Nhóm nghiên cứu bảo mật Sysdig vừa phát hiện một chiến dịch tấn công mã độc tống tiền (ransomware) nguy hiểm có tên ENCFORGE, được thiết kế chuyên biệt để nhắm vào và phá hủy các mô hình trí tuệ nhân tạo (AI). Kẻ tấn công đứng sau chiến dịch này là JADEPUFFER, đã khai thác lỗ hổng bảo mật nghiêm trọng trên máy chủ ứng dụng Langflow để xâm nhập và thực thi mã độc.
Đáng chú ý, dù mang danh nghĩa là mã độc tống tiền, ENCFORGE hoạt động thực chất như một công cụ phá hủy dữ liệu (wiper). Nó không hề tích hợp cơ chế liên lạc, không có trang rò rỉ dữ liệu hay cổng thanh toán tiền chuộc, khiến các tệp trọng số AI bị mã hóa vĩnh viễn và hoàn toàn không thể khôi phục.
Bối cảnh & Nguyên nhân
Theo báo cáo từ Sysdig, nhóm tin tặc JADEPUFFER đã thực hiện hai cuộc tấn công liên tiếp vào cùng một máy chủ Langflow mở ra internet vào các ngày 1/7 và 20/7/2026. Điểm yếu bị khai thác là CVE-2025-3248, một lỗ hổng thiếu xác thực cực kỳ nghiêm trọng với điểm CVSS lên tới 9,8, cho phép kẻ tấn công thực thi mã Python tùy ý. Mặc dù lỗ hổng này đã được Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Mỹ (CISA) cảnh báo từ tháng 5/2025 và nhà phát triển Langflow đã vá lỗi từ phiên bản 1.3.0, máy chủ nạn nhân vẫn không được cập nhật sau hơn 14 tháng, tạo điều kiện cho tin tặc xâm nhập dễ dàng.
Phân tích kỹ thuật & Công nghệ
Điểm khác biệt của ENCFORGE so với các mã độc thông thường là danh sách định dạng tệp mục tiêu được thiết kế riêng cho các tài sản AI. Mã độc này chủ động tìm quét và mã hóa các tệp tin chứa trọng số mô hình PyTorch, TensorFlow, SafeTensors của Hugging Face, định dạng GGUF của LLM cục bộ, cũng như các chỉ mục vectơ FAISS và dữ liệu huấn luyện định dạng Parquet hay NumPy. Điều này chứng tỏ kẻ phát triển mã độc có hiểu biết rất sâu sắc về hạ tầng phát triển AI của nạn nhân.
Để tối ưu hóa tốc độ phá hoại đối với các tệp dữ liệu AI có dung lượng khổng lồ, ENCFORGE chỉ mã hóa một số phân vùng của tệp bằng thuật toán AES-256-CTR. Khóa mã hóa được tạo ngẫu nhiên cho mỗi lần chạy và được bọc trong một khóa RSA-2048 nhúng sẵn. Tuy nhiên, do không lưu trữ hay gửi khóa này về máy chủ điều khiển, hành vi của ENCFORGE mang tính triệt hạ hoàn toàn hơn là tống tiền để trục lợi tài chính.
Ý kiến chuyên gia & Nhận định
Nhiều chuyên gia trong ngành bày tỏ sự lo ngại lớn về phương thức tấn công tinh vi này. Michael Clark, người dẫn dắt đội ngũ nghiên cứu tại Sysdig, nhấn mạnh rằng kẻ tấn công đang tìm cách phá hủy "thứ duy nhất mà một tổ chức không thể khôi phục đơn giản bằng một bản sao lưu thông thường". Trong khi đó, Kayne McGladrey, thành viên cao cấp của IEEE, nhận định rằng các doanh nghiệp cần đánh giá đúng rủi ro tài chính khi mất đi mô hình AI để ban giám đốc có ngân sách bảo mật phù hợp, thay vì chỉ coi đây là một sự cố công nghệ thông tin thông thường.
Tác động & Tương lai
Thiệt hại thực tế từ việc mất đi một mô hình AI đã được tinh chỉnh (fine-tuned) ước tính dao động từ 75.000 USD đến 500.000 USD, bao gồm chi phí tài nguyên GPU đám mây và số giờ làm việc của các kỹ sư. Do đó, các tổ chức cần khẩn trương đưa tài sản AI vào kế hoạch khôi phục thảm họa, thực hiện sao lưu bất biến (immutable snapshots) nằm ngoài máy chủ lưu trữ trọng số gốc. Đồng thời, doanh nghiệp phải nhanh chóng cập nhật tất cả các phiên bản Langflow kết nối internet và cô lập các cổng Docker socket nhạy cảm để hạn chế nguy cơ bị chiếm quyền điều khiển toàn bộ hệ thống.