727 FinanceMicrosoft công bố báo cáo ngày 30/10 cho biết 3 trong số 8 nhóm hacker Triều Tiên mà hãng theo dõi đã tích hợp sâu AI vào toàn bộ vòng đời tấn công, đạt mức cao nhất trong mô hình trưởng thành của mình; một số nhóm tạo hàng loạt mồi lừa đảo PDF tùy chỉnh trong vài phút và sử dụng công cụ lập trình AI để viết mã độc và ngụy tạo danh tính nhằm xâm nhập doanh nghiệp.
Tác giả: TechFlow
Giới thiệu TechFlow: Đối đầu mạng đang bị AI tạo sinh định hình lại hoàn toàn. Ngày 30 tháng 10, bộ phận tình báo mối đe dọa của Microsoft đã công bố một báo cáo quan trọng, hệ thống hóa việc tiết lộ xu hướng nghiêm trọng của các nhóm hacker Triều Tiên trong việc mở rộng sử dụng AI. Trong số 8 nhóm được giám sát, 3 nhóm đã tích hợp sâu AI vào toàn bộ quy trình xâm nhập hàng ngày.
Từ việc tạo hàng loạt mồi lừa đảo PDF tùy chỉnh trong vài phút, đến việc sử dụng các công cụ lập trình AI để hỗ trợ viết mã độc, hiệu quả vận hành và khả năng tàng hình của kẻ tấn công đã đạt bước nhảy vọt về cấp độ. Đáng lo ngại hơn, các chuỗi tuyển dụng giả và ngụy trang danh tính đang được AI trau chuốt, khiến các hệ thống phòng thủ truyền thống khó lòng chống đỡ.
Mặc dù Microsoft đánh giá rằng các nhóm liên quan vẫn chưa đạt được vòng tấn công tự động hoàn toàn, nhưng việc thực tế gọi các khung xâm nhập AI mã nguồn mở đã báo hiệu sự xuất hiện của chiến tranh mạng thông minh. Sự chuyển dịch trong mô hình tấn công-phòng thủ này đặt ra những thách thức mới toàn diện cho các doanh nghiệp toàn cầu trong phòng thủ điểm cuối, sàng lọc chuỗi cung ứng và kiểm toán thông tin xác thực.
Theo [Yonhap News Agency](https://www.yna.co.kr/view/AKR20261030112900017?input=tw" \t "https://www.techflowpost.com/article/_blank), bộ phận tình báo mối đe dọa của Microsoft đã chính thức công bố một báo cáo nghiên cứu đặc biệt, trình bày chi tiết xu hướng mới nhất trong việc mở rộng sử dụng AI của các nhóm hacker Triều Tiên, bao gồm nhiều khía cạnh như tấn công lừa đảo, ngụy trang danh tính, tạo mã độc và đầu độc chuỗi cung ứng phần mềm.
Microsoft đã tiến hành lập hồ sơ năng lực một cách hệ thống đối với 8 nhóm hacker Triều Tiên lớn đang hoạt động. Đáng báo động là 3 trong số đó đã hoàn thành việc tích hợp sâu các công cụ AI với quy trình tấn công hàng ngày, đạt mức cao nhất trong mô hình trưởng thành ứng dụng AI cho mối đe dọa mạng của Microsoft.
Điều tra cho thấy sự tham gia của AI không còn giới hạn ở chứng minh khái niệm ngoại vi, mà bao phủ toàn diện toàn bộ chuỗi từ trinh sát giai đoạn đầu, lừa đảo kỹ thuật xã hội, ngụy trang danh tính, viết phần mềm độc hại, đến đầu độc chuỗi cung ứng phần mềm, đánh dấu sự chuyển đổi về chất thông minh trong chiến thuật và kỹ thuật của các nhóm APT quốc gia.
Ở cấp độ kỹ thuật xã hội, AI đã phá vỡ hoàn toàn các rào cản ngôn ngữ và văn hóa trong các cuộc tấn công xuyên biên giới trước đây. Báo cáo nhấn mạnh rằng từ tháng 8 đến tháng 9 năm nay, một nhóm nhất định đã nhắm mục tiêu cụ thể vào nhân khẩu học Hàn Quốc và tập trung sản xuất hơn 100 tài liệu mồi lừa đảo PDF có độ tùy chỉnh cao.Dựa vào khả năng tạo văn bản và sắp chữ của các mô hình ngôn ngữ lớn, kẻ tấn công có thể tạo ra hàng chục mồi nhử mới liên tiếp chỉ trong vài phút ở một số kịch bản thực tế. Những tài liệu giả mạo này cực kỳ chân thực về cách diễn đạt ngữ pháp, định dạng văn bản chính thức và các chi tiết ngữ cảnh, làm tăng mạnh tỷ lệ nhấp chuột và xác suất lây nhiễm của nạn nhân.
Khả năng sản xuất hàng loạt mồi nhử ở quy mô công nghiệp này đã đưa chi phí biên của các cuộc tấn công lừa đảo xuống gần bằng không. Các cổng bảo mật truyền thống dựa trên chữ ký tệp tĩnh và khớp từ khóa đang đối mặt với tình thế tiến thoái lưỡng nan chưa từng có về tỷ lệ âm tính giả và không thể nhận diện khi đối đầu với vô số mồi nhử do AI biến đổi mà không có mẫu lặp lại.
Ngoài tài liệu mồi nhử, AI còn được sử dụng rộng rãi trong tuyển dụng giả mạo và ngụy trang danh tính. Tin tặc sử dụng mô hình để làm giả sơ yếu lý lịch nhằm xâm nhập vào các công ty công nghệ. (Để biết thêm chi tiết, bài đọc gợi ý: "[US Treasury Cracks Down on North Korean Crypto Money Laundering: Sanctions 10 Individuals and 1 Entity](https://www.techflowpost.com/article/34955" \t "https://www.techflowpost.com/article/_blank)")
Ở cấp độ tấn công-phòng thủ mã, Microsoft quan sát thấy các nhóm tấn công có thể đang sử dụng các trợ lý lập trình AI phổ biến như Cursor để tăng tốc mạnh mẽ việc viết logic nền của phần mềm độc hại và gỡ lỗi né tránh diệt virus. Sự phổ biến của các công cụ không chỉ nén ngắn chu kỳ phát triển mà còn xóa nhòa thói quen viết mã cá nhân của tin tặc.
Hơn nữa, Onyx Sleet và Pearl Sleet, các nhóm tinh nhuệ thuộc Tổng cục Trinh sát của Triều Tiên, đã được xác nhận từ cuối tháng 10 đã triển khai khung kiểm thử xâm nhập AI mã nguồn mở ARTEX vào các hoạt động tiền tuyến, sử dụng thành tựu đội đỏ từ hệ sinh thái mã nguồn mở để tiến hành trinh sát tự động nhằm vào các mạng mục tiêu.
Bất chấp chuỗi công cụ của kẻ tấn công ngày càng sắc bén, Microsoft cũng đưa ra một ranh giới đánh giá tương đối lý tính trong báo cáo. Các chuyên gia chỉ ra rằng các nhóm tin tặc Triều Tiên hiện tại chưa sở hữu năng lực đạt được các cuộc tấn công hoàn toàn tự chủ, và AI ở giai đoạn này vẫn đóng vai trò cốt lõi là hệ số nhân hiệu quả và đồng phi công.
Nhưng điều này không có nghĩa là ngành bảo mật có thể tự mãn. Từ việc thủ công tạo các kịch bản điểm đơn lẻ đến hợp tác người-máy để phát động các cuộc tấn công có mục tiêu phức tạp hàng loạt, cửa sổ thời gian ở cả hai phía tấn công và phòng thủ đang bị nén mạnh mẽ. Các nhà phòng thủ phải nhanh chóng chuyển từ phản ứng thụ động truyền thống sang giám sát động dựa trên phân tích hành vi AI.
Với sự tiến hóa tiếp tục của các mô hình lớn mã nguồn mở và công nghệ suy luận trên thiết bị, các cuộc đột kích mạng nhằm vào cơ sở hạ tầng trọng yếu và hệ thống tài chính tiền mã hóa sẽ trở nên thường xuyên hơn. Các tổ chức toàn cầu cần khẩn trương tăng cường phòng thủ trong kiểm toán chuỗi cung ứng, nhận thức bảo mật của nhân viên và xác thực đa yếu tố để đối phó với cơn bão mạng thông minh sắp tới.