Kỷ nguyên tấn công tốc độ máy

Tấn công giờ chạy ở tốc độ máy

Thời gian kẻ tấn công cần để đi từ chỗ đứng đầu tiên sang phần còn lại của mạng ngày càng ngắn. CrowdStrike cho biết breakout time trung bình của các nhóm eCrime đã giảm còn 29 phút trong năm 2025, lần breakout nhanh nhất họ ghi nhận chỉ mất 27 giây, và trong một vụ xâm nhập, dữ liệu bắt đầu bị đánh cắp chỉ bốn phút sau khi kẻ tấn công vào được ^[1]. Cũng báo cáo này ghi nhận các nhóm tấn công có dùng AI đã tăng hoạt động 89% so với năm trước ^[1].

Việc khai thác lỗ hổng cũng tăng tốc. Mandiant đo thời gian trung bình từ khi một lỗ hổng được biết tới đến khi bị khai thác: 63 ngày giai đoạn 2018-2019, 32 ngày giai đoạn 2021-2022 và chỉ còn năm ngày trong năm 2023 ^[2]. Verizon thấy việc khai thác lỗ hổng làm bước truy cập ban đầu tăng 34% và nay chiếm 20% số vụ breach ^[3], còn M-Trends 2025 của Mandiant tiếp tục xếp exploit là vector xâm nhập ban đầu phổ biến nhất, ở mức 33% ^[4].

Đặt những con số đó cạnh một ngày làm việc điển hình của SOC. Một alert rơi vào hàng đợi, chờ analyst, được mở ra, làm giàu thông tin bằng tay, trao đổi rồi escalate. Chu trình ấy tính bằng giờ, vào hôm thuận lợi. Khi chu trình của kẻ tấn công tính bằng phút, một hàng đợi chạy theo nhịp con người không phải là phòng thủ chậm hơn, mà là phòng thủ đến sau khi kết cục đã được định.

Nguồn lực đang bị kéo căng

Tuyển thêm người không phải lối thoát. ISC2 ước tính khoảng thiếu hụt nhân lực an ninh mạng toàn cầu là 4,8 triệu người, tăng 19% trong một năm, trong khi lực lượng hiện có giữ ở mức khoảng 5,5 triệu; 90% người được khảo sát cho biết tổ chức của họ thiếu kỹ năng ^[5]. Trực 24/7 cần nhiều người cho một vị trí, và ca đêm là nơi mệt mỏi và tín hiệu bị bỏ sót dồn lại.

Cái giá của việc tụt lại rất cụ thể. IBM tính chi phí trung bình toàn cầu của một vụ data breach là 4,44 triệu USD và thời gian trung bình để phát hiện và khoanh vùng là 241 ngày; các tổ chức dùng AI và tự động hoá rộng rãi trong bảo mật tiết kiệm trung bình 1,9 triệu USD và rút ngắn vòng đời đó 80 ngày ^[6]. Các nhà cung cấp dịch vụ bảo mật (MSSP) cũng gặp đúng bài toán ấy: khi mỗi khách hàng mới đồng nghĩa với thêm analyst, tăng trưởng bị giới hạn bởi số người và sự kiệt sức.

Add-on “AI SOC” dựa trên frontier model không giải quyết được

Làn sóng AI đầu tiên trong SOC chủ yếu là gắn một model lớn trên cloud vào quy trình sẵn có. Nó giúp đọc và viết, nhưng không thay đổi bài toán chi phí hay tốc độ của công việc.

• Tốn token ở quy mô SOC: một SOC xử lý hàng triệu event và hàng nghìn alert. Đưa tất cả qua một model đa năng cỡ lớn khiến chi phí tăng theo khối lượng.
• Thêm độ trễ: mỗi lần gọi là một vòng mạng tới một dịch vụ dùng chung, đúng vào lúc tốc độ quan trọng nhất.
• Log nhạy cảm rời khỏi hạ tầng: alert và log thô chứa tên người dùng, host, địa chỉ nội bộ và dữ liệu nghiệp vụ. Gửi chúng cho dịch vụ bên thứ ba đặt ra câu hỏi về chủ quyền dữ liệu và tuân thủ mà nhiều tổ chức không thể chấp nhận.
• Là copilot, không phải vòng khép kín: phần lớn add-on tóm tắt alert hoặc trả lời câu hỏi rồi trả việc lại cho người. Chúng không đưa một case đi trọn từ phát hiện, điều tra, kiểm chứng đến hành động, và không học từ kết quả.

Agentic AI là bậc thang, không phải đích đến

Các công cụ SOC agentic tiến thêm một bước: một frontier model lập kế hoạch, gọi công cụ, đọc kết quả rồi gọi tiếp. Đó là tiến bộ thật, nhưng cũng thừa hưởng điểm yếu của model. Toàn bộ vận hành phụ thuộc vào model của bên thứ ba. Chi phí token nhân lên theo từng bước, từng lần thử lại và từng vòng tự phản tư. Độ trễ khó đoán, kết quả thay đổi giữa các lần chạy nên khó audit, và chỉ cần một công cụ hay schema đổi là chuỗi chạy tốt hôm qua có thể gãy.

Tổng chi phí cao hơn hoá đơn API cho thấy. Bạn trả hai lần: một lần cho token, một lần nữa cho hạ tầng để chạy agent ở quy mô SOC, dù là GPU hay suy luận trên cloud, cùng orchestration và giám sát. Và vì chi phí bám theo số alert, nó tăng khi doanh nghiệp lớn lên thay vì giảm khi hệ thống trưởng thành.

Quan trọng nhất, agent hiếm khi học được môi trường của bạn. Mỗi lần chạy gần như bắt đầu lại từ đầu, và bài học từ một cuộc điều tra hiếm khi trở thành cải tiến bền vững, đã được kiểm chứng cho lần sau. Một SOC tự hành phải làm điều ngược lại: càng chạy lâu càng tốt hơn và rẻ hơn.

Không có lựa chọn chạy cục bộ hay on-premise

Nhiều giải pháp bảo mật dùng AI chỉ tồn tại dưới dạng dịch vụ cloud gắn với một model trên cloud. Chúng không chạy được trên máy chủ của khách hàng, trong private cloud hay trên mạng cách ly (air-gapped). Với ngân hàng, cơ quan nhà nước, nhà mạng viễn thông và doanh nghiệp năng lượng, điều đó thường chấm dứt cuộc trao đổi: quy định, hợp đồng hoặc đơn giản là sự thận trọng buộc dữ liệu giám sát an ninh phải nằm trong tổ chức.

Đây cũng chính là những ngành có nhiều thứ cần bảo vệ nhất và đối mặt với kẻ tấn công dai dẳng nhất. Một mô hình bảo mật không triển khai được nơi dữ liệu nằm sẽ bỏ lại đúng những tổ chức ấy.

Điều đó có ý nghĩa gì với đội của bạn

• Ưu tiên cục bộ ngay từ thiết kế: các model gọn, chuyên biệt theo từng tác vụ và được tinh chỉnh cho môi trường của bạn chạy tại hạ tầng của bạn, dữ liệu ở lại với bạn. Suy luận frontier hay agentic là tuỳ chọn, chỉ dùng tiết kiệm và ở nơi chính sách của bạn cho phép, và phần nó đóng góp trở thành năng lực cục bộ.
• Tự hành ngày càng rẻ hơn và tốt hơn: khi ApexAI học được môi trường của bạn, phần việc xử lý tại chỗ tăng lên, nên chi phí không tăng tuyến tính theo token hay số alert.
• Làm việc với những gì bạn đang có: Elastic, CrowdStrike Falcon và Palo Alto Cortex XSIAM hôm nay, Microsoft Sentinel tiếp theo, không phải thay thế hệ thống, bắt đầu bằng quyền chỉ đọc.
• Chạy trên hạ tầng on-premise khiêm tốn, kể cả private cloud và mạng cách ly, không đòi hỏi một dàn GPU lớn.
• Mọi bước đều được ghi lại: ApexAI kết luận gì, dựa trên bằng chứng nào, đề xuất gì và ai đã duyệt.
• Nói rõ hiện trạng: Autonomous SOC hôm nay chạy ở bản preview song song với analyst, và các năng lực được bật từng bước sau khi được xem xét.

Một nền tảng, không phải một chồng sản phẩm rời

Lõi SecOps không đứng một mình. ApexAI API Gateway thế hệ AI-native đưa lưu lượng API, AI và MCP qua một cửa duy nhất có quản trị; ApexAI Data Gate bảo vệ dữ liệu đang được sử dụng, ở mức từng field, qua các API được quản trị; còn mật mã hậu lượng tử (PQC) giữ cho việc ký và truyền tải sẵn sàng cho kỷ nguyên tiếp theo. Gateway và Data Gate đang được phát triển. Tất cả cùng nuôi một Autonomous SOC và cùng một luồng phản ứng đề xuất trước, trên một console và một danh tính.

Câu hỏi thường gặp