44 chương trình AI tấn công cùng lúc: vụ CyberStrikeAI nhắm vào Nhật Bản và bài học phòng thủ không đổi

Nhóm nghiên cứu TrendAI vừa công bố phân tích ba hạ tầng tấn công nhắm vào các tổ chức ở Nhật Bản. Trong ba vụ, chỉ vụ đầu dùng trí tuệ nhân tạo (AI) điều khiển toàn bộ quy trình tấn công, qua một nền tảng mã nguồn mở tên CyberStrikeAI. Nền tảng này chia việc cho 44 agent, tức 44 chương trình AI nhỏ, mỗi chương trình đảm nhận một khâu khác nhau.

CyberStrikeAI đã làm gì trong vụ đầu tiên

Theo TrendAI, vụ đầu diễn ra tập trung trong một thời gian ngắn vào tháng 10 năm 2026. Nền tảng tự chạy một quy trình lặp lại gồm nhiều bước. Quy trình bắt đầu bằng việc do thám hệ thống mục tiêu. Sau đó, nó tìm và kiểm tra điểm yếu. Tiếp theo, nó khai thác điểm yếu, giữ quyền điều khiển, duy trì sự hiện diện, lấy dữ liệu ra ngoài và tự viết báo cáo.

Việc được chia cho 44 agent với vai trò khác nhau. Bằng chứng ghi nhận cụm từ "credential-search agent 8/44", tức agent thứ 8 trong 44 agent chuyên tìm thông tin đăng nhập. Mỗi agent tự ghi kết quả vào cơ sở dữ liệu. Nền tảng cũng tạo tài liệu bằng tiếng Nhật, gồm biểu mẫu và trang đăng nhập giả.

Quy mô được ghi nhận như sau. Ít nhất 19 tổ chức đã bị kiểm tra tính hợp lệ, trong đó ít nhất 16 tổ chức ở Nhật Bản. Mỗi tổ chức có một báo cáo cùng một định dạng và một danh mục bằng chứng. TrendAI cho rằng đây là sản phẩm của một quy trình có cấu trúc, không phải ghi chú rời rạc của một người vận hành.

Tuy nhiên, quy mô kiểm tra không đồng nghĩa với xâm nhập sâu. Với nhiều mục tiêu, chính nền tảng ghi nhận "no session, no web shell, no exfiltration". Câu này có nghĩa là không có phiên điều khiển, không có cửa hậu web và không có dữ liệu bị lấy ra ngoài. Bằng chứng xâm nhập sâu chỉ tập trung ở một tỷ lệ nhỏ.

Chuỗi xâm nhập rõ nhất cũng bắt đầu từ một cửa cũ. Đó là một giao diện quản trị công khai, không yêu cầu đăng nhập, trên một hệ thống web cũ. Vụ này không dùng điểm yếu mới chưa từng biết.

Ba mức dùng AI khác nhau, đừng gộp làm một

Điểm quan trọng nhất của báo cáo TrendAI là phân biệt ba mức độ. Gộp ba vụ thành "AI tự tấn công" sẽ sai sự thật.

Vụ thứ nhất là AI điều khiển toàn bộ quy trình. TrendAI xác nhận mức này bằng bằng chứng trực tiếp từ hạ tầng của kẻ tấn công.

Vụ thứ hai do con người dẫn dắt, AI chỉ hỗ trợ. Một mô hình ngôn ngữ lớn (LLM) giúp tăng tốc việc lập kế hoạch và phát triển công cụ. LLM là mô hình AI được huấn luyện trên khối lượng lớn văn bản và có thể viết, tóm tắt và lập kế hoạch bằng ngôn ngữ tự nhiên. Vụ này kéo dài khoảng 24 ngày trong tháng 8 và tháng 9 năm 2026. Một điểm đáng chú ý là hạ tầng AI cũng trở thành mục tiêu. Kẻ tấn công nhắm vào nền tảng quy trình AI và dịch vụ suy luận AI, với mục đích lấy dung lượng suy luận với chi phí thấp. Một máy chủ hệ thống thông tin địa lý (GIS) để mật khẩu mặc định đã bị xâm nhập. Từ đó, dữ liệu địa chính và thương mại, thông tin đăng nhập Windows và email đã bị lấy đi.

Vụ thứ ba chỉ dùng AI ở mức hạn chế, cụ thể là phát triển công cụ và đoạn mã. TrendAI đánh giá mức này ở độ tin cậy cao, nhưng không phải mức đã xác nhận. Căn cứ là nhiều dấu hiệu về phong cách viết mã, không có bằng chứng trực tiếp như nội dung yêu cầu gửi cho mô hình hay khóa truy cập. Kẻ tấn công nhắm vào thiết bị biên của Cisco, Citrix, F5 và Yamaha. Các cách vào gồm điểm yếu đã công bố, chức năng quản trị và thông tin đăng nhập còn nằm trong tập tin cấu hình. Ít nhất sáu chiến dịch đã diễn ra từ tháng 1 đến tháng 10 năm 2026.

Cửa vào vẫn là cửa cũ

TrendAI kết luận bằng một câu ngắn gọn. AI làm tăng quy mô và tốc độ tấn công, nhưng kẻ tấn công vẫn tìm cửa chưa khóa. Các loại cửa và điểm yếu để ngỏ không thay đổi. Điều thay đổi là khả năng thử hàng nghìn mục tiêu cùng lúc, thích ứng với ngôn ngữ của nước mục tiêu và làm việc không mệt mỏi.

Ba vụ đều cho thấy cùng một mẫu hình. Mục tiêu là hệ thống web cũ, thiết bị lộ ra Internet hoặc thông tin đăng nhập còn nằm trong tập tin. AI không tạo ra một loại điểm yếu hoàn toàn mới trong ba vụ này. AI chỉ giúp khai thác cửa đã mở nhanh hơn và đều đặn hơn.

Phòng thủ cần làm gì trước

Danh sách dưới đây không phải hướng dẫn toàn diện. Đây là bốn việc ưu tiên rút ra trực tiếp từ ba vụ.

• Khóa mọi giao diện quản trị đang công khai trên Internet và bắt buộc đăng nhập.
• Đổi mật khẩu mặc định trên mọi máy chủ và thiết bị, kể cả máy chủ ít ai để ý.
• Rà soát tập tin cấu hình để gỡ thông tin đăng nhập còn nằm trong đó.
• Đưa dịch vụ suy luận AI, nền tảng quy trình AI và máy chủ trang bị bộ xử lý đồ họa (GPU) vào danh mục tài sản cần bảo vệ, giống như mọi hệ thống quan trọng khác.

Một tín hiệu cần lưu ý là nhiều tổ chức bị kiểm tra cùng lúc với báo cáo cùng một mẫu. Tín hiệu này cho thấy một quy trình tự động đang hoạt động. Nó chưa chứng minh tổ chức đã bị xâm nhập sâu.

Giới hạn của bằng chứng

Báo cáo này dựa trên tài liệu kẻ tấn công để lại trong thư mục công khai trên máy chủ của chính họ. TrendAI không có nhật ký phía nạn nhân, ảnh đĩa hay bản ghi mạng. Vì vậy, báo cáo cho thấy kẻ tấn công đã chuẩn bị, đã thử và đã ghi lại điều gì. Báo cáo không tự chứng minh mọi lần thử đều thành công, mức thiệt hại đầy đủ hay danh tính kẻ tấn công.

Các con số trong bài là ước tính mức thấp, dựa trên những gì xác nhận được. Con số thật có thể cao hơn. TrendAI cũng cho biết chưa có bằng chứng ba vụ có cùng một kẻ vận hành. Loại mô hình AI được dùng cũng chưa rõ. Nhiều kết quả thành công do kẻ tấn công tự tuyên bố cần được đối chiếu với bằng chứng trực tiếp trước khi tin.

Nguồn tham khảo

• TrendAI, "Not Only ARTEX: The Different Levels AI is Used in Attacks Targeting Japan", phân tích gốc ba hạ tầng tấn công.
• The Hacker News, "CyberStrikeAI Uses 44 AI Agents to Automate Hacking Operations Against Japan Targets", bản tin dẫn phân tích của TrendAI.