Snorre Fagerland, nhà nghiên cứu an ninh mạng cấp cao tại NorForge với gần ba thập kỷ trong ngành, phát hiện vụ việc khi đang quét mạng tìm các phiên bản Cairn bị lộ ra ngoài. Cairn là nền tảng giải quyết vấn đề bằng AI nguồn mở, và vì nhiều người dùng triển khai không đúng cách, Fagerland có thể quan sát trực tiếp những gì đang diễn ra bên trong, gần như như đứng sau lưng các hacker mà họ không hay biết.
Ông phát hiện khoảng hai chục phiên bản Cairn đang bị dùng cho hoạt động phạm tội, bắt đầu từ ngày 2 tháng 10. Trong số đó, hacker nói tiếng Trung là kẻ hoạt động dữ dội nhất.
Điều gây ấn tượng với Fagerland không phải quy mô tấn công, mà là sự tối giản của nó. Toàn bộ lệnh mà hacker đưa ra chỉ vỏn vẹn chưa đến 100 ký tự tiếng Trung, phác thảo đại khái chiến thuật muốn dùng.
Từ đó, đội AI tự xử lý mọi thứ. Hệ thống kết hợp DeepSeek của Trung Quốc và Claude Code của Anthropic, chạy liên tục để thăm dò từng mục tiêu, trung bình mất khoảng 23 giờ mỗi vụ tấn công thành công. Đến cuối tuần ngày 18 tháng 10, các agent đã thử tấn công hơn 1.200 website. Tổng chi phí ước tính khoảng 5.000 USD, tức khoảng 50 USD cho mỗi vụ xâm nhập thành công.
Cách các agent hoạt động mới thực sự đáng lo ngại. Với những mục tiêu không lộ điểm yếu rõ ràng, AI không bỏ cuộc mà chuyển hướng: tự rà soát các tài liệu kỹ thuật số để tìm hạ tầng liên quan đến mục tiêu, định vị bảng điều khiển quản trị công khai, phát hiện lỗ hổng trong cách hệ thống xử lý dữ liệu, rồi sau nhiều giờ thử và sai, ép máy chủ thực thi lệnh độc hại.
"Không dễ gì nghĩ ra cách giải quyết như vậy," Fagerland nói với Reuters. "Đây không phải trò của kẻ mới vào nghề."
Trong số các nạn nhân, Deere, nhà sản xuất máy nông nghiệp, cho biết đã thực hiện các biện pháp xử lý cần thiết và không có dấu hiệu dữ liệu nhạy cảm bị truy cập. SharkNinja, thương hiệu quen thuộc với dòng thiết bị bếp Ninja, xác nhận vụ tấn công chỉ ảnh hưởng đến một website hỗ trợ sản phẩm độc lập và đã được khống chế. Cummins, nhà sản xuất động cơ, cho biết đang điều tra báo cáo về khả năng tấn công vào website của một nhà cung cấp bên thứ ba.
Đây không phải vụ việc đơn độc mà là một phần của làn sóng lớn hơn đang dâng lên. Tháng 8 năm nay, công ty bảo mật Israel Gambit Security ghi nhận nhóm hacker sử dụng công cụ Cursor AI của SpaceX để xâm nhập bảy tổ chức.
Đến tháng 9, Gambit lại phát hiện thêm chiến dịch tương tự nhắm vào 25 công ty, với ít nhất 600.000 bản ghi thẻ tín dụng bị đánh cắp. Hàn Quốc và Nhật Bản cũng đang hứng chịu hàng loạt vụ tấn công mới được quy cho tội phạm mạng sử dụng AI. Công ty tình báo mạng Bitsight ghi nhận các cuộc thảo luận về cách dùng AI agent tấn công đang tăng vọt trên các diễn đàn tội phạm ngầm.
Điều Fagerland thừa nhận sau khi quan sát toàn bộ chiến dịch này là sự thay đổi cơ bản trong nhận thức của chính ông. Trước đây, ông vẫn cho rằng AI agent muốn thực hiện tấn công phức tạp cần ít nhất một mức độ giám sát nào đó từ con người.
Giờ thì không còn đúng nữa. Hacker có thể đưa ra vài chục ký tự lệnh rồi quay đi làm việc khác, trong khi đội agent tự thăm dò, tự điều chỉnh chiến thuật và tự báo cáo kết quả. "Đây là một thế giới mới rồi," ông nói.
Nguyễn Hải
