Agentjacking: Lỗ hổng bảo mật AI Agent khiến 2.388 tổ chức lộ thông tin

Bạn có tin rằng một dòng lỗi trong ứng dụng của mình có thể biến AI coding agent thành công cụ đánh cắp credential? Tại DEF CON 34, nhóm nghiên cứu Tenet Security đã trình diễn một cuộc tấn công có tên 'Agentjacking' – khai thác cơ chế Public Sentry DSN để tiêm lệnh độc hại vào các AI Agent như Claude Code hay Cursor. Kết quả: 85% thử nghiệm thành công, 2.388 tổ chức lộ diện, và 27% Fortune 1000 có nguy cơ. Đây không phải lỗi của model AI, mà là lỗi kiến trúc: khi Agent tin tưởng mù quáng vào dữ liệu từ bên ngoài, mọi nguồn dữ liệu đều có thể trở thành vector tấn công. Trong bối cảnh thị trường crypto đang tăng, các nhà phát triển blockchain thường dùng AI Agent để debug smart contract, kiểm tra lỗi trên các nền tảng như Sentry. Nhưng chính các công cụ này lại mở ra cánh cửa cho kẻ tấn công. Tôi, với 20 năm kinh nghiệm trong ngành, đã chứng kiến nhiều lỗ hổng kỹ thuật tương tự bị che giấu bởi sự phấn khích của thị trường. Lần này, sự thật là: AI Agent không thể phân biệt giữa dữ liệu và lệnh. Khi một Agent đọc issue từ Sentry, nó coi mọi markdown hướng dẫn như mệnh lệnh sửa lỗi – và kẻ tấn công chỉ cần gửi một POST request với payload chứa lệnh ‘npm install malicious-package’ là đủ. Cơ chế tấn công rất đơn giản: (1) Kẻ tấn công quét tìm Public DSN của Sentry (2.388 tổ chức bị lộ). (2) Gửi lỗi giả mạo chứa mã độc. (3) Developer vô tình yêu cầu Agent debug Sentry issue. (4) Agent đọc nội dung và thực thi lệnh. (5) Credential AWS, GitHub, npm bị đánh cắp. Đây là dạng Indirect Prompt Injection, nhưng được kết hợp với cơ chế MCP (Model Context Protocol) – giao thức mở cho phép Agent kết nối công cụ bên ngoài. Chính sự kết hợp giữa hai thiết kế ‘hợp lý’ riêng lẻ tạo ra lỗ hổng chết người. Điều đáng nói là Sentry, nền tảng error monitoring phổ biến, đã từ chối sửa lỗi tận gốc. Họ chỉ triển khai bộ lọc nội dung (content filter) – một giải pháp tạm thời dễ bị bypass. Tenet thì tung ra công cụ agent-jackstop, một bộ cấu hình bảo vệ endpoint: chặn mạng ra ngoài, yêu cầu phê duyệt lệnh, và coi output của tool là không đáng tin. Nhưng tất cả chỉ là giảm thiểu thiệt hại, chứ không giải quyết được vấn đề kiến trúc: MCP không có cơ chế phân biệt dữ liệu và lệnh. Trái với suy nghĩ thông thường rằng AI Agent ‘thông minh’ nên tự biết đâu là lệnh độc hại, thực tế là model hiện tại không có khả năng đó. Các nhà phát triển đang đặt quá nhiều niềm tin vào lớp semantic của AI, trong khi các cuộc tấn công như Agentjacking cho thấy: nếu bạn không kiểm soát được nguồn dữ liệu đầu vào, bạn đang trao chìa khóa cho kẻ xấu. Điều này đặc biệt nguy hiểm trong crypto, nơi mà một private key bị lộ có thể dẫn đến mất hàng triệu USD. Hệ quả: Tôi tin rằng sự kiện này sẽ làm chậm quá trình áp dụng AI coding agent trong doanh nghiệp. Các công ty blockchain sẽ phải tái thẩm định các công cụ phát triển, đặc biệt là những công cụ có quyền truy cập vào credential. MCP – giao thức do Anthropic đẩy mạnh – sẽ phải chuyển từ cuộc đua tính năng sang cuộc đua bảo mật. Còn các nền tảng như Sentry sẽ đối mặt với áp lực phải cung cấp các tính năng xác thực nâng cao (signed envelopes, IP whitelist) nếu không muốn mất khách hàng vào tay các giải pháp tự host. Trong dài hạn, Agentjacking là một hồi chuông cảnh tỉnh cần thiết cho toàn bộ hệ sinh thái AI. Nó giống như những vụ hack DeFi năm 2020 đã buộc mọi người phải học về quản lý rủi ro. Lần này, bài học là: Trust but verify. Và nếu bạn là một developer đang dùng AI Agent để debug, hãy tự hỏi: liệu bạn có sẵn sàng để Agent đọc bất kỳ issue nào từ Sentry mà không qua kiểm tra? Bởi vì câu trả lời có thể quyết định an toàn của toàn bộ dự án của bạn. Tôi kết thúc bài viết này bằng một câu hỏi: Khi thị trường tăng, ai còn nhớ đến bảo mật? Hãy nhìn vào những con số: 2.388 tổ chức lộ DSN, 27% Fortune 1000 trong tầm ngắm, và 85% thử nghiệm thành công. Đây là thời điểm để hành động, không phải để FOMO.