Lỗ hổng nghiêm trọng đe dọa loạt hệ thống AI của Meta, Nvidia và Microsoft
Các chuyên gia an ninh mạng vừa phát hiện một số lỗ hổng cực nghiêm trọng trong nền tảng suy luận AI của Meta, Nvidia, Microsoft và cả các dự án mã nguồn mở. Chỉ một điểm yếu này cũng có thể dẫn đến nguy cơ bị chiếm quyền điều khiển từ xa.
Các chuyên gia an ninh mạng vừa công bố loạt lỗ hổng thực thi mã từ xa ảnh hưởng đến nhiều hệ thống suy luận AI quan trọng, bao gồm các nền tảng của Meta, Nvidia, Microsoft và những dự án mã nguồn mở như vLLM hay SGLang.
Báo cáo do Công ty Oligo Security phát hành cho biết, mọi lỗ hổng đều xuất phát từ cùng một nguyên nhân gốc rễ: việc sử dụng không an toàn ZeroMQ (ZMQ) kết hợp với cơ chế giải tuần tự (deserialization) của Python thông qua mô-đun tuần tự hóa (pickle).
Theo nhà nghiên cứu Avi Lumelsky, đây là mô hình sai sót đã lan rộng qua nhiều dự án do thói quen tái sử dụng mã nguồn, được gọi là “ShadowMQ”.
Lỗi gốc ban đầu nằm trong framework Llama LLM của Meta, được nhận định theo mã CVE-2024-50050 và đã được Meta khắc phục từ tháng 10/2024. Framework này sử dụng phương thức recv_pyobj() của ZeroMQ để giải tuần tự dữ liệu đến bằng pickle, mở đường cho khả năng thực thi mã độc nếu kẻ tấn công gửi dữ liệu độc hại vào cổng mạng mà framework để lộ. Thư viện pyzmq của Python cũng đã được cập nhật để xử lý vấn đề này.
Oligo Security cho biết, có một mô hình sai sót y hệt đã xuất hiện trong nhiều nền tảng khác, bao gồm NVIDIA TensorRT-LLM, Microsoft Sarathi-Serve, Modular Max Server, vLLM và SGLang. Điểm chung trong các framework này là cùng sử dụng cơ chế giải tuần tự pickle thông qua socket ZMQ kiểu TCP mà không có xác thực. Khi truy tìm nguồn gốc, Oligo Security đã phát hiện một số đoạn mã bị lỗi được sao chép trực tiếp từ dự án này sang dự án khác.
Trong SGLang, một tệp dễ bị tấn công được ghi rõ là chỉnh sửa từ vLLM. Modular Max Server thậm chí vay mượn logic từ cả vLLM lẫn SGLang, vô tình khiến điểm yếu lan rộng sang nhiều hệ thống khác.
Các lỗ hổng tương ứng đã được gán mã định danh gồm CVE-2025-30165 đối với vLLM, CVE-2025-23254 trong NVIDIA TensorRT-LLM, một lỗi chưa có điểm CVSS trong Modular Max Server, bên cạnh đó Microsoft Sarathi-Serve hiện vẫn chưa được vá và SGLang mới chỉ triển khai bản sửa lỗi không đầy đủ.
Do các engine suy luận AI đóng vai trò cốt lõi trong hạ tầng trí tuệ nhân tạo, việc khai thác thành công một điểm yếu có thể giúp kẻ tấn công chiếm quyền điều khiển một node, từ đó leo thang đặc quyền, đánh cắp mô hình, hoặc triển khai payload độc hại như mã đào tiền điện tử để trục lợi. Sự lan truyền của mã độc trong môi trường dạng cluster khiến rủi ro càng nghiêm trọng hơn.
Nhà nghiên cứu Avi Lumelsky nhấn mạnh, các dự án AI đang phát triển với tốc độ chưa từng có và việc tái sử dụng các thành phần kiến trúc từ dự án khác là phổ biến. Tuy nhiên, khi những mẫu mã lỗi cũng được sao chép theo, hậu quả có thể lan rộng rất nhanh và gây tác động dây chuyền trên toàn hệ sinh thái AI.
Bên cạnh đó, một báo cáo mới từ nền tảng an ninh AI Knostic cho biết, hệ trình duyệt tích hợp trong công cụ lập trình Cursor có thể bị tấn công thông qua kỹ thuật JavaScript injection. Kẻ tấn công có thể đăng ký một máy chủ Model Context Protocol (MCP) giả mạo để thay thế trang đăng nhập trong trình duyệt bằng trang lừa đảo nhằm thu thập thông tin đăng nhập và gửi về máy chủ điều khiển.
Theo nhà nghiên cứu Dor Munis, chỉ cần người dùng tải và chạy máy chủ MCP giả, mã độc sẽ được tiêm vào trình duyệt của Cursor và chuyển hướng họ đến trang đăng nhập giả mạo.
Do Cursor là một bản sao (fork) của Visual Studio Code, tội phạm mạng còn có thể tạo tiện ích mở rộng (extension) độc hại để tiêm mã JavaScript vào IDE, cho phép thực thi bất kỳ hành động nào, kể cả việc gắn cờ sai lệch các tiện ích hợp pháp hoặc chỉnh sửa mã nguồn của IDE.
AI Knostic cảnh báo rằng, khi mã được chạy ở cấp độ interpreter, kẻ tấn công có toàn quyền truy cập hệ thống tập tin, chỉnh sửa chức năng IDE và duy trì mã độc ngay cả sau khi khởi động lại.
Để hạn chế rủi ro, chuyên gia khuyến nghị, cần vô hiệu hóa tính năng Auto-Run trong IDE, kiểm tra kỹ tiện ích mở rộng, chỉ cài đặt MCP server từ nguồn đáng tin cậy, kiểm tra phạm vi quyền truy cập API, dùng khóa API có quyền tối thiểu và kiểm tra mã nguồn của MCP khi có thể./.
