Lỗ hổng bảo mật nghiêm trọng của Moltbook, lý do cần chuẩn bị cho các cuộc tấn công quy mô lớn của mạng lưới AI agent

Moltbook đã thu hút sự chú ý với những sự kiện kỳ lạ như các bot AI tự thành lập tôn giáo riêng hoặc đăng tải các thông điệp tức giận về nhân loại, nhưng các nhà nghiên cứu an ninh thực sự lo ngại về lỗ hổng bảo mật nghiêm trọng ẩn sau đó. Việc để lộ toàn bộ cơ sở dữ liệu, khả năng bị tấn công bằng phương pháp chèn lệnh (prompt injection), và những mối đe dọa đối với hạ tầng AI rộng lớn trong tương lai. Những vấn đề này không chỉ là thất bại của nền tảng mà còn là tín hiệu cảnh báo toàn diện về kỷ nguyên AI.

Toàn bộ cơ sở dữ liệu bị lộ, hơn 1,5 triệu thông tin xác thực bot bị rò rỉ từ lỗ hổng bảo mật

Thông qua cuộc điều tra của công ty an ninh mạng Wiz, một lỗ hổng bảo mật đã được phát hiện khi cơ sở dữ liệu chính của Moltbook bị để lộ hoàn toàn trong trạng thái mở. Chỉ cần lấy được một khóa duy nhất trong mã nguồn của trang web, bất kỳ ai cũng có thể đọc và chỉnh sửa hầu hết các thông tin.

Thông qua lỗ hổng này, kẻ tấn công có thể truy cập vào khoảng 1,5 triệu mật khẩu của bot, hàng chục nghìn địa chỉ email, và toàn bộ tin nhắn riêng tư. Những thông tin xác thực này có thể được sử dụng để mạo danh các AI phổ biến, chỉnh sửa bài đăng mà không cần đăng nhập, hoặc đánh cắp dữ liệu người dùng.

Gal Nagli của Wiz cho biết nguyên nhân của lỗ hổng này bắt nguồn từ phương pháp lập trình gọi là “vibe coding”. Đây là phương pháp các lập trình viên hướng dẫn AI bằng ngôn ngữ tự nhiên để tự động sinh mã. Tuy nhiên, phương pháp này tiện lợi nhưng dễ dẫn đến việc bỏ qua các vấn đề bảo mật.

Tấn công chèn lệnh (prompt injection), mối đe dọa chết người đối với mạng lưới AI

Vấn đề nghiêm trọng hơn là các cuộc tấn công gọi là chèn lệnh (prompt injection). Đây là lỗ hổng bảo mật cho phép kẻ tấn công ẩn các lệnh độc hại trong nội dung gửi đến AI, khiến AI thực hiện các hành động không mong muốn.

Như Simon Willison, nhà nghiên cứu an ninh, chỉ ra, các AI hiện tại được cấp nhiều quyền nguy hiểm như truy cập email và dữ liệu cá nhân, kết nối với nội dung đáng ngờ từ internet, thậm chí gửi tin nhắn thay cho người dùng. Chỉ cần một lệnh độc hại đơn giản, AI có thể đánh cắp thông tin bí mật, rút hết tiền trong ví tiền điện tử, hoặc phát tán phần mềm độc hại mà người dùng không hay biết.

Trong nghiên cứu của Phòng thí nghiệm Nghiên cứu Simula, khoảng 19.000 bài đăng trên Moltbook đã được kiểm tra, phát hiện ra 506 bài (chiếm 2,6%) chứa mã tấn công ẩn. Đặc biệt, một phần mềm độc hại tên “What Would Elon Do?” do các nhà nghiên cứu của Cisco phát hiện, có khả năng trộm dữ liệu và gửi dữ liệu trái phép ra máy chủ bên ngoài, nhưng vẫn xếp hạng cao trong bảng xếp hạng phổ biến của nền tảng.

Giun tự nhân bản, khả năng lặp lại cơn ác mộng năm 1988

Các lỗ hổng bảo mật và mô hình tấn công đang được quan sát tại Moltbook gợi nhớ đến sự kiện xảy ra vào năm 1988, khi nhà nghiên cứu mạng Robert Morris đã phát hành một chương trình tự nhân bản trên internet, gây nhiễm khoảng 10% các máy tính kết nối trong vòng 24 giờ.

Phiên bản hiện đại của mối đe dọa này gọi là “prompt worm” (giun lây lan qua lệnh). Đây là các lệnh tự nhân bản giữa các AI giao tiếp, lan truyền trong mạng lưới. Vào tháng 3 năm 2024, các nhà nghiên cứu an ninh Ben Nassi, Stav Cohen, và Ron Bitton đã công bố một bài báo chứng minh cách các prompt tự nhân bản có thể lan truyền qua các trợ lý email AI, đồng thời thực hiện trộm dữ liệu và gửi thư rác. Họ đặt tên cho hiện tượng này là “Morris-II”, lấy cảm hứng từ con giun Morris năm 1988.

Charlie Eriksen của Aikido Security xem Moltbook như một cảnh báo sớm về thị trường AI rộng lớn hơn. “Nếu 770.000 AI agent có thể gây ra hỗn loạn như vậy, thì điều gì sẽ xảy ra khi các hệ thống này quản lý hạ tầng doanh nghiệp hoặc các giao dịch tài chính? Đây không phải là điềm tốt, mà là tín hiệu cảnh báo cần được xem trọng,” ông nhấn mạnh.

Vụ việc của Moltbook không chỉ là một sự cố lỗ hổng bảo mật đơn thuần. Trong bối cảnh AI trở thành trung tâm của hạ tầng, việc xây dựng các biện pháp bảo vệ đa tầng là nhiệm vụ cấp bách để đối phó với các mối đe dọa ngày càng phức tạp.

Giới hạn của công tắc tắt (kill switch), sau 1-2 năm việc xử lý lỗ hổng bảo mật sẽ trở nên khó khăn

Hiện tại, các công ty lớn như Anthropic và OpenAI sở hữu các công tắc tắt để dừng các AI độc hại. Vì các dịch vụ của OpenClaw hoạt động chủ yếu trên các nền tảng này, việc kiểm soát vẫn còn khả thi.

Tuy nhiên, tình hình đang thay đổi nhanh chóng. Các mô hình AI cục bộ như Mistral, DeepSeek, Qwen đang ngày càng nâng cao hiệu suất. Trong 1-2 năm tới, việc chạy các AI đủ mạnh trên máy tính cá nhân sẽ trở thành hiện thực. Khi đó, các công ty sẽ không thể kiểm soát được nữa, và các công tắc tắt sẽ vô hiệu hóa. Điều này đồng nghĩa với việc lớp phòng thủ cuối cùng chống lỗ hổng bảo mật sẽ biến mất.

George Chalhoub, giảng viên tại Trung tâm Giao tiếp UCL, nhấn mạnh tầm quan trọng của giai đoạn này: “Nếu 770.000 AI agent có thể gây ra hỗn loạn, thì khi các hệ thống này quản lý hạ tầng doanh nghiệp hoặc các giao dịch tài chính, điều gì sẽ xảy ra? Đây không phải là điềm tốt, mà là cảnh báo cần được xem xét nghiêm túc.”

Vụ việc của Moltbook không chỉ là một sự cố về lỗ hổng bảo mật. Trong bối cảnh AI ngày càng đóng vai trò trung tâm trong hạ tầng, việc xây dựng các biện pháp an ninh đa lớp là nhiệm vụ không thể bỏ qua để đảm bảo an toàn trong tương lai.