Đội ngũ bảo mật không bao giờ ngủ: 0.security và sự kết thúc của đợt kiểm thử xâm nhập hằng năm

0.security, trong khóa Fall 2026 của Y Combinator, bán một đội bảo mật tự hành: kiểm thử pull request, pentest liên tục và các bản sửa được giao ngay trong cùng một PR. Đặt cược là AI hiện viết mã nhanh hơn mức kiểm toán hằng năm có thể kiểm tra — và rằng bước xác minh, không phải quét, mới là phần khó.

Kiểm thử bảo mật từ trước đến nay luôn chạy theo lịch. Mỗi năm một lần, đôi khi hai lần, một công ty bên ngoài dành một tuần làm việc với ứng dụng, viết báo cáo, và đội ngũ dành một quý để xử lý báo cáo đó. Vào thời điểm phát hiện cuối cùng được khắc phục, cơ sở mã đã thay đổi bên dưới nó.

Mô hình đó giả định phần mềm thay đổi chậm. Điều đó không còn đúng nữa. Một đội ngũ sử dụng tác nhân lập trình phát hành trong một tuần những gì trước đây mất một quý, và mỗi thay đổi trong số đó là một bề mặt mới. Một bài kiểm thử hằng năm giờ mô tả một hệ thống không còn tồn tại nữa.

0.security là một trong những công ty thuộc đợt Fall 2026 (F26) của Y Combinator, được xây dựng dựa trên khoảng trống đó. Mô tả của nó rất thẳng thừng: một đội an ninh mạng tự động. Sản phẩm chạy các bài kiểm tra bảo mật trên pull request, duy trì kiểm thử xâm nhập liên tục đối với các hệ thống đang vận hành, theo dõi các phụ thuộc trước những lỗ hổng mới được công bố, và — phần quan trọng về mặt thương mại — cung cấp bản sửa ngay trong cùng pull request đó, được áp dụng chỉ với một cú nhấp.

Vì sao bước xác minh chính là toàn bộ sản phẩm

Quét thì rẻ và đã rẻ như vậy suốt một thập kỷ. Điều chưa bao giờ rẻ là biết cảnh báo nào mới quan trọng. Một công cụ quét báo cáo hai trăm phát hiện và sai khoảng một nửa trong số đó không làm giảm rủi ro; nó tiêu tốn sự chú ý của đúng người duy nhất có thể đã sửa được lỗi thật.

Tuyên bố thú vị ở đây không phải là AI có thể tìm ra lỗi. Mà là AI có thể được làm cho chứng minh những lỗi đó. 0.security nói rằng các tác nhân tái tạo các phát hiện trong môi trường cô lập và xác minh bản sửa trước khi bản sửa được đề xuất, và đây là cách nó lọc dương tính giả. Nếu điều đó đứng vững, nó thay đổi đơn vị công việc từ "một báo cáo để phân loại" thành "một bản vá để xem xét".

Nghiên cứu công khai của công ty là bằng chứng mà công ty dựa vào. Trang web của công ty liệt kê các lỗ hổng đã được công bố trên nhân Linux và một loạt dài các ngăn xếp nhà cung cấp — AMD, Qualcomm, Cisco, Arm, Google, Meta, IBM, NVIDIA, Intel, Red Hat — với kiểu dấu vết đánh giá mà các kỹ sư bảo mật nhận ra. Công ty cũng công bố harness của mình dưới dạng mã nguồn mở và nói rằng hơn ba tỷ thiết bị chạy phần mềm mà công ty đã giúp bảo mật. Đó là những tuyên bố của công ty, không phải các con số được kiểm toán độc lập, nhưng các liên kết công bố có thể kiểm chứng theo cách mà nội dung quảng cáo thường không thể.

Cuộc chạy đua vũ trang không ai yêu cầu

Bối cảnh khó chịu là năng lực tương tự cũng tồn tại ở phía bên kia. Kẻ tấn công dùng các mô hình để đọc mã, tìm điểm yếu và viết mã khai thác, với cùng tốc độ mà lực lượng phòng thủ giờ đây có thể dùng chúng để vá các lỗ hổng đó. Một công ty áp dụng AI cho kỹ thuật và vẫn duy trì đánh giá bảo mật hằng năm đã tự động hóa một nửa của phương trình.

Đó là lý lẽ cho việc kiểm thử liên tục trong một câu: nếu mã thay đổi hằng ngày, thì tình trạng bảo mật phải được đánh giá hằng ngày, nếu không khoảng cách giữa những gì bạn đã phát hành và những gì bạn đã kiểm tra sẽ nới rộng mỗi tuần.

Người mua vẫn nên hỏi gì

Ba câu hỏi, và không câu nào trong số đó là về chất lượng mô hình.

Ai sở hữu kết quả? Một công cụ chỉ ghi nhận các phát hiện là một máy quét. Một công cụ vá mã đang tạo ra thay đổi đối với hệ thống sản xuất, và ai đó trong công ty phải chịu trách nhiệm về quyết định đó. Trong một công ty không có lãnh đạo an ninh, người sở hữu đó thường bị thiếu — cũng chính là khoảng trống khiến một CSO bán thời gian đáng được giữ lại.

Tỷ lệ dương tính giả trên mã của chúng ta là bao nhiêu? Hãy yêu cầu dùng thử trên một kho mã mà bạn đã biết có lỗi. Các tuyên bố xác minh thì dễ đưa ra và tốn kém để chứng minh.

Điều gì xảy ra khi mô hình sai theo hướng ngược lại? Một lỗ hổng bị bỏ sót còn tệ hơn một cảnh báo nhiễu, và không nhà cung cấp nào dám bảo đảm độ thu hồi.

0.security còn non trẻ: một công ty thuộc lô Fall 2026, một đội ngũ nhỏ, và những tuyên bố sẽ được khách hàng kiểm chứng chứ không phải bằng thông cáo báo chí. Nhưng cấu trúc lập luận là đúng, và đó là cấu trúc mà cả lô đang hướng tới — AI tạo ra vấn đề với tốc độ máy, nên phản ứng cũng phải chạy với tốc độ máy.

Đợt kiểm thử xâm nhập hằng năm không chết vì nó tệ. Nó chết vì nó mô tả một cơ sở mã đã ngừng tồn tại vào tháng Hai.

Nguồn: danh sách công ty F26 của Y Combinator và trang công khai cùng các công bố nghiên cứu của 0.security, tháng 11 năm 2026. Các tuyên bố của công ty được ghi nguồn tương ứng.

Liên hệ: [email protected]

TÁC GIẢ

Về ABN Asia: Ai-Banking-NetworkSecurity (ABN), ABN Asia được thành lập từ năm 2012, là một công ty xuất phát từ học thuật, do những giảng viên, cựu du học sinh Hungary, Hà Lan, Nga, Đức, và Nhật Bản sáng lập. Chúng tôi chia sẻ đam mê chung và tầm nhìn vững chắc về công nghệ, mang đến sự đổi mới và chất lượng đỉnh cao cho khách hàng. Phương châm của chúng tôi là: Tốt hơn. Nhanh hơn. An toàn hơn. Trong nhiều trường hợp: Rẻ hơn.

Hãy liên hệ với chúng tôi khi Quý doanh nghiệp có các nhu cầu về dịch vụ công nghệ thông tin, tư vấn chuyển đổi số, tìm kiếm các giải pháp phần mềm phù hợp, hoặc nếu Quý doanh nghiệp có đấu thầu CNTT (RFP) để chúng tôi tham dự. Quý doanh nghiệp có thể liên hệ với chúng tôi qua địa chỉ email [email protected]. Chúng tôi sẵn lòng hỗ trợ với mọi nhu cầu công nghệ của Quý doanh nghiệp.

© ABN ASIA