Liệu AI có đặt dấu chấm hết cho nguồn mở?

 

Will AI Cause the End of Open Source

May 9, 2026 · David Wiley

Theo: https://opencontent.org/blog/will-ai-cause-the-end-of-open-source/

Bài được đưa lên Internet ngày: 09/05/2026

Các công cụ AI tạo sinh đã đạt đến năng lực vượt xa con người trong việc phát hiện các lỗ hổng bảo mật trong mã nguồn máy tính. Khi mô tả về Claude Mythos Preview, Anthropic gần đây đã viết:

Trong quá trình thử nghiệm, chúng tôi nhận thấy Mythos Preview có khả năng xác định và sau đó khai thác các lỗ hổng zero-day trên mọi hệ điều hành và trình duyệt web phổ biến khi được người dùng yêu cầu. Các lỗ hổng mà nó tìm thấy thường rất tinh vi hoặc khó phát hiện. Nhiều lỗ hổng trong số đó đã tồn tại từ 10 hoặc 20 năm trước; lỗ hổng lâu đời nhất mà chúng tôi tìm thấy cho đến nay là một lỗi đã 27 năm tuổi trong OpenBSD—một hệ điều hành vốn nổi tiếng về tính bảo mật—và lỗi này hiện đã được khắc phục.

Tương tự, Mozilla báo cáo rằng Claude Mythos Preview đã phát hiện 271 lỗ hổng trong Firefox, một phần mềm khác vốn đã hoàn thiện và được kiểm tra cực kỳ kỹ lưỡng. v.v.

Hệ quả của Định luật Linus

Trước đây, hệ quả chính của việc mở mã nguồn của bạn (open sourcing your code) là tạo điều kiện hợp tác với người dùng, giúp phần mềm hữu ích hơn và tăng cường tính bảo mật. Eric Raymond đã gọi những tác động về mặt bảo mật của nguồn mở là Định luật Linus:

Với đủ số lượng người cùng xem xét, mọi lỗi đều trở nên dễ phát hiện.

Một cách hiểu Định luật Linus trong bối cảnh AI tạo sinh là: một mô hình mạnh mẽ như Claude Mythos Preview cung cấp số lượng "cặp mắt" quan sát gần như vô hạn. Có lẽ giờ đây chúng ta cần đến một hệ quả bổ sung cho Định luật Linus:

Với AI đủ mạnh, mọi lỗ hổng đều sẽ bị phát hiện và khai thác.

Tôi chưa nắm được đủ chi tiết về vụ xâm nhập hệ thống Canvas để biết chính xác hệ thống đã bị tấn công như thế nào, nhưng khi nghe tin, suy nghĩ đầu tiên của tôi là: Chắc chắn vụ này xảy ra vì Canvas là mã nguồn mở. Ai đó đã sử dụng AI mạnh mẽ để rà soát mã nguồn, tìm ra các lỗ hổng và khai thác một trong số đó. Sau đó, suy nghĩ thứ hai nảy ra trong đầu tôi là: Liệu vụ xâm nhập Canvas có phải là khởi đầu cho sự kết thúc của mã nguồn mở hay không?

Tính bất đối xứng của AI trong phòng thủ

Mozilla chỉ ra rằng các công cụ AI cũng tiếp sức cho các nhà phát triển, đồng thời cũng mang lại cho những người làm công tác bảo mật "siêu năng lực" khi họ rà soát và bảo vệ mã nguồn của mình. Theo báo cáo, Mozilla đã tận dụng rất hiệu quả công nghệ này cho mục đích đó. Tuy nhiên, không phải dự án mã nguồn mở nào cũng được vận hành bởi một tổ chức lớn như Mozilla.

Phần lớn các dự án nguồn mở là những dự án xuất phát từ niềm đam mê, chỉ có một người đóng góp duy nhất làm việc theo hình thức bán thời gian. Liệu chúng ta có thể kỳ vọng những người làm dự án vì đam mê này phải trả phí để tiếp cận các mô hình AI tiên tiến nhất và liên tục tích hợp chúng vào quy trình phát hành sản phẩm hay không? Nếu họ không thể hoặc vì lý do nào đó không muốn làm vậy, họ nên làm gì? Liệu việc chia sẻ mã nguồn – thứ gần như chắc chắn sẽ bị khai thác lỗ hổng – có phải là một lựa chọn phù hợp?

Giờ thì sao?

Có lẽ trong tương lai sẽ xuất hiện các mô hình AI có trọng số mở (open-weights) đủ mạnh mẽ; chúng có thể được vận hành cục bộ (miễn phí) và tích hợp trực tiếp vào các công cụ cũng như quy trình phát triển trong tương lai. Nhưng từ nay đến lúc đó, chúng ta phải làm gì?

Generative AI tools have become superhuman in their capacity to discover vulnerabilities in computer code. Describing the Claude Mythos Preview, Anthropic recently wrote:

During our testing, we found that Mythos Preview is capable of identifying and then exploiting zero-day vulnerabilities in every major operating system and every major web browser when directed by a user to do so. The vulnerabilities it finds are often subtle or difficult to detect. Many of them are ten or twenty years old, with the oldest we have found so far being a now-patched 27-year-old bug in OpenBSD—an operating system known primarily for its security.

Similarly, Mozilla reports that Claude Mythos Preview identified 271 vulnerabilities in Firefox, which is another mature and very thoroughly reviewed piece of software. &c.

Linus’s Corollary

Once upon a time, the primary consequence of open sourcing your code was enabling collaboration with your users, making the software more helpful for them and improving its security. Eric Raymond called the security implications of open source Linus’s Law:

Given enough eyeballs, all bugs are shallow.

One way of understanding Linus’s Law in the context of generative AI is that a model as powerful as Claude Mythos Preview provides essentially infinite eyes. Perhaps we now need Linus’s Corollary:

Given powerful enough AI, all bugs will be found and exploited.

I haven’t heard enough detail yet about the Canvas breach to know how the system was compromised, but when I heard about it my first thought was: I bet this is because Canvas is open source. Someone used powerful AI to review the source code, found vulnerabilities, and exploited one. Then my second thought was: is the Canvas breach the beginning of the end for open source?

The Asymmetry of AI for Defense

Mozilla points out that AI tools empower developers, too, giving defenders superpowers as they review and secure their own code. And according to the report, Mozilla used it very effectively for this purpose. But not every open source project is run by a major organization like Mozilla.

The majority of open source projects are passion projects with a single, part-time contributor. Do we now expect each of these hobbyists to pay for access to frontier AI models and consistently integrate them into their release process? If they can’t or for any reason don’t want to, what should they do? Is sharing code that is all but guaranteed to be exploited an appropriate choice to make?

What Now?

Perhaps in the future there will be sufficiently powerful open weights AI models, and these can be run locally (for free) and integrated directly into whatever future development tools and workflows look like. But until then, what now?

Dịch: Lê Trung Nghĩa

letrungnghia.foss@gmail.com