Vào tháng 7 năm 2004, chuyên gia nghiên cứu an ninh mạng Stefan Esser từng phát đi một cảnh báo kỹ thuật nghiêm trọng liên quan đến PHP – ngôn ngữ lập trình đang vận hành tới gần 70% số lượng website trên toàn cầu. Khiếm khuyết này có thể cho phép kẻ tấn công đọc mật khẩu, đánh cắp cơ sở dữ liệu hoặc chiếm toàn quyền kiểm soát hệ thống máy chủ.
Tuy nhiên, cảnh báo của Stefan Esser gần như bị lãng quên trong suốt hơn hai thập kỷ. Đến năm 2020, một nhà nghiên cứu khác phát hiện vấn đề liên quan và nhóm duy trì PHP đã tung ra bản vá cục bộ. Một lỗ hổng bảo mật (vulnerability) tương tự tiếp tục được tìm thấy vào năm 2024 nhưng vẫn không được xử lý dứt điểm. Lý do khiến mối đe dọa này tồn tại 22 năm không phải vì mức độ rủi ro thấp, mà bởi quy trình xây dựng mã khai thác (exploit) thực tế đòi hỏi khối lượng công việc lập trình thủ công quá nặng nề, tẻ nhạt và tốn thời gian vượt quá khả năng của một con người.
Khi trí tuệ nhân tạo phá vỡ thế phòng thủ thủ công
Quy chuẩn đó đã thay đổi hoàn toàn khi các mô hình trí tuệ nhân tạo tham gia vào quy trình rà soát mã nguồn. Ngày 30 tháng 7, nhóm nghiên cứu tại công ty an ninh mạng Calif, phối hợp cùng sáng kiến bảo mật Patch the Planet của OpenAI, đã ứng dụng mô hình ngôn ngữ lớn (LLM – Large Language Model) để kiểm tra các phân đoạn mã lõi của PHP.
Chỉ sau hai ngày, vào ngày 1 tháng 8, hệ thống AI đã tìm ra chuỗi phương thức cụ thể để kích hoạt lỗ hổng. Những ngày tiếp theo, hệ thống liên tiếp tạo ra thêm các chuỗi tấn công mới. Không lâu sau đó, Wiz – công ty an ninh mạng được Google hậu thuẫn và cũng là một thành viên của sáng kiến Patch the Planet – tiếp tục phát hiện các vectơ tấn công tương tự nhằm vào PHP.
Chấm dứt khái niệm ‘an toàn nhờ sự kiệt sức’
Trước thực trạng trên, bản vá khẩn cấp đã được công bố chính thức cùng lúc với thông tin chi tiết về các lỗ hổng. Đại diện Wiz nhận định đây là một trong những khiếm khuyết an ninh phần mềm nghiêm trọng nhất trong lịch sử vận hành của mạng Internet.
Giáo sư kỹ thuật máy tính Vyas Sekar tại Đại học Carnegie Mellon nhận định: “Ngành bảo mật từ lâu đã cảnh báo về một cuộc khủng hoảng an ninh tiềm tàng khi AI có thể thực hiện những tác vụ này cực kỳ nhanh chóng và chuẩn xác hơn con người. Đây là hồi chuông cảnh tỉnh cho thấy ngoài kia còn vô số lỗ hổng tương tự PHP đang chờ được khai thác.”
Trước đó, việc phổ cập các công cụ AI thế hệ mới đã làm dấy lên nhiều quan ngại. Tháng 6 vừa qua, hãng công nghệ Anthropic từng tạm hoãn triển khai mô hình Mythos do công cụ này tỏ ra quá vượt trội trong việc phát hiện các vectơ tấn công phần mềm, khiến giới chức an ninh Mỹ phải lưu tâm. Dù vậy, theo nhà nghiên cứu Ryan Austin từ Calif, nhóm nghiên cứu hoàn toàn không sử dụng mô hình bí mật nào mà chỉ vận hành các công cụ AI thương mại đại trà.
Ông Nick Rogers, Giám đốc điều hành của Fieldwork AI, chỉ ra rằng khái niệm bảo mật dựa trên sự nản chí của con người (security by exhaustion) đã không còn giá trị. Lỗ hổng PHP trước đây giống như một két sắt ngân hàng không có bảo vệ nhưng có mã số quá dài khiến không ai đủ kiên nhẫn để dò từng tổ hợp. Trí tuệ nhân tạo với khả năng xử lý liên tục không mệt mỏi đã hoàn thành việc giải mã chỉ trong thời gian tính bằng giờ.
Cơ chế kỹ thuật đằng sau lỗ hổng nghiêm trọng
Bản chất khiếm khuyết nằm ở cách thức PHP xử lý các truy vấn vận hành trang web. Khi máy chủ gặp sự cố quá tải bộ nhớ và ngừng hoạt động đột ngột, hệ thống sẽ để lại các vùng dữ liệu cũ (stale data) không được giải phóng an toàn. Tin tặc có thể lợi dụng kẽ hở này để đọc trộm thông tin nội bộ hoặc kích hoạt các đoạn mã độc hại tùy ý (arbitrary code execution).
Dù cộng đồng mã nguồn mở đã kịp thời phát hành bản sửa lỗi vào thứ Tư, sự kiện này đánh dấu bước ngoặt lớn: ranh giới giữa kiểm thử bảo mật phòng ngừa và nguy cơ vũ khí hóa không gian mạng đang ngày càng thu hẹp dưới sức mạnh của tự động hóa AI.
Nguồn: CNN