AI "hacker" tự động phát hiện 4 lỗ hổng nghiêm trọng trong phần mềm điều khiển công nghiệp chỉ trong gần 4 giờ

Một tác nhân AI tự trị mang tên Cipher đã độc lập tìm ra bốn lỗ hổng bảo mật chưa từng được công bố trong EPICS (Experimental Physics and Industrial Control System) — bộ công cụ mã nguồn mở đã tồn tại hàng thập kỷ và được dùng rộng rãi để điều khiển máy gia tốc hạt và các thí nghiệm nhiệt hạch.

Toàn bộ quá trình điều tra, kiểm thử và xác thực khai thác chỉ mất 3 giờ 49 phút, không cần con người can thiệp ở giai đoạn đầu. Sự việc làm dấy lên lo ngại rằng AI đang thu hẹp khoảng cách giữa kẻ tấn công và các hệ thống công nghiệp vốn trước đây "ẩn mình" nhờ sự ít người biết đến.

Bốn lỗ hổng trong EPICS Base

Cả bốn lỗ hổng đều ảnh hưởng đến EPICS Base và đã được vá trong phiên bản 7.0.11. Cụ thể:

• CVE-2026-114595 — mức nghiêm trọng, điểm CVSS 9.8: lỗi tràn số nguyên (integer overflow) dẫn đến ghi tràn bộ nhớ heap do kẻ tấn công kiểm soát, có khả năng dẫn tới thực thi mã từ xa (RCE).
• CVE-2026-114596 — mức cao, điểm 8.2: kiểm tra độ dài thông điệp không đúng cách, gây ghi tràn bộ nhớ và làm sập tiến trình điều khiển.
• CVE-2026-114597 — mức cao, điểm 7.5: kiểm tra giới hạn không đầy đủ, cho phép đọc tràn bộ nhớ và làm sập tiến trình.
• CVE-2026-114598 — mức cao, điểm 7.5: lỗi nhầm lẫn kiểu (type confusion), có thể gây tấn công từ chối dịch vụ (DoS) và làm lộ nội dung bộ nhớ lân cận.

"Khai thác thành công các lỗ hổng này có thể cho phép kẻ tấn công gây ra tình trạng từ chối dịch vụ, làm hỏng bộ nhớ, tiết lộ thông tin nhạy cảm hoặc có khả năng thực thi mã tùy ý", CISA cảnh báo trong khuyến cáo phát đi hôm thứ Ba.

EPICS quan trọng đến mức nào?

EPICS được phát triển ban đầu bởi Phòng thí nghiệm Quốc gia Los Alamos và Phòng thí nghiệm Quốc gia Argonne. Bộ công cụ này dùng để xây dựng và điều khiển từ xa các hệ thống SCADA phân tán, kết nối người vận hành với thiết bị vật lý.

Hiện EPICS được sử dụng trong khoảng 90 dự án và cơ sở khoa học, đại học và công nghiệp lớn trên toàn cầu, bao gồm Advanced Photon Source của Argonne và hệ thống điều khiển lò phản ứng nhiệt hạch ITER.

Khi AI săn lỗ hổng không cần chuyên gia OT

Theo ông Shubham Raj, đồng sáng lập Causal Security, Cipher được mô tả là "một siêu hacker hoàn toàn tự trị, có khả năng suy luận xuyên suốt toàn bộ ngăn xếp công nghệ". Trước đó trong năm nay, công cụ này cũng đã tìm ra nhiều đường tấn công nghiêm trọng trong các hệ thống lưới điện ở Bắc Mỹ và châu Âu, dẫn tới khuyến cáo của CISA ngày 8 tháng 10.

Điều đáng lo ngại là việc khai thác các lỗ hổng này không đòi hỏi kiến thức chuyên sâu về công nghệ vận hành (OT). Theo ông Raj, chỉ cần kẻ tấn công tiếp cận được dịch vụ EPICS trên mạng điều khiển — thường xảy ra khi mạng không được phân đoạn đúng cách — thì việc tấn công trở nên khá dễ dàng.

"Kẻ tấn công không cần hiểu vật lý của máy gia tốc hạt để làm gián đoạn phần mềm điều khiển nó. Điều đang thay đổi là kẻ tấn công có thể không còn cần nhiều năm chuyên môn đặc biệt chỉ để phát hiện những điểm yếu này."

Hậu quả có thể rất cụ thể: một máy gia tốc hạt đang giữa thí nghiệm tốn kém có thể bị làm sập bộ điều khiển, gián đoạn các phép đo quan trọng và buộc người vận hành phải dừng toàn bộ thí nghiệm — kéo theo mất mát dữ liệu, thời gian chết kéo dài và chi phí khắc phục lớn. Nếu kẻ tấn công phát triển được khai thác RCE, họ còn có thể thao túng số liệu đọc hoặc can thiệp vào chức năng điều khiển thiết bị.

góc nhìn cho Việt Nam

Với các tổ chức tại Việt Nam đang vận hành hệ thống điều khiển công nghiệp — từ nhà máy, trạm biến áp đến các phòng thí nghiệm nghiên cứu — sự việc này là lời nhắc nhở về hai việc cấp bách: cập nhật lên EPICS Base 7.0.11 và rách soát lại phân đoạn mạng OT/IT. Khi AI hạ thấp rào cản kỹ thuật cho kẻ tấn công, lớp bảo vệ dựa vào "sự mù mờ" không còn đáng tin cậy nữa.