AI tự sửa lỗi tấn công chỉ trong 31 giây: Doanh nghiệp có phản ứng kịp?

Sự việc xảy ra đúng lúc Luật An ninh mạng mới của Việt Nam bắt đầu có hiệu lực, đặt ra câu hỏi cấp thiết với giới lãnh đạo doanh nghiệp: hệ thống phòng thủ hiện tại có đang chạy đua kịp tốc độ của một cuộc tấn công "không cần ngủ"?

Khi AI tự tay làm hacker

Đầu tháng 7/2026, Sysdig, hãng bảo mật chuyên giám sát hệ thống điện toán đám mây, công bố đã ghi nhận JADEPUFFER - chiến dịch được đánh giá là trường hợp ransomware "tự hành" (Agentic Ransomware) đầu tiên được ghi nhận đầy đủ. Theo đó, phần lớn chuỗi tấn công được AI tự thực hiện, thay vì một hacker ngồi gõ lệnh theo từng bước như cách vẫn diễn ra xưa nay.

Sau khi lọt vào qua một lỗ hổng đã biết từ lâu nhưng chưa được vá, AI tự quyết định các bước tiếp theo: tự dò quét môi trường, tìm kiếm thông tin xác thực, mở rộng phạm vi truy cập và tấn công cơ sở dữ liệu. Đặc biệt, khi đăng nhập thất bại, AI chỉ mất 31 giây để tự xác định nguyên nhân, sửa mã, tạo lại tài khoản quản trị và tiếp tục hoạt động mà không cần con người can thiệp trực tiếp.

Điều khiến giới chuyên gia lo ngại không nằm ở kỹ thuật tấn công mới, mà ở khả năng AI tự liên kết các bước, điều chỉnh khi thất bại và thực thi chuỗi hành động với tốc độ máy. JADEPUFFER cho thấy một xu hướng rộng hơn: AI ngày càng được trao quyền lựa chọn công cụ và trực tiếp hành động. Trước đó, Microsoft cũng cảnh báo một số AI agent trong doanh nghiệp đang chuyển từ vai trò "đọc và trả lời" sang lập kế hoạch, lựa chọn công cụ và thực hiện nhiệm vụ.

Vấn đề không nằm ở AI, mà ở tốc độ phản ứng của doanh nghiệp

Phần lớn doanh nghiệp vẫn ứng cứu sự cố theo nhịp độ thủ công: công cụ phát cảnh báo, nhân sự xác minh, báo cáo quản lý, xin phê duyệt rồi mới cô lập hệ thống, có thể mất vài giờ, thậm chí cả ngày.

"Điểm đáng lo ngại là AI chỉ cần 31 giây để nhận ra bước thực hiện thất bại, tự chẩn đoán và khắc phục lỗi. Khi phía tấn công ra quyết định theo tốc độ máy, còn phía phòng thủ vẫn chờ cảnh báo, họp và phê duyệt, doanh nghiệp có thể mất quyền kiểm soát trong khoảng trễ quản trị", ông Trần Quốc Chính, Phó Chủ tịch Tập đoàn Công nghệ CMC, Tổng Giám đốc CMC Cyber Security, nhận định.

Theo ông Chính, trọng tâm không phải thêm công cụ, mà là xác định trước tình huống phải cô lập, quyết định có thể tự động hóa và người chịu trách nhiệm. Cảnh báo chỉ có giá trị khi được chuyển thành hành động đủ nhanh mà vẫn duy trì hoạt động trọng yếu.

Ông Trần Quốc Chính, Phó Chủ tịch Tập đoàn Công nghệ CMC, Tổng Giám đốc CMC Cyber Security.

Cái giá phải trả nếu chậm một nhịp

Trong vụ JADEPUFFER, phần đáng chú ý nhất không phải dữ liệu bị mã hóa, mà là khóa mã hóa được tạo ngẫu nhiên, in ra một lần rồi biến mất. Kể cả nạn nhân trả tiền chuộc, cũng không có gì để lấy lại. Dữ liệu mất là mất vĩnh viễn.

Hệ thống ngừng hoạt động có thể làm gián đoạn bán hàng, thanh toán, sản xuất và chăm sóc khách hàng. Giao dịch đình trệ, cam kết dịch vụ bị phá vỡ, chi phí điều tra và khôi phục tăng lên. Vài giờ gián đoạn có thể trở thành vấn đề dòng tiền, hợp đồng và uy tín thương hiệu.

Với doanh nghiệp Việt Nam, câu chuyện này còn có thêm một lý do để không thể xem nhẹ. Luật An ninh mạng số 116/2025/QH15 chính thức có hiệu lực từ 1/7/2026, đúng thời điểm JADEPUFFER được công bố, là một lời nhắc nhở rằng bảo vệ dữ liệu không còn là việc riêng của phòng IT, mà gắn với trách nhiệm quản trị và tuân thủ của doanh nghiệp.

Luật mới quy định các biện pháp đánh giá, kiểm tra, giám sát, ứng phó và khắc phục sự cố; yêu cầu chủ quản hệ thống thông tin bảo vệ hệ thống, báo cáo sự cố. Tùy vai trò, loại hình dịch vụ và hệ thống thuộc phạm vi điều chỉnh, doanh nghiệp cung cấp dịch vụ trên không gian mạng phải xây dựng phương án ứng cứu khẩn cấp và triển khai khi sự cố xảy ra. Lãnh đạo vì thế phải biết hệ thống nào trọng yếu, ai được quyền xử lý và khả năng phục hồi đã được kiểm chứng hay chưa. Mua giải pháp bảo mật không thay thế được trách nhiệm duy trì vận hành, bảo vệ dữ liệu và niềm tin khách hàng.

Doanh nghiệp nên bắt đầu từ đâu?

Theo ông Chính, doanh nghiệp cần bắt đầu từ ba câu hỏi: những tài sản nào đang mở ra Internet và có thể bị khai thác? Mất bao lâu để phát hiện, xác minh và cô lập hành vi bất thường? Nếu dữ liệu bị xóa hoặc mã hóa trong đêm, hệ thống có thể khôi phục vào sáng hôm sau hay không.

Từ đó, tổ chức, doanh nghiệp cần nhìn thấy đầy đủ bề mặt tấn công; kiểm thử hệ thống theo góc nhìn của kẻ tấn công; giám sát 24/7 để cô lập sự cố trước khi lan rộng; đồng thời kiểm chứng khả năng khôi phục bằng các bản sao dữ liệu tách biệt khỏi hệ thống sản xuất.

Đây là cách CMC Cyber Security đồng hành cùng các tổ chức, doanh nghiệp: xây dựng chu trình phòng thủ liên tục từ nhận diện lỗ hổng, kiểm chứng khả năng ứng phó, giám sát và phản ứng đến phục hồi sau sự cố. Với gần 20 năm kinh nghiệm, bảo vệ hơn 1.000 hệ thống và năng lực Pentest, SOC được CREST công nhận, CMC Cyber Security giúp rút ngắn thời gian phát hiện, hạn chế tấn công lan rộng và duy trì vận hành khi một lớp phòng thủ bị vượt qua.

CMC Cyber Security được CREST công nhận năng lực Penetration Testing và Security Operations Center.

Không có công thức nào đảm bảo doanh nghiệp miễn nhiễm trước một cuộc tấn công có thể tự vận hành suốt ngày đêm. Nhưng khoảng cách giữa "bị tấn công" và "bị thiệt hại" vẫn nằm trong tầm kiểm soát, nếu ba câu hỏi trên được trả lời từ trước, chứ không phải khi đồng hồ đã bắt đầu đếm ngược.

Tìm hiểu thêm tại: https://cmccybersecurity.com/