Khánh Phạm✔
Writer
Chính phủ Anh trong suốt một thập kỷ qua đã duy trì chính sách công khai mã nguồn các dự án công nghệ nhằm thúc đẩy sự minh bạch và tiết kiệm ngân sách thông qua việc tái sử dụng code. Tuy nhiên, sự thuận tiện này vô tình tạo ra những kẽ hở nghiêm trọng trong bối cảnh các nguồn lực kỹ thuật bị thắt chặt và thiếu sự bảo trì hệ thống thường xuyên. Những lỗ hổng này không chỉ tồn tại ở các cấp chính quyền địa phương mà còn lan rộng ra các cơ quan trọng yếu như Bộ Y tế và Bộ Nội vụ. Thực trạng này đặt ra bài toán khó về việc cân bằng giữa triết lý chia sẻ mã nguồn mở và yêu cầu bảo mật thông tin nhạy cảm trong kỷ nguyên công nghệ hiện đại.
Thông qua các mô hình trí tuệ nhân tạo như Claude Opus và Sonnet, nhà nghiên cứu bảo mật Chris Nesbitt-Smith từ ControlPlane đã thực hiện một cuộc quét quy mô lớn và phát hiện ra những sai sót kỹ thuật đáng báo động. Ông khẳng định rằng không cần tới các công cụ tấn công mạng tinh vi, chỉ với các mô hình tiêu dùng chạy trên laptop cá nhân, việc tìm kiếm lỗi bảo mật trở nên dễ dàng hơn bao giờ hết. Hơn hai phần ba trong số 349 kho mã nguồn công cộng mà ông kiểm tra đều tồn tại các điểm yếu an ninh tiềm ẩn. Theo bài phân tích chi tiết trên Wired, phần lớn các sự cố này lẽ ra có thể ngăn chặn từ sớm nếu các cơ quan tuân thủ quy trình kiểm tra sức khỏe hệ thống định kỳ.
Điển hình cho sự nguy hiểm này là vụ việc tại Cơ quan Thanh tra Quy hoạch, nơi một đoạn mã đăng nhập bị vô tình đẩy lên kho lưu trữ công cộng GitHub. Những thông tin xác thực này không chỉ tồn tại kéo dài mà còn cấp quyền truy cập toàn diện vào hệ thống Microsoft Entra ID của tổ chức. Nhà nghiên cứu cho biết đây là quyền truy cập cấp cao, cho phép đối tượng tấn công đọc, ghi dữ liệu trên SharePoint, truy cập OneDrive cá nhân của nhân viên và đánh cắp các hồ sơ nhạy cảm phục vụ cho các vụ kiện tụng pháp lý. Khả năng kẻ gian sử dụng mã độc tống tiền hoặc đánh cắp toàn bộ cơ sở dữ liệu là hoàn toàn khả thi trong trường hợp này.
Đại diện của Cơ quan Thanh tra Quy hoạch khẳng định họ đã phát hiện các hoạt động truy cập lạ ngay từ tháng 8 thông qua công cụ giám sát nội bộ trước khi nhận được thông báo từ phía nhà nghiên cứu. Lỗ hổng đã được khắc phục hoàn toàn trong vòng 20 phút và cơ quan này khẳng định chưa có bất kỳ dữ liệu nào bị xâm phạm thực sự. Dù vậy, chuyên gia Amanda Brock từ tổ chức OpenUK nhấn mạnh rằng vấn đề không nằm ở bản chất của mã nguồn mở mà là sự yếu kém trong quy trình quản lý nội bộ. Việc không tuân thủ các nguyên tắc bảo mật cơ bản khi sử dụng các công cụ công cộng đã trực tiếp dẫn đến sự cố đáng tiếc này.
Cuộc tranh luận về việc liệu các cơ quan công vụ có nên dừng công khai mã nguồn hay không đang trở nên gay gắt trước áp lực từ các mối đe dọa do trí tuệ nhân tạo hỗ trợ. NHS gần đây được cho là đã chuyển hướng sang đóng mã nguồn nhằm bảo vệ hạ tầng kỹ thuật trước những lo ngại về an ninh mạng. Tuy nhiên, Nesbitt-Smith cảnh báo rằng hành động đóng cửa mà không vá lỗ hổng thực tế lại là một lựa chọn sai lầm. Điều này vô tình phát đi tín hiệu cho những kẻ tấn công rằng đây là nơi có giá trị để khai thác, trong khi những lỗ hổng cũ vẫn tồn tại và có thể đã bị các đối tượng xấu sao lưu từ trước.
Thông qua các mô hình trí tuệ nhân tạo như Claude Opus và Sonnet, nhà nghiên cứu bảo mật Chris Nesbitt-Smith từ ControlPlane đã thực hiện một cuộc quét quy mô lớn và phát hiện ra những sai sót kỹ thuật đáng báo động. Ông khẳng định rằng không cần tới các công cụ tấn công mạng tinh vi, chỉ với các mô hình tiêu dùng chạy trên laptop cá nhân, việc tìm kiếm lỗi bảo mật trở nên dễ dàng hơn bao giờ hết. Hơn hai phần ba trong số 349 kho mã nguồn công cộng mà ông kiểm tra đều tồn tại các điểm yếu an ninh tiềm ẩn. Theo bài phân tích chi tiết trên Wired, phần lớn các sự cố này lẽ ra có thể ngăn chặn từ sớm nếu các cơ quan tuân thủ quy trình kiểm tra sức khỏe hệ thống định kỳ.
Điển hình cho sự nguy hiểm này là vụ việc tại Cơ quan Thanh tra Quy hoạch, nơi một đoạn mã đăng nhập bị vô tình đẩy lên kho lưu trữ công cộng GitHub. Những thông tin xác thực này không chỉ tồn tại kéo dài mà còn cấp quyền truy cập toàn diện vào hệ thống Microsoft Entra ID của tổ chức. Nhà nghiên cứu cho biết đây là quyền truy cập cấp cao, cho phép đối tượng tấn công đọc, ghi dữ liệu trên SharePoint, truy cập OneDrive cá nhân của nhân viên và đánh cắp các hồ sơ nhạy cảm phục vụ cho các vụ kiện tụng pháp lý. Khả năng kẻ gian sử dụng mã độc tống tiền hoặc đánh cắp toàn bộ cơ sở dữ liệu là hoàn toàn khả thi trong trường hợp này.
Đại diện của Cơ quan Thanh tra Quy hoạch khẳng định họ đã phát hiện các hoạt động truy cập lạ ngay từ tháng 8 thông qua công cụ giám sát nội bộ trước khi nhận được thông báo từ phía nhà nghiên cứu. Lỗ hổng đã được khắc phục hoàn toàn trong vòng 20 phút và cơ quan này khẳng định chưa có bất kỳ dữ liệu nào bị xâm phạm thực sự. Dù vậy, chuyên gia Amanda Brock từ tổ chức OpenUK nhấn mạnh rằng vấn đề không nằm ở bản chất của mã nguồn mở mà là sự yếu kém trong quy trình quản lý nội bộ. Việc không tuân thủ các nguyên tắc bảo mật cơ bản khi sử dụng các công cụ công cộng đã trực tiếp dẫn đến sự cố đáng tiếc này.
Cuộc tranh luận về việc liệu các cơ quan công vụ có nên dừng công khai mã nguồn hay không đang trở nên gay gắt trước áp lực từ các mối đe dọa do trí tuệ nhân tạo hỗ trợ. NHS gần đây được cho là đã chuyển hướng sang đóng mã nguồn nhằm bảo vệ hạ tầng kỹ thuật trước những lo ngại về an ninh mạng. Tuy nhiên, Nesbitt-Smith cảnh báo rằng hành động đóng cửa mà không vá lỗ hổng thực tế lại là một lựa chọn sai lầm. Điều này vô tình phát đi tín hiệu cho những kẻ tấn công rằng đây là nơi có giá trị để khai thác, trong khi những lỗ hổng cũ vẫn tồn tại và có thể đã bị các đối tượng xấu sao lưu từ trước.
