AI Guardrails không ngăn được tin tặc: Bốn nhóm tội phạm mạng lợi dụng AI tác nhân để tấn công

Các rào chắn an toàn (guardrails) của mô hình AI đang tỏ ra không đủ sức ngăn chặn tội phạm mạng. Theo thông tin mới công bố hôm thứ Tư, ngay cả những tin tặc có trình độ kỹ thuật khiêm tốn cũng đã đưa AI tác nhân (agentic AI) vào các chiến dịch tấn công và tìm cách lách qua các lớp bảo vệ của mô hình.

Bốn nhóm tin tặc, một điểm chung

Các nhà nghiên cứu của hãng tình báo mối đe dọa CrowdStrike đã phân tích hạ tầng AI đứng sau các vụ tấn công diễn ra từ tháng 5 đến tháng 8 do bốn nhóm chưa từng được ghi nhận trước đây thực hiện: một nhóm hoạt động bằng tiếng Trung, một nhóm dùng tiếng Tây Ban Nha và tiếng Anh, một nhóm dùng tiếng Indonesia và một nhóm dùng tiếng Nga.

Hai nhóm đầu sở hữu những bộ khung AI (harness) tinh vi — tức phần mềm hỗ trợ và điều hướng mô hình thực hiện nhiệm vụ. Hai nhóm còn lại kém cỏi hơn về kỹ thuật nhưng vẫn xâm nhập được nhiều mục tiêu. Điểm chung đáng chú ý: cả bốn đều để hạ tầng AI của mình công khai trên các máy chủ web, tạo điều kiện cho giới nghiên cứu mổ xẻ hoạt động và nhận diện mô hình được sử dụng.

Các mô hình bị lợi dụng chủ yếu là các phiên bản của Claude (do Anthropic phát triển) cùng các phiên bản Deepseek mã nguồn mở. Tất cả các nhóm đều tìm ra cách để chiến dịch của mình vận hành tự động trong thời gian dài.

Chiến lược "chia để trị" các mô hình

Theo Adam Meyers, Phó chủ tịch cấp cao phụ trách đối phó mối đe dọa tại CrowdStrike, kẻ tấn công kết hợp nhiều mô hình cho từng khâu khác nhau nhằm tối ưu chi phí:

"Bạn có thể tận dụng các mô hình khác nhau cho từng phần của chiến dịch. Việc định tuyến và lựa chọn mô hình rất quan trọng vì nó tốn kém, và dùng mô hình mới nhất nhiều khi là quá mức cần thiết."

Các nhà nghiên cứu ghi nhận tin tặc dùng cả mô hình đóng lẫn mở, nhưng gần như trong mọi trường hợp đều chọn phiên bản cũ thay vì các mô hình tiên tiến nhất. Điều này cũng phổ biến trong sử dụng AI hợp pháp khi chi phí tăng cao.

Đáng lo ngại hơn, kẻ tấn công còn khai thác sự khác biệt về rào chắn an toàn giữa các mô hình, kể cả khi chúng đến từ cùng một công ty. Meyers nhấn mạnh các vụ tấn công không dùng lỗ hổng mới nào, mà chỉ tận dụng tốc độ và khối lượng mà AI mang lại để khai thác hàng loạt lỗ hổng vệ sinh bảo mật vốn có thể phòng ngừa được.

Cách lách qua rào chắn

Cả bốn nhóm đều vượt qua được các lớp bảo vệ AI, thường bằng cách thuyết phục mô hình rằng hoạt động là hợp pháp và được cấp phép, chẳng hạn dưới danh nghĩa kiểm thử xâm nhập. Một số thủ thuật đáng chú ý:

• Thêm tệp vào thư mục làm việc của tác nhân AI để giả vờ nhiệm vụ đã được phê duyệt
• Sử dụng phương pháp jailbreak truyền thống, dựng câu chuyện và lời nhắc (prompt) bọc hoạt động tấn công trong vỏ bọc hợp pháp
• Chủ động trả lời trước các câu hỏi hay lo ngại mà mô hình có thể đặt ra
• Nhóm kém tinh vi hơn dùng lời nhắc thô bạo, gây áp lực buộc mô hình chấp nhận tính hợp pháp

Nhóm nói tiếng Trung còn sử dụng một công cụ gọi là ClawGod để vá lúc chạy, bổ sung chức năng cho Claude Code và tìm cách xóa chỉ thị "CYBER_RISK_INSTRUCTION" khỏi prompt hệ thống — vốn quy định Claude Code chỉ được tham gia kiểm thử bảo mật có cấp phép.

Những mục tiêu bị xâm nhập

• Nhóm nói tiếng Tây Ban Nha và Anh: nhắm vào các tổ chức y tế Argentina, xâm nhập ít nhất 15 tổ chức và đánh cắp thông tin đăng nhập cùng hồ sơ bệnh án từ một nạn nhân. Nhóm này dựng hẳn hạ tầng tấn công tự động với một tác nhân "Giám sát" (Supervisor) điều phối và một tác nhân "Thi hành" (Executor) thực hiện.
• Nhóm nói tiếng Trung: xâm nhập mục tiêu chính phủ tại Brazil và Colombia, đồng thời nhắm vào doanh nghiệp tư nhân ở Brazil và Mỹ trong nhiều lĩnh vực như công nghệ sinh học, y tế, thực phẩm, bán lẻ, công nghệ và du lịch.
• Nhóm nói tiếng Indonesia (kém tinh vi nhất) và nhóm nói tiếng Nga (động cơ tài chính): dùng các kỹ năng và bộ khung phổ biến, sẵn có nhưng vẫn xâm nhập thành công nhiều tên miền chính phủ Indonesia, một tên miền chính phủ Bangladesh và một số mục tiêu tư nhân.

Vẫn có bàn tay con người phía sau

Dù mức độ tự động hóa ngày càng cao, Meyers khẳng định con người vẫn giữ vai trò then chốt:

"Điều chúng tôi thấy là con người thực hiện một số bước thăm dò ban đầu, rồi sau đó mới kích hoạt AI để tấn công ở quy mô lớn. Tôi thấy thú vị là ngay cả với các cuộc tấn công bằng AI tác nhân với đầy đủ năng lực, chúng ta vẫn nhận ra có bàn tay con người đằng sau và họ đang nhắm tới điều gì."

Anthropic chưa đưa ra bình luận trước thời điểm công bố, còn Deepseek chưa phản hồi yêu cầu bình luận của WIRED.

Hàm ý cho người dùng và doanh nghiệp tại Việt Nam

Phát hiện này là lời cảnh báo đáng chú ý với các tổ chức tại Việt Nam, đặc biệt khi nhiều doanh nghiệp đang tích cực ứng dụng AI vào vận hành. Ba điểm cần lưu tâm:

• Không để hạ tầng AI lộ diện công khai: việc tin tặc phơi bày máy chủ AI cho thấy nhiều tổ chức cũng có thể vô tình cấu hình sai tương tự, tạo cửa ngõ cho kẻ xấu.
• Rào chắn AI không phải lá chắn tuyệt đối: không nên coi các lớp bảo vệ của mô hình là biện pháp bảo mật đủ mạnh thay cho quy trình an ninh cơ bản.
• Vá lỗ hổng vệ sinh bảo mật: phần lớn cuộc tấn công khai thác những lỗ hổng có thể phòng ngừa được. Cập nhật hệ thống, quản lý thông tin đăng nhập và giám sát bất thường vẫn là nền tảng thiết yếu.

Khi AI tác nhân ngày càng phổ biến, ranh giới giữa công cụ hỗ trợ hợp pháp và vũ khí tấn công trở nên mong manh hơn bao giờ hết.