Tóm tắt nhanh
- Symantec thu được bộ chỉ thị của một agent có chế độ mang tên Skynet, được thiết kế để dùng trái phép mô hình AI làm bộ phận lập kế hoạch tấn công.
- Bộ chỉ thị chứa 74 định nghĩa công cụ và cho phép tối đa 100.000 bước không cần phê duyệt; honeypot không thực thi chúng.
- Chủ dịch vụ AI bị lợi dụng có thể mất tài nguyên GPU hoặc chịu phí token, còn hệ thống bị các công cụ nhắm tới đối mặt nguy cơ mất dữ liệu.
- Xác thực API và giới hạn quyền công cụ là các lớp bảo vệ khác nhau, cần kiểm tra riêng.
Symantec Threat Hunter Team công bố ngày 21/10/2026 một bộ chỉ thị agent tấn công thu được qua hệ thống bẫy AI trong mùa hè, với mục tiêu tận dụng các dịch vụ mô hình ngôn ngữ lớn thiếu bảo vệ. Điểm đáng lo nằm ở cách kẻ vận hành muốn dùng mô hình của người khác để lựa chọn hành động tiếp theo, thay vì chỉ xin nó viết một đoạn mã.
Tên Skynet dễ tạo cảm giác đây là một AI đã thoát khỏi kiểm soát. Tuy nhiên, bằng chứng công khai cho thấy một thiết kế tấn công do con người chuẩn bị, gửi vào dịch vụ mà họ tưởng là mô hình thật; nó chưa chứng minh một chiến dịch tự vận hành đã gây thiệt hại trên diện rộng.
API bị lộ có thể trở thành tài nguyên tính toán miễn phí
LLMjacking là hành vi sử dụng trái phép năng lực của mô hình thuộc về người khác, thông qua API không được bảo vệ hoặc khóa truy cập bị đánh cắp. Với mô hình tự lưu trữ, chi phí nằm ở GPU và điện; với cổng trung gian chuyển tiếp tới dịch vụ thương mại, chi phí có thể đi thẳng vào hóa đơn token của tài khoản phía sau.
Cách thiết kế agent khiến việc mất quyền sử dụng mô hình đáng lo hơn một lượt hỏi đáp trái phép. Mô hình có thể đảm nhiệm phần suy luận và chọn công cụ, còn các chương trình bên ngoài thực hiện quét, khai thác hoặc truy cập dữ liệu. Kẻ tấn công muốn chuyển công việc lập kế hoạch sang năng lực tính toán của nạn nhân, đồng thời tránh dùng tài khoản trực tiếp của mình.
Cần phân biệt nơi cung cấp suy luận với máy chủ bị công cụ tấn công. Hai vai trò này có thể thuộc những bên khác nhau: một bên chịu tiền chạy mô hình, bên còn lại bị nhắm tới để lấy dữ liệu hoặc cài phần mềm đào tiền mã hóa. API sinh văn bản bị lộ không tự động đồng nghĩa với việc máy chủ chạy mô hình đã bị chiếm quyền thực thi lệnh.
100.000 bước là giới hạn trong chỉ thị, không phải số vụ tấn công
Con số lớn trong chỉ thị mô tả tham vọng tự động hóa, chưa đo được hiệu quả thực tế. Symantec đếm được khoảng 74 định nghĩa công cụ có thể gọi trong yêu cầu gửi đến, còn chế độ Skynet cho phép tối đa 100.000 bước không cần hỏi lại người vận hành. Một bước xử lý cũng không tương đương một máy chủ bị xâm nhập.
Hệ thống bẫy, hay honeypot, đóng vai một dịch vụ AI thiếu bảo vệ để thu hút yêu cầu đáng ngờ. Trong phiên được phân tích, nó chỉ trả lời bằng thông báo dự phòng thay vì gọi công cụ, rồi phiên kết thúc. Lịch sử các lần gọi công cụ xuất hiện trong yêu cầu là phần do phía gửi mang tới, không phải thao tác mà honeypot đã thực hiện.
Symantec cũng ghi nhận hơn 127.000 yêu cầu bên ngoài từ hàng chục nghìn địa chỉ riêng biệt trong thời gian theo dõi. Đây là tổng lưu lượng tới honeypot từ nhiều nguồn, gồm dò API mô hình, thử khóa đánh cắp và tìm tệp cấu hình; không thể lấy con số đó làm thành tích của riêng agent Skynet. Báo cáo chưa xác lập số nạn nhân bên ngoài bị agent này xâm nhập thành công.
Lời nhắc độc hại chỉ là một phần của chuỗi tấn công
Ranh giới bảo mật quan trọng nằm ở quyền mà phần mềm thực sự cấp cho agent, chứ không nằm hoàn toàn ở việc mô hình có từ chối câu hỏi hay không. Bộ chỉ thị thu được cố đổi danh tính mô hình, dùng một vai diễn để gây áp lực tuân lệnh, rồi bình thường hóa việc đọc bí mật như tệp môi trường và khóa API thành công việc lập trình.
Danh mục công cụ đi kèm bao phủ việc dò tài sản công khai, truy cập cơ sở dữ liệu và khai thác các triển khai web thiếu an toàn. Nó nhắm tới nhiều thành phần quen thuộc với nhóm phát triển như Jupyter, Laravel, Next.js hay Flask/Werkzeug. Việc tên phần mềm xuất hiện trong danh mục không có nghĩa mọi bản cài đặt của phần mềm đó đều tồn tại lỗ hổng.
Ở đây, mô hình là bộ phận quyết định cách phối hợp công cụ. Khả năng gây hại vẫn phụ thuộc công cụ có tồn tại, có được phép chạy và mục tiêu có điểm yếu phù hợp hay không. Vì vậy, lời hứa trong prompt rằng agent được làm mọi thứ không thể thay thế bằng chứng về quyền truy cập hay khai thác thành công.
Một yêu cầu riêng vào ngày hôm sau mang theo lệnh được mã hóa, khi giải mã cho thấy kịch bản cài XMRig để đào Monero và che giấu hoạt động. Một số đường dẫn trong kịch bản hướng tới dịch vụ truyền video go2rtc. Honeypot cũng chỉ thu giữ yêu cầu này, không chạy kịch bản; không nên gộp nó thành bằng chứng agent trước đó đã cài miner lên hệ thống thực.
Nhóm chạy AI nội bộ cần tách quyền hỏi và quyền làm
Với nhóm phát triển ở Việt Nam đang chia sẻ máy GPU hoặc dựng cổng AI dùng chung, phép kiểm tra hữu ích nhất là xem người ngoài có gọi được dịch vụ và tài khoản đó được phép làm gì. Một giao diện chat có đăng nhập chưa đủ bảo vệ máy chủ mô hình nếu cổng phía sau vẫn truy cập trực tiếp được từ Internet.
Lớp đầu tiên là kiểm soát truy cập trên toàn bộ bề mặt được công khai, gồm cả các đường dẫn phụ trợ, đồng thời giữ máy chủ mô hình trong mạng riêng khi không cần phục vụ bên ngoài. Khóa cho từng ứng dụng nên được tách riêng, giới hạn phạm vi và có thể thu hồi mà không làm gián đoạn toàn bộ người dùng.
Lớp tiếp theo là giới hạn thiệt hại khi một yêu cầu vẫn lọt vào. Hạn mức sử dụng và cảnh báo chi phí giúp phát hiện việc mượn suy luận, nhưng không ngăn một công cụ có quyền rộng đọc bí mật hoặc gửi dữ liệu đi. Công cụ shell, cơ sở dữ liệu và kết nối MCP cần quyền tối thiểu, môi trường thực thi cách ly cùng bước phê duyệt cho hành động nhạy cảm.
Hai lớp này không thay thế nhau: khóa API bảo vệ quyền gọi mô hình, còn phân quyền công cụ giới hạn tác động sau khi yêu cầu đã được chấp nhận. Chặn kết nối ra ngoài không cần thiết cũng giúp thu hẹp khả năng một agent bị lợi dụng đi quét mục tiêu hoặc tải thêm chương trình.
Khi thấy mức dùng token hoặc GPU tăng bất thường, cần đối chiếu với danh tính gọi API và nhật ký công cụ, thay vì chỉ tìm câu jailbreak trong hội thoại. Nếu nghi khóa bị lộ, việc thu hồi khóa và kiểm tra quyền truy cập phía sau cổng AI cần đi cùng nhau; đổi lời nhắc hệ thống sẽ không đóng một API đang mở.
Nguồn tham khảo: Symantec Threat Hunter Team; AiCybr; TechRadar Pro.
