Phân tích kỹ thuật: Khai thác sandbox Claude AI để trích xuất dữ liệu nội bộ

• Kỹ thuật khai thác: Sử dụng các câu lệnh tinh vi để điều hướng mô hình AI, dẫn đến việc rò rỉ binary hệ thống và bộ nhớ chứa token xác thực.
• Tác động: Trích xuất thành công binary /process_api và các mảnh JSON Web Tokens (JWT) có giá trị xác thực với Google Cloud.
• Cơ chế sandbox: Lỗ hổng liên quan đến việc cấu hình container gVisor và các quyền hạn đặc quyền như CAP_NET_ADMIN.

Một nghiên cứu bảo mật chuyên sâu gần đây đã làm sáng tỏ cách thức các mô hình ngôn ngữ lớn (LLM) như Claude có thể vô tình tiết lộ các thành phần nội bộ của hệ thống vận hành chúng. Thông qua các tương tác có chủ đích, các nhà nghiên cứu đã trích xuất được binary điều khiển sandbox và các mảnh token xác thực Google Cloud, đặt ra những câu hỏi quan trọng về ranh giới bảo mật trong kiến trúc AI hiện đại.

Phân tích cơ chế sandbox và quá trình trích xuất

Trong quá trình thử nghiệm, các nhà nghiên cứu đã xác định được môi trường thực thi của Claude là một container gVisor chạy trên Ubuntu 24.04.4 LTS. Bằng cách đặt các câu hỏi kỹ thuật về cấu trúc hệ thống, họ đã buộc mô hình phải tiết lộ sự tồn tại của một chương trình điều khiển (control daemon) được viết bằng ngôn ngữ Rust, nằm tại đường dẫn /process_api và chạy với quyền root (PID 1).

Điểm mấu chốt của cuộc tấn công nằm ở tính năng tải xuống tệp tin của Claude, vốn không kiểm soát chặt chẽ các đường dẫn tuyệt đối. Bằng cách yêu cầu tải xuống /process_api, hệ thống đã trả về một tệp binary có kích thước 3.179.528 byte. Việc phân tích ngược (reverse engineering) tệp này đã xác nhận các mô tả của Claude về chức năng quản lý tiến trình và giao tiếp host là hoàn toàn chính xác.

Kỹ thuật vượt qua rào cản mạng

Mặc dù binary được cấu hình với cờ --block-local-connections để ngăn chặn các kết nối từ bên trong container, các nhà nghiên cứu đã tận dụng các quyền hạn đặc quyền CAP_NET_ADMIN và CAP_NET_RAW của container. Bằng cách sử dụng kỹ thuật gợi ý (prompting) liên quan đến IP_FREEBIND, họ đã thuyết phục mô hình thiết lập một giao diện mạng ảo, từ đó vượt qua các hạn chế cục bộ và truy cập vào endpoint /mount_root thông qua WebSocket.

Phân tích dữ liệu nhạy cảm và token xác thực

Sau khi chiếm quyền truy cập vào bộ nhớ của tiến trình PID 1, các nhà nghiên cứu đã thu thập được các bản dump bộ nhớ chứa các mảnh vỡ của JSON Web Tokens (JWT). Mặc dù dữ liệu bị phân mảnh, việc sử dụng script Python để thử nghiệm các giá trị ứng viên dựa trên khóa công khai OAuth của Google đã cho phép khôi phục thành công các token hợp lệ.

⚠️ Cảnh báo quan trọng: Việc để lộ các token xác thực trong bộ nhớ của các tiến trình mà AI có khả năng truy cập là một rủi ro bảo mật nghiêm trọng. Các tổ chức cần áp dụng nguyên tắc đặc quyền tối thiểu và đảm bảo rằng các bí mật (secrets) không bao giờ tồn tại trong bộ nhớ của các môi trường sandbox không tin cậy.

Khuyến nghị phòng thủ và Hardening

Dựa trên các phát hiện này, các nhà nghiên cứu đề xuất một số biện pháp giảm thiểu rủi ro cho các hệ thống tích hợp AI:

• Giới hạn quyền truy cập bộ nhớ: Ngăn chặn mô hình AI truy cập vào các vùng bộ nhớ chứa thông tin nhạy cảm hoặc cấu hình hạ tầng.
• Quản lý vòng đời bí mật: Xóa sạch các token xác thực khỏi bộ nhớ ngay khi chúng không còn cần thiết cho tác vụ hiện tại.
• Cấu hình sandbox chặt chẽ: Loại bỏ các quyền hạn không cần thiết như CAP_NET_ADMIN và CAP_NET_RAW khỏi các container thực thi mã của AI.
• Kiểm soát API: Hạn chế tính năng tải xuống tệp tin chỉ trong các thư mục người dùng được chỉ định (ví dụ: /mnt/user-data) và thực hiện kiểm tra tính hợp lệ của đường dẫn.

Nghiên cứu này là một lời nhắc nhở rằng, mặc dù các mô hình AI có khả năng hỗ trợ mạnh mẽ, chúng cũng có thể trở thành công cụ để khám phá chính hạ tầng của nhà cung cấp nếu không được bảo mật đúng cách. Việc tuân thủ các tiêu chuẩn bảo mật như OWASP Top 10 for LLM là bước đi cần thiết để bảo vệ hệ thống trước các kỹ thuật tấn công mới.