GTIG AI Threat Tracker: từ một prompt đến hàng nghìn thông tin đăng nhập trong sáu giờ

Google Threat Intelligence Group đã công bố ấn bản quý 2 năm 2026 của AI Threat Tracker vào ngày 8 tháng 9 năm 2026. Vụ việc trọng tâm của báo cáo đủ ngắn để nói thẳng: một tác nhân bị nghi có động cơ tài chính đã lấy một tài nguyên đám mây thuộc về một nạn nhân, đưa một lời nhắc và một bộ hướng dẫn tác tử viết sẵn vào một chatbot lập trình AI, rồi thu thập được hàng nghìn thông tin xác thực của bên thứ ba trong dưới sáu giờ, trong khi tác tử tự quản lý việc quét lỗ hổng, xử lý sự cố và luân chuyển IP. Báo cáo tương tự mô tả các máy chủ MCP bị cài trojan trên PyPI, một trình đánh cắp thông tin xác thực đánh cắp danh tính của chính một hệ thống build để các gói bị cài cửa hậu của nó đến với các chứng thực SLSA Build 3 hợp lệ, được ký bằng mật mã, và văn bản đối kháng nhằm khiến các trình quét bảo mật dựa trên LLM từ chối đọc đoạn mã bên dưới nó. Tất cả đều là tường thuật của Google về dữ liệu telemetry của chính họ. Báo cáo này được lập danh mục, cùng với mức độ tin cậy và các nguồn được trích dẫn, trong kho lưu trữ sự cố AI, nơi lưu giữ mọi sự cố khác được ghi nhận trong loạt bài này cùng với nó.

Không có tuyên bố thực chất nào được xác minh bởi một bên không phải chỉ đang nhắc lại Google. Help Net Security đưa tin về công cụ theo dõi này vào đúng ngày công bố, Cloud Security Alliance đã công bố một ghi chú nghiên cứu vào ngày hôm sau, và Lineaje đã công bố một phân tích DUSTMAKER vào ngày 17 tháng 9; mỗi nguồn là một bản tóm tắt hoặc một lớp phân tích chồng lên thông tin công bố của Google, và chính Lineaje cũng nói như vậy, lưu ý rằng GTIG "mô tả một số năng lực DUSTMAKER có liên quan chứ không phải một dấu vết thực thi đầu-cuối duy nhất được quan sát." Nguồn thứ hai được trích dẫn cùng với bản ghi này, một mục "threat pulse" của threatops.tech đề ngày 11 tháng 9 năm 2026, là một bản nhắc lại chứ không phải một nhân chứng thứ hai: nó không bổ sung thông tin đưa tin nào, không phản bác số liệu nào, và nâng nhãn mức độ nghiêm trọng mà không giải thích nó được đo dựa trên cơ sở nào. Các nguồn đưa tin thậm chí không hoàn toàn thống nhất ngay cả về tên của ấn bản — Help Net Security gọi đây là công cụ theo dõi Q3 2026 trong khi định ngày cho trường hợp chính của nó là Q2 2026 — đó là sự khác biệt về cách đánh số, không phải xung đột về mặt sự kiện.

Hồ sơ lưu trữ xếp mục này là một báo cáo chứ không phải một sự cố: mức độ tin cậy A, không bị tranh cãi, không có con số thiệt hại thực tế được định lượng nào được ghi nhận cho mục này. Cách xếp hạng đó mô tả chất lượng tài liệu, không phải quy mô thiệt hại. Google đếm thông tin đăng nhập, không đếm nạn nhân. Công cụ theo dõi không cho biết có bao nhiêu tổ chức bị cuốn vào chiến dịch kéo dài sáu giờ, họ là ai, chatbot nào đã được sử dụng, hoặc liệu có thông tin đăng nhập bị đánh cắp nào sau đó bị bán hoặc sử dụng hay không.

Sáu giờ mà GTIG mô tả, và ba nhiệm vụ mà đặc vụ đã tự thực hiện một mình

Chuỗi sự kiện trong báo cáo diễn ra từ khâu truy cập đến kết quả cuối cùng với rất ít sự tham gia của con người ở giữa. Kẻ tấn công đã xâm phạm một tài nguyên đám mây, sau đó sử dụng một chatbot lập trình AI thương mại cùng với thứ mà GTIG gọi là “một prompt” và “một bộ hướng dẫn cho agent” — những playbook markdown hiện nằm trong các kho lưu trữ dưới dạng tệp AGENTS.md — để lập kế hoạch, xây dựng và vận hành chiến dịch. Cách chính Google mô tả kết quả này là “một chiến dịch thu thập thông tin xác thực hàng loạt được agent hỗ trợ”, hoàn tất “trong chưa đầy sáu giờ”.

Ba tác vụ được mô tả là tự chủ, và chúng là ba tác vụ mà nếu không thì sẽ cần đến sự chú ý của người vận hành:

• Quy trình quét lỗ hổng bảo mật, thứ mà các hướng dẫn dành cho tác nhân cho phép AI “tự chủ quản lý”, theo cách diễn đạt mà Help Net Security trích dẫn từ GTIG.

• Khắc phục sự cố theo thời gian thực với bất cứ điều gì mà quá trình quét phát hiện, nhờ đó một lỗi không khiến lượt chạy bị đình trệ để chờ quyết định.

• Luân chuyển IP, để các lần thử liên tiếp xuất phát từ những địa chỉ khác nhau mà không cần ai ra lệnh.

Nơi hoạt động diễn ra quan trọng không kém tốc độ thực hiện. Bằng cách vận hành từ chính hạ tầng đám mây của nạn nhân, tác nhân đã định tuyến lưu lượng qua các dải IP hợp lệ của nạn nhân. Những yêu cầu trông như thể đến từ bên trong một tổ chức chính là những yêu cầu mà các hệ thống phòng thủ dựa trên danh tiếng ít có khả năng đặt nghi vấn nhất, và báo cáo ghi nhận đó là hệ quả của việc vận hành từ chính hạ tầng của nạn nhân.

Điều báo cáo không chứa cũng có ý nghĩa không kém điều nó chứa. Không có thời gian cho từng bước, nên "dưới sáu giờ" là một phép đo duy nhất cho toàn bộ lần chạy và không thể tách thành biểu đồ. Không có tên cho đối tượng ngoài "bị nghi có động cơ tài chính", không có nạn nhân, và không có tuyên bố về việc mô hình nào hoặc chatbot của nhà cung cấp nào có liên quan. Công cụ theo dõi coi vụ việc là một ví dụ minh họa cho một xu hướng, và nó được viết ở tầm độ phục vụ mục đích đó thay vì tầm độ mà một người ứng phó sự cố muốn có.

Một máy chủ bị lộ đã phát triển thành bảng điều khiển chứa 23.800 bí mật

Một phát hiện thứ hai trong cùng mục này cụ thể hơn, và đây là một trường hợp riêng. GTIG đã phát hiện một máy chủ chỉ huy và điều khiển bị lộ đang lưu trữ một framework trinh sát tự động và quản lý thông tin xác thực mà họ gọi là Recon. Danh sách thư mục đọc được và để lộ thiết kế: AGENTS.md, KNOWLEDGE.md, agentic_vuln_research.md, cùng với một thư mục .openclaw/ dạng mô-đun và một thư mục memory/. Những tên tệp đó là dấu vân tay của một agent stack chứ không phải một implant may đo riêng — các chỉ dẫn, kiến thức tích lũy và một kế hoạch nghiên cứu, tất cả nằm trên đĩa nơi công cụ của người vận hành có thể đọc chúng.

Cùng thư mục đó, về sau, đang được dùng làm bảng điều khiển frontend đang hoạt động để tổ chức và xác thực hơn 23.800 thông tin bí mật đã thu thập được, bao gồm khóa API cho các dịch vụ đám mây và AI. GTIG mô tả sự thay đổi mà điều này đại diện là bước chuyển "từ infostealer thụ động, tập trung vào thiết bị đầu cuối sang hoạt động thu thập tự chủ mang tính tấn công" — nghĩa là, từ phần mềm độc hại lấy những gì có thể từ một máy tính xách tay sang công cụ tiếp tục khai thác các mục tiêu mà nó đã tiếp cận được.

Có hai lưu ý đi kèm với con số đó. Hai mươi ba nghìn tám trăm là số lượng bí mật, không phải số người hay số công ty, và báo cáo không quy đổi cái này sang cái kia. Và GTIG không nêu rõ liệu máy chủ Recon và chiến dịch kéo dài sáu giờ có phải là cùng một hoạt động hay không; chúng được trình bày như những quan sát riêng biệt trong cùng một mục, nên việc coi chúng là một câu chuyện duy nhất sẽ là một suy luận mà báo cáo không đưa ra.

DUSTMAKER và chứng thực xác nhận đúng rằng gói hàng là hàng chính hãng

Phần chuỗi cung ứng của trình theo dõi liên quan đến UNC6780, nhóm mà Google cũng theo dõi dưới tên TeamPCP, một nhóm có động cơ tài chính đã xâm phạm hạ tầng mã nguồn mở từ tháng 3 năm 2026 trên PyPI, npm và Docker Hub. Phương thức của nhóm với công cụ AI rất trực tiếp: các tài khoản nhà phát triển bị xâm phạm được dùng để phát hành các bản fork bị cài mã độc của các máy chủ MCP hợp pháp, với tiktoken_mcp được nêu làm ví dụ trên PyPI, và mã độc đã được chèn vào các kho chính thức của tổ chức, bao gồm azure-functions-mcp-extension. GTIG lưu ý rằng các payload và hook workspace độc hại sau đó được tự động nạp vào mỗi khi các tài sản được tải xuống hoặc sao chép — không có mồi riêng, không có bước thứ hai.

Công cụ đánh cắp thông tin xác thực của nó, DUSTMAKER, là nơi chứa điểm kỹ thuật hữu ích nhất của báo cáo. Chuỗi tấn công ngắn. Trình đánh cắp phát hiện rằng nó đang chạy trong môi trường CI/CD; GTIG viết rằng “nếu được xác nhận”, nó trích xuất token OIDC từ bộ nhớ tiến trình của một GitHub Actions runner. Nó dùng các token đó để tự uỷ quyền làm nhà phát hành đáng tin cậy. Sau đó, nó phát hành các phiên bản gói bị xâm phạm mang các chứng thực SLSA Build 3 hợp lệ, được ký bằng mật mã. Không có gì trong chuỗi đó bị làm giả. Chứng thực là thật, được cấp cho một danh tính thật, cho một bản dựng thực sự đã diễn ra — của mã do kẻ tấn công viết. Kết luận của GTIG là câu quan trọng đối với bất kỳ ai dựa vào nguồn gốc xuất xứ: “Các gói được phát hành với token hợp lệ sẽ vượt qua các kiểm tra tin cậy tự động của tác nhân lập trình AI.”

Phần còn lại trong hành vi của DUSTMAKER nhắm vào những nơi mà bên phòng thủ không để ý. Nó thả và sửa đổi các tệp bên trong thư mục workspace của trợ lý lập trình AI và IDE — .claude/, .vscode/, .cursor/ — nơi nó hòa lẫn vào sự hỗn tạp của lập trình viên và tránh các vị trí mà phát hiện endpoint thực sự giám sát, chẳng hạn như khóa registry Windows hoặc /etc/cron.*. Nó ghi cấu hình khiến IDE hoặc tiện ích AI chạy một script như setup.mjs khi workspace mở ra, biến việc mở một thư mục thành thực thi mã. Nó tạo các tác vụ pipeline với tên mang chủ đề AI như "Copilot Setup" để truy tìm token, và phát các lệnh gọi API để xóa nhật ký thực thi workflow nhằm khiến lần chạy không xuất hiện trên giao diện GitHub.

Mã độc yêu cầu trình quét nhìn đi chỗ khác

Cơ chế cuối cùng là cơ chế ít được xác minh nhất trong số ba. Các tập lệnh trình tải JavaScript của DUSTMAKER mở đầu bằng văn bản lời nhắc đối kháng được nhúng dưới dạng chú thích — trong _index.js cùng một số tệp khác — đề cập đến vũ khí sinh học và hạt nhân, đồng thời bao gồm yêu cầu về đặc tả cho một thiết bị phân hạch kiểu nổ ép 20 kiloton. Đánh giá của GTIG là điều này "có khả năng đã được chủ ý nhằm khiến các trình quét bảo mật LLM thất bại hoặc bỏ qua việc phân tích mã JavaScript độc hại bên dưới do từ chối vì lý do an toàn hoặc chính sách."

Nhãn gắn cho câu đó rất quan trọng. Đó là một phát biểu về ý định, được suy ra từ văn bản mà loader mang theo, chứ không phải minh chứng rằng có scanner nào thực sự đã từ chối. Báo cáo không nêu tên scanner nào đã bỏ qua tệp, không báo cáo tỷ lệ vượt qua và không nói rằng kỹ thuật này đã thành công. Điều được xác lập là ai đó đã viết mồi nhử và phát tán nó bên trong một credential stealer — bản thân điều đó là bằng chứng cho thấy những kẻ tấn công kỳ vọng quy trình sàng lọc dựa trên LLM sẽ nằm trên đường xử lý.

UNC6508, MIDNIGHT NEPTUNE và CALANQUE ION nằm trong cùng một báo cáo

Tài liệu liên quan đến nhà nước của công cụ theo dõi rộng hơn tài liệu về tội phạm của công cụ này, và phần lớn ít tự động hóa hơn. UNC6508, một nhóm gắn với CHND Trung Hoa, đã tiến hành chiến dịch gián điệp nhiều năm nhằm vào nghiên cứu học thuật, y tế và quân sự ở Bắc Mỹ và hiện đặc biệt nhắm mục tiêu vào nghiên cứu AI độc quyền; GTIG nghi ngờ nhóm này xâm nhập môi trường đám mây để triển khai các mô hình open-weight cục bộ, qua đó tránh bị giám sát API thương mại và tận dụng chính năng lực tính toán của nạn nhân.

Ở những nơi khác, mô thức là các mô hình có sẵn thực hiện công việc thông thường ở quy mô lớn. Của Triều Tiên: MIDNIGHT NEPTUNE, trước đây là UNC1069, đã dùng DeepSeek-Coder để viết trojan truy cập từ xa bằng Python với khả năng duy trì dai dẳng đa nền tảng và tiêm mã vào tiến trình, dùng LLM cho các script Bash di chuyển ngang, vận hành các nhân vật kỹ thuật xã hội và mồi nhử kỹ thuật, đầu độc cấu hình kho lưu trữ nội bộ, sửa đổi hook Claude CLI, và triển khai cửa hậu SOMBERMEME khi một nhà phát triển tương tác với kho lưu trữ. Của Iran: CALANQUE ION, trước đây là APT42, đã dùng các mô hình để xác định địa chỉ email mục tiêu, chạy OSINT, bản địa hóa mồi nhử, tóm tắt dữ liệu bị rút trích và cố gắng dịch ngược mã cấp phép. Nhóm liên quan Trung Quốc: BASIN CASTLE đã dùng Gemini để lập hồ sơ mục tiêu, dịch tài liệu tiếng Trung sang báo cáo chính trị tiếng Anh trang trọng và khắc phục sự cố PowerShell; RAVINE CASTLE đã nghiên cứu cách vượt qua SAML của VMware vCenter và khai thác sau xâm nhập Active Directory bằng nó; Của Nga: SANDWORM RELIC đã để Gemini viết mã phun mật khẩu của mình. Vì động cơ tài chính: UNC6240, còn được theo dõi với tên ShinyHunters, đã dùng lời nhắc Claude Code để viết mã bị làm rối, vượt qua Cloudflare và phân tích các thư mục bị rút trích thông qua các công cụ MCP tùy chỉnh.

Một trường hợp trong phần này đi xa hơn một bước so với những trường hợp còn lại. Một nhóm có liên hệ với Trung Quốc đã sử dụng Gemini để thiết kế một khung kiểm thử xâm nhập tự động, linh hoạt nhằm quan sát trạng thái của mục tiêu, suy luận về bước tiếp theo cần làm, và thực hiện quét cổng và phân tích dịch vụ. Google cho biết đã có hành động rộng hơn đối với các chiến dịch mà mình xác định được, vô hiệu hóa các tài sản, dự án và tài khoản liên quan. Riêng biệt, vào tháng 6 năm 2026, Google đã triệt phá "Outsider Enterprise," một dịch vụ tội phạm mạng có trụ sở tại Trung Quốc chuyên cung cấp bộ công cụ lừa đảo, và mô tả đó là lần đầu tiên hãng theo đuổi hành động pháp lý liên quan đến việc lạm dụng Gemini. Đó là hai phát biểu riêng biệt, và một bản tóm tắt hợp nhất chúng sẽ nói nhiều hơn báo cáo: khung kiểm thử xâm nhập thuộc về ngôn từ về việc vô hiệu hóa tài sản, còn hành động pháp lý thuộc về Outsider Enterprise.

LLMJacking, và một tài khoản AI bị đánh cắp hiện nay tốn bao nhiêu

Công cụ theo dõi cũng định giá thị trường xung quanh quyền truy cập AI bị đánh cắp. Nhu cầu ngầm tập trung vào thông tin đăng nhập Claude và Gemini, cùng với các IDE lập trình tự trị Cursor Pro và Devin, sản phẩm sau do Cognition tạo ra, và giá trung bình trên thị trường cho mỗi tài khoản đã tăng hơn gấp đôi trong năm 2026. Các infostealer thực hiện việc thu thập — LUMMAC.V2, STEALC.V2, VIDAR và ACRSTEALER — đã được cập nhật để nhắm vào cấu hình của nhà phát triển AI. Vào tháng 5 năm 2026, những kẻ điều khiển ACRSTEALER đã tung ra các quy tắc thu thập tệp cho secrets.json của Cline và config.yaml của Continue AI, cả hai đều có thể chứa khóa API dạng văn bản thuần và các điểm cuối định tuyến mô hình tùy chỉnh.

Một vụ xâm nhập mà GTIG mô tả cho thấy một tài khoản AI đáng giá ra sao sau khi bị chiếm đoạt. Vào tháng 4 năm 2026, một personal access token GitHub bị lộ đã đủ để kích hoạt Gemini Enterprise, cấp phát tài nguyên tính toán hiệu năng cao, tạo các repository Docker cho việc triển khai API LiteLLM và framework tác nhân Manus, đồng thời dựng các dịch vụ Cloud Run được mở cho allUsers thông qua một ràng buộc invoker IAM. Cùng phiên đó đã tạo một tài khoản dịch vụ trái phép có quyền Editor và xuất các khóa của tài khoản này, truy vấn BigQuery để tìm biến môi trường và thông tin xác thực, cố gắng chuyển quyền sở hữu dự án cho một địa chỉ bên ngoài, và sử dụng Cloud Quotas API để yêu cầu công suất NVIDIA RTX 6000 cùng các instance 48-vCPU bổ sung.

Bức tranh trích xuất mô hình cũng mang logic kinh tế tương tự ở quy mô lớn hơn. GTIG cho biết các chiến dịch chưng cất giờ đây diễn ra thường xuyên, {{1}}một số vượt quá 100 triệu lời nhắc,{{/1}} với các truy vấn được luân chuyển qua hàng nghìn tài khoản bị xâm phạm và gian lận rồi được định tuyến qua hạ tầng proxy, và rằng Google đã triển khai các biện pháp đối phó có thể làm giảm hiệu suất của mô hình học trò cùng các phương pháp nhận diện mô hình được chưng cất từ Gemini dựa trên nguồn gốc.

Điều gì đã được xác lập, điều gì là đánh giá, và điều gì GTIG nói rằng họ chưa thấy

Được xác lập, theo nghĩa rằng Google đang mô tả dữ liệu telemetry bên thứ nhất của chính mình và các hành động trên tài khoản của chính mình: báo cáo và ngày của báo cáo; các tạo tác mà họ nói đã quan sát được, bao gồm tên gói, tên tệp của trình tải, tên thư mục và bảng điều khiển chứa 23.800 bí mật; và các bước gây gián đoạn mà Google nói đã thực hiện, điều mà họ có thể chứng thực vì việc vô hiệu hóa một tài khoản là việc họ làm chứ không phải việc họ suy ra. Help Net Security, Cloud Security Alliance và Lineaje đều đưa tin về những mục đó mà không có mâu thuẫn, mặc dù không bên nào trong số họ đưa ra bằng chứng độc lập của riêng mình.

Đánh giá, theo nghĩa đây là một phán đoán mà Google đang đưa ra: mọi quy kết quốc gia-nhà nước trong báo cáo; cách hiểu mồi nhử từ chối là có chủ ý; và tuyên bố rằng các token bị đánh cắp sẽ vượt qua “các kiểm tra tin cậy tự động của tác nhân lập trình AI”, vốn là một phát biểu về cách những kiểm tra đó thường được xây dựng chứ không phải là phép đo một sản phẩm cụ thể thất bại một kiểm tra như vậy.

Chưa xác định được: danh tính của tác nhân sáu giờ, các nạn nhân và số lượng của họ, chatbot và mô hình liên quan, và liệu máy chủ Recon có được kết nối với chiến dịch đó hay không.

Và mức trần của chính báo cáo thấp hơn những gì tiêu đề của nó gợi ý. GTIG tuyên bố rằng họ chưa quan sát thấy các chuỗi khai thác hoàn toàn tự động trong môi trường thực tế, và đánh giá rằng việc đối thủ sử dụng "có thể đang tiến hóa theo hướng kịch bản sử dụng này." Sự phân chia nằm bên trong cuộc tấn công chứ không phải xung quanh nó: con người cung cấp mục tiêu, lời nhắc và tệp chỉ dẫn; tác nhân cung cấp việc quét, khắc phục sự cố và xoay vòng, và không dừng lại để xin phép. Đọc kỹ thì chiến dịch kéo dài sáu giờ không phải bằng chứng cho thấy tự chủ đã đến. Đó là bằng chứng cho thấy phần việc do con người đảm nhận đã thu hẹp lại còn phần đòi hỏi con người — quyết định làm gì — trong khi mọi thứ giữa quyết định và kết quả tự vận hành.

Google nói đã thay đổi những gì, và biện pháp kiểm soát mà báo cáo thực sự hướng tới

Phản hồi được Google nêu rõ diễn ra theo hai hướng. Về hành vi lạm dụng, họ cho biết các hoạt động "đã kích hoạt các phản hồi an toàn của Gemini", rằng họ đã thực hiện "hành động bổ sung, rộng hơn" nhằm vào các chiến dịch dựa trên những thất bại về bảo mật vận hành của các tác nhân, rằng họ đã vô hiệu hóa các tài sản, dự án và tài khoản liên quan, và rằng Google DeepMind đã sử dụng các phát hiện để tăng cường các bộ phân loại và chính mô hình để nó từ chối những yêu cầu này. Về phòng thủ, họ đã triển khai Google AI Threat Defense, kết hợp Gemini và các mô hình tiên phong với ưu tiên rủi ro của Wiz, khắc phục bằng Gemini và CodeMender, cùng thông tin tình báo của Mandiant, sử dụng các mô hình nhẹ hơn để quét liên tục và các mô hình tiên phong cho các phát hiện rủi ro cao; họ cũng giới thiệu Gemini 3.8 Flash Cyber để phát hiện lỗ hổng và vá tự động, đồng thời công bố hướng dẫn tăng cường chuỗi cung ứng mã nguồn mở.

Bản vá cụ thể mà vụ DUSTMAKER đòi hỏi hẹp hơn chồng giải pháp đó, và các phân tích bên ngoài đều hội tụ về nó. Chứng thực SLSA trả lời liệu một gói có được xây dựng bởi danh tính mà nó tuyên bố hay không. Nó không trả lời liệu danh tính đó còn thuộc về bên mà bạn định tin tưởng hay không, và toàn bộ phương pháp của DUSTMAKER là mượn một danh tính thay vì làm giả một danh tính. Bản tóm tắt của Lineaje về sự dịch chuyển nền tảng là phát biểu gọn gàng nhất về điều đó: "Nội dung kho mã trở thành thẩm quyền thực thi." Tên gói, tên máy chủ MCP, huy hiệu chứng thực và tệp chỉ dẫn bên trong một kho mã giờ đây đều xuất hiện kèm một yêu cầu nào đó đòi được tuân theo, và chính token OIDC bị đánh cắp là thứ khiến yêu cầu đó trông như đã được xác minh.