Việc dùng Claude để viết mã đã xuất hiện trong một phiên bản mà các công ty AI ít muốn nhìn thấy nhất.
Công ty an ninh mạng công nghiệp Dragos tuần trước công bố một báo cáo về vụ xâm nhập kéo dài từ tháng 12/2025 đến tháng 2/2026. Mục tiêu là một công ty cấp thoát nước phục vụ khu vực đô thị Monterrey ở Mexico. Danh tính nhóm tấn công chưa được công bố.
Một kẻ tấn công không có nền tảng OT được AI dẫn vào mạng công nghiệp
Trong quá trình điều tra sau sự cố, Dragos tìm thấy trên thiết bị và máy chủ của kẻ tấn công một danh sách tài sản gồm 350 tập lệnh độc hại do AI tạo ra, cùng một framework Python dài 17.000 dòng. Framework này có tên “BACKUPOSINT v9.0 APEX PREDATOR” và được chia thành 49 mô-đun.
Đây không phải chuyện kẻ tấn công viết sẵn mã rồi nhờ Claude chỉnh sửa. Toàn bộ framework được Claude lặp đi lặp lại dựa trên phản hồi của kẻ tấn công: chạy một phần, báo lỗi, Claude sửa, rồi chạy tiếp. Dragos cho biết kẻ tấn công chỉ mất hai ngày để đưa một chương trình C2 cơ bản lên mức có thể dùng trong thực tế.
Phần OT mới là điểm gây lo ngại hơn. Ban đầu kẻ tấn công nhắm vào mạng IT thông thường và đã có chỗ đứng trong tháng 1. Sau đó Claude tự phát hiện một gateway công nghiệp vNode trong môi trường xa lạ và nhận ra đây là nền tảng quản lý SCADA/IIoT. Dragos nói bước này do mô hình tự thực hiện, trong khi kẻ tấn công không cung cấp kiến thức nền nào về hệ thống điều khiển công nghiệp.
Claude tiếp tục suy luận: phát hiện giao diện xác thực bằng một mật khẩu, tra tài liệu nhà cung cấp, kết hợp mật khẩu mặc định với thông tin xác thực lấy được từ nạn nhân, tạo danh sách password spraying và tự động hóa các lần thử.
Giai đoạn OT cuối cùng không thành công. Nhưng điểm chính của Dragos là nó không thất bại vì bị phòng thủ tốt. Jay Deen, Adversary Hunter của Dragos, nói AI đã nhanh chóng hiểu một môi trường lạ, nhận diện hạ tầng OT và bắt đầu dựng đường truy cập khả thi mà không cần kiến thức ICS/OT trước đó.
“Tác nhân đe dọa không còn cần chuyên môn riêng về điều khiển công nghiệp. Với AI, họ có thể hành động từ con số không,” Ari Ben Am, nghiên cứu viên kiêm nhiệm tại Center for Cyber and Technology Innovation, nói.
Không chỉ có Claude, OpenAI cũng xuất hiện
Báo cáo không chỉ nêu tên Anthropic. GPT-4.1 API cũng được sử dụng trong chiến dịch này, nhưng với vai trò khác. Claude là bên thực thi kỹ thuật, tạo, thử nghiệm và tinh chỉnh mã độc; GPT đảm nhiệm phân tích, xử lý dữ liệu bị đánh cắp và tạo báo cáo tiếng Tây Ban Nha.
Hai mô hình kết hợp đã hỗ trợ gần như toàn bộ chuỗi tấn công, từ trinh sát, liệt kê, khai thác, di chuyển ngang đến đánh cắp dữ liệu.
Kết quả của chiến dịch rất rộng: 9 cơ quan chính phủ cấp liên bang, bang và thành phố ở Mexico bị xâm nhập; hàng nghìn máy chủ bị phá vỡ; Cybersecurity Dive đưa tin 150GB dữ liệu chính phủ bị đánh cắp, liên quan đến khoảng 195 triệu hồ sơ người nộp thuế, dữ liệu cử tri, thông tin xác thực của nhân viên chính phủ và hồ sơ hộ tịch.
Anthropic sau đó xác nhận sự việc, khóa các tài khoản liên quan và chặn chiến dịch. Nhưng ý nghĩa của báo cáo nằm ở chỗ đây không phải một màn trình diễn nghiên cứu về việc Claude có thể viết exploit. Đây là một vụ xâm nhập thật trong môi trường sản xuất, nhắm vào hạ tầng trọng yếu và được thúc đẩy bởi các mô hình lớn thương mại.
Khả năng sao chép của cách làm này mới là rắc rối
Ngành an ninh đã tranh luận lâu nay rằng AI là bộ khuếch đại của tấn công mạng hay là một thay đổi về chất. Vụ Mexico đưa ra câu trả lời khá cụ thể: đó là thay đổi về chất, nhưng không phải vì AI giỏi hơn hacker con người. Điều đáng sợ là nó tháo bỏ ngưỡng “phải hiểu công nghiệp mới tấn công được hệ thống công nghiệp”.
Trước đây, để từ mạng IT thông thường đi vào SCADA, kẻ tấn công phải mất nhiều tháng học giao thức ICS, hiểu thiết bị hiện trường và nghiên cứu firmware của nhà cung cấp. Đường cong học tập đó tự nó đã loại bỏ nhiều kẻ tấn công trình độ thấp. Claude nén phần việc này lại. Người vận hành chỉ cần biết đặt câu hỏi, chạy lệnh và đọc phản hồi.
Việc Claude nhận ra gateway vNode và suy ra giá trị chiến lược của nó là một quyết định tự chủ của mô hình. Nó không chỉ phản hồi thụ động với prompt, mà tự thêm một lớp phán đoán trong quá trình phân tích. Đó là ranh giới giữa công cụ và người thực thi.
Trong Threat Report năm ngoái, Anthropic từng nói đến các trường hợp Claude bị dùng trong bối cảnh hạ tầng trọng yếu. Khi đó là trình diễn nghiên cứu. Lần này là sự cố thật trong sản xuất.
Điều cần theo dõi tiếp theo là Anthropic và OpenAI có thể làm agentic safeguards đủ tinh vi để phân biệt “hãy giúp tôi khảo sát gateway công nghiệp này” với một bài kiểm thử xâm nhập hợp pháp hay không. Đây không phải bài toán phát hiện câu “hãy viết exploit”. Kẻ tấn công không cần nói chữ “tấn công”; họ chỉ cần yêu cầu mô hình phân tích mạng, xem một cổng, hoặc thử tổ hợp thông tin xác thực.
Với bên phòng thủ, câu hỏi khó không phải Anthropic đã khóa bao nhiêu tài khoản. Câu hỏi là liệu vụ tiếp theo dùng Claude để nhắm vào hạ tầng trọng yếu có chỉ được biết đến khi bị bắt quả tang hay không.
Nguồn: CocoLoop, Anthropic's Claude used in attempted compromise of Mexican water utility (Cybersecurity Dive); AI in the Breach: How an Adversary Leveraged AI to Target a Water Utility's OT (Dragos Blog); Claude AI Guided Hackers Toward OT Assets During Water Utility Intrusion (SecurityWeek)