Một nghiên cứu bản thảo công bố ngày 4/11 cho thấy các doanh nghiệp được tiếp cận sớm mô hình AI Claude Mythos Preview của Anthropic có số lỗ hổng phần mềm công bố công khai tăng tương đối khoảng 120% so với mức thay đổi ở nhóm doanh nghiệp Trung Quốc dùng làm đối chứng. Nghiên cứu không ghi nhận tình trạng chậm vá có ý nghĩa thống kê tại các nhà cung cấp và kênh cập nhật của các bản phân phối Linux được khảo sát. Tuy nhiên, số lỗ hổng được công bố không phản ánh toàn bộ số lỗ hổng thực tế; việc phát hiện, phát hành bản vá và người dùng cài đặt bản vá cũng là những khâu khác nhau. Vì vậy, kết quả chưa cho thấy rủi ro phần mềm bị khai thác trên thực tế đã giảm.
13 doanh nghiệp tham gia, 267 doanh nghiệp Trung Quốc làm đối chứng
Nghiên cứu do Thomas Mosk thực hiện, với giai đoạn phân tích từ tháng 10/2025 đến tháng 9/2026. Ngày 7/4/2026, Anthropic công bố Project Glasswing và cấp quyền truy cập Mythos Preview cho một số doanh nghiệp. Phân tích số liệu công bố lỗ hổng so sánh 13 doanh nghiệp tham gia với 267 doanh nghiệp Trung Quốc; nhóm đối chứng vẫn có thể sử dụng các công cụ AI khác.
Ước tính của nghiên cứu cho thấy số lỗ hổng được công bố tại nhóm tham gia tăng tương đối khoảng 120%, còn số lỗ hổng có tác động cao tăng khoảng 150%. Trong nghiên cứu này, “tác động cao” nghĩa là điểm tác động trong thang đánh giá mức độ nghiêm trọng cao hơn trung vị; đây không phải số liệu đo lường thiệt hại thực tế do lỗ hổng gây ra.
Các doanh nghiệp không được chọn ngẫu nhiên để tham gia Glasswing, đồng thời thông lệ công bố lỗ hổng có thể khác nhau giữa các quốc gia. Những yếu tố này hạn chế khả năng xác định quan hệ nhân quả: kết quả cho thấy quyền truy cập có liên hệ với mức tăng công bố, nhưng không chứng minh riêng mô hình AI gây ra toàn bộ mức tăng đó.
Các kênh vá lỗi chưa chậm đáng kể, nhưng vẫn có độ bất định
Mosk phân tích năng lực vá lỗi riêng với số liệu công bố, bằng cách so sánh các lỗ hổng liên quan đến Glasswing với những lỗ hổng ngoài Trung Quốc khác trong các mẫu dữ liệu có thời gian ngắn hơn. Một phân tích theo dõi 658 lỗ hổng được báo cáo cho nhà cung cấp qua Zero Day Initiative tính đến tháng 6/2026. Phân tích còn lại xem xét 14.855 lỗ hổng được công bố đến tháng 7 và theo dõi tình hình vá lỗi tại các bản phân phối Linux như Debian, Ubuntu, Red Hat và SUSE.
Cả hai nhóm dữ liệu đều không cho thấy tốc độ vá lỗi chậm lại có ý nghĩa thống kê. Với các lỗ hổng đã công bố, thời gian vá trung vị của các bản phân phối vẫn là một ngày. Ước tính về thời gian vá của nhà cung cấp loại trừ khả năng tốc độ giảm hơn khoảng 13%, nhưng vẫn chưa loại trừ được mức giảm nhỏ hơn. Ước tính ở khâu tiếp theo cũng chưa loại trừ khả năng tỷ lệ hoàn tất vá trong vòng 90 ngày giảm khoảng 11 điểm phần trăm.
Nghiên cứu chỉ đo lường một số mẫu lỗ hổng và kênh vá lỗi nhất định, không bao gồm các quy trình chưa được công khai và không đo tốc độ người dùng cuối cài đặt bản vá. Do đó, việc phát hành bản vá không đồng nghĩa mọi hệ thống liên quan đã được cập nhật.
Chưa thấy số lỗ hổng bị khai thác thay đổi rõ rệt
Trong một phép so sánh kết thúc vào tháng 5, trước khi Glasswing được mở rộng vào tháng 6, nghiên cứu không phát hiện thay đổi có ý nghĩa thống kê về số lỗ hổng đã biết bị khai thác tại các doanh nghiệp lớn ngoài Trung Quốc trong các khung thời gian một, hai hoặc ba tháng. Điều đó không có nghĩa số vụ khai thác hoàn toàn không đổi: các ước tính còn thiếu chính xác để loại trừ những mức tăng hoặc giảm nhất định, đồng thời chỉ phản ánh hoạt động khai thác đã được biết đến ở giai đoạn đầu, không bao quát toàn bộ cuộc tấn công hay lỗ hổng chưa công bố.
Trong một số phép so sánh, tỷ lệ lỗ hổng đã biết bị khai thác trong tổng số lỗ hổng công bố giảm. Nếu tổng số lỗ hổng được công bố tăng, tỷ lệ này có thể giảm ngay cả khi số lỗ hổng bị khai thác đã biết không giảm. Vì vậy, nghiên cứu xem đây là dấu hiệu cần lưu ý, chứ không phải bằng chứng xác nhận hoạt động tấn công đã giảm.
Ngày 2/7, Epoch AI phân tích thay đổi trong số lỗ hổng mức cao và nghiêm trọng được công bố sau Mythos Preview. Tổ chức này lưu ý rằng thống kê công khai có thể bỏ sót các phát hiện chưa được công bố và chịu ảnh hưởng từ việc các nhà nghiên cứu dành nhiều chú ý hơn cho hoạt động tìm lỗ hổng.
Với hạ tầng tiền mã hóa, phát hiện lỗ hổng, phát hành bản vá và các nút mạng cài đặt bản vá là những bước riêng biệt. Ngày 29/10, Bitcoin Core công bố ba lỗ hổng do AI phát hiện đã được xác minh và phát hành bản vá; việc các nút trên mạng thực tế đã cài đặt bản vá hay chưa vẫn là vấn đề khác. Nghiên cứu ghi nhận số lỗ hổng được công bố tăng mà không kèm dấu hiệu chậm lại rõ rệt ở các kênh vá được khảo sát, nhưng tác động đối với hoạt động khai thác và mức độ an toàn của phần mềm đang vận hành vẫn chưa được xác định.