Ứng dụng AI tạo trong 5 phút, nhưng bị hack trong 5 giây

[Code Nguyen]

Bạn có tin rằng một ứng dụng AI tạo phần mềm trông “ngon lành, dễ thương, làm được ngay” có thể đang mở cửa cho hacker xâm nhập mà người dùng không hề hay biết?

Ứng dụng AI đang bùng nổ nhưng rủi ro bảo mật cũng tăng theo​

Thị trường ứng dụng AI tạo phần mềm đang phát triển với tốc độ đáng kinh ngạc. Những nền tảng như Lovable, Base44 và Bolt được các nhà đầu tư đổ vốn và CEO Nvidia Jensen Huang còn dành lời khen công khai. Lovable được huy động hàng trăm triệu USD chỉ sau vài tháng ra mắt. Base44 được mua lại với giá 80 triệu USD và Bolt được định giá 700 triệu USD.

Tuy nhiên, một thử nghiệm của OX Security khiến sự hứng khởi này trở nên lạnh gáy. Các nhà nghiên cứu yêu cầu những nền tảng AI tạo ra một ứng dụng wiki có chức năng chỉnh sửa HTML và kết quả là cả ba nền tảng đều tạo ra mã có thể bị tấn công stored cross site scripting XSS. Đây là lỗ hổng cho phép kẻ tấn công chèn mã độc vào nội dung hiển thị và chiếm quyền của người dùng.

Điều đáng nói là các lỗ hổng xuất hiện ngay cả khi người dùng yêu cầu AI tạo mã “an toàn”. Những công cụ quét bảo mật tích hợp được quảng cáo như một lớp bảo vệ cũng hoạt động thiếu ổn định. Lovable chỉ phát hiện 66 phần trăm lỗ hổng, còn hệ thống của Bolt không phát hiện được. Trớ trêu là việc phát hiện lỗi nửa vời lại nguy hiểm hơn không phát hiện gì vì khiến người dùng tin rằng hệ thống đã an toàn.

Người tạo ứng dụng không biết mình đang gặp nguy hiểm​

Các mô hình AI giúp việc tạo ứng dụng nhanh và rẻ hơn, nhưng cũng mở ra khả năng triển khai hàng loạt sản phẩm chưa được kiểm tra bảo mật kỹ càng. Những người dùng không có nền tảng kỹ thuật càng dễ trở thành nạn nhân vì họ nhìn thấy dòng “đã vượt qua kiểm tra bảo mật” và tin rằng mọi thứ ổn.

Báo cáo của OX Security nhấn mạnh rằng vấn đề không đến từ yêu cầu của người dùng mà từ logic khung mà các nền tảng AI sử dụng. Trong thử nghiệm thứ hai, chỉ khi người thử nghiệm giải thích chi tiết từng bước bảo mật cần thực hiện thì mô hình mới vá được một phần.

Các nhà phát triển phía sau Lovable và những nền tảng khác thì cho rằng vấn đề nằm ở cấp độ ứng dụng chứ không phải hạ tầng. Lovable khẳng định họ không thấy tác động bảo mật đáng kể từ tình huống thử nghiệm và việc cấu hình sai trên một ứng dụng cụ thể không nằm trong phạm vi của nền tảng.

Câu chuyện mở lại vấn đề tưởng quen nhưng chưa bao giờ cũ​

Chúng ta thích sự tiện lợi và mong muốn AI “làm được ngay”, nhưng câu hỏi quan trọng vẫn còn đó: Khi ai cũng có khả năng tạo ứng dụng chỉ bằng vài câu lệnh, ai sẽ là người đảm bảo những sản phẩm này an toàn thực sự? Và nếu xu hướng này lan rộng tại Việt Nam, bao nhiêu doanh nghiệp nhỏ sẽ triển khai công cụ AI “nghe có vẻ ổn” nhưng bên trong lại tồn tại lỗ hổng mà hacker chỉ cần một cú click để khai thác? (cybernews)

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview