Điểm chính

  • Cisco Talos phát hiện các tác nhân AI tự hành đang chuyển đổi thành những kẻ tấn công ẩn danh với khả năng duy trì sự hiện diện bền bỉ trong hệ thống.
  • Kẻ xấu sử dụng các bản đồ công cụ, tệp cấu hình và câu lệnh tấn công để giúp AI tự quyết định phương thức xâm nhập và phối hợp nhóm.
  • Các tổ chức cần nâng cao biện pháp bảo mật danh tính, giám sát ứng dụng AI và thắt chặt quy trình ứng phó sự cố để đối phó với mối đe dọa mới.

Báo cáo mới nhất từ các chuyên gia an ninh mạng tại Cisco Talos đã chỉ ra một sự dịch chuyển đáng kể trong bức tranh đe dọa trực tuyến, khi các tác nhân AI tự hành không chỉ thực hiện việc quét lỗ hổng thông thường mà đang tiến hóa thành các thực thể tấn công ẩn danh có khả năng bám trụ lâu dài trong hệ thống mục tiêu.

Nguy cơ từ khả năng phối hợp và ẩn mình của AI

Theo các nhà nghiên cứu, điều đáng lo ngại nhất không phải là tốc độ tìm kiếm lỗ hổng của trí tuệ nhân tạo, mà là năng lực phối hợp nhóm để ẩn nấp, chia sẻ dữ liệu thu thập và kiên trì thực hiện các bước xâm nhập cho đến khi tiếp cận được vùng dữ liệu nhạy cảm. Thay vì chỉ phát hành các mã độc mới, mối đe dọa hiện hữu trong cách thức kẻ tấn công chuẩn bị và định hướng các tác nhân AI này.

Quy trình và phương thức tấn công tinh vi

Quy trình tấn công hiện đại cung cấp cho AI các bản đồ công cụ, câu lệnh tấn công, hướng dẫn dạng Markdown cùng các tệp cấu hình chuyên biệt như agents.md. Nhờ đó, AI có thể tự chủ động lựa chọn công cụ phù hợp và phân tích kết quả sau khi đột nhập thành công. Các tác nhân này còn có khả năng triển khai song song nhiều hướng tấn công, trao đổi thông tin và tự động điều chỉnh chiến thuật theo thời gian thực, giúp rút ngắn chu kỳ tấn công từ vài tháng xuống chỉ còn vài giờ.

Giải pháp phòng thủ và ứng phó cho doanh nghiệp

Để đối phó với những rủi ro này, các tổ chức buộc phải vượt qua giới hạn bảo mật tại biên mạng truyền thống. Kế hoạch ứng phó sự cố cần được diễn tập thường xuyên với các kịch bản giả định về tình huống đánh cắp thông tin xác thực hoặc xuất hiện các tác nhân AI giả mạo nhân viên.

Đội ngũ bảo mật cần chuyển trọng tâm sang việc ánh xạ toàn bộ lộ trình tấn công thay vì chỉ chú trọng giám sát các cổng mở. Các tiêu chuẩn bảo mật danh tính phải được siết chặt, trong đó ưu tiên áp dụng khóa bảo mật FIDO2 hoặc passkeys nhằm thay thế cho phương thức xác thực qua tin nhắn SMS hay thông báo đẩy vốn dễ bị tổn thương.

Bên cạnh đó, công tác giám sát cần mở rộng sang cả các ứng dụng AI có quyền tiếp cận dữ liệu doanh nghiệp, bởi các tác nhân này có thể vô tình kế thừa hướng dẫn độc hại và thực thi mã độc với quyền hạn sẵn có. Việc kết hợp dữ liệu từ danh tính, thiết bị đầu cuối và lưu lượng mạng là chìa khóa để phát hiện sớm các dấu hiệu bất thường, đồng thời doanh nghiệp có thể tham khảo khung phân tích MITRE ATT&CK để xây dựng quy tắc phòng thủ hiệu quả.