Chiếm quyền điều khiển các tác nhân AI phòng thủ mạng để thực thi mã từ xa

Tóm tắt khai thác lỗ hổng Chúng tôi công bố một bằng chứng khái niệm (proof-of-concept - PoC) khai thác lỗ hổng cho phép thực thi mã từ xa trong Claude Code CLI của Anthropic (với Claude Sonnet 4.6 & 5, Opus 4.8) và Codex CLI của OpenAI (với GPT-5.5) khi được sử dụng để đánh giá an ninh một cách phòng thủ đối với thư viện mã nguồn mở hoặc của bên thứ ba. Cuộc tấn công của chúng tôi chỉ yêu cầu cấu hình mặc định của Claude Code ở "chế độ tự động" hoặc Codex ở "tự động đánh giá" và khai thác các kỹ thuật chèn lệnh (prompt injection) được phân tán trong mã nguồn của thư viện, nhắm vào các hệ thống phòng thủ mạng được hỗ trợ bởi AI mà không cần đến các hook, kỹ năng, plugin, máy chủ MCP hoặc tệp cấu hình làm phương tiện chèn. Do đó, chúng tôi cảnh báo về các sáng kiến gần đây (1 Nhà Trắng, “Thúc đẩy Đổi mới và An ninh Trí tuệ Nhân tạo Tiên tiến,” sắc lệnh hành pháp, ngày 2/6/2026. 2 Anthropic, “Dự án Glasswing: Cập nhật ban đầu,” thông cáo báo chí, ngày 22/5/2026. 3 Xem tiêu chuẩn an ninh phần mềm được đề xuất của Palantir, MA-S2, tháng 5/2026.) nhằm thúc đẩy việc tăng tốc các công cụ phòng thủ được hỗ trợ bởi AI mà không xem xét các rủi ro đáng kể và chưa được giảm thiểu liên quan đến việc triển khai AI phòng thủ, đặc biệt trong bối cảnh cơ sở hạ tầng quan trọng về an toàn – nơi AI đang được xem xét triển khai một cách cấp bách nhất. Video: Minh họa PoC khai thác lỗ hổng của chúng tôi làm tổn hại Claude Code. 1. Giới thiệu và Động lực Việc một công nghệ mới xuất hiện sẽ mang lại lợi thế cho bên tấn công hay phòng thủ trong an ninh mạng đã là một cuộc tranh luận kéo dài. Không ngạc nhiên, cuộc thảo luận về việc liệu các khả năng mạng được hỗ trợ bởi AI "tiên tiến" có tăng cường năng lực tấn công hay phòng thủ và bằng cách nào cũng diễn ra với mức độ cấp bách hơn. Những tuyên bố đáng ngờ được các công ty AI đưa ra về khả năng tấn công của AI và tiềm năng các đối thủ sử dụng AI như vậy chống lại Hoa Kỳ và các đồng minh đã làm trầm trọng thêm nhận thức hiện có của các quốc gia rằng công nghệ đang ủng hộ bên tấn công. (4 Thomas Germain, “Tại sao các công ty AI muốn bạn sợ họ,” BBC, ngày 29/4/2026.) Bằng cách tận dụng những lo ngại được xây dựng này, các công ty AI đã định vị việc triển khai các mô hình được hỗ trợ bởi AI cho phòng thủ mạng như một giải pháp bắt buộc để bù đắp những lợi ích tấn công được cho là do AI mang lại trong một cuộc chạy đua vũ trang AI. (5 Anthropic, “Dự án Glasswing: Cập nhật ban đầu.”) Mặc dù có nhiều sáng kiến nhằm thúc đẩy việc triển khai các năng lực phòng thủ không gian mạng bằng AI tiên tiến trong cơ sở hạ tầng an toàn và an ninh quốc gia của Hoa Kỳ, các lý do biện minh cho những nỗ lực này đã bỏ qua các rủi ro đáng kể liên quan đến việc triển khai AI phòng thủ so với chi phí thực tế và lợi thế của AI tấn công. Các mô hình AI tiên tiến bộc lộ những hạn chế kỹ thuật độc đáo, thách thức giả định rằng bản chất lưỡng dụng của các mô hình AI không gian mạng cho phép năng lực phòng thủ sẽ cân bằng lợi thế mà AI mang lại cho tấn công. Cụ thể, việc sử dụng AI tiên tiến cho mục đích phòng thủ lại tạo ra các vectơ tấn công mới và độc đáo có thể làm tổn hại đến hệ thống mà nó được triển khai, đặc biệt trong bối cảnh cơ sở hạ tầng an toàn – nơi AI đang được xem xét triển khai khẩn cấp nhất. Chúng tôi nhận ra và minh họa những rủi ro này bằng cách xây dựng một khai thác bằng chứng khái niệm (PoC) nhắm mục tiêu vào giao diện dòng lệnh (CLI) Claude Code và CLI Codex được triển khai làm tác nhân phát hiện lỗ hổng sử dụng Sonnet 4.6, Sonnet 5 hoặc Opus 4.8 và GPT-5.5 làm mô hình cơ bản. Chúng tôi xác định các con đường cho phép kẻ tấn công thực hiện thực thi mã trái phép bằng cách tận dụng các cuộc tấn công chèn lời nhắc (prompt injection) nhắm vào việc sử dụng AI tiên tiến phòng thủ. Cụ thể, chúng tôi xây dựng một khai thác chỉ yêu cầu người dùng sử dụng AI để đánh giá mã của một thư viện bên thứ ba mã nguồn mở – một trường hợp sử dụng được quảng cáo phổ biến cho các mô hình như vậy – cho phép kẻ tấn công thực hiện thực thi mã từ xa (RCE) thông qua các cuộc tấn công chèn lời nhắc được phân tán trong các tệp của thư viện. Chúng tôi chứng minh rằng các cuộc tấn công này đòi hỏi quyền truy cập tối thiểu cần thiết để tận dụng việc sử dụng các tác nhân AI cho mục đích bảo mật phòng thủ, đồng thời có khả năng chuyển giao cho các nền tảng AI tác nhân khác. Cuối cùng, PoC của chúng tôi đặt ra câu hỏi liệu các vectơ tấn công mới do AI tạo ra có thể làm mất đi, nếu không muốn nói là làm trầm trọng thêm, bất kỳ lợi thế phòng thủ nào đã được tìm kiếm để chống lại các lợi thế được cho là hoặc chưa được chứng minh của tấn công dựa trên AI. Trong các phần tiếp theo, chúng tôi cung cấp mô tả chi tiết về chuỗi tấn công. Trong Mục 2.1, chúng tôi cung cấp tổng quan, mô hình mối đe dọa và cấu hình mà cuộc tấn công của chúng tôi thành công. Trong Mục 2.2, chúng tôi giải thích chi tiết cách các cuộc tấn công chèn lời nhắc của chúng tôi được thực hiện.