Tác giả: Deep Tide TechFlow

Giới thiệu của Deep Tide: AI tạo sinh đang hoàn toàn định hình lại cuộc chiến trên không gian mạng. Ngày 30 tháng 10, bộ phận tình báo mối đe dọa của Microsoft công bố một báo cáo quan trọng, tiết lộ có hệ thống tình hình đáng lo ngại khi các tổ chức tin tặc Triều Tiên mở rộng ứng dụng AI. Trong số 8 tổ chức bị giám sát, đã có 3 tổ chức tích hợp sâu AI vào toàn bộ quy trình xâm nhập thường nhật.

Từ việc tạo hàng loạt tài liệu PDF mồi nhử lừa đảo được cá nhân hóa chỉ trong vài phút đến việc dùng các công cụ lập trình AI hỗ trợ viết mã độc, hiệu suất và khả năng ẩn mình của tin tặc đã tăng vọt. Đáng lo ngại hơn, AI đang trau chuốt các mắt xích trong chuỗi tuyển dụng giả mạo và giả danh, khiến hệ thống phòng thủ truyền thống khó lòng chống đỡ.

Mặc dù Microsoft nhận định các nhóm liên quan vẫn chưa xây dựng được vòng lặp tấn công hoàn toàn tự chủ, việc triển khai thực chiến các khung kiểm thử xâm nhập AI mã nguồn mở đã báo hiệu sự xuất hiện của chiến tranh mạng thông minh. Sự chuyển dịch mô hình tấn công và phòng thủ này đặt ra những thách thức mới trên mọi mặt cho các doanh nghiệp toàn cầu, từ phòng thủ thiết bị đầu cuối, rà soát chuỗi cung ứng đến kiểm toán thông tin xác thực.

AI xâm nhập trở thành hoạt động thường nhật: Microsoft xếp ba nhóm vào mức đánh giá cao nhất

Theo [Yonhap đưa tin](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), bộ phận tình báo mối đe dọa của Microsoft gần đây đã chính thức công bố một báo cáo nghiên cứu chuyên đề, phân tích chi tiết những diễn biến mới nhất trong việc các tổ chức hacker Triều Tiên mở rộng ứng dụng AI, trên nhiều phương diện như tấn công lừa đảo, giả mạo danh tính, tạo mã độc và đầu độc chuỗi cung ứng phần mềm.

Microsoft đã xây dựng hồ sơ năng lực có hệ thống cho 8 tổ chức hacker lớn của Triều Tiên đang hoạt động. Đáng lo ngại là 3 trong số đó đã tích hợp sâu các công cụ AI vào quy trình tấn công thường nhật, đạt cấp độ cao nhất trong mô hình trưởng thành về ứng dụng AI cho mối đe dọa mạng do Microsoft xác định.

Điều tra cho thấy AI không còn chỉ dừng lại ở bước kiểm chứng khái niệm sơ bộ, mà đã được ứng dụng xuyên suốt toàn bộ chuỗi hoạt động, từ trinh sát ban đầu, lừa đảo bằng kỹ thuật xã hội, giả mạo danh tính, viết phần mềm độc hại cho đến đầu độc chuỗi cung ứng phần mềm. Điều này đánh dấu sự chuyển biến mang tính thông minh trong chiến thuật của các tổ chức APT cấp quốc gia.

Tạo hàng chục tài liệu chỉ trong vài phút: Mồi nhử PDF giả mạo tinh vi xuyên thủng phòng thủ

Trong lĩnh vực kỹ thuật xã hội, AI đã phá vỡ hoàn toàn rào cản ngôn ngữ và văn hóa vốn tồn tại trong các cuộc tấn công xuyên biên giới. Báo cáo nhấn mạnh rằng từ tháng 8 đến tháng 9 năm nay, một tổ chức đã tập trung tạo hơn 100 tài liệu mồi nhử PDF lừa đảo được tùy chỉnh kỹ lưỡng, nhắm riêng vào các nhóm mục tiêu tại Hàn Quốc.

Nhờ khả năng tạo văn bản và dàn trang của các mô hình ngôn ngữ lớn, trong một số tình huống thực chiến, kẻ tấn công chỉ cần vài phút để liên tiếp tạo ra hàng chục mồi nhử mới. Những tài liệu giả mạo này rất chân thực về ngữ pháp, thể thức văn bản hành chính và chi tiết ngữ cảnh, qua đó làm tăng đáng kể tỷ lệ nạn nhân nhấp vào và mắc bẫy.

Khả năng sản xuất mồi nhử hàng loạt theo quy mô công nghiệp khiến chi phí biên của các cuộc tấn công lừa đảo gần như bằng không. Các cổng bảo mật truyền thống dựa trên đặc điểm tĩnh của tệp và đối chiếu từ khóa đang đối mặt với tình trạng bỏ sót và mất khả năng nhận diện chưa từng có khi phải xử lý lượng lớn mồi nhử biến thể do AI tạo ra, không có mẫu lặp lại.

Danh tính giả và hỗ trợ viết mã: Chuỗi hoạt động ngầm đa chiều âm thầm mở rộng

Ngoài các tài liệu mồi nhử, AI còn được sử dụng rộng rãi trong tuyển dụng giả và giả mạo danh tính. Tin tặc dùng mô hình để tạo hồ sơ xin việc giả nhằm xâm nhập các doanh nghiệp công nghệ. (Để biết thêm chi tiết, hãy đọc ([Bộ Tài chính Mỹ mạnh tay trấn áp hoạt động rửa tiền mã hóa của Triều Tiên: trừng phạt 10 cá nhân và 1 tổ chức](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)))

Trong hoạt động tấn công và phòng thủ bằng mã, Microsoft nhận thấy các nhóm tấn công có thể đang tận dụng những trợ lý lập trình AI phổ biến như Cursor để đẩy nhanh đáng kể việc viết logic nền tảng của phần mềm độc hại và điều chỉnh nhằm né tránh phát hiện. Việc phổ cập các công cụ này không chỉ rút ngắn chu kỳ phát triển mà còn xóa nhòa dấu ấn phong cách viết mã cá nhân của tin tặc.

Đáng chú ý hơn, các nhóm tinh nhuệ Onyx Sleet và Pearl Sleet trực thuộc Tổng cục Trinh sát Triều Tiên đã được xác nhận triển khai khung kiểm thử xâm nhập AI mã nguồn mở ARTEX vào các chiến dịch tuyến đầu kể từ cuối tháng 10, tận dụng thành quả của đội đỏ trong hệ sinh thái mã nguồn mở để tiến hành trinh sát tự động trên mạng mục tiêu.

Ngưỡng tự chủ đang đến gần: An ninh mạng toàn cầu bước vào cuộc đối đầu thông minh

Dù bộ công cụ của kẻ tấn công ngày càng sắc bén, Microsoft cũng đưa ra những đánh giá có giới hạn tương đối thận trọng trong báo cáo. Các chuyên gia chỉ ra rằng hiện nay, các tổ chức hacker Triều Tiên vẫn chưa đủ khả năng thực hiện các cuộc tấn công hoàn toàn tự chủ; ở giai đoạn này, AI vẫn chủ yếu đóng vai trò là bộ khuếch đại hiệu suất và trợ lý điều khiển.

Tuy nhiên, điều đó không có nghĩa giới an ninh có thể mất cảnh giác. Từ việc con người tự tinh chỉnh các tập lệnh đơn lẻ đến sự phối hợp giữa người và máy để triển khai hàng loạt các cuộc tấn công có chủ đích phức tạp, khoảng thời gian ứng phó ở cả hai phía tấn công và phòng thủ đang bị rút ngắn mạnh mẽ. Bên phòng thủ phải nhanh chóng chuyển từ ứng phó thụ động truyền thống sang giám sát linh hoạt dựa trên phân tích hành vi AI.

Cùng với sự phát triển liên tục của các mô hình ngôn ngữ lớn mã nguồn mở và công nghệ suy luận trên thiết bị đầu cuối, các cuộc đột kích mạng nhằm vào cơ sở hạ tầng trọng yếu và hệ thống tài chính tiền mã hóa sẽ diễn ra thường xuyên hơn. Các tổ chức trên toàn cầu cần khẩn trương củng cố hàng rào phòng thủ thông qua kiểm toán chuỗi cung ứng, nâng cao nhận thức an toàn của nhân viên và xác thực đa yếu tố để ứng phó với cơn bão mạng thông minh sắp tới.