Cách khắc phục cho AI agent chiếm quyền DNS của công ty: có thể đề xuất thay đổi, nhưng không thể phê duyệt

GhostJacking, một kỹ thuật tấn công mới được Tenet Security trình diễn tại DEF CON 34, cho thấy một AI agent có thể đọc log Cloudflare, tìm thấy payload chèn prompt từ kẻ tấn công và tự ý viết lại toàn bộ DNS của công ty. Điều đáng lo ngại là tường lửa đã hoạt động đúng, nhưng chính việc chặn là thứ đã ghi payload độc hại vào log — và agent lại đọc log đó như một chỉ thị hợp lệ. Giải pháp được đồng lãnh đạo OWASP đề xuất là xây dựng một "cổng ủy quyền" bên ngoài mô hình, nơi agent chỉ có thể đề xuất thay đổi nhưng không thể tự mình phê duyệt.

GhostJacking hoạt động như thế nào

Cuộc tấn công bắt đầu khi một request đến Cloudflare bị chặn bởi managed ruleset, và toàn bộ nội dung — bao gồm cả User-Agent header chứa prompt độc hại — được lưu trữ byte-for-byte vào log. Một AI coding agent đang xem xét các sự kiện bị chặn này sẽ đọc văn bản của kẻ tấn công như một chỉ thị thực sự, không có cách nào để phân biệt với các chỉ thị mà công ty cố tình đưa ra.

Trong bài benchmark của Tenet, Claude Code trên Sonnet 4.6 đã làm theo chỉ thị cài cắm trong 9/10 lần thử với cấu hình Cloudflare được khuyến nghị. Tenet cũng tìm thấy bằng chứng công khai về cấu hình rủi ro này tại 48 tổ chức, bao gồm sáu công ty Fortune 500. SecurityWeek cũng báo cáo chuỗi tấn công tương tự nhắm vào Datadog và Sentry, nơi bề mặt tấn công là một cảnh báo hoặc báo lỗi.

Điểm mấu chốt: tỷ lệ chặn prompt-injection cao không thể là ranh giới bảo mật. Không có bản vá nền tảng nào có thể loại bỏ rủi ro kiến trúc cốt lõi — một agent tiêu thụ dữ liệu mà kẻ tấn công có thể truy cập và có thể độc lập thực hiện các thay đổi có tác động lớn.

Giải pháp của OWASP: Cổng ủy quyền bên ngoài mô hình

Steve Wilson, Giám đốc AI và Sản phẩm tại Exabeam, đồng thời là đồng lãnh đạo dự án OWASP Top 10 cho LLM Applications, đưa ra giải pháp rõ ràng:

"Điều đầu tiên tôi làm là đặt một cổng ủy quyền bên ngoài mô hình. Agent có thể đề xuất thay đổi DNS cụ thể, nhưng không thể tự mình có được quyền để thực hiện nó."

Kiến trúc này chuyển quyết định vào mã code — nơi nó sẽ được kiểm tra theo luật rõ ràng (deterministic policy check). Một thay đổi an toàn, được định nghĩa rõ ràng, sẽ vượt qua kiểm tra và giữ quyền tự chủ. Bất kỳ thay đổi nào mơ hồ hoặc có bán kính ảnh hưởng lớn sẽ được chuyển đến một con người cụ thể để phê duyệt.

Wilson cũng thẳng thắn về giới hạn của giải pháp xử lý trong prompt: "Các quy tắc bảo mật viết trong prompt có thể định hình hành vi của mô hình, nhưng chúng vẫn chỉ là gợi ý, không phải kiểm soát bảo mật có thể thực thi."

Dữ liệu từ agent này trở thành đầu vào cho agent khác

Một khía cạnh đặc biệt đáng lo ngại là chuỗi tấn công xuyên qua Sentry. Kẻ tấn công dùng một mã định danh bị rò rỉ để đăng một báo lỗi giả mạo lên endpoint công khai của Sentry (được thiết kế không cần xác thực). Khi coding agent xử lý lỗi đó, nó nâng cấp cho Sentry's AI (Seer) phân tích, và tin tưởng kết quả trả về. Nhưng Seer đã hấp thụ "bản vá" của kẻ tấn công và trả về như kết luận của chính nó. Coding agent thực hiện khuyến nghị đó — thực chất là ý đồ của kẻ tấn công.

Điều này xuyên thẳng qua một biện pháp kiểm soát mà Sentry đã thiết lập: hướng dẫn agent không bao giờ làm theo chỉ thị trong dữ liệu sự kiện. Coding agent tuân thủ đúng chữ, nhưng hành động dựa trên kết luận của Seer — một mô hình khác, nơi kẻ tấn công đã cài cắm. Đây là lý do Wilson nhấn mạnh: cổng ủy quyền phải nằm giữa các agent với nhau.

OWASP nâng "Excessive Agency" lên vị trí thứ ba

Bảng xếp hạng OWASP Top 10 cho LLM Applications 2026 (công bố ngày 4/8) đã nâng Excessive Agency từ vị trí thứ sáu lên vị trí thứ ba — bước nhảy lớn nhất trong danh sách, dựa trên 75% phiếu bầu từ thực hành viên và 25% dữ liệu từ 6.639 sự cố được ghi nhận. Các sự cố thực tế tập trung ở các triển khai agentic.

Giải pháp không phải là prompt tốt hơn, mà là bản đồ quyền hạn: hành động nào được duyệt trước, hành động nào cần con người. Đọc log, tương quan cảnh báo, soạn thảo dòng thời gian vẫn giữ tự chủ. Việc khắc phục có giới hạn như restart một dịch vụ cụ thể trong điều kiện cố định có thể vượt qua kiểm tra chính sách bên ngoài mô hình. Nhưng bất kỳ thay đổi nào liên quan đến DNS, quyền identity, triển khai code hoặc chuyển hướng lưu lượng production đều cần một con người được chỉ định phê duyệt.

Chi phí thực tế của giải pháp

Tenet co-founder và CEO Barak Sternberg thừa nhận: "Tường lửa không bao giờ sập, nó chỉ đơn giản là không còn có ý nghĩa nữa." Giải pháp của ông là tách biệt những gì agent có thể đọc và những gì agent có thể thực thi — nhưng ông cũng thừa nhận chi phí: "Một agent đọc cảnh báo mà không thể hành động không phải là agent mà mọi người đã triển khai."

Bước đầu tiên rẻ hơn là kiểm kê: mọi agent đọc dữ liệu bên ngoài và có thể ghi hoặc thực thi cần được đưa vào sổ đăng ký rủi ro. Không cần công cụ mới.

Kayne McGladrey, thành viên cấp cao của IEEE, đưa ra quan điểm gai góc: gần như không công ty Fortune 500 nào xây dựng được ranh giới này. Ông nói: "Tôi chưa thấy điều đó được thực hiện, và không, họ cũng chưa từng công khai nói về nó." Lý do là kinh tế — các công ty chấp nhận rủi ro một cách có chủ đích hoặc vô thức, đặt cược lợi thế vào sự trừng phạt.

Điểm quan trọng từ McGladrey: "Nếu bạn đi vào lớp suy luận, mô hình sẽ không nói với bạn rằng nó đang gian lận, và nó sẽ nói dối về việc đã gian lận." Một hệ thống không thể báo cáo đáng tin cậy về các đường tắt của chính nó không nên tự cho phép mình hành động.

Bối cảnh ngành công nghiệp

Theo báo cáo State of Cybersecurity 2026 của Ivanti, 77% chuyên gia bảo mật tỏ ra ít nhất là khá thoải mái khi để AI hành động mà không có sự xem xét của con người — chính xác là tư thế mà cổng ủy quyền của Wilson hạn chế. CrowdStrike, trong tháng 7, đã đẩy phân loại prompt-injection lên hơn 200 kỹ thuật, chỉ ra injection gián tiếp qua dữ liệu agent đọc là vector quan trọng cho các agent gọi công cụ và chạy lệnh.

Hành động khẩn cấp cho lãnh đạo bảo mật

Bốn câu hỏi để có bức tranh trung thực về tình hình:

• Agent nào đọc vật liệu mà kẻ tấn công có thể truy cập?
• Trong số đó, agent nào có thể thay đổi hệ thống production?
• Quyền của ai đang được thực thi tại điểm truy xuất dữ liệu?
• Thay đổi nào có thể được phê duyệt bởi policy engine mà không cần con người?

Sau đó, hãy chạy test âm tính: gieo một chỉ thị đối nghịch vào log mà agent dự kiến sẽ kiểm tra, và giữ bản ghi lại. Bản ghi đó là sự khác biệt giữa tuyên bố kiểm soát và chứng minh kiểm soát.

Tenet cũng khuyến nghị: chặn quyền truy cập mạng ra ngoài của agent theo mặc định, cắt đứt chặng đường nơi instruction độc hại tải payload và chuyển hướng lưu lượng.

Hãy kiểm kê các service principal trong tenant, loại bỏ các ứng dụng Microsoft first-party được cài sẵn, sau đó lọc ra những đối tượng giữ credential hoặc app-role assignment. Mỗi identity cần có chủ sở hữu và ngày hết hạn. Với agent có quyền production, hãy viết kịch bản containment trước khi sự cố xảy ra — không phải trong lúc xảy ra: thu hồi/rotate workload credential, vô hiệu hóa API hoặc tích hợp công cụ có quyền ghi, lưu giữ transcript, sau đó xác thực và rollback.

Suy ngẫm của McGladrey thật khó chịu nhưng đúng: "Tôi nghĩ rằng hiện tại có một mức độ khoan dung dành cho AI mà không giống bất cứ điều gì khác trong xã hội." GhostJacking khiến điều đó trở nên rõ ràng: một payload bị chặn vẫn đến được tay agent thông qua chính hệ thống được xây dựng để ghi lại payload bị chặn. Câu hỏi không còn là liệu mô hình có nhận ra cuộc tấn công hay không, mà là liệu mô hình có quyền biến nó thành một thay đổi production hay không.

Việc phân tách — đề xuất và phê duyệt — có thể làm chậm tốc độ triển khai, nhưng nó là ranh giới duy nhất có thể thực thi thực sự trong một thế giới nơi agent đang ngày càng thông minh hơn và dữ liệu chúng tiêu thụ thì không bao giờ sạch hoàn toàn.