệ này không đủ để kết luận số vụ tấn công thực tế đã giảm.

Trong một trường hợp riêng thuộc lĩnh vực tài sản số, Dự án Loupe (Project Loupe) công bố ngày 22 tháng 7 kết quả thử nghiệm trên 7 dự án mã nguồn mở Bitcoin (BTC). Trong 643 phát hiện, 51 mục liên quan đến bảo mật và 10 mục được xếp loại rủi ro cao trở lên; hơn 70 vấn đề đã được sửa.

Bitcoin Core cho biết trong 3 khuyến cáo bảo mật công bố ngày 28 tháng 10 rằng hoạt động quét tự động bằng mô hình ngôn ngữ lớn (LLM) của Project Loupe đã phát hiện lỗi. Các bản sửa được đưa vào phiên bản 29.5, 30.4, 31.2 và 32.1. Khuyến cáo nêu lỗi thứ ba vẫn có thể ảnh hưởng đến hệ thống 32-bit và thiết bị lưu trữ FAT32.

Phát hiện lỗ hổng, phát hành bản vá và khắc phục thực tế trong môi trường vận hành là những bước riêng biệt.