Chuyện Gì Xảy Ra Khi Hệ Thống Trí Tuệ Nhân Tạo Không Có Khóa Cửa?

Cái gì đã xảy ra?

Lúc 9 giờ 14 phút sáng, một địa chỉ IP từ châu Âu bắt đầu kết nối vào hệ thống. Trong 15 phút tiếp theo, nó lần lượt thử tất cả mọi thứ. Hãy hình dung một người đi qua một dãy nhà, gõ nhẹ vào từng cánh cửa, không phá khóa, không đập cửa, chỉ gõ nhẹ rồi lắng nghe xem bên trong có tiếng động gì không.

Điều đáng chú ý: đây không phải brute-force. Không một lần nào thử đăng nhập vào SSH hay MySQL. Toàn bộ hoạt động mang tính trinh sát, thu thập banner, xác định phiên bản, liệt kê dịch vụ khả dụng. Hành động duy nhất có tính tấn công là cố tạo container Docker để đọc danh sách tài khoản hệ thống.

Lần đầu tiên thấy điều lạ:

Trong cùng cổng HTTP, lúc 9 giờ 16 phút 8 giây, hệ thống ghi lại một đoạn dữ liệu không phải yêu cầu web thông thường. Đó là một đoạn JSON với nội dung khởi tạo giao thức MCP. Để hiểu tại sao điều này quan trọng, cần biết MCP là gì.

MCP là một giao thức mới do Anthropic, công ty tạo ra trợ lý AI Claude, phát triển và công bố. Mục đích của nó là cho phép các hệ thống AI như Claude, ChatGPT hay GitHub Copilot kết nối trực tiếp với các công cụ bên ngoài trong doanh nghiệp. Ví dụ, thay vì chỉ trả lời câu hỏi, một AI agent dùng MCP có thể đọc file trên máy chủ công ty, truy vấn cơ sở dữ liệu nội bộ, gọi API của hệ thống kế toán, hay thậm chí chạy các tác vụ tự động trên pipeline triển khai phần mềm. Nói đơn giản hơn: MCP là cái cầu nối giữa bộ não AI và toàn bộ hạ tầng của doanh nghiệp. Và cầu nối đó, trong phần lớn trường hợp triển khai hiện nay, không có khóa.

Tại sao lại không có khóa?

Khi Anthropic công bố đặc tả MCP lần đầu, tiêu chuẩn xác thực, tức là cơ chế yêu cầu người dùng phải chứng minh danh tính trước khi được phép kết nối, không phải là bắt buộc. Nó được liệt vào phần tùy chọn. Mãi đến phiên bản cập nhật tháng 6 năm 2025, OAuth 2.1 mới được thêm vào như một lựa chọn, nhưng vẫn không phải bắt buộc. Hệ quả là rất nhiều đội ngũ kỹ thuật đã triển khai MCP server nhanh chóng, tập trung vào việc làm cho AI hoạt động được, và bỏ qua phần bảo mật vì đặc tả không yêu cầu.

Đây là tình trạng một dãy nhà mới xây, cửa đã lắp, nhưng ổ khóa chưa ai lắp vào.

Kẻ tấn công sẽ làm gì với một MCP server không có khóa?

Khi một kẻ tấn công kết nối thành công vào một MCP server không được bảo vệ, điều đầu tiên chúng làm là gửi yêu cầu tools/list, tức là hỏi server có thể làm được những gì. Server sẽ thành thật trả về danh sách đầy đủ, và từ đó kẻ tấn công có thể gọi bất kỳ công cụ nào mà không cần mật khẩu hay tài khoản.

Phân tích đoạn dữ liệu bị bắt

Đây là nội dung gần đúng của đoạn dữ liệu mà hệ thống bẫy ghi lại được

</> JSON
{
 "jsonrpc": "2.0",
 "id": 4817523,
 "method": "initialize",
 "params": {
   "protocolVersion": "2025-06-18",
   "capabilities": {
     "sampling": {},
     "elicitation": {},
     "roots": { "listChanged": true }
   },
   "clientInfo": {
     "name": "net-recon-mcp-probe",
     "version": "1.0.0"
   }
 }
}

Sau khi gõ cửa MCP, kẻ tấn công làm gì tiếp?

Lúc 9 giờ 22 phút, công cụ quét chuyển sang Docker API. Docker là hệ thống cho phép chạy các ứng dụng trong những container. Nếu cổng quản lý Docker được mở ra ngoài mà không có mã hóa và chứng thư xác thực, bất kỳ ai biết địa chỉ cũng có thể điều khiển toàn bộ Docker đó.

Mục tiêu của chuỗi thao tác này là thu thập thông tin tài khoản trên máy chủ thật thông qua Docker được mount chung volume với hệ điều hành. Đây là kỹ thuật leo quyền đã được ghi chép rộng rãi và được dùng trong hàng nghìn vụ xâm nhập thực tế.

Những sự cố MCP đã xảy ra trong thực tế

Những gì được mô tả không phải rủi ro lý thuyết. Trong năm 2025, đã có tám sự cố nghiêm trọng liên quan đến MCP được ghi nhận công khai:

Điều gì làm cho phát hiện này khác biệt so với trước đây?

Trước sự kiện này, MCP scanning chỉ xuất hiện trong báo cáo của các nhóm nghiên cứu bảo mật chuyên nghiệp. Các công ty như Knostic hay Cisco đã viết công cụ quét MCP server, nhưng với mục đích kiểm tra và lập bản đồ phục vụ nghiên cứu. Tất cả là bối cảnh kiểm soát.

Trong lịch sử bảo mật, khi một loại dịch vụ mới bắt đầu xuất hiện trong các scanner tự động, đó là dấu hiệu cho thấy cộng đồng tội phạm mạng đã đánh giá nó là đủ phổ biến và đủ có giá trị để đưa vào quy trình khai thác hàng loạt. Kubernetes API từng qua giai đoạn này, kết quả là hàng nghìn cluster bị chiếm để đào tiền mã hóa. Elasticsearch từng qua giai đoạn này, kết quả là hàng triệu bản ghi dữ liệu bị xóa hoặc tống tiền. MCP đang bước vào giai đoạn tương tự.