Tám tháng. Bốn sự cố lớn. Một mô típ: chuỗi cung ứng phần mềm không có thêm một kẻ thù mới, mà có thêm một vũ khí mới. Từ tháng 9 năm 2025 đến tháng 5 năm 2026, một loại sâu tự lan truyền, một tác nhân nhà nước, một chiến dịch bắt chước và một mô hình AI bị chiếm đoạt đã lần lượt xâm nhập vào hệ thống. pipelineĐó là những công nghệ mà hàng triệu nhà phát triển tin tưởng mỗi ngày. Đây là hình thái mới của các mối đe dọa an ninh mạng: nhanh hơn, khó phát hiện hơn và ngày càng được hỗ trợ bởi chính trí tuệ nhân tạo mà các nhóm phát triển sử dụng để triển khai mã.
Nếu nhận thức của bạn về các mối đe dọa an ninh mạng vẫn chỉ xoay quanh email lừa đảo và máy chủ chưa được vá lỗi, thì dữ liệu dưới đây sẽ giúp cập nhật nhận thức đó.
Hình thái mới của các mối đe dọa an ninh mạng
Trong nhiều năm, các mối đe dọa an ninh mạng chủ yếu xoay quanh việc đánh cắp thông tin đăng nhập, cấu hình máy chủ sai và tấn công phi kỹ thuật. Những rủi ro đó vẫn chưa biến mất: 81% các vụ vi phạm dữ liệu được xác nhận trong năm 2022 liên quan đến thông tin đăng nhập bị xâm phạm. Nhưng một loại mối đe dọa mới đã trở thành tâm điểm của cuộc thảo luận: các mối đe dọa từ trí tuệ nhân tạo (AI). Các nhóm phát triển hiện đang dựa vào các trợ lý lập trình AI, các trợ lý ảo và... Giao thức bối cảnh mô hình (MCP) Các máy chủ được sử dụng để xây dựng phần mềm nhanh hơn, và mỗi máy chủ đó hiện cũng đang trở thành mục tiêu tấn công. Nghiên cứu cho thấy khoảng 40% mã do AI tạo ra chứa các lỗ hổng bảo mật, điều đó có nghĩa là tốc độ mà AI hứa hẹn đi kèm với sự gia tăng tương ứng về rủi ro bảo mật của AI được tích hợp trực tiếp vào mã nguồn.
Tám tháng, bốn sự cố: Mối đe dọa từ trí tuệ nhân tạo leo thang như thế nào
Bằng chứng rõ ràng nhất cho thấy các mối đe dọa từ trí tuệ nhân tạo đang gia tăng không phải là một dự báo; mà chính là... trình tự thời gian của những gì đã xảy ra:
- Tháng 9 năm 2025, Shai-HuludĐây là loại sâu máy tính tự lan truyền đầu tiên trên npm, biến chính các nhà phát triển thành một cơ chế phân phối.
- Tháng 3 năm 2026, axios: Phần mềm độc hại do nhà nước phát tán, được giấu bên trong các gói phần mềm, được tải xuống khoảng 100 triệu lần mỗi tuần.
- Tháng 4 năm 2026, SAP npmĐây là bản sao thu nhỏ của cùng một kiểu hình con sâu, thể hiện quy mô kỹ thuật.
- Tháng 5 năm 2026, Claude Opus → PromptMink: một mô hình ngôn ngữ quy mô lớn được vũ khí hóa để cài đặt phần mềm độc hại bên trong một tác nhân tự động, với chính trí tuệ nhân tạo đóng vai trò là vectơ tấn công.
Mỗi sự cố đều tái sử dụng và mở rộng quy mô sự cố trước đó. Đó là đặc điểm nổi bật của các mối đe dọa AI trong năm 2026: chúng lan rộng nhanh hơn bất kỳ mối đe dọa an ninh mạng truyền thống nào, bởi vì chính quá trình tự động hóa giúp các nhà phát triển đưa sản phẩm ra thị trường cũng giúp kẻ tấn công lan truyền.
Vì sao các công cụ truyền thống không thể nhận diện được những rủi ro từ trí tuệ nhân tạo?
Các công cụ bảo mật ứng dụng truyền thống chỉ dừng lại ở kho lưu trữ và không hiểu về mô hình. Các công cụ bảo mật điểm cuối truyền thống chỉ giám sát hệ điều hành và không hiểu về các gói phần mềm, máy chủ MCP hoặc trợ lý AI. Khoảng trống giữa hai loại này chính là nơi các rủi ro của AI xuất hiện, không bị phát hiện cho đến khi thiệt hại đã xảy ra.
Hai con số cho thấy rõ mức độ nguy hiểm: việc đánh cắp thông tin đăng nhập nhắm vào AI đã tăng 376% từ quý 4 năm 2025 đến quý 1 năm 2026, và một cầu nối MCP độc hại duy nhất (CVE-2025-6514) đã được tải xuống 437,000 lần trước khi bị phát hiện, cho phép thực thi mã từ xa trên máy khách. Các máy chủ MCP công cộng cũng không an toàn theo mặc định: 5.5% mang lỗ hổng làm nhiễm độc công cụ và 43% mang lỗ hổng chèn lệnh đủ nghiêm trọng để biến chính công cụ của nhà phát triển thành một trong những mối đe dọa an ninh mạng nghiêm trọng nhất mà một tổ chức có thể phải đối mặt.
Chuỗi cung ứng phần mềm vẫn là nguồn gốc lớn nhất của các mối đe dọa an ninh mạng.
Trí tuệ nhân tạo (AI) không phải là nguyên nhân gây ra vấn đề này, mà nó chỉ làm trầm trọng thêm. Chuỗi cung ứng phần mềm vốn đã là điểm yếu dễ bị khai thác nhất trong các mối đe dọa an ninh mạng, và các con số đã chứng minh điều đó. Hơn 778,500 gói phần mềm mã nguồn mở độc hại đã được xác định kể từ năm 2019, và con số này đã tăng vọt 156% chỉ trong một năm, đạt 512,847 gói. ENISA đã phát hiện ra rằng 60% các cuộc tấn công vào chuỗi cung ứng đã lợi dụng lòng tin của khách hàng vào nhà cung cấp, và theo một số ước tính, chuỗi cung ứng phần mềm hiện đang phải hứng chịu một cuộc tấn công cứ sau khoảng 48 giờ. Các cuộc tấn công vào chuỗi cung ứng đã tăng 742% từ năm 2019 đến năm 2022, với dự báo cho thấy 45% các tổ chức sẽ bị ảnh hưởng vào năm 2025 và chi phí hàng năm sẽ đạt 138 tỷ đô la vào năm 2031; riêng chi phí của các cuộc tấn công vào chuỗi cung ứng phần mềm trong năm nay ước tính khoảng 60 tỷ đô la.
Sự phụ thuộc tương tự và pipeline Những điểm yếu tạo ra các mối đe dọa an ninh mạng kinh điển này giờ đây cũng tiềm ẩn rủi ro về trí tuệ nhân tạo: một gói phần mềm bị xâm phạm, một GitHub Action cấu hình sai hoặc một bài đăng chưa được ghim. CI/CD Bước này có thể nhắm mục tiêu vào một tác nhân AI dễ dàng như nhắm mục tiêu vào một nhà phát triển là con người.
Các rủi ro an ninh AI rộng hơn ngoài phạm vi mã nguồn
Không phải mọi rủi ro về AI đều nằm trong một tập tin mã. Một bản đồ đầy đủ hơn về các rủi ro bảo mật AI bao trùm toàn bộ vòng đời của một tài sản AI: tiêm mã độc và rò rỉ mã độc hệ thống, dữ liệu nhạy cảm bị lộ thông qua cấu hình AI quá lỏng lẻo, các vectơ và mã nhúng độc hại, các chỉ thị độc hại được giấu trong tài liệu và tập tin quy tắc, cấu hình MCP không an toàn và máy chủ không đáng tin cậy, các phụ thuộc AI dễ bị tổn thương hoặc được quản trị kém, và quyền tự chủ quá mức, trong đó một tác nhân AI hoạt động vượt quá giới hạn được cấu hình.
Các danh mục này tương ứng trực tiếp với OWASP Top 10 cho các đơn đăng ký chương trình LLM, Các OWASP Top 10 cho các ứng dụng tác nhân, và Top 10 OWASP MCPBa khuôn khổ này đang nhanh chóng trở thành thuật ngữ chung để mô tả các rủi ro an ninh AI trong toàn ngành.
Giảm thiểu nguy cơ bị tấn công mạng: Giải pháp thực sự hiệu quả
Dữ liệu chỉ ra hai điều luôn có hiệu quả trong việc chống lại các mối đe dọa an ninh mạng: Vệ sinh cơ bản và phát hiện sớm. 98% các cuộc tấn công mạng có thể được ngăn chặn bằng các biện pháp bảo mật cơ bản, nhưng 34% các vụ rò rỉ dữ liệu vẫn bắt nguồn từ các mối đe dọa nội bộ, và 60% ứng dụng vẫn chứa các lỗ hổng trong mã nguồn của chính nhà phát triển. Bản thân GitHub cũng không ngoại lệ: 1.9% các kho lưu trữ khai thác lỗ hổng bảo mật trên GitHub vốn dĩ là độc hại, được xây dựng để đánh cắp dữ liệu hoặc triển khai phần mềm độc hại cho các nhà nghiên cứu tin tưởng chúng.
Riêng đối với các rủi ro liên quan đến trí tuệ nhân tạo, giải pháp cần được thực hiện sớm hơn trong vòng đời sản phẩm:
- Kiểm tra tính hợp lệ ngay trong IDE. Phát hiện các mẫu không an toàn trong mã do AI tạo ra trước khi chúng được đưa vào sử dụng. pipeline Khắc phục nguồn rủi ro an ninh AI mới lớn nhất.
- Phát hiện phần mềm độc hại trước khi có chữ ký. Các công cụ dựa trên danh tiếng thường bỏ sót các gói phần mềm độc hại chưa được phát hiện (zero-day packages), và đó chính là lỗ hổng mà Shai-Hulud, axios và SAP npm đã khai thác.
- Lập danh mục mọi tài sản AI. Các mô hình, tập dữ liệu, tác nhân và máy chủ MCP không thể được quản lý hoặc tấn công thông qua thứ mà nhóm phát triển không biết là chúng đang vận hành.
Xygeni giải quyết các mối đe dọa an ninh mạng như thế nào?
Xygeni DevAI coi các mối đe dọa từ AI là một phần quan trọng của bảo mật ứng dụng chứ không phải là một vấn đề riêng biệt được thêm vào sau. DevAI áp dụng xác thực bảo mật theo thời gian thực ngay trong môi trường phát triển tích hợp (IDE) của nhà phát triển, gắn cờ các mẫu không an toàn trong mã do AI tạo ra trước khi chúng được đưa vào sử dụng. Cảnh báo sớm phần mềm độc hại (MEW) cLiên tục quét NPM, PyPI và Maven để phát hiện các gói độc hại trước khi có chữ ký, giải quyết chính xác mô hình chuỗi cung ứng đằng sau Shai-Hulud, axios và SAP npm. AI Security phát hiện mọi tài sản AI trên toàn hệ thống. SDLCNó chấm điểm dựa trên các khung OWASP nêu trên, và Shield thực thi chính sách tại điểm cuối trước khi cho phép một mô hình, tác nhân hoặc máy chủ MCP không an toàn hoạt động.
Các tổ chức quản lý rủi ro AI tốt trong năm 2026 không phải là những tổ chức vận hành nhiều công cụ nhất. Họ là những tổ chức có thể nhìn thấy mọi tài sản AI mà họ đang sử dụng, ngăn chặn những gì không an toàn trước khi nó được thực thi và áp dụng trí tuệ đó vào các công cụ mà họ đã sở hữu.
FAQ
Những mối đe dọa an ninh mạng lớn nhất năm 2026 là gì?
Các cuộc tấn công chuỗi cung ứng vẫn là loại tấn công lớn nhất về số lượng và chi phí, ước tính gây thiệt hại khoảng 60 tỷ đô la trong năm nay và trung bình cứ 48 giờ lại có một cuộc tấn công. Bên cạnh đó, các mối đe dọa từ trí tuệ nhân tạo (AI) đang nổi lên như một loại tấn công phát triển nhanh chóng: nạn trộm cắp thông tin đăng nhập nhắm vào AI đã tăng 376% chỉ trong một quý, và các sự cố như Shai-Hulud, axios và PromptMink cho thấy tin tặc đang tích cực sử dụng AI vừa làm mục tiêu vừa làm phương tiện tấn công.
Mã do AI tạo ra có phải là rủi ro bảo mật không?
Đúng vậy. Nghiên cứu cho thấy khoảng 40% mã do AI tạo ra chứa các lỗ hổng bảo mật. Điều đó có nghĩa là việc xác thực theo thời gian thực ngay trong môi trường phát triển tích hợp (IDE) của nhà phát triển, trước khi hợp nhất mã, là một trong những cách hiệu quả nhất để giảm thiểu rủi ro bảo mật AI ngay từ nguồn.
MEW là gì và nó giải quyết các mối đe dọa từ AI như thế nào?
Malware Early Warning (MEW) là hệ thống quét liên tục của Xygeni dành cho NPM, PyPI và Maven. Nó được thiết kế để phát hiện các gói độc hại trước khi có chữ ký xác nhận, điều này rất quan trọng vì các công cụ dựa trên uy tín chỉ phát hiện những gì đã được xác định, bỏ sót mô hình lỗ hổng zero-day chính xác đằng sau các mối đe dọa AI gần đây và các loại sâu máy tính trong chuỗi cung ứng.
Liệu máy chủ MCP có phải là nguồn gốc thực sự của rủi ro trí tuệ nhân tạo (AI) không?
Đúng vậy. Các máy chủ MCP công cộng cho thấy những rủi ro bảo mật AI có thể đo lường được trong thực tế: 5.5% mang lỗ hổng làm nhiễm độc công cụ và 43% mang lỗ hổng chèn lệnh, và chỉ riêng một cầu nối MCP bị xâm nhập đã được tải xuống 437,000 lần trước khi bị phát hiện.
