Vẫn còn mua trung tâm chuyển đổi AI trên Taobao? Người tiết lộ mã nguồn Claude Code: Ít nhất hàng chục người đã bị đầu độc

Báo cáo mới nhất về cuộc điều tra tiết lộ vụ rò rỉ mã nguồn Claude Code, tiết lộ rằng các trung tâm trung chuyển AI trên thị trường tiềm ẩn rủi ro an ninh mạng. Thực tế kiểm tra cho thấy một số trung tâm trung chuyển sẽ lấy cắp chứng thực, khoá riêng của ví tiền hoặc chèn mã độc, trở thành các điểm tấn công chuỗi cung ứng.

Báo cáo tiết lộ người tố giác vụ rò rỉ mã nguồn Claude Code, cảnh báo rủi ro an ninh của trung tâm trung chuyển AI

Gần đây có một bài nghiên cứu mang tên 《Người đại diện của bạn là của tôi》 (Your Agent Is Mine) được công bố, trong đó một trong các tác giả là người tố giác vụ rò rỉ mã nguồn Claude Code từ trước, Chaofan Shou.

Bài báo lần đầu tiên tiến hành nghiên cứu hệ thống về các mối đe dọa an ninh đối với bộ định tuyến API của các mô hình ngôn ngữ lớn (LLM), còn gọi là trung tâm trung chuyển, và tiết lộ rằng các trung tâm này có thể trở thành các điểm tấn công chuỗi cung ứng.

Trung tâm trung chuyển AI là gì?

Vì việc gọi LLM tiêu tốn nhiều Token, gây ra chi phí tính toán cao, trung tâm trung chuyển AI có thể sử dụng bộ nhớ đệm để lặp lại các câu hỏi và bối cảnh, giúp khách hàng tiết kiệm đáng kể chi phí.

Đồng thời, trung tâm trung chuyển còn có chức năng phân phối tự động các mô hình, có thể dựa trên độ khó của câu hỏi của người dùng để linh hoạt chuyển đổi giữa các mô hình có tiêu chuẩn tính phí và hiệu năng khác nhau, và tự động chuyển sang mô hình dự phòng khi máy chủ mô hình chính gặp sự cố, đảm bảo dịch vụ ổn định.

Trung tâm trung chuyển đặc biệt phổ biến ở Trung Quốc, vì quốc gia này không thể trực tiếp sử dụng các sản phẩm AI nước ngoài nhất định, cộng thêm nhu cầu địa phương hoá tính phí của doanh nghiệp, do đó trung tâm trung chuyển trở thành cầu nối quan trọng giữa mô hình phía trên và nhà phát triển phía dưới. Các nền tảng như OpenRouter và SiliconFlow đều thuộc loại dịch vụ này.

Tuy nhiên, trung tâm trung chuyển tưởng chừng giảm chi phí và rào cản kỹ thuật, nhưng đằng sau lại tiềm ẩn rủi ro an ninh cực lớn.

Nguồn hình ảnh: Nghiên cứu tiết lộ rủi ro tấn công chuỗi cung ứng của trung tâm trung chuyển AI

Trung tâm trung chuyển AI có quyền truy cập hoàn toàn, trở thành lỗ hổng tấn công chuỗi cung ứng

Báo cáo chỉ ra rằng, trung tâm trung chuyển hoạt động ở tầng ứng dụng của kiến trúc mạng, có quyền đọc toàn bộ dữ liệu tải JSON trong quá trình truyền tải.

Vì khách hàng và nhà cung cấp mô hình phía trên thiếu xác thực mã hoá toàn diện từ đầu đến cuối, trung tâm trung chuyển có thể dễ dàng xem và chỉnh sửa API key, lệnh hướng hệ thống và tham số gọi mô hình trong kết quả trả về của API.

Nhóm nghiên cứu cho biết, từ tháng 3 năm 2026, bộ định tuyến mã nguồn mở nổi tiếng LiteLLM đã từng bị tấn công dựa trên xung đột phụ thuộc, cho phép kẻ tấn công chèn mã độc vào pipeline xử lý yêu cầu, làm nổi bật điểm yếu của phần này.

• **Báo cáo liên quan:**Tóm tắt vụ tấn công của LiteLLM: Làm thế nào để kiểm tra ví tiền mã hoá, khoá đám mây có bị xâm phạm?

Thực tế kiểm tra hàng chục trung tâm trung chuyển AI có hành vi độc hại

Nhóm nghiên cứu đã mua 28 trung tâm trung chuyển trả phí trên các nền tảng như Taobao, Xianyu và Shopify, và thu thập 400 trung tâm trung chuyển miễn phí từ cộng đồng để kiểm tra sâu, kết quả cho thấy có 1 trung tâm trả phí và 8 trung tâm miễn phí sẽ chủ động chèn mã độc.

Trong số các mẫu trung tâm miễn phí, có 17 trung tâm cố gắng sử dụng chứng thực AWS do nhóm nghiên cứu thiết lập, thậm chí có 1 trung tâm trực tiếp trộm tiền mã hoá trong ví Ethereum của nhóm.

Dữ liệu nghiên cứu còn cho thấy, chỉ cần trung tâm trung chuyển tái sử dụng chứng thực bị rò rỉ từ phía trên hoặc dẫn lưu lượng truy cập đến các nút có bảo vệ yếu hơn, thì ngay cả trung tâm ban đầu có vẻ bình thường cũng có thể bị kéo vào cùng một mặt trận tấn công.

Trong các thử nghiệm nhiễm độc, nhóm phát hiện rằng, tổng số token mà các nút bị ảnh hưởng xử lý vượt quá 2,1 tỷ, và trong 440 cuộc hội thoại đã tiết lộ 99 chứng thực thực, trong đó có 401 cuộc hội thoại đang hoạt động hoàn toàn tự chủ, cho phép kẻ tấn công dễ dàng chèn tải độc hại mà không cần điều kiện kích hoạt phức tạp.

Nguồn hình ảnh: Nghiên cứu thực nghiệm trên hơn 400 trung tâm trung chuyển, phát hiện nhiều trung tâm có hành vi độc hại

Bốn phương pháp tấn công chính bị phơi bày

Báo cáo tổng hợp hành vi tấn công của trung tâm trung chuyển độc hại thành hai loại chính và hai biến thể tự thích nghi để tránh bị phát hiện.

• Tấn công chèn tải: Sau khi mô hình phía trên trả về kết quả, trung tâm trung chuyển âm thầm chỉnh sửa tham số gọi công cụ, ví dụ thay thế URL hợp lệ bằng máy chủ do kẻ tấn công kiểm soát, dẫn đến khách hàng thực thi mã độc.
• Tấn công rò rỉ bí mật: Trung tâm trung chuyển qua quét thụ động lưu lượng truyền tải, chặn và lấy cắp API key, chứng thực AWS và khoá riêng Ethereum cùng các thông tin nhạy cảm khác.

Để tránh các phương pháp kiểm tra an ninh thông thường, kẻ tấn công còn phát triển kỹ thuật chèn mục tiêu phụ thuộc, chỉnh sửa tên gói trong lệnh cài đặt phần mềm, thay thế gói hợp lệ bằng các gói độc hại cùng tên hoặc dễ gây nhầm lẫn đã được đăng ký công khai, nhằm xây dựng cửa hậu chuỗi cung ứng lâu dài trong hệ thống mục tiêu.

Một phương pháp khác là giao hàng theo điều kiện, hành vi độc hại chỉ kích hoạt trong các điều kiện nhất định, ví dụ như khi số lần yêu cầu vượt quá 50 lần, hoặc khi phát hiện hệ thống đang hoạt động hoàn toàn tự chủ (chế độ YOLO), nhằm tránh bị kiểm tra an ninh hạn chế.

Ba biện pháp phòng ngừa khả thi

Đối mặt với tấn công chuỗi cung ứng của trung tâm trung chuyển AI, báo cáo đề xuất ba biện pháp phòng ngừa khả thi:

• Thực thi chính sách kiểm soát đối với công cụ nguy cơ cao: Kiểm tra và chặn các tên miền hoặc lệnh cài đặt gói không được phép, cơ chế này có thể ngăn chặn phần lớn các tấn công chèn tải với tỷ lệ sai sót chỉ 1%.
• Hệ thống lọc bất thường ở phía phản hồi: Có thể xác định 89% mẫu tải độc hại với tỷ lệ sai sót 6.7%, hỗ trợ nhà phát triển thực hiện kiểm tra thủ công hiệu quả.
• Ghi nhật ký minh bạch bổ sung: Dù không thể ngăn chặn tấn công, cơ chế này lưu trữ các giá trị băm của yêu cầu và phản hồi, giúp truy vết và đánh giá thiệt hại khi xảy ra sự cố an ninh.

Kêu gọi nhà cung cấp mô hình phía trên xây dựng cơ chế xác thực mật mã

Mặc dù các biện pháp phòng thủ của khách hàng có thể giảm thiểu rủi ro phần nào trong giai đoạn này, nhưng không thể giải quyết triệt để lỗ hổng xác thực danh tính nguồn gốc. Chỉ cần hành vi chỉnh sửa của trung tâm trung chuyển không kích hoạt cảnh báo bất thường của khách hàng, kẻ tấn công vẫn có thể dễ dàng thay đổi ý nghĩa thực thi của chương trình và gây phá hoại.

Để đảm bảo an toàn toàn diện cho hệ sinh thái AI代理, cuối cùng cần dựa vào các nhà cung cấp mô hình phía trên hỗ trợ cơ chế xác thực mật mã trong phản hồi. Chỉ khi kết quả của mô hình và lệnh thực thi cuối cùng của khách hàng được liên kết mã hoá chặt chẽ, mới có thể đảm bảo tính toàn vẹn của dữ liệu đầu cuối, phòng ngừa toàn diện rủi ro chuỗi cung ứng từ việc trung tâm trung chuyển chỉnh sửa dữ liệu.

Đọc thêm:
OpenAI dùng Mixpanel gặp sự cố! Dẫn đến rò rỉ dữ liệu cá nhân của một số người dùng, cảnh báo lừa đảo qua email

Một lỗi sao chép dán sai, 50 triệu đô la biến mất! Tấn công đầu độc địa chỉ mã hoá, làm thế nào để phòng tránh