CẢNH BÁO AN NINH MẠNG

Shadow AI 2.0: Khi nhân viên tự xây dựng ứng dụng bằng AI và làm lộ lọt dữ liệu nhạy cảm

Shadow AI không còn chỉ dừng lại ở việc nhân viên dán dữ liệu vào ChatGPT. Một kỷ nguyên mới đã bắt đầu: 'Shadow Builders' - nơi nhân viên tự xây dựng các ứng dụng hoàn chỉnh bằng AI, kết nối chúng vào hệ thống sản xuất và xuất bản công khai trên Internet mà không thông qua bộ phận IT hay Bảo mật.

Thực trạng đáng báo động từ báo cáo "The Shadow Builders"

Theo báo cáo mới nhất từ Red Access, có hơn 380.000 tài sản web công khai trên các nền tảng vibe-coding hàng đầu. Trong đó:

5.000+ Ứng dụng

Được xác định là thuộc về các tổ chức doanh nghiệp lớn trên toàn cầu.

2.000+ Lỗ hổng

Chứa dữ liệu nhạy cảm về vận hành, khách hàng hoặc cá nhân đang bị phơi nhiễm công khai.

Các ứng dụng này thường được triển khai mà không có các biện pháp kiểm soát truy cập cơ bản, thậm chí cấp quyền admin mặc định cho bất kỳ ai truy cập vào URL. Đáng lo ngại hơn, các tổ chức sở hữu chúng vẫn vượt qua các kỳ kiểm định bảo mật định kỳ trong khi những lỗ hổng này vẫn đang tồn tại.

Vibe-coding: Con dao hai lưỡi trong tay người dùng không chuyên

Vibe-coding cho phép bất kỳ ai cũng có thể xây dựng ứng dụng bằng cách mô tả yêu cầu. Một quản lý marketing có thể tạo trình theo dõi chiến dịch kết nối với công cụ BI; một nhóm tài chính có thể tạo dashboard chuẩn bị họp hội đồng quản trị và kéo dữ liệu hóa đơn trực tiếp vào đó.

Vấn đề nằm ở chỗ: Nền tảng AI có thể được kiểm định, nhưng ứng dụng được xây dựng trên đó thì không.

Tại sao các giải pháp bảo mật truyền thống lại thất bại?

Các CISO thường tin tưởng vào hệ thống bảo mật hiện tại, nhưng Shadow Builders lại nằm ở những điểm mù:

EDR: Chỉ nhìn thấy tiến trình trình duyệt, không thấy quá trình xây dựng bên trong. Với EDR, việc xây dựng app trông giống như đang đọc báo bình thường.
DLP: Theo dõi các kênh đã định danh, nhưng không thể thấy ứng dụng vibe-coded kết nối qua API để di chuyển dữ liệu từ đám mây sang đám mây.
CASB: Thường nhận diện cả nền tảng vibe-coding là một dịch vụ SaaS được phê duyệt, không phân biệt được các ứng dụng tùy chỉnh riêng lẻ bên trong.

HÀNH ĐỘNG KHẨN CẤP CHO DOANH NGHIỆP

Để kiểm soát rủi ro từ Shadow Builders, doanh nghiệp cần thực hiện ngay 4 bước sau:

Khám phá (Discovery): Trực tiếp khảo sát nhân viên về các công cụ họ đã xây dựng. Hãy tiếp cận theo hướng kiểm kê thay vì kiểm toán để nhận được sự hợp tác.
Lập bản đồ (Mapping): Xác định các hệ thống doanh nghiệp nào đã được kết nối (qua OAuth, API key) và kiểm tra xem chúng có đang công khai trên Internet không.
Thiết lập lộ trình chuẩn: Định nghĩa các nền tảng AI được phép sử dụng, danh mục dữ liệu chấp nhận được và tiêu chuẩn xác thực tối thiểu.
Duy trì liên tục: Chấp nhận rằng việc kiểm kê không phải là việc làm một lần. Cần có sự giám sát liên tục tại lớp phiên (Session Layer) nơi các hoạt động này diễn ra.

Nguồn tham khảo: The Hacker News

LIÊN HỆ ĐỘI NGŨ ỨNG CỨU SỰ CỐ TMGS

Shadow AI 2.0: Cảnh báo hơn 2.000 ứng dụng Vibe-coding làm rò rỉ dữ liệu doanh nghiệp