Bề mặt tấn công mới: Hiểu về rủi ro bảo mật từ các AI Agent như OpenClaw

Sự xuất hiện của các cổng AI Agent như OpenClaw đã mở ra một chương mới cho công nghệ, biến những điều tưởng chừng chỉ có trong phim viễn tưởng thành hiện thực. Tuy nhiên, đằng sau sự đột phá và tiện lợi đó là những rủi ro bảo mật rất cụ thể mà chúng ta không thể lơ là.

Thực tế, OpenClaw hoạt động dựa trên một sự đánh đổi lớn. Để mang lại hiệu quả tối ưu, nó cần quyền truy cập sâu vào máy tính, ứng dụng, trình duyệt và cả các tệp tin cá nhân của người dùng. Chính mức độ can thiệp sâu này đã vô tình tạo ra những kẽ hở nguy hiểm cho các cuộc tấn công mạng.

Lỗ hổng từ dữ liệu dạng văn bản thuần (Plaintext)

Một trong những vấn đề lớn nhất của OpenClaw nằm ở cách lưu trữ dữ liệu. Các tệp cấu hình và bộ nhớ của công cụ này không được mã hóa phức tạp mà thường tồn tại dưới dạng văn bản thuần (plaintext) - nghĩa là bất kỳ ai (hoặc phần mềm nào) mở được file đều có thể đọc nội dung bên trong một cách dễ dàng.

Kẻ tấn công không cần phải là một chuyên gia bẻ khóa siêu hạng. Các phần mềm độc hại chuyên đánh cắp thông tin (infostealer) hiện nay có khả năng tự động quét các thư mục phổ biến trên ổ đĩa. Nếu các thông tin như API key (mã kết nối dịch vụ), token hay lịch sử trò chuyện của bạn được lưu dưới dạng văn bản thuần ở những vị trí dễ đoán, chúng sẽ bị lấy đi chỉ trong vài giây.

Cạm bẫy từ các "Skill" độc hại

Trong hệ sinh thái của OpenClaw, các tính năng mở rộng thường được gọi là "skill". Về cơ bản, một skill thường chỉ là một tệp định dạng Markdown (một loại tệp văn bản đơn giản). Tuy nhiên, tệp này lại đóng vai trò như một bộ cài đặt cho AI Agent.

Ví dụ một tệp Markdown thực tế (kết hợp Markdown và HTML) - Nguồn ảnh: Nextcloud

Một ví dụ điển hình là "skill Twitter" từng rất phổ biến trên hệ thống ClawHub. Người dùng có thể dễ dàng tải về vì nó trông rất hữu ích, nhưng thực tế đó lại là một phương tiện phát tán mã độc. Các chuyên gia bảo mật đã phát hiện ra tệp này chứa malware chuyên đánh cắp dữ liệu trên hệ điều hành macOS. Loại mã độc này có thể càn quét mọi thông tin giá trị trên máy tính của bạn, từ mật khẩu trình duyệt, dữ liệu tự động điền (autofill) cho đến các mã khóa bảo mật quan trọng khác.

Nguy cơ không chỉ nằm ở một công cụ duy nhất

Vấn đề bảo mật này không chỉ giới hạn trong phạm vi OpenClaw. Hiện nay, nhiều hệ thống AI Agent khác cũng đang áp dụng cấu trúc "Agent Skills" tương tự - sử dụng các thư mục chứa hướng dẫn và mã thực thi tự do.

Thậm chí, các tài liệu hướng dẫn từ những ông lớn công nghệ như OpenAI cũng mô tả cấu trúc tương đương. Điều này có nghĩa là các "skill" độc hại đang trở thành một cơ chế phát tán mã độc có thể lan rộng ra toàn bộ hệ sinh thái AI Agent nếu sử dụng chung tiêu chuẩn này.

Minh họa tổng quan về hệ sinh thái/chức năng của Agent Skills - Nguồn ảnh: Weaviate

Khi thông tin cá nhân bị "vũ khí hóa" bằng ngữ cảnh

Lỗ hổng này nghiêm trọng hơn nhiều so với việc chỉ bị lộ một mật khẩu hay một mã token thông thường. Điểm khác biệt nằm ở ngữ cảnh (context).

Hãy tưởng tượng kẻ tấn công không chỉ có quyền truy cập vào các tài khoản dịch vụ của bạn, mà còn nắm giữ toàn bộ tệp bộ nhớ dài hạn của AI Agent. Chúng sẽ biết bạn là ai, bạn đang làm dự án gì, phong cách viết lách của bạn ra sao và bạn thường liên lạc với những ai.

Sự kết hợp giữa quyền truy cập tài khoản và hiểu biết sâu sắc về cá nhân bạn chính là "nguyên liệu" hoàn hảo cho các hình thức lừa đảo tinh vi (phishing), tống tiền hoặc giả mạo danh tính một cách cực kỳ chân thực.

Giải pháp và lộ trình an toàn cho tương lai

Trước những rủi ro hiện hữu, lời khuyên quan trọng nhất dành cho các doanh nghiệp là: Tuyệt đối không thử nghiệm OpenClaw trên các thiết bị phục vụ công việc hoặc có quyền truy cập vào hệ thống quan trọng. Bản thân dự án này cũng thừa nhận rằng hiện tại chưa có thiết lập nào là an toàn tuyệt đối.

Tuy nhiên, thay vì quay lưng với công nghệ, chúng ta cần xây dựng một "lớp niềm tin" mới cho AI Agent với các tiêu chuẩn:

• Xác thực nguồn gốc: Các skill cần được kiểm chứng rõ ràng về người tạo và độ an toàn.

• Kiểm soát quyền truy cập: Thay vì cấp quyền một lần cho tất cả, các AI Agent chỉ nên có quyền tối thiểu cần thiết, có giới hạn thời gian và có thể bị thu hồi bất cứ lúc nào.

• Giám sát thời gian thực: Mọi hành động nhạy cảm của AI cần được trung gian hóa và lưu lại lịch sử để kiểm soát.

Tóm lại, dù các AI Agent như OpenClaw mang lại tiềm năng khổng lồ, nhưng việc bảo mật cho chúng vẫn đang trong giai đoạn sơ khai. Việc xây dựng một danh tính riêng biệt và cơ chế quản trị chặt chẽ cho từng AI Agent chính là con đường duy nhất để chúng ta tiến tới một tương lai công nghệ vừa thông minh, vừa an toàn.