Tác nhân AI có thể tự thực hiện một cuộc tấn công mã độc tống tiền - Ảnh: THE HACKER NEWS
Theo Sysdig, tác nhân AI mang tên JADEPUFFER đã đảm nhận toàn bộ chuỗi tấn công, từ khai thác lỗ hổng, đánh cắp thông tin đăng nhập, di chuyển sang các hệ thống khác trong mạng nội bộ đến mã hóa và xóa cơ sở dữ liệu của nạn nhân.
JADEPUFFER đã khai thác lỗ hổng CVE-2025-3248 trên Langflow - nền tảng mã nguồn mở dùng để xây dựng ứng dụng AI. Lỗ hổng này cho phép bất kỳ ai truy cập được máy chủ đều có thể chạy mã Python từ xa mà không cần xác thực, theo trang The Hacker News ngày 2-7.
Dù đã được vá từ phiên bản Langflow 1.3.0 và nằm trong danh sách lỗ hổng đang bị khai thác của Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) từ tháng 5-2025 song nhiều máy chủ vẫn chưa được cập nhật.
Sau khi xâm nhập, JADEPUFFER nhanh chóng thu thập khóa API của các dịch vụ AI như OpenAI, Anthropic, Gemini và DeepSeek, cùng thông tin đăng nhập của các nền tảng đám mây gồm AWS, Google Cloud, Azure, Alibaba Cloud và Tencent Cloud.
Để duy trì quyền truy cập, tác nhân này tạo tác vụ định kỳ liên lạc với máy chủ điều khiển sau mỗi 30 phút trước khi chuyển sang tấn công máy chủ MySQL và hệ thống Nacos (Alibaba) - nền tảng quản lý cấu hình phổ biến trong kiến trúc microservices.
Sau khi chiếm quyền quản trị, JADEPUFFER mã hóa toàn bộ 1.342 mục cấu hình của Nacos, xóa các bảng dữ liệu gốc rồi để lại thông báo đòi tiền chuộc bằng Bitcoin.
Sysdig phát hiện khóa mã hóa chỉ được JADEPUFFER tạo ngẫu nhiên rồi hiển thị một lần trên màn hình, không có sao lưu. Điều này đồng nghĩa nạn nhân không thể khôi phục dữ liệu ngay cả khi chấp nhận trả tiền chuộc.
Theo Sysdig, bằng chứng rõ nhất cho thấy cuộc tấn công do AI điều khiển nằm ở chính mã nguồn của các công cụ được sử dụng.
Chúng chứa hàng loạt chú thích bằng tiếng Anh giải thích mục đích của từng bước - kiểu "ghi chú" đặc trưng của mô hình ngôn ngữ lớn nhưng hiếm khi xuất hiện trong mã độc do con người viết.
Trong một trường hợp, JADEPUFFER chỉ mất 31 giây để tự phân tích nguyên nhân đăng nhập thất bại và chuyển sang phương án khắc phục phù hợp.
Tổng cộng, nhóm nghiên cứu ghi nhận hơn 600 hành động có chủ đích trong suốt chiến dịch.
Dù JADEPUFFER chưa sử dụng kỹ thuật tấn công mới, Sysdig cho rằng ý nghĩa lớn nhất nằm ở khả năng tự kết hợp nhiều bước riêng lẻ thành một cuộc tấn công hoàn chỉnh.
Các chuyên gia khuyến nghị doanh nghiệp cần cập nhật phần mềm kịp thời, không để các dịch vụ như Langflow hay Nacos truy cập trực tiếp từ Internet công cộng, thay đổi toàn bộ tài khoản và khóa mặc định, đồng thời tăng cường giám sát hành vi bất thường trên hệ thống thay vì chỉ phụ thuộc vào việc vá lỗ hổng.
