Hugging Face gần đây đã công bố việc phát hiện và kiểm soát một vụ tấn công mạng vào hạ tầng sản xuất của họ. Điểm đặc biệt của vụ việc là toàn bộ quá trình xâm nhập được điều khiển bởi một hệ thống tác nhân AI tự động. Hugging Face đã đối phó và phân tích sự cố bằng chính hệ thống phân tích pháp y dựa trên AI của mình.
Các kẻ tấn công đã khai thác hai lỗ hổng thực thi mã (code-execution flaws) trong quy trình xử lý tập dữ liệu của Hugging Face. Các lỗ hổng này bao gồm một bộ tải tập dữ liệu có khả năng thực thi mã từ xa và một lỗ hổng chèn mẫu (template-injection vulnerability) trong cấu hình tập dữ liệu.
Sự Kiện Tấn Công Mạng Tại Hugging Face và Điểm Khởi Phát
Kỹ thuật khai thác lỗ hổng ban đầu
Cuộc tấn công mạng bắt đầu bằng việc lợi dụng các lỗ hổng thực thi mã. Cụ thể, kẻ tấn công đã sử dụng một lỗ hổng trong bộ tải tập dữ liệu cho phép thực thi mã từ xa (remote code execution). Kèm theo đó là một lỗ hổng chèn mẫu trong cấu hình tập dữ liệu, tạo điều kiện thuận lợi cho việc kiểm soát hệ thống.
Leo thang đặc quyền và di chuyển ngang
Sau khi xâm nhập được vào một worker xử lý dữ liệu, kẻ tấn công đã leo thang đặc quyền để giành quyền truy cập cấp độ node. Từ đó, chúng đã thu thập các thông tin đăng nhập đám mây và cluster, đồng thời di chuyển ngang qua nhiều cluster nội bộ chỉ trong một cuối tuần. Đây là một dấu hiệu rõ ràng của một cuộc tấn công mạng tinh vi.
Tác Động và Phạm Vi Xâm Nhập Hệ Thống
Quyền truy cập trái phép đã ảnh hưởng đến một số lượng hạn chế các tập dữ liệu nội bộ và thông tin xác thực dịch vụ. Tuy nhiên, Hugging Face không tìm thấy bằng chứng nào cho thấy các mô hình công khai, tập dữ liệu, Spaces, hoặc chuỗi cung ứng phần mềm của họ bị giả mạo. Điều này cho thấy sự tập trung vào các tài nguyên nội bộ nhạy cảm.
Xu Hướng Mối Đe Dọa Mạng Từ AI Tự Động
Sự cố này phản ánh một xu hướng rộng lớn hơn trong ngành an ninh mạng. Các cuộc tấn công mạng do AI điều khiển đang ngày càng trở nên phổ biến và tinh vi, đặt ra những thách thức mới cho các hệ thống phòng thủ truyền thống.
JADEPUFFER: Mã độc tống tiền dựa trên AI
Công ty bảo mật Sysdig gần đây đã tiết lộ về một biến thể ransomware mà họ gọi là JADEPUFFER. Đây được mô tả là hoạt động mã độc tống tiền (ransomware) đầu tiên được điều khiển hoàn toàn tự động bởi AI. Một tác nhân AI độc lập đã xâm nhập một máy chủ lộ thiên internet, di chuyển ngang, mã hóa các tệp và đưa ra yêu cầu tiền chuộc mà không cần bất kỳ lệnh nào từ con người. Đọc thêm về JADEPUFFER tại Cybersecuritynews.com.
Báo cáo về các cuộc tấn công do AI dẫn dắt
Riêng biệt, Báo cáo An ninh AI thường niên 2026 của Check Point cũng ghi nhận các cuộc xâm nhập trực tiếp ngày càng được thực hiện bởi AI. Báo cáo này nhấn mạnh khoảng thời gian giữa việc tiết lộ lỗ hổng và việc khai thác đang rút ngắn từ vài ngày xuống còn vài giờ. Tham khảo chi tiết tại Check Point Research.
Điểm khác biệt của chiến dịch này là quy mô và tính tự chủ. Cuộc tấn công đã thực hiện hàng ngàn hành động riêng lẻ trên một swarm các sandbox có thời gian tồn tại ngắn. Kẻ tấn công sử dụng cơ sở hạ tầng chỉ huy và kiểm soát (C2) tự di chuyển được dàn dựng trên các dịch vụ công cộng, đúng như kịch bản “tác nhân tấn công” đã được dự báo từ lâu. Đây là một mối đe dọa mạng đáng kể.
Phản Ứng và Phân Tích Phát Hiện Xâm Nhập Bằng AI
Cơ chế phát hiện sớm và xử lý sự cố
Hugging Face đã phát hiện sự cố nhờ vào quy trình phát hiện bất thường của chính họ, sử dụng hệ thống phân loại dựa trên mô hình ngôn ngữ lớn (LLM) để phân tích dữ liệu bảo mật. Hệ thống này đã tương quan các tín hiệu mà lẽ ra sẽ bị bỏ qua trong “tiếng ồn” hàng ngày. Việc này chứng tỏ tầm quan trọng của hệ thống phát hiện xâm nhập tiên tiến.
Để tái cấu trúc toàn bộ dòng thời gian tấn công từ hơn 17.000 hành động được ghi lại của kẻ tấn công, Hugging Face đã sử dụng các tác nhân phân tích dựa trên LLM để xử lý toàn bộ nhật ký. Quá trình này đã rút ngắn thời gian phân tích từ vài ngày xuống còn vài giờ.
Thách thức với mô hình AI thương mại
Một phát hiện quan trọng từ cuộc điều tra tại blog của Hugging Face là các API mô hình tiên tiến thương mại đã từ chối xử lý phân tích pháp y. Các rào cản an toàn (safety guardrails) của chúng không thể phân biệt giữa một nhân viên phản ứng sự cố đang gửi các payload khai thác thực và các tạo tác C2 với một kẻ tấn công thực sự. Điều này làm nổi bật một vấn đề lớn trong việc sử dụng các công cụ AI thương mại cho các nhiệm vụ an ninh mạng quan trọng.
Giải pháp tự lưu trữ cho phân tích pháp y
Hugging Face đã chuyển sang sử dụng GLM-5.2, một mô hình mã nguồn mở chạy trên hạ tầng của chính họ. Việc này không chỉ giải quyết vấn đề rào cản an toàn mà còn đảm bảo rằng không có dữ liệu tấn công hoặc thông tin xác thực nào được tham chiếu rời khỏi môi trường của Hugging Face. Điều này bộc lộ sự bất cân xứng rõ ràng: kẻ tấn công sử dụng các mô hình bị bẻ khóa hoặc không hạn chế không phải đối mặt với các giới hạn chính sách như vậy, trong khi các nhà phòng thủ sử dụng các mô hình thương mại có thể bị khóa giữa chừng sự cố. Việc này làm tăng rủi ro bảo mật.
Bài Học và Khuyến Nghị Về An Ninh Mạng
Động lực của ngành công nghiệp phản ánh rằng các công cụ AI tấn công tự động đã chuyển từ lý thuyết sang thực tiễn. Trung tâm An ninh Mạng Quốc gia Vương quốc Anh (NCSC) đã triển khai sáng kiến “Cyber Shield” tại đây nhằm triển khai phòng thủ bằng AI ở quy mô quốc gia để ứng phó với mối đe dọa mạng này.
Sự cần thiết của mô hình AI nội bộ
Bài học cốt lõi từ sự cố này là các tổ chức cần có một mô hình AI có khả năng, tự lưu trữ và được kiểm định sẵn sàng trước khi một sự cố xảy ra. Điều này vừa để tránh việc bị khóa bởi rào cản an toàn trong quá trình điều tra pháp y, vừa để ngăn chặn dữ liệu tấn công nhạy cảm rời khỏi môi trường của họ. Đây là một chiến lược quan trọng để nâng cao bảo mật thông tin.
Dữ liệu và mô hình: Vector tấn công mới
Như Hugging Face đã chỉ ra, bề mặt dữ liệu và mô hình giờ đây phải được coi là một vector tấn công hạng nhất. Điều này đòi hỏi các giải pháp phòng thủ dựa trên AI phải tương xứng với các cuộc tấn công do AI điều khiển ở tốc độ máy móc. Việc tăng cường an ninh mạng là điều tối quan trọng.
