JADEPUFFER: Chiến dịch mã độc tống tiền tự hành đầu tiên tấn công với tốc độ máy

Công ty bảo mật Sysdig mô tả một cuộc tấn công tống tiền, trong đó một mô hình ngôn ngữ đã tự mình xâm nhập, đánh cắp thông tin xác thực và phá hủy các cơ sở dữ liệu. Không có dấu hiệu cho thấy có sự điều khiển của con người.

Ransomware từ trước đến nay luôn là công việc cần sự can thiệp trực tiếp. Một người sẽ lập kế hoạch tấn công, chọn mục tiêu, rồi viết hoặc tạo ra các đoạn mã. Theo báo cáo từ nhóm nghiên cứu mối đe dọa tại công ty bảo mật đám mây Sysdig, lần đầu tiên một AI agent đã đảm nhận toàn bộ vai trò đó. Các nhà nghiên cứu đặt tên cho kẻ tấn công này là JADEPUFFER và gọi nó là một "tác nhân đe dọa có tính đại lý" (agentic threat actor), với khả năng tấn công đến từ một mô hình AI chứ không phải con người.

Lối vào ban đầu thông qua một lỗ hổng đã biết (CVE-2025-3248) trong Langflow, một công cụ được sử dụng rộng rãi để xây dựng các ứng dụng AI. Lỗ hổng này cho phép kẻ tấn công chạy mã của riêng chúng trên máy chủ mà không cần mật khẩu. Langflow đã vá lỗi này vào tháng 4 năm 2025, nghĩa là bản sửa lỗi đã có sẵn hơn một năm. Ngay sau đó, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm lỗ hổng này vào danh mục các lỗ hổng đang bị khai thác tích cực, như một lời cảnh báo chính thức yêu cầu cập nhật ngay lập tức.

Trong trường hợp này, bản vá chưa bao giờ được áp dụng. Tác nhân AI đã khai thác lỗ hổng và tiến sâu hơn từ máy chủ đầu tiên đó. Nó thu thập thông tin xác thực, thiết lập quyền truy cập bền vững và cuối cùng nhắm vào một máy chủ sản xuất riêng biệt đang chạy cơ sở dữ liệu MySQL, vốn là mục tiêu thực sự.

Cỗ máy đã tự sửa lỗi trong 31 giây

Theo Sysdig, bằng chứng thuyết phục nhất cho thấy không có con người nào đang gõ phím nằm ở một khoảnh khắc cụ thể. Tác nhân AI đã cố gắng tạo một tài khoản quản trị viên nhưng lần đăng nhập thất bại. 31 giây sau, nó gửi một lệnh đã được sửa lỗi, tự chẩn đoán nguyên nhân, xóa tài khoản bị lỗi và xây dựng một tài khoản mới hoàn chỉnh từ đầu.

Các nhà nghiên cứu cho biết, nếu là con người đọc thông báo lỗi, tìm ra nguyên nhân và viết một đoạn mã mới thì sẽ mất nhiều thời gian hơn nhiều. Một dấu hiệu khác là mã do AI tạo ra bao gồm các chú thích bằng ngôn ngữ tự nhiên giải thích lý do tại sao nó muốn xóa một cơ sở dữ liệu cụ thể trước. Theo Sysdig, những kẻ tấn công là con người hầu như không bao giờ viết những chú thích như vậy, trong khi các mô hình AI lại làm điều đó theo phản xạ.

Tác nhân này cuối cùng đã mã hóa 1.342 mục cấu hình và xóa các bảng gốc. Thông báo tống tiền yêu cầu thanh toán bằng Bitcoin và liệt kê một địa chỉ Proton Mail. Tuy nhiên, khóa giải mã chỉ hiển thị một lần duy nhất và không bao giờ được lưu lại hay gửi đi bất cứ đâu. Việc trả tiền chuộc cũng không thể khôi phục dữ liệu. Địa chỉ Bitcoin hóa ra lại là một địa chỉ ví dụ nổi tiếng từ tài liệu dành cho nhà phát triển, có khả năng được lấy trực tiếp từ dữ liệu huấn luyện của mô hình.

Sai lầm cũ, tốc độ máy

Không có kỹ thuật nào trong số này là mới. Cuộc tấn công khai thác các lỗ hổng đã biết từ lâu và mật khẩu mặc định yếu. Điểm mới ở đây là một mô hình AI đã tự mình xâu chuỗi tất cả lại thành một chiến dịch tống tiền hoàn chỉnh. Điều này hạ thấp rào cản thực hiện ransomware xuống chỉ còn bằng chi phí vận hành một AI agent. Tuy nhiên, hiện chưa có xác nhận độc lập nào từ phía nạn nhân, cơ quan thực thi pháp luật hay các công ty bảo mật khác. Sysdig cũng là đơn vị bán các sản phẩm được thiết kế để phát hiện chính xác những loại tấn công tự động này.

Shane Barney, Giám đốc an ninh thông tin tại Keeper Security, đã đưa ra đánh giá tỉnh táo với Hackread. Ông cho rằng JADEPUFFER nên được nhìn nhận ít giống khoa học viễn tưởng hơn và giống một thất bại trong quản lý thông tin xác thực ở tốc độ máy hơn. Yếu tố quyết định không phải là các kỹ thuật tấn công mới lạ, mà là các thông tin nhạy cảm bị lộ, mật khẩu mặc định không được thay đổi, quyền truy cập đặc quyền bị mở rộng và thiếu sự giám sát theo thời gian thực đối với các phiên làm việc đang hoạt động.

Barney chỉ ra một nghiên cứu của Keeper cho thấy 72% tổ chức không thể phát hiện việc lạm dụng thông tin xác thực trong thời gian thực và thường không nhận thấy quyền truy cập đặc quyền trái phép cho đến nhiều giờ sau khi nó bắt đầu. Khoảng trống đó trở nên nguy hiểm khi một AI agent có thể đi từ một lần đăng nhập thất bại đến một tài khoản quản trị viên hoạt động chỉ trong chưa đầy một phút.

Kết luận của Barney rất trực diện. Quyền truy cập đặc quyền cần được giới hạn thời gian và phạm vi cho từng tác vụ cụ thể. Các thông tin nhạy cảm cần được đặt trong các kho lưu trữ được bảo vệ với cơ chế xoay vòng định kỳ. Và các phiên làm việc cần được giám sát khi chúng đang hoạt động, chứ không phải sau khi thiệt hại đã xảy ra.