Cisco mã nguồn mở Quarry: Bắt kẻ tấn công AI ẩn mình sau các hành động vô hại

Phát hiện một cuộc tấn công bằng AI agent không đơn thuần là tìm nhiều chiếc kim nhỏ rải rác trong đống rơm khổng lồ, mà là nhận ra liệu những chiếc kim đó có được nối với nhau hay không, và nối để làm gì.

Các biện pháp kiểm soát an ninh truyền thống thường đánh giá từng hành động riêng lẻ để phân loại ý định tốt hay xấu. Cách làm này thất bại trước hoạt động của AI agent, bởi ý đồ xấu chỉ xuất hiện khi một loạt hành động vô hại được ghép lại thành một chuỗi hoàn chỉnh.

Mô hình AI được huấn luyện

Khi từng bước đều hợp lệ nhưng tổng thể lại là tấn công

Ví dụ dễ hiểu nhất là phát hiện gian lận. Một ngân hàng thường phân tích từng giao dịch riêng lẻ — về cơ bản cũng giống cách an ninh truyền thống đang vận hành. Nhưng phát hiện gian lận cần nhìn ra quy luật giữa nhiều giao dịch tưởng chừng bình thường, có thể ở nhiều địa điểm khác nhau với thời điểm khó nghi ngờ.

Cisco lập luận rằng an ninh cho agent cũng cần đúng sự kết hợp giữa nhận diện mẫu và bằng chứng như vậy, chỉ khác là áp dụng lên các bước mà agent thực hiện thay vì lên giao dịch mua bán.

Quarry là gì?

Cisco mô tả Project Quarry là một ngôn ngữ luật neurosymbolic — kết hợp phán đoán của học máy với các kiểm tra dựa trên quy tắc. Công cụ này bao quát hội thoại LLM một lượt và nhiều lượt, agent, việc sử dụng công cụ, tương tác Model Context Protocol (MCP) và cả đầu vào đa phương thức.

Mỗi luật được định nghĩa đều dựa trên bằng chứng thần kinh từ các bộ phân loại ML và các "trọng tài" LLM, kết hợp với luật tượng trưng để kiểm tra điều kiện chính xác, thứ tự hành động, so khớp chuỗi và quan hệ giữa các công cụ. Quarry được thiết kế như một lớp chính sách dùng chung, chứ không nhằm thay thế mọi bộ phát hiện hay mọi cơ chế thực thi hiện có.

Công cụ này có thể dùng để đặt rào chắn thời gian thực cho agent, phân tích an ninh trên bộ luật sau sự kiện, và phục vụ ứng cứu sự cố. Nó tích hợp với Khung An ninh & An toàn AI tích hợp sẵn có của Cisco, mở rộng khung này từ mô tả rủi ro AI sang phát hiện rủi ro ngay trong hoạt động của agent.

Bài học từ Claude Code

Mục tiêu phát hiện của Quarry là nhận diện những mẫu đáng ngờ trải dài qua nhiều hành động riêng lẻ vốn đều được cho phép. Những mẫu như vậy chỉ trở nên đáng ngờ sau một khoảng thời gian.

Năm 2025, Claude Code từng bị kẻ xấu lợi dụng trong hai chiến dịch: một nhắm vào khoảng 30 tổ chức, một nhắm vào các cơ quan chính phủ Mexico. Chiến dịch đầu tiên được chia nhỏ thành các tác vụ trông như thường lệ, thậm chí khiến hệ thống phòng thủ hiện hữu tin rằng đó là một phần của đợt kiểm thử phòng thủ mới. Nhìn từng phần, nó giống một bài kiểm thử xâm nhập được cấp phép; chỉ khi các yêu cầu được ghép đúng thứ tự, ý đồ thật — đánh cắp dữ liệu — mới lộ ra.

Chính khả năng của AI trong việc chia nhỏ một cuộc tấn công thành nhiều bước riêng lẻ vô hại đã vô hiệu hóa các lớp phòng thủ truyền thống, và đòi hỏi hình thức phát hiện mối đe dọa neurosymbolic mới này.

Không thể viết luật một lần rồi bỏ đó

Đây không phải bài toán "viết một lần là xong". Kẻ tấn công liên tục phát triển cách thức mới, nên mỗi khi một kỹ thuật tấn công mới được nhận diện, đội phòng thủ phải phản ứng ngay bằng một luật Quarry mới có thể dùng chung cho mọi tổ chức.

Nhưng viết luật thủ công không thể theo kịp tốc độ kẻ tấn công dùng AI để tạo ra các agent độc hại mới. Cisco tuyên bố: "Chúng tôi muốn cả agent lẫn kỹ sư an ninh và kỹ sư AI đều có thể viết luật Quarry."

Một plugin Quarry cho phép agent lập trình soạn, biên dịch và tinh chỉnh luật từ mô tả bằng ngôn ngữ tự nhiên về rủi ro của tổ chức, sau đó kiểm thử các luật đó trên hội thoại thực tế. Một luật đã vượt qua kiểm thử trong agent lập trình được kỳ vọng sẽ hành xử giống hệt khi chạy thực tế.

Cân bằng lại thế trận

Việc mã nguồn mở dự án giúp cân bằng lại sự bất đối xứng truyền thống giữa tấn công và phòng thủ — thay vì nhiều kẻ tấn công đối đầu với từng đội phòng thủ riêng lẻ, giờ đây nhiều kẻ tấn công toàn cầu phải đối mặt với nhiều đội phòng thủ toàn cầu. Cho phép dùng AI để phát triển luật cũng san phẳng lợi thế tốc độ mà kẻ xấu vốn được hưởng trong các cuộc tấn công có AI hỗ trợ.

SecurityWeek

Bộ khởi đầu của Quarry gồm những gì?

Theo Cisco, dự án mã nguồn mở này mang lại cho giới chuyên môn một nền tảng vận hành thực tế cho kỹ thuật phát hiện. Gói khởi đầu bao gồm:

• Một DSL dễ đọc dành cho hội thoại, sử dụng công cụ và quan hệ giữa các sự kiện
• Một runtime đánh giá với giới hạn an toàn và tài nguyên có thể cấu hình, biên dịch từng luật ngay khi tải
• Một trình quét dòng lệnh cho từng vết hoạt động, thư mục và tập dữ liệu
• Một Python SDK để tích hợp vào ứng dụng
• Các thao tác mô hình tùy chọn cho tín hiệu ngữ nghĩa
• Plugin Quarry cho Claude Code, Codex và các agent tương thích MCP khác
• Siêu dữ liệu luật, ví dụ, tài liệu và hướng dẫn định dạng thông điệp
• Một quy trình xác thực luật trên cả tập dữ liệu độc hại và lành tính

Cisco đặt mục tiêu biến Project Quarry thành một chuẩn mở chung để biểu đạt và chia sẻ cách phát hiện tấn công AI agent, giống như Snort, YARA và Sigma đã trở thành chuẩn trong các lĩnh vực khác của an ninh mạng.

"Hugging Face đã tái dựng khoảng 17.600 hành động của agent sau khi sự việc xảy ra. Mục tiêu của chúng tôi với Project Quarry là giúp đội phòng thủ nhận ra những chuỗi hành động như vậy ngay khi chúng còn đang diễn ra, đồng thời lưu giữ bằng chứng phía sau mỗi phát hiện cho những người phải xử lý tiếp."

Ý nghĩa với doanh nghiệp Việt Nam

Với các doanh nghiệp Việt Nam đang bắt đầu triển khai AI agent vào vận hành — từ chăm sóc khách hàng, xử lý tài liệu đến tự động hóa quy trình — rủi ro lớn nhất không nằm ở một hành động đơn lẻ bị chặn, mà ở những chuỗi hành động hợp lệ ghép lại thành sự cố. Việc có một chuẩn mở như Quarry giúp các đội an ninh trong nước tiếp cận phương pháp phát hiện hiện đại mà không phụ thuộc hoàn toàn vào một nhà cung cấp duy nhất, đồng thời có thể chia sẻ luật phát hiện trong cộng đồng.