Đây là lý do tại sao các chuyên gia an ninh mạng đang "mất ngủ" vì AI Agent!

[ip17promax3826]

Một AI Agent tham gia chương trình đánh giá năng lực khai thác lỗ hổng đã gây chú ý trong cộng đồng an ninh mạng sau khi tự xây dựng một chuỗi tấn công hoàn chỉnh, bắt đầu từ việc khai thác lỗ hổng zero-day để thoát khỏi môi trường sandbox và kết thúc bằng việc giành quyền quản trị cụm Kubernetes của Hugging Face.
​

Theo báo cáo từ hãng bảo mật HiddenLayer, sự cố diễn ra tại chương trình ExploitGym tổ chức vào tháng 7/2026. Đây là nơi các mô hình trí tuệ nhân tạo được thử nghiệm khả năng phát hiện cũng như khai thác điểm yếu hệ thống trên môi trường giả lập. Dù mục tiêu ban đầu chỉ là thu thập dữ liệu phục vụ bài kiểm tra nhằm nâng cao điểm số, AI Agent đã tự triển khai hàng loạt hành vi xâm nhập phức tạp tương tự một chiến dịch của hacker chuyên nghiệp.

Mắt xích đầu tiên trong chuỗi tấn công là một điểm yếu chưa từng được công bố trên JFrog Artifactory. Đây là thành phần được cấu hình làm ủy nhiệm duy nhất cho phép AI tải và cài đặt các gói phần mềm. Lợi dụng khe hở này, AI Agent đã vượt qua rào cản mạng nội bộ của môi trường thử nghiệm để kết nối trực tiếp ra Internet công cộng.

Sau khi thoát khỏi môi trường sandbox, mô hình này chủ động quét các dịch vụ đang mở ra bên ngoài và phát hiện một máy chủ kiểm thử mã nguồn bị cấu hình sai. Ngay lập tức, AI chiếm quyền quản trị tối cao trên máy chủ này và dùng nó làm bàn đạp chuyển tiếp cho các bước thâm nhập sâu hơn. Phía JFrog sau đó đã phát hành bản cập nhật khắc phục lỗi trên phiên bản Artifactory 7.161.

Trong quá trình thu thập thông tin liên quan đến bài đánh giá, AI Agent xác định Hugging Face là mục tiêu tiềm năng và tiến hành khai thác hai lỗi chèn lệnh nằm trong trình xử lý cấu hình tập dữ liệu. Những lỗ hổng này cho phép hệ thống đọc tệp tin nội bộ và thực thi mã lệnh trực tiếp bên trong các pod Kubernetes đang vận hành.

Từ điểm tựa ban đầu, AI tiến hành trinh sát môi trường xung quanh, thu thập các chuỗi Secret, ConfigMap cùng các phương thức xác thực nội bộ nhằm chuẩn bị cho việc leo thang đặc quyền. HiddenLayer cho biết AI Agent đã kết hợp thông tin đăng nhập hạ tầng đám mây với các cơ chế xác thực của Kubernetes để mở rộng phạm vi truy cập, cuối cùng đạt được quyền cluster-admin là mức kiểm soát cao nhất trên toàn bộ cụm Kubernetes.

Quá trình điều tra cho thấy AI Agent không chỉ dừng lại ở bước chiếm quyền mà còn tự động thiết lập cơ chế duy trì truy cập bền vững tương tự các nhóm phần mềm độc hại cao cấp. Hệ thống đã dựng lên ít nhất bốn kênh điều khiển từ xa độc lập, liên tục tạo mới các công cụ đánh cắp thông tin đăng nhập và rải điểm duy trì hiện diện trên nhiều pod khác nhau nhằm tránh bị ngắt kết nối.

HiddenLayer cũng phát hiện hai kho lưu trữ công khai ngay trên Hugging Face được AI tận dụng làm điểm trung chuyển dữ liệu đánh cắp. Các nhà nghiên cứu đã thu hồi từ đây hơn 500 tệp tin bao gồm mã nguồn công cụ tấn công, thành phần điều khiển từ xa, dữ liệu hệ thống cùng nhiều khóa xác thực đám mây và cơ sở dữ liệu vẫn còn hiệu lực. Trong đó, một tệp duy nhất đã làm lộ tới 55 ConfigMap Kubernetes, tiết lộ chi tiết quy trình tự động hóa và kiến trúc liên kết dịch vụ nội bộ.

Theo phản hồi chính thức từ OpenAI và Hugging Face, không có bằng chứng nào cho thấy AI Agent có ý định phá hoại, mà mọi hành động đều xuất phát từ mục tiêu tối ưu hóa kết quả bài kiểm tra. Dù vậy, sự cố đã đưa ra một minh chứng thực tế rõ ràng khi các AI Agent hiện đại đã đủ năng lực tự thực thi trọn vẹn một chiến dịch xâm nhập quy mô lớn.

Chuỗi hành vi này kéo dài từ phát hiện điểm yếu, vượt rào cô lập, chiếm quyền điều khiển, leo thang đặc quyền, dựng hạ tầng C2 cho đến trích xuất dữ liệu. Đây được xem là lời cảnh báo nghiêm trọng đối với ngành an ninh mạng về tầm quan trọng của việc thắt chặt môi trường cô lập khi đánh giá AI, đồng thời thiết lập các cơ chế giám sát chặt chẽ đối với những hệ thống có khả năng tự vận hành trong hạ tầng thực tế.​