Các hacker nói tiếng Nga đã sử dụng Cursor, trợ lý lập trình bằng AI do SpaceX sở hữu, để hỗ trợ đột nhập một công ty hóa chất của Bỉ cùng ít nhất 6 doanh nghiệp khác hồi đầu năm, theo dữ liệu Reuters kiểm chứng và báo cáo do startup an ninh mạng Gambit Security công bố hôm 27/8.
Vụ việc là ví dụ mới nhất cho thấy tội phạm mạng đang tận dụng các công cụ AI thương mại để thực hiện những cuộc xâm nhập vốn trước đây đòi hỏi nhiều nhân lực và kỹ năng chuyên môn hơn. Curtis Simpson, Giám đốc chiến lược của Gambit Security, cho rằng sự việc cũng phản ánh cuộc chạy đua không có hồi kết giữa các nhà cung cấp AI và những kẻ tìm cách vượt qua các cơ chế bảo vệ của mô hình.
“Đây sẽ là một trò chơi mèo vờn chuột”, ông Simpson nói.
Cursor và công ty mẹ SpaceX không phản hồi yêu cầu bình luận của Reuters.
Máy chủ bị lộ hé lộ cách hacker khai thác AI
Gambit cho biết họ phát hiện chiến dịch tấn công sau khi tìm thấy một máy chủ của băng nhóm ransomware mới mang tên Aur0ra vô tình bị phơi ra Internet.
Sai sót này cho phép công ty an ninh mạng có trụ sở tại Tel Aviv tiếp cận và phân tích 28 phiên trò chuyện giữa một hoặc nhiều thành viên Aur0ra với một tác nhân AI của Cursor. Đây là những chương trình có khả năng tự thực hiện một số tác vụ với mức độ tự chủ nhất định.
Theo báo cáo của Gambit, các hacker đã tìm cách thuyết phục AI thực hiện hàng trăm hoạt động nguy hiểm, từ đánh cắp thông tin xác thực đến chiếm quyền kiểm soát các tài khoản có giá trị, bằng cách nói dối rằng toàn bộ quá trình chỉ là một cuộc mô phỏng.
Trong một đoạn hội thoại, các hacker được Gambit dẫn lại với yêu cầu tìm tài khoản quản trị và mật khẩu đang hoạt động.
Gambit không công bố danh tính các nạn nhân. Tuy nhiên, Reuters đã có thể xác định 6 trong số đó sau khi độc lập kiểm tra một phần dữ liệu trò chuyện vẫn còn xuất hiện trên mạng vào tháng trước.
Các đoạn hội thoại kéo dài từ ngày 8/4 đến 21/5 cho thấy danh sách nạn nhân gồm Christeyns, nhà sản xuất các sản phẩm vệ sinh và tẩy rửa có trụ sở tại Ghent, Bỉ; Teckentrup, nhà sản xuất cửa gara của Đức; và Helideck Certification Agency, cơ quan của Scotland chuyên đánh giá các bãi đáp trực thăng.
Ba nạn nhân còn lại gồm một nhà phân phối dược phẩm Argentina, một công ty sản xuất của Italy và Bayou Title, doanh nghiệp tự giới thiệu là công ty bảo hiểm quyền sở hữu bất động sản lớn nhất Louisiana.
Cả 6 công ty đều không phản hồi yêu cầu bình luận của Reuters.
Ít nhất một nạn nhân, Bayou Title, đã xuất hiện trên trang công bố dữ liệu của Aur0ra. Điều này thường cho thấy nhóm hacker đã cố gắng nhưng không thành công trong việc buộc nạn nhân trả tiền chuộc.
Aur0ra, nhóm tin tặc bắt đầu tuyên bố có nạn nhân từ đầu năm nay, cũng không phản hồi yêu cầu bình luận.
Hacker đánh lừa AI bằng cách nói đây chỉ là “mô phỏng”
Các đoạn trao đổi mà Reuters xem xét cho thấy hacker đưa ra những mệnh lệnh ngắn gọn, trong khi tác nhân AI của Cursor trả lời bằng những hướng dẫn kỹ thuật mang phong cách vui vẻ, nhiều biểu tượng cảm xúc vốn thường thấy ở chatbot.
Sau khi xâm nhập được vào hệ thống của một công ty Argentina, AI phản hồi theo kiểu thông báo rằng kết nối VPN đã thành công.
Ở một thời điểm khác, AI đề xuất thử xử lý các chuỗi mật mã dùng để bảo vệ mật khẩu.
Khi phát hiện một máy chủ dễ bị khai thác trong mạng của Teckentrup, AI còn đề xuất sử dụng một công cụ tấn công mạng phổ biến để khai thác lỗ hổng, đồng thời đánh giá khả năng thành công ở mức “rất cao”.
Reuters không thể xác định độc lập mức độ mà tác nhân Cursor đã hỗ trợ các vụ đột nhập, cũng như liệu mọi cuộc xâm nhập có dẫn tới việc lấy dữ liệu hoặc tống tiền hay không.
Theo Gambit, tác nhân AI nói trên sử dụng Claude Sonnet 4.5 của Anthropic, một mô hình cơ bản hơn so với các hệ thống cao cấp hơn của hãng.
Eyal Sela, Giám đốc tình báo mối đe dọa của Gambit, cho rằng Cursor vẫn đem lại lợi thế rõ rệt cho hacker. Theo ông, AI có thể giúp những kẻ tấn công nhanh hơn đáng kể vì chúng không còn phải tự thực hiện hàng loạt thao tác thủ công.
Điều đáng chú ý là AI không phải lúc nào cũng làm theo yêu cầu của hacker. Sela cho biết tác nhân Cursor đã từ chối một số yêu cầu mà nó nhận diện là nguy hiểm hoặc bất hợp pháp.
Tuy nhiên, các hacker thường tìm cách vượt qua sự từ chối bằng cách khởi động lại cuộc hội thoại và khẳng định rằng mọi hoạt động đều chỉ phục vụ một bài kiểm tra hoặc môi trường mô phỏng.
Theo Gambit, dữ liệu về quá trình suy luận của tác nhân AI cho thấy câu chuyện “đây chỉ là môi trường thử nghiệm” đã có lúc khiến hệ thống hạ thấp cảnh giác và tiếp tục hỗ trợ các yêu cầu nguy hiểm.
Gambit cho rằng vụ việc cho thấy AI đang chuyển từ vai trò hỗ trợ lập trình đơn thuần sang một công cụ có thể tham gia sâu hơn vào nhiều giai đoạn của một cuộc tấn công mạng. Báo cáo trước đó của công ty cũng ghi nhận các nhóm tấn công sử dụng AI để viết mã tùy biến, phát triển công cụ khai thác, xác định dữ liệu có giá trị và xử lý các tác vụ IT trong quá trình xâm nhập.
Vụ việc càng đáng chú ý trong bối cảnh Cursor vừa trở thành một phần của SpaceX. Cursor công bố thương vụ sáp nhập với SpaceX vào ngày 14/8.
Điều này cũng đặt ra câu hỏi về khả năng kiểm soát các tác nhân AI khi chúng ngày càng có nhiều quyền tự chủ và có thể tương tác trực tiếp với hệ thống máy tính, mạng doanh nghiệp hoặc các công cụ bên ngoài.
Đáng chú ý, chỉ vài tuần trước khi vụ việc được Reuters đưa tin, Cursor cho biết họ đã đạt chứng nhận AIUC-1 về an toàn và độ tin cậy của tác nhân AI sau một quá trình kiểm toán độc lập và thử nghiệm đối kháng trên hàng nghìn tình huống. Cursor cho biết các biện pháp bảo vệ của mình bao gồm quy tắc, hooks, Auto-review và các lớp kiểm soát ở cấp mô hình.
Điều đó cho thấy khoảng cách giữa AI được thiết kế để chống lạm dụng và AI bị con người tìm cách thao túng đang trở thành một trong những vấn đề khó nhất đối với ngành công nghệ.
Với Simpson của Gambit, những vụ việc như vậy có thể sẽ không còn là ngoại lệ.
Ông nhận định hacker được AI hỗ trợ đang trở thành một thực tế bình thường mới của an ninh mạng, đồng nghĩa các nhà cung cấp AI và lực lượng phòng thủ mạng sẽ phải liên tục thích nghi với những phương thức tấn công mới.
Theo Reuters
