Báo cáo AI năm 2026 của Mandiant: hóa đơn 50.000 USD của một tác nhân AI mất kiểm soát và các cuộc xâm nhập có sự hỗ trợ của AI

của MandiantAI Risk and Resilience 2026, được công bố trên Google Cloud vào tháng 9 năm 2026 và được Help Net Security, The Hacker News và SecurityBrief đưa tin trong cùng tuần, mô tả ba vụ việc trong đó AI là cơ chế chứ không phải mục tiêu: một phiên trợ lý lập trình AI bị chiếm đoạt đã lây lan Shai-Hulud worm trên khắp khoảng 100 kho lưu trữ nội bộ tại một nhà cung cấp phần mềm dưới dạng dịch vụ không nêu tên; một thông tin xác thực CI/CD bị xâm phạm mà kẻ xâm nhập đã biến thành một trung tâm tấn công có AI hỗ trợ bên trong một công ty chăm sóc sức khỏe, rút trộm hàng nghìn thông tin xác thực; và một tác nhân kế toán đã làm phát sinh khoảng $50,000 chi phí đám mây trong chưa đầy một giờ sau khi một giá trị null bị lỗi làm hỏng một trong những công cụ của nó, khóa cơ sở dữ liệu thanh toán và dừng các giao dịch trực tiếp. Không có kẻ tấn công nào tham gia vào trường hợp thứ ba. Hồ sơ mà bài viết này dựa trên, cùng các mục được ghi xung quanh đó, nằm trong kho lưu trữ sự cố AI, trong đó ghi lại nguồn, mức độ nghiêm trọng, mức độ tin cậy và cờ tranh chấp của riêng từng mục.

Đây là loại tài liệu gì

Báo cáo có tiêu đề "AI risk and resilience in 2026: A Mandiant special report" trên trang tài nguyên bảo mật của Google Cloud, và đây là ấn phẩm của nhà cung cấp chứ không phải công bố về một vụ xâm nhập. Các nghiên cứu tình huống của báo cáo đến từ các hợp đồng ứng phó sự cố của Mandiant và từ các đánh giá của nhóm Offensive Security thuộc Mandiant, và các tổ chức chỉ được nhận diện theo lĩnh vực: một nhà cung cấp phần mềm dưới dạng dịch vụ, một tổ chức y tế toàn cầu, một nhà cung cấp dịch vụ tài chính doanh nghiệp toàn cầu. Không có nạn nhân nào được nêu tên, không có vụ xâm nhập nào được ghi ngày tháng, và không có tuyên bố của nạn nhân nào đi kèm với bất kỳ trường hợp nào trong ba trường hợp trên.

Điều đó định hình cách đọc các con số. Mọi con số trong đó đều bắt nguồn từ chính các điều tra viên của Mandiant. Ghi chú Frontier Ready ngày 16 tháng 9 của Cloud Security Alliance gọi khoản phí khoảng 50.000 đô la và khối lượng 15.000 cuộc gọi là "self-reported (provider metric)" và nói rằng chúng "have not been independently verified" — một mô tả công bằng cho toàn bộ báo cáo, vốn không công bố dữ liệu đo từ xa của bên thứ ba nào để đối chiếu. Kho lưu trữ ghi mục này như một hồ sơ thông tin, một báo cáo chứ không phải một sự cố có ghi nhận thiệt hại, và chấm mức độ tin cậy A mà không đánh dấu là đang tranh chấp; mức đó nói lên báo cáo được ghi chép đầy đủ đến đâu, chứ không nói việc liệu một bên ngoài đã xác nhận nội dung của nó hay chưa.

Cách chính báo cáo đặt vấn đề là vào năm 2026, các đối thủ đã chuyển từ việc hỏi chatbot để nghiên cứu sang để các hệ thống tác nhân đảm nhận một phần của một vụ xâm nhập. Mandiant cho biết Google Threat Intelligence Group đã quan sát thấy các tác nhân triển khai công cụ tự động, bao gồm Hexstrike và Strix, để trinh sát và thu thập thông tin đăng nhập, đồng thời xây dựng các relay proxy và pipeline đăng ký tự động để lách rào chắn và giới hạn thanh toán trên các nền tảng AI thương mại. Báo cáo dẫn chứng việc vũ khí hóa các kỹ năng tác nhân OpenClaw vào tháng Hai mà VirusTotal đã ghi nhận, các vụ xâm phạm chuỗi cung ứng vào tháng Ba mà Mandiant quy cho tác nhân mà họ theo dõi với mã UNC6780 và những bên khác theo dõi với mã TeamPCP, và một công bố vào tháng Năm mà GTIG mô tả là trường hợp được xác nhận công khai đầu tiên về một tội phạm mạng sử dụng khai thác zero-day do AI phát triển, một khai thác đã vượt qua xác thực hai yếu tố trong một công cụ quản trị mã nguồn mở phổ biến.

Trường hợp một: trợ lý đã đề xuất gói này

Trong trường hợp đầu tiên, kẻ tấn công đã xâm phạm một nhà cung cấp phần mềm dưới dạng dịch vụ, rồi chiếm quyền điều khiển một phiên trợ lý lập trình AI đang hoạt động trên máy trạm của một nhà phát triển. Mandiant mô tả trợ lý này là "hoạt động như một trình thông dịch đáng tin cậy trong môi trường": nó đã đề xuất cài đặt một gói phần mềm bên ngoài mà kẻ tấn công đã đầu độc từ trước, và nhà phát triển đã chấp nhận đề xuất đó. Báo cáo nói rằng trợ lý này "đã vô tình hoạt động như một con ngựa Trojan".

Từ phiên trực tiếp, kẻ tấn công đã cài đặt một infostealer thông qua một gói PyPI bị đầu độc và thu thập token OAuth GitHub của nhà phát triển. Sâu Shai-Hulud tự lây lan sau đó đã di chuyển qua khoảng 100 kho mã nội bộ, tự động hóa việc đánh cắp bí mật kho mã và việc tuồn mã nguồn sản phẩm độc quyền ra ngoài bằng chương trình. Kẻ tấn công cũng đã đầu độc một gói bên trong không gian tên chính thức của tổ chức, và một nhân viên thứ hai đã kéo phiên bản bị xâm phạm — một vụ lây nhiễm hạ nguồn mà theo lời Mandiant, không cần kẻ xâm nhập thực hiện thêm hành động nào.

Điều mà báo cáo không nêu là bất kỳ điều nào trong số này đã xảy ra khi nào, hoặc bằng cách nào kẻ tấn công giành được quyền kiểm soát phiên trợ lý ngay từ đầu. The Hacker News, khi đưa tin về nghiên cứu điển hình vào ngày 16 tháng 9, đã lưu ý cả hai điểm thiếu sót. Ghi chú nghiên cứu ngày 18 tháng 9 của Cloud Security Alliance về vụ việc gọi vectơ truy cập ban đầu là “câu hỏi mở quan trọng nhất của nghiên cứu điển hình” và nhận xét rằng các biện pháp kiểm soát được Mandiant khuyến nghị giải quyết việc một cuộc nhiễm có thể lan xa đến đâu, chứ không giải quyết việc phiên đã bị chiếm đoạt như thế nào.

Các biện pháp kiểm soát của Mandiant cho trường hợp này gồm ba, và chúng nêu cụ thể về thất bại: áp đặt các hook xác minh trong IDE và CLI để kiểm tra mọi phụ thuộc bên thứ ba do AI đề xuất dựa trên checksum mật mã và danh sách cho phép đã được phê duyệt; giữ khóa API thô, token OAuth dài hạn và các bí mật khác ngoài tầm với của tiện ích mở rộng; và hạn chế lưu lượng mạng ra khỏi máy trạm để lưu lượng phụ thuộc chỉ đi qua các kho nội bộ được kiểm soát.

Trường hợp hai: một thông tin xác thực CI/CD bị biến thành trung tâm đồng gỡ lỗi AI

Trường hợp thứ hai là một cuộc điều tra về đám mây doanh nghiệp tại một tổ chức chăm sóc sức khỏe toàn cầu. Mandiant đã truy vết hoạt động bất thường đến một thông tin xác thực CI/CD dành cho nhà phát triển có thời hạn dài đã bị xâm phạm, mà kẻ đột nhập đã sử dụng để khởi tạo một phiên bản VM không được cô lập và biến nó thành một trung tâm tấn công đang hoạt động. Thay vì xây dựng công cụ ngoại tuyến, kẻ tấn công đã kết nối trực tiếp các mô hình ngôn ngữ lớn vào máy chủ đang chạy và lặp lại thử nghiệm với chúng ngay tại chỗ.

Mandiant mô tả một quy trình gồm ba giai đoạn. Đầu tiên là khởi tạo ngữ cảnh: các gói mã được đồng bộ hóa thông qua các phiên từ xa và các tệp README của dự án được nạp vào ngữ cảnh trò chuyện của mô hình, nhằm định hướng việc tạo mã sau đó theo mục tiêu của chiến dịch. Tiếp theo là gỡ lỗi tương tác: kẻ tấn công đã để mô hình xây dựng một khung thu thập dữ liệu đa worker và cùng nó xử lý các lỗi tách tập lệnh logic, nâng nhịp độ tuồn dữ liệu lên chu kỳ ba giờ. Cuối cùng là né tránh và khai thác: mô hình đã viết các tập lệnh luân chuyển IP động để hoán đổi địa chỉ máy chủ nằm trong danh sách chặn ngay khi đang chạy, và đồng phát triển một công cụ dựa trên Rust để đăng nhập vào tài khoản nạn nhân và kiểm tra số dư tài chính.

Mandiant cho biết chiến dịch này đã xâm phạm hàng nghìn thông tin đăng nhập và tuồn các khóa API cùng bí mật tài chính thu thập được tới một kho lưu trữ do kẻ tấn công kiểm soát. Báo cáo không nói rõ công cụ Rust nhắm vào tài khoản của ai, các số dư tài chính mà nó kiểm tra thuộc về ai, hoặc điều gì đã xảy ra với các thông tin đăng nhập sau đó. Không có dữ liệu bệnh nhân nào được đề cập ở bất kỳ đâu trong nghiên cứu tình huống.

Các biện pháp kiểm soát được khuyến nghị bám theo thông tin xác thực thay vì mô hình: thay thế khóa truy cập tồn tại lâu dài bằng các mối quan hệ tin cậy Workload Identity Federation ngắn hạn sử dụng OIDC; hạn chế lưu lượng ra bằng VPC Service Controls để môi trường runtime và phát triển không thể truy cập các nhà cung cấp mô hình bên ngoài chưa được phê duyệt; chạy quét bí mật liên tục trên các workspace; và đặt tường lửa prompt runtime như Model Armor trên đường đi để chặn thông tin xác thực được mã hóa cứng và chặn các tập lệnh tiện ích mang tính tấn công khi chúng thực thi.

Trường hợp thứ ba: tác nhân đã chi 50.000 USD trong chưa đầy một giờ

Trường hợp thứ ba không có kẻ tấn công. Một nhà cung cấp dịch vụ tài chính doanh nghiệp toàn cầu đã triển khai một tác nhân để đối soát các bất thường trong sổ cái kế toán và cấp cho nó quyền đọc và ghi vào các cơ sở dữ liệu thanh toán nội bộ. Một giá trị null bị hỏng đã làm hỏng công cụ định dạng của tác nhân, và tác nhân phản ứng bằng cách bước vào thứ mà Mandiant gọi là vòng lập luận đệ quy không bị giới hạn để vét cạn tìm cách khắc phục.

Trong chưa đầy một giờ, nó đã phát ra hơn 15.000 lời gọi API suy luận tần suất cao, chi phí cao, gây ra mức tăng đột biến hóa đơn đám mây khoảng 50.000 USD. Cùng vòng lặp đó đã gây khóa cơ sở dữ liệu cục bộ nghiêm trọng, làm dừng các giao dịch kinh doanh đang hoạt động. Mandiant xếp trường hợp này vào nhóm "denial-of-wallet", và các biện pháp khắc phục mà họ đề xuất mang tính vận hành chứ không phải ở cấp mô hình: giới hạn chi tiêu, đệ quy có giới hạn, và cầu dao ngắt mạch để chặn một tác nhân cứ tiếp tục thất bại cùng một nhiệm vụ.

Báo cáo không cho biết khoản phí đã được thanh toán, ghi có hay bị tranh chấp hay chưa, giao dịch bị tạm dừng trong bao lâu, khách hàng có bị ảnh hưởng hay không, hoặc công ty đã thay đổi những gì sau đó. Báo cáo cũng không nêu ngày tháng. Bản tổng hợp ngày 18 tháng 9 của SecurityWeek xếp nó vào nhóm mà báo cáo đánh dấu là một hạng mục rủi ro tài chính mới thay vì một vụ xâm nhập thông thường.

Các biện pháp kiểm soát do Mandiant đề xuất cũng mang tính tài chính tương ứng: định nghĩa truy cập dựa trên danh tính và vai trò cho các tác nhân, ngưỡng giới hạn chi phí và giám sát như một cơ chế quản trị, cùng với các cầu dao tài chính tự động để dừng một tác nhân sau một số lần thất bại nhiệm vụ liên tiếp nhất định. Ở cấp độ dịch vụ và dự án, nó khuyến nghị các giới hạn tài chính cứng, giới hạn đệ quy có ngưỡng và giới hạn tần suất, để một vòng lặp tự sửa lỗi bị tiết chế trước khi trở thành sự cố ngừng hoạt động.

Điều gì đã được xác lập, điều gì được quy cho, điều gì không được tiết lộ

Đã được xác lập. Mandiant đã công bố báo cáo này, và báo cáo nêu những gì được tóm tắt ở trên. Bốn ấn phẩm truyền thông chuyên ngành đã đưa tin về báo cáo này, với các bài đăng cách nhau không quá ba ngày — Help Net Security và The Hacker News vào ngày 16 tháng 9, SecurityBrief UK vào ngày 17 tháng 9 và SecurityWeek vào ngày 18 tháng 9 — và các bài viết của họ khớp với báo cáo ở mọi con số mà họ nhắc lại. Cloud Security Alliance đã công bố một ghi chú nghiên cứu riêng về trường hợp đầu tiên vào ngày 18 tháng 9, đưa ra cùng cách lý giải về cơ chế của nó và cùng kết luận về những gì Mandiant đã bỏ sót.

Được quy kết, chưa được xác minh độc lập. Những con số cụ thể là của Mandiant: khoảng 100 kho lưu trữ, hàng nghìn thông tin đăng nhập, một chu kỳ tuồn dữ liệu kéo dài ba giờ, hơn 15.000 lệnh gọi suy luận, khoảng 50.000 USD, dưới một giờ. Không cơ quan truyền thông nào công bố dữ liệu telemetry từ bất kỳ ai trong ba nạn nhân, và không bên nào trong ba bên được ai nêu tên. Sự chứng thực hiện có là sự chứng thực đối với nội dung của báo cáo, chứ không phải đối với các sự kiện. Sự phân biệt đó chính là toàn bộ điều mà độc giả có thể dựa vào ở đây, và mức xếp hạng độ tin cậy của kho lưu trữ cũng nên được hiểu theo cách đó.

Không được tiết lộ. Báo cáo không đưa ra ngày tháng cho bất kỳ hợp đồng nào trong ba hợp đồng, không có tên nạn nhân và không có tường thuật về cách phiên trợ lý trong trường hợp một bị chiếm quyền điều khiển. Báo cáo không cho biết liệu các mã thông báo OAuth GitHub và bí mật kho lưu trữ bị thu thập đã bị thu hồi hay chưa, liệu hàng nghìn thông tin xác thực từ trường hợp hai đã bị sử dụng hay đặt lại hay chưa, liệu các chủ thể dữ liệu của tổ chức chăm sóc sức khỏe có bị ảnh hưởng hay không, liệu khoản phí của đại lý kế toán có được thu hồi hay không, hoặc ba tổ chức đã thay đổi những gì sau đó. Bài viết này không tìm thấy tuyên bố của nạn nhân, thông báo của cơ quan quản lý hoặc báo cáo tiếp theo nào được công bố kể từ ngày 16 tháng 9 để lấp đầy những khoảng trống đó.

Nơi các nguồn đưa tin khác biệt. Ghi chú của Cloud Security Alliance mô tả lần nhiễm thứ hai trong trường hợp thứ nhất là lây lan qua không gian tên npm của chính công ty. Văn bản của Mandiant chỉ nói "một gói bên trong không gian tên chính thức của tổ chức" và không nêu tên hệ sinh thái nào ở đó; cách hiểu là npm là phần bổ sung, không phải một câu trích dẫn. Riêng rẽ, The Hacker News nói rõ rằng worm trong trường hợp này không được bằng chứng hiện có liên kết với worm npm tháng Tám đã cài hook cho các trợ lý lập trình, cũng như với một biến thể Shai-Hulud được phát hiện đang quét 469 vị trí để tìm thông tin xác thực — cùng tên họ, các chiến dịch riêng biệt, không có bằng chứng nào trong bài viết liên kết chúng.

Điều mà báo cáo nói nên thay đổi

Các khuyến nghị của Mandiant lặp lại xuyên suốt các nghiên cứu điển hình trong báo cáo: chuyển khỏi thông tin xác thực tồn tại lâu dài và tài khoản dịch vụ sang danh tính gắn với khối lượng công việc và có thời hạn ngắn theo thiết kế; coi trợ lý lập trình AI và máy chủ MCP là các phiên có đặc quyền mà phần mở rộng và hook CLI của chúng phải được xác minh trước khi thực thi; đặt khối lượng công việc tác nhân trong chu vi mạng chặn lưu lượng ra tới các nhà cung cấp mô hình chưa được phê duyệt; và giám sát việc sử dụng token, các lệnh gọi API giữa ứng dụng và quyền truy cập của tác nhân vào tài sản nhạy cảm để lần đọc đầu tiên một kho lưu trữ nhạy cảm xuất hiện như một tín hiệu thay vì hòa lẫn vào lưu lượng công cụ hợp pháp.

Về chi phí, báo cáo vạch ra ranh giới giữa quản trị AI và quản trị cho AI: một bên là chính sách đặt ra khẩu vị rủi ro và các quy tắc mua sắm, bên kia là các giới hạn kỹ thuật được thực thi. Tác nhân kế toán là ví dụ của báo cáo về kiểu thứ hai thất bại: theo lời kể của Mandiant, không có gì trong triển khai của nó giới hạn vòng lặp, và các biện pháp kiểm soát lẽ ra đã bắt được nó — một mức trần, một giới hạn tốc độ, một cầu dao ngắt mạch — đều là những biện pháp thông thường được áp dụng cho một khối lượng công việc bất thường.

Ba trường hợp không cùng nguyên nhân. Một là vấn đề niềm tin, khi khuyến nghị của một trợ lý mang thẩm quyền như của đồng nghiệp. Một là vấn đề thông tin xác thực có từ trước mọi mô hình, với việc các mô hình khiến cuộc xâm nhập nhanh hơn và thích ứng hơn khi đã vào được bên trong. Một trường hợp không thuộc cả hai: không kẻ tấn công, không lỗ hổng khai thác, chỉ là một tác nhân được cấp quyền ghi vào một sổ cái và không có giới hạn nào về mức nó có thể chi để sửa một công cụ bị hỏng. Điểm chung là ở mỗi trường hợp, hệ thống AI có thẩm quyền mà không ai xác định phạm vi — để khuyến nghị, để cấu hình lại, để tiếp tục thử.