🕵️ AI của Anthropic tìm ra lỗ hổng 29 năm tuổi mà con người bỏ lỡ

Một lỗi một dòng code tồn tại từ năm 1997 vừa bị một mô hình AI của Anthropic vạch trần chỉ trong vài phút.

🐛 Lỗi Heartbleed phiên bản Squid Proxy

Squidbleed (CVE-2026-47729) là lỗ hổng kiểu Heartbleed nằm trong Squid Proxy, phần mềm proxy mã nguồn mở mà hàng triệu mạng doanh nghiệp dùng để lọc và cache lưu lượng web. Lỗi rò rỉ bộ nhớ nội bộ này tồn tại từ năm 1997, tức 29 năm, mà không ai phát hiện qua nhiều vòng review code. Gốc rễ nằm trong bộ phân tích cú pháp xử lý danh sách thư mục FTP: đoạn code xử lý khoảng trắng cho các máy chủ NetWare cũ dùng hàm strchr tìm ký tự null, nhưng vòng lặp bỏ khoảng trắng lại không dừng đúng chỗ khi gặp ký tự kết thúc chuỗi. Hậu quả là proxy có thể lộ thông tin đăng nhập HTTP dạng cleartext của người dùng chia sẻ chung proxy, gồm cả mật khẩu và API key.

🤖 AI phát hiện ra thứ 29 năm review bỏ sót

Điều đáng chú ý nhất là ai tìm ra lỗi này. Claude Mythos, mô hình đứng sau Project Glasswing của Anthropic, bắt được lỗi trong vài phút khi thực hiện kiểm toán bảo mật được ủy quyền. Model được huấn luyện trên tài liệu chuẩn ngôn ngữ C xử lý sự kiện strchr trả về giá trị khác null khi tìm ký tự kết thúc chuỗi như một sự thật đơn giản, và nhờ vậy phát hiện ra thứ mà 29 năm review của con người bỏ sót.

🔧 Bản vá đang rối, giải pháp tạm thời

Tình hình vá lỗi hiện khá rối: bản Squid 7.6 được cho là đã vá Squidbleed nhưng thực chất chỉ sửa một lỗi khác (CVE-2026-50012). Bản vá thật sự cho CVE-2026-47729 dự kiến nằm trong Squid 7.7. Trong lúc chờ, khuyến nghị đơn giản nhất là tắt hỗ trợ FTP trên proxy, vì tính năng này gần như không còn ai dùng nhưng vẫn mở đường cho lỗ hổng.

Bạn có đang chạy Squid Proxy trong hệ thống của mình không? Kiểm tra ngay và để lại bình luận nếu bạn tìm thấy config FTP đang bật nhé!

#Squidbleed #ClaudeMythos #AnthropicSecurity #CyberSecurity #VibeAICoder