Công ty bảo mật đám mây Sysdig vừa công bố kết quả điều tra về chiến dịch tấn công mạng mang tên JadePuffer, trong đó tác nhân AI đã lợi dụng lỗ hổng nghiêm trọng CVE-2025-3248 trên Langflow – nền tảng mã nguồn mở viết bằng Python dùng để xây dựng các ứng dụng AI. Lỗ hổng này xuất phát từ cơ chế thiếu xác thực, cho phép kẻ tấn công thực thi mã từ xa và nhanh chóng chiếm quyền kiểm soát hệ thống.

AI có thể tự điều chỉnh chiến thuật

Sau khi xâm nhập thành công vào máy chủ Langflow, tác nhân AI ngay lập tức triển khai giai đoạn trinh sát hoàn toàn tự động. Khác với các công cụ quét truyền thống chỉ dựa vào việc đối chiếu mẫu dữ liệu (pattern matching), AI có khả năng phân tích và hiểu nội dung văn bản mà hệ thống trả về, từ đó tự đưa ra quyết định về bước tấn công tiếp theo.

Trong quá trình này, AI tiến hành rà soát toàn bộ hệ thống để tìm kiếm các dữ liệu nhạy cảm như khóa API, thông tin đăng nhập dịch vụ đám mây, ví tiền mã hóa, tệp cấu hình và tài khoản cơ sở dữ liệu. Đồng thời, nó trích xuất dữ liệu từ cơ sở dữ liệu PostgreSQL của Langflow nhằm thu thập các bí mật được lưu trữ bên trong.

Tác nhân AI cũng tiếp tục dò quét các dải địa chỉ mạng nội bộ, tìm kiếm các dịch vụ định danh, truy cập kho lưu trữ MinIO để khai thác thêm thông tin xác thực, đồng thời cài đặt một tác vụ cron nhằm duy trì quyền truy cập lâu dài vào máy chủ bị xâm nhập.

Theo Sysdig, trong suốt quá trình này, mã độc liên tục thích nghi theo thời gian thực. AI có thể xử lý nhiều định dạng tệp khác nhau, tự động đăng nhập vào các dịch vụ mới phát hiện và điều chỉnh chiến thuật dựa trên thông tin thu thập được, thay vì chỉ thực hiện các hành động được lập trình sẵn.

Bước sang giai đoạn thứ hai, cuộc tấn công chuyển sang một máy chủ khác đang vận hành cơ sở dữ liệu MySQL cùng nền tảng quản lý cấu hình Alibaba Nacos. Đây là dịch vụ được sử dụng phổ biến trong các kiến trúc vi dịch vụ (microservice), nhưng từ lâu đã được biết đến với nhiều điểm yếu như khả năng bỏ qua cơ chế xác thực hoặc sử dụng khóa ký JWT mặc định.

AI đã kết nối thành công tới máy chủ này thông qua mã tải độc hại có chứa quyền root của MySQL. Sau đó, nó lần lượt khai thác lỗ hổng bỏ qua xác thực CVE-2021-29441, giả mạo mã thông báo JWT bằng khóa ký mặc định của Nacos và cuối cùng trực tiếp chèn một tài khoản quản trị viên cửa sau vào cơ sở dữ liệu của hệ thống nhờ quyền truy cập ở mức cao nhất.

Trước khi kích hoạt giai đoạn phá hoại, AI còn tự điều chỉnh mã độc để vượt qua các bước xác minh đăng nhập, kiểm tra các hàm do người dùng định nghĩa (UDF) nhằm tìm kiếm khả năng thực thi lệnh trên hệ điều hành, đồng thời gửi tín hiệu xác nhận rằng mọi công đoạn chuẩn bị đã hoàn tất.

Ở bước cuối cùng, tác nhân AI tiến hành mã hóa 1.342 mục cấu hình dịch vụ Nacos và để lại thông báo đòi tiền chuộc bằng Bitcoin. Tuy nhiên, theo Sysdig, khóa mã hóa được tạo hoàn toàn ngẫu nhiên nhưng không được lưu trữ hoặc gửi về máy chủ của tin tặc. Điều này khiến nạn nhân gần như không có bất kỳ khả năng nào để khôi phục dữ liệu, ngay cả khi chấp nhận trả tiền chuộc.

Nguy cơ xóa toàn bộ cơ sở dữ liệu, khiến hệ thống gần như không thể phục hồi

Các chuyên gia cũng ghi nhận mức độ phá hủy của JadePuffer tăng dần theo từng giai đoạn, từ việc xóa từng bản ghi dữ liệu cho đến xóa toàn bộ cấu trúc (schema) của cơ sở dữ liệu, khiến hệ thống gần như không thể phục hồi.

Một điểm đáng chú ý khác là các mã tải độc hại của JadePuffer chứa nhiều đoạn chú thích được viết bằng ngôn ngữ tự nhiên do chính mô hình ngôn ngữ lớn (LLM) tạo ra. Những chú thích này giải thích vì sao AI lựa chọn một mục tiêu cụ thể hoặc thực hiện một hành động nhất định. Khi gặp lỗi, AI không chỉ lặp lại thao tác mà còn tự phân tích nguyên nhân, sửa đổi mã và đưa ra phương án xử lý phù hợp.

Theo đánh giá của Sysdig, sự xuất hiện của các "tác nhân đe dọa an ninh mạng" (Agentic Threat Actors) đang làm giảm đáng kể rào cản kỹ thuật đối với các cuộc tấn công mạng. Thay vì phải sở hữu kỹ năng lập trình và khai thác lỗ hổng ở trình độ cao, tin tặc giờ đây chỉ cần sử dụng một mô hình AI đủ mạnh để tự động phối hợp nhiều kỹ thuật tấn công phức tạp nhằm nhắm vào các hệ thống còn tồn tại điểm yếu bảo mật với chi phí rất thấp.

Các chuyên gia khuyến cáo doanh nghiệp cần khẩn trương tăng cường bảo vệ các máy chủ ứng dụng công khai, các kho lưu trữ cấu hình chưa được bảo mật cũng như các tài khoản quản trị cơ sở dữ liệu có thể truy cập từ Internet, bởi đây sẽ là những mục tiêu ưu tiên bị các tác nhân AI tự động phát hiện và khai thác.