AI đã được sử dụng trong các hoạt động mạng
Các chủ thể liên kết với nhà nước và tội phạm sử dụng AI đa dụng để trinh sát, dịch thuật, viết kịch bản, nội dung lừa đảo, phân tích lỗ hổng, và công việc liên quan đến mã độc. OpenAI và Microsoft đã báo cáo việc sử dụng như vậy bởi các nhóm liên kết với Trung Quốc, Nga, Iran, và Triều Tiên vào năm 2024, trong khi nói rằng họ chưa xác định được một cuộc tấn công đáng kể nào chỉ có thể xảy ra vì các mô hình của họ (tiết lộ chung của OpenAI–Microsoft).
Vào tháng 11 năm 2025, Anthropic báo cáo rằng một nhóm được nhà nước Trung Quốc tài trợ đã sử dụng Claude Code trong một chiến dịch gián điệp mạng và quy phần lớn công việc chiến thuật cho mô hình. Anthropic gọi đây là hoạt động quy mô lớn đầu tiên được ghi chép với sự can thiệp tối thiểu của con người. Bản báo cáo đó là tự báo cáo của công ty quan trọng, không phải một sự cố công khai được tái dựng độc lập: các chi tiết nhạy cảm và dữ liệu đo từ xa không có sẵn cho các nhà nghiên cứu bên ngoài, và các ước tính “80–90 phần trăm” tự động hóa phụ thuộc vào cách các nhiệm vụ được đếm (tiết lộ của Anthropic).
Báo cáo An toàn AI Quốc tế năm 2026 đạt được một kết luận đã được hiệu chỉnh: năng lực mạng đang cải thiện và kẻ tấn công đang áp dụng AI, nhưng chưa có cuộc tấn công đầu-cuối hoàn toàn tự động nào được báo cáo công khai và tác động lên tần suất tấn công tổng thể vẫn chưa rõ ràng (Báo cáo An toàn AI Quốc tế 2026).
Nơi AI có thể thay đổi quy trình làm việc
Một hoạt động mạng là một chuỗi, không phải một lệnh nhắc đơn lẻ. Kẻ tấn công xác định mục tiêu, thu thập thông tin, có được quyền truy cập, di chuyển qua mạng, nâng cao đặc quyền, né tránh phát hiện, và theo đuổi việc đánh cắp hoặc gián đoạn. AI có thể tăng tốc các phần của chuỗi này bằng cách tìm kiếm các kho mã lớn, tạo ra các biến thể, dịch tài liệu kỹ thuật, hoặc phối hợp các hành động lặp lại.
Bằng chứng năng lực vững chắc nhất liên quan đến việc phát hiện lỗ hổng. Các hệ thống AI đã tìm ra các lỗ phần mềm thực sự, và các đội trong Thử thách An ninh Mạng AI của DARPA đã sử dụng AI cùng các công cụ thông thường để phân tích và vá lỗi phần mềm mã nguồn mở (DARPA AIxCC). Việc phát hiện mang tính lưỡng dụng: một bên phòng thủ có thể vá một lỗ hổng, trong khi một kẻ tấn công có thể khai thác nó. Liệu một kết quả có cải thiện bảo mật hay không phụ thuộc vào ai tìm thấy nó trước, việc tiết lộ được xử lý như thế nào, và các hệ thống bị ảnh hưởng có thể cập nhật nhanh đến mức nào.
Các tác nhân cũng có thể làm giảm yêu cầu về kỹ năng và thời gian mà không tạo ra chuyên môn mới lạ. Một người vận hành có năng lực có thể ủy thác các nhiệm vụ con thông thường và vận hành ở quy mô lớn hơn. Một người mới có thể nhận được mã trông có vẻ hợp lý nhưng thiếu khả năng gỡ lỗi hoặc che giấu nó. Các bài đánh giá chuẩn thường sử dụng các bài tập bắt cờ sạch sẽ hoặc các lỗ hổng đã biết, vì vậy hiệu suất cao không tự động chuyển giao sang một doanh nghiệp được phòng thủ.
Vì sao hạ tầng xứng đáng nhận được sự chú ý đặc biệt
Điện, nước, viễn thông, giao thông, hệ thống y tế, và thanh toán tài chính phụ thuộc vào công nghệ kỹ thuật số và vận hành liên kết với nhau. Một số thiết bị có chu kỳ thay thế dài, ghi nhật ký hạn chế, yêu cầu tính sẵn sàng mong manh, hoặc giao thức cũ. Người vận hành có thể không thể cài đặt một bản vá thông thường mà không kiểm tra thời gian ngừng hoạt động và tác động an toàn.
Tuy nhiên, “hạ tầng trọng yếu” không dễ bị tổn thương một cách đồng đều. Một số hệ thống được phân đoạn, sử dụng điều khiển thủ công, hoặc có quy định riêng theo ngành mạnh mẽ. Nhiều sự cố bắt đầu từ những điểm yếu quen thuộc—thông tin xác thực bị đánh cắp, hệ thống kết nối internet chưa vá lỗi, quyền truy cập của nhà cung cấp, sao lưu kém, hoặc kỹ nghệ xã hội—chứ không phải một cách khai thác kỳ lạ do AI thiết kế. AI có thể làm mạnh thêm những con đường này, nhưng bảo mật cơ bản vẫn có mức độ liên quan cao.
Hậu quả cũng khác nhau. Một sự xâm phạm email doanh nghiệp khác với việc kiểm soát thiết bị vật lý. Các tuyên bố về một cuộc tấn công hạ tầng thảm khốc nên giải thích con đường từ quyền truy cập kỹ thuật số đến tổn hại vật lý, các khóa liên động an toàn liên quan, và khả năng duy trì quyền truy cập của kẻ tấn công. Việc tránh nêu chi tiết đó ở cấp độ phòng thủ có thể biến một kịch bản hợp lý thành một tiêu đề không có căn cứ.
Cán cân tấn công-phòng thủ chưa được giải quyết
Thật hấp dẫn khi nói rằng kẻ tấn công chỉ cần thành công một lần trong khi bên phòng thủ phải thành công mọi lần. Khẩu hiệu đó nắm bắt được một sự bất đối xứng nhưng bỏ lỡ những sự bất đối xứng khác. Bên phòng thủ kiểm soát kiến trúc, danh tính, việc vá lỗi, giám sát, sao lưu, và khôi phục. AI phòng thủ có thể thanh tra nhiều mã và dữ liệu đo từ xa hơn nhiều so với các đội con người, ưu tiên các cảnh báo, tìm lỗi trước khi phát hành, và tự động hóa việc khắc phục. Kẻ tấn công thường phải duy trì sự bí mật, bảo toàn quyền truy cập, và thích ứng với một môi trường mà họ không kiểm soát.
Báo cáo An toàn AI Quốc tế nói rõ ràng rằng vẫn chưa rõ liệu AI đa dụng sẽ có lợi cho kẻ tấn công hay bên phòng thủ nhiều hơn. Sự bất định đó là dự báo chính xác. Kết quả có thể khác nhau theo ngành và thời gian: tấn công có thể hưởng lợi trước từ một năng lực mới, sau đó là phòng thủ khi các công cụ và bản vá lan truyền. Các thành phần mã nguồn mở có thể lan truyền cả lỗ hổng lẫn bản sửa nhanh chóng.
Các hệ thống AI cũng tạo ra các bề mặt tấn công mới. Tiêm lệnh (prompt injection) có thể khiến một tác nhân tuân theo các chỉ dẫn độc hại được nhúng trong email, tài liệu, hoặc trang web. Quyền hạn công cụ quá mức có thể biến một lỗi mô hình thành mất dữ liệu. Chuỗi cung ứng mô hình, plugin, kho bộ nhớ, và thông tin xác thực đòi hỏi các nguyên tắc đặc quyền tối thiểu và cách ly giống như phần mềm khác—cộng thêm các bài kiểm tra mới cho hành vi đặc thù của mô hình.
Bằng chứng tốt trông như thế nào
Các tuyên bố về mạng khó quy trách nhiệm. Một công ty tình báo mối đe dọa hoặc nhà phát triển AI chỉ thấy dữ liệu đo từ xa của riêng mình và có thể có động lực thương mại. Nạn nhân có thể không tiết lộ sự cố. Kẻ tấn công có thể sử dụng nhiều mô hình và công cụ thông thường, khiến hiệu ứng biên của AI khó tách bạch.
Các bài đánh giá chuẩn có thể phóng đại năng lực thông qua sự nhiễm bẩn hoặc giàn giáo hỗ trợ phi thực tế và đánh giá thấp năng lực thông qua việc khai thác kém. Các báo cáo nên tiết lộ phiên bản mô hình, công cụ tác nhân, tính mới lạ của nhiệm vụ, sự hỗ trợ của con người, tiêu chí thành công, tỷ lệ thử lại, và liệu mục tiêu là mô phỏng hay thực tế. Việc tái lập độc lập và tiết lộ có trách nhiệm làm tăng độ tin cậy.
Quan trọng nhất, hãy tách biệt việc áp dụng đã quan sát được với tác động nhân quả. “Một kẻ tấn công đã sử dụng AI” không chứng minh rằng AI đã cho phép cuộc xâm nhập, làm tăng thiệt hại, hay thay đổi kết quả chiến dịch. Đồng thời, việc thiếu sự quy kết công khai không chứng minh sự vắng mặt. Các nhãn độ tin cậy trung thực hơn các tuyên bố phân loại.
Các biện pháp phòng thủ hoạt động trên nhiều kịch bản năng lực
Người vận hành hạ tầng nên kiểm kê tài sản và phụ thuộc, phân đoạn công nghệ vận hành, yêu cầu xác thực đa yếu tố chống lừa đảo, giảm thiểu đặc quyền thường trực, và giám sát quyền truy cập từ xa và của nhà cung cấp. Sao lưu ngoại tuyến đã kiểm tra và các quy trình khôi phục thủ công hạn chế tác động của cả tấn công do AI hỗ trợ lẫn ransomware thông thường. Việc mua sắm nên yêu cầu phát triển an toàn và xử lý lỗ hổng kịp thời.
Các tác nhân AI cần quyền hạn bị ràng buộc, thực thi cách ly, ghi nhật ký, và sự ủy quyền của con người cho các hành động không thể đảo ngược. Đầu vào từ các nguồn không đáng tin cậy nên được coi là thù địch. Các tổ chức nên kiểm thử đội đỏ đối với việc tiêm lệnh, rò rỉ thông tin xác thực, và lạm dụng công cụ trước khi kết nối các tác nhân với hệ thống sản xuất.
Các chính phủ có thể hỗ trợ chia sẻ thông tin theo ngành, các tiêu chuẩn an ninh mạng tối thiểu, tiết lộ phối hợp, phát triển lực lượng lao động, và các cuộc diễn tập bao gồm khôi phục vật lý. Các nhà phát triển mô hình có thể giám sát lạm dụng, bảo tồn bằng chứng, chia sẻ các chỉ báo một cách có trách nhiệm, và cung cấp cho người đánh giá bên ngoài có đủ trình độ quyền truy cập vào các bài kiểm tra năng lực mạng.
Kết luận đã được hiệu chỉnh
AI đã chuyển từ mức độ liên quan mạng giả định sang việc sử dụng được ghi chép. Nó có thể tự động hóa các phần có ý nghĩa của hoạt động và cải thiện việc phát hiện lỗ hổng. Bằng chứng công khai mạnh nhất chưa cho thấy các chiến dịch mạng đầu-cuối hoàn toàn tự chủ, cũng không xác lập được rằng tấn công sẽ vượt qua phòng thủ trong tương lai gần.
Rủi ro nghiêm trọng vì năng lực có thể mở rộng quy mô, hạ tầng chứa các điểm yếu dai dẳng, và các tác nhân có thể hành động nhanh hơn sự rà soát của con người. Cơ hội cũng cụ thể không kém: cùng các hệ thống đó có thể tìm và sửa lỗ hổng. Chính sách nên đo lường kết quả, tăng cường độ bền hệ thống, và bảo toàn quyền truy cập phòng thủ thay vì coi một cán cân tấn công-phòng thủ còn gây tranh cãi như một quy luật đã được ấn định.