Tiêu đề: Một phiên làm việc của Trợ lý Lập trình AI đã trở thành một cuộc tấn công chuỗi cung ứng

Nghiên cứu điển hình mới nhất của Mandiant cho thấy một phiên làm việc của trợ lý lập trình AI bị chiếm quyền điều khiển đã cho phép kẻ tấn công chèn một gói phần mềm độc hại vào mã nguồn của một công ty phần mềm, làm tổn hại 100 kho lưu trữ (repositories) nội bộ, đánh cắp các mã thông báo (tokens) GitHub OAuth và trích xuất mã nguồn cũng như các thông tin bí mật. Vụ vi phạm này chứng minh rằng các nhà phát triển không thể coi các gợi ý do AI tạo ra là mã an toàn.

Chuyện gì đã xảy ra

Trong một phiên phát triển trực tiếp, kẻ tấn công đã chiếm quyền kiểm soát trợ lý AI được tích hợp trong trình soạn thảo của nhóm. Trợ lý bị xâm nhập sau đó đã gợi ý một gói phần mềm độc hại. Nhà phát triển, vì tin tưởng công cụ này, đã chấp nhận gợi ý mà không thực hiện thêm các bước kiểm tra bổ sung.

Gói phần mềm độc hại này đã cài đặt một trình đánh cắp thông tin (infostealer) để thu thập các mã thông báo GitHub OAuth được lưu trữ trên máy trạm. Với những mã thông báo đó, kẻ tấn công đã triển khai sâu máy (worm) “Shai-Hulud”, thứ đã tự sao chép chính nó qua 100 kho lưu trữ nội bộ. Vì mã độc mang chính namespace của công ty, các nhà phát triển khác khi kéo (pull) các gói tương tự sau đó cũng bị nhiễm mã độc.

Tại sao điều này lại quan trọng

Các trợ lý lập trình AI có thể đọc các tệp dự án, tạo lệnh cài đặt, chỉnh sửa các tệp khai báo phụ thuộc (dependency manifests) và thậm chí chạy các lệnh terminal. Phạm vi truy cập rộng lớn đó khiến chúng trở thành những vector hấp dẫn cho các cuộc tấn công chuỗi cung ứng. Khi một nhà phát triển tin tưởng gợi ý của AI hơn cả lời khuyên của một người lạ, công việc của kẻ tấn công trở nên dễ dàng hơn: trợ lý có thể âm thầm chèn mã độc trông có vẻ hợp lệ.

Các cuộc tấn công chuỗi cung ứng cho phép kẻ tấn công di chuyển ngang (move laterally) qua mã nguồn của một tổ chức, đánh cắp thông tin xác thực và trích xuất các tài sản độc quyền—tất cả mà nạn nhân không hề hay biết cho đến khi thiệt hại đã xảy ra.

Diễn biến cuộc tấn công

  1. Chiếm quyền điều khiển phiên làm việc – Kẻ tấn công đã chiếm quyền kiểm soát một phiên làm việc đang diễn ra của trợ lý AI.
  2. Gợi ý độc hại – Trợ lý bị xâm nhập bị ép buộc phải gợi ý một gói phần mềm độc hại.
  3. Nhà phát triển chấp nhận – Tin vào đề xuất của AI, nhà phát triển đã thêm gói phần mềm và chạy lệnh cài đặt được tạo ra.
  4. Thực thi payload – Gói phần mềm cài đặt một trình đánh cắp thông tin để đọc các mã thông báo GitHub OAuth cục bộ và các thông tin bí mật khác.
  5. Sự lây lan của sâu máy – Sử dụng các mã thông báo đã đánh cắp, kẻ tấn công triển khai sâu máy Shai-Hulud, thứ đã lan rộng ra 100 kho lưu trữ nội bộ.
  6. Trích xuất dữ liệu – Mã nguồn, các thư viện nội bộ và các khóa bí mật đã bị chuyển đến hạ tầng của kẻ tấn công.

Các nhà phát triển có thể làm gì ngay bây giờ

Hãy coi mọi gợi ý của AI là mã không đáng tin cậy. Áp dụng các bước xác minh tương tự như khi bạn sử dụng bất kỳ phụ thuộc bên thứ ba nào.

  • Xác thực gói phần mềm

    • Kiểm tra tài liệu chính thức và lịch sử phiên bản.
    • Xác nhận danh tính và uy tín của nhà phát hành.
    • Xem xét kho lưu trữ nguồn và các bản commit gần đây.
    • Kiểm tra toàn bộ cây phụ thuộc để tìm các liên kết không mong muốn.
    • Xem xét kỹ bất kỳ kịch bản cài đặt nào để tìm các lệnh ẩn.

  • Thắt chặt việc xử lý thông tin xác thực

    • Cấp quyền tối thiểu có thể cho mỗi mã thông báo.
    • Ưu tiên các mã thông báo có thời hạn ngắn thay vì các mã thông báo dài hạn.
    • Không để các thông tin bí mật của môi trường production trên máy phát triển cục bộ.
    • Hạn chế các tiện ích mở rộng của trình soạn thảo truy cập vào các thông tin xác thực mà chúng không cần thiết.

  • Ứng phó khi nghi ngờ có vi phạm

    • Cách ly môi trường bị ảnh hưởng ngay lập tức; việc xóa node_modules hoặc các thư mục tương tự là không đủ.
    • Thay đổi (rotate) tất cả thông tin xác thực GitHub, npm, PyPI và đám mây.
    • Kiểm tra hoạt động của kho lưu trữ để tìm các bản commit hoặc các lần hợp nhất pull-request không mong muốn.
    • Xem xét nhật ký CI/CD và các kịch bản Git-hook để tìm các hành vi bất thường.

Nhìn về tương lai

Các trợ lý AI sẽ vẫn là một công cụ thúc đẩy năng suất cho nhiều nhà phát triển, nhưng sức mạnh của chúng đi kèm với cái giá về sự tin cậy. Các tổ chức nên đưa mã do AI tạo ra vào các quy trình xem xét bảo mật hiện có, giống như cách họ làm với bất kỳ thư viện bên ngoài nào. Việc kiểm tra chính sách tự động, các đầu ra của trợ lý AI có chữ ký và môi trường thực thi cô lập (runtime sandboxing) có thể giảm thiểu rủi ro bị xâm nhập âm thầm.

Trường hợp của Mandiant cho thấy rõ rằng một khi trợ lý AI bị xâm nhập, kẻ tấn công sẽ có một đường dẫn trực tiếp vào chuỗi cung ứng phần mềm. Việc coi các gợi ý của AI là một phần của mô hình đe dọa—chứ không phải là một sự cho phép miễn trừ—sẽ là yếu tố thiết yếu để giữ cho mã nguồn được an toàn.

Bài học rút ra: một gợi ý do AI tạo ra không đáng tin cậy hơn bất kỳ mã bên thứ ba nào khác. Hãy xác minh, giới hạn và giám sát nó một cách nghiêm ngặt, nếu không bạn sẽ có nguy cơ biến một trợ lý hữu ích thành một kênh dẫn cho một cuộc tấn công chuỗi cung ứng quy mô lớn.