Trí tuệ nhân tạo (AI) – Tác động, rủi ro và nhu cầu quản lý chặt chẽ trong an ninh mạng
Năm 2024, trí tuệ nhân tạo (AI) tiếp tục thống trị các tiêu đề toàn cầu khi năng lực của AI tạo sinh (generative AI) phát triển với tốc độ nhanh chóng. Việc ứng dụng công nghệ này chắc chắn sẽ gia tăng trong năm 2025 và các năm tiếp theo, cùng với sự xuất hiện của Agentic AI – dạng AI có khả năng thích ứng cao và tự chủ, mở ra tiềm năng lớn trong tự động hóa và cá nhân hóa ở những lĩnh vực chưa từng được khai phá.
Ở cấp độ toàn cầu, “cuộc chạy đua AI” đang nóng lên giữa Mỹ và Trung Quốc, khi cả hai quốc gia đều đầu tư mạnh mẽ vào việc xây dựng hạ tầng AI tiên tiến, phát triển nhân lực AI và cạnh tranh để tạo ra những đột phá tiếp theo. Ở cấp độ địa phương, ngày càng nhiều doanh nghiệp tích hợp công nghệ AI vào hệ thống và quy trình làm việc để nâng cao hiệu quả và năng suất. Ngay cả ngành luật, vốn thường chậm áp dụng công nghệ mới, cũng đã bắt đầu sử dụng AI tạo sinh trong công việc — điều này khiến Tòa án Tối cao New South Wales phải ban hành Hướng dẫn SC GEN 23 quy định phạm vi chấp nhận sử dụng AI tạo sinh trong lĩnh vực pháp lý.
Cả trong hiện tại và tương lai, AI chắc chắn sẽ đóng vai trò quan trọng trong an ninh mạng (cyber security). Tuy nhiên, giống như mọi công nghệ mới, mặt tích cực luôn đi kèm rủi ro, khi những kẻ tấn công mạng lợi dụng chính công nghệ này để gây ra tội phạm và gián đoạn quy mô lớn.
Sử dụng AI cho mục đích xấu
AI đã mở ra vô số cơ hội cho tội phạm mạng tấn công bằng những phương thức ngày càng tinh vi và khó phát hiện. Các tác nhân đe dọa (threat actors) có thể khai thác AI ở nhiều mức độ khác nhau — bất kể họ có ít tài nguyên hay kinh nghiệm. Điều này đến từ xu hướng “dân chủ hóa tấn công mạng”, nơi các mô hình “nhượng quyền dịch vụ” (franchise model) cho phép cả những kẻ nghiệp dư cũng có thể mua công cụ AI độc hại trên dark web để tiến hành tấn công.
Những cách mà kẻ xấu sử dụng AI bao gồm:
-
Mở rộng quy mô và hiệu quả tấn công mạng bằng AI.
-
Tấn công vào chính công nghệ AI, chẳng hạn như “đầu độc dữ liệu huấn luyện” (data poisoning) – khiến AI sinh ra kết quả sai lệch, thiên vị hoặc mang tính độc hại.
Cụ thể hơn, tội phạm mạng lợi dụng AI bằng cách:
-
Sử dụng xử lý ngôn ngữ tự nhiên (NLP) để viết email lừa đảo (phishing) thuyết phục hơn, có thể tùy biến theo ngữ cảnh văn hóa hoặc ngôn ngữ địa phương, khiến nạn nhân khó nhận ra. Trước đây, các email lừa đảo thường bị phát hiện nhờ lỗi chính tả – nhưng với AI tạo sinh, các email trở nên hoàn hảo. Ví dụ, khi các nhà nghiên cứu thử nghiệm WormGPT, nó có thể tạo ra email lừa đảo không mắc lỗi chính tả nào.
-
Dùng deepfake (hình ảnh, video, hoặc giọng nói giả lập bằng AI) để mạo danh người thật, lừa nạn nhân chuyển tiền hoặc tiết lộ thông tin nhạy cảm.
-
Tự động tạo mã độc (malware) bằng AI, giúp sản xuất nhanh các biến thể mới.
-
Phân tích dữ liệu bị đánh cắp nhanh hơn và chính xác hơn để thực hiện tống tiền đa tầng (triple extortion) hoặc các cuộc tấn công tiếp theo.
Những kẻ tấn công có năng lực cao thậm chí bán dịch vụ AI độc hại theo mô hình thuê bao, tương tự như “Ransomware-as-a-Service”. Ví dụ, đã có kẻ rao bán WormGPT với giá thuê từ 112 USD đến 5.621 USD.
Dù việc lạm dụng AI khó có thể bị ngăn chặn hoàn toàn, ngay cả với quy định nghiêm ngặt, các hệ thống phòng thủ mạng sử dụng AI vẫn đóng vai trò quan trọng trong việc cân bằng lại thế trận.
AI trong phòng thủ mạng: Tăng khả năng chống chịu tấn công mạng
Cũng như kẻ xấu, các chuyên gia an ninh mạng có thể tận dụng AI để phát hiện và phản ứng nhanh hơn trước mối đe dọa.
Các ứng dụng nổi bật của AI trong phòng thủ bao gồm:
-
Phân tích dữ liệu lớn theo thời gian thực, giúp dự đoán và ngăn chặn tấn công trước khi xảy ra.
-
Tự động hóa quy trình phản ứng sự cố — phát hiện, cô lập, phân tích và xử lý đe dọa.
-
Tự động quản lý bản vá bảo mật (patch management), giúp phát hiện lỗ hổng nhanh hơn và giảm khoảng cách thời gian giữa phát hành và triển khai bản vá.
Agentic AI có thể tự động phát hiện phần mềm độc hại, email lừa đảo và xâm nhập mạng thông qua việc nhận diện hành vi bất thường theo thời gian thực, đồng thời dự đoán xu hướng tấn công tương lai. Đây là hướng đi chủ động giúp đội an ninh mạng luôn đi trước kẻ tấn công một bước.
Tuy nhiên, trong ngắn hạn, chỉ các cơ quan nhà nước hoặc tập đoàn công nghệ lớn mới có đủ nguồn lực để phát triển phòng thủ AI ở quy mô cao. Chính phủ cần xem xét chia sẻ lợi ích này cho doanh nghiệp nhỏ, những bên không có đủ ngân sách đầu tư vào hệ thống bảo mật đắt đỏ.
Một cam kết mạnh mẽ trong việc phát triển phòng thủ mạng dựa trên AI sẽ giúp thay đổi cán cân trong cuộc chiến an ninh mạng toàn cầu.
Thách thức đạo đức, pháp lý và nhu cầu quản lý chặt chẽ
Bên cạnh lợi ích, việc sử dụng AI trong an ninh mạng cũng đặt ra vấn đề đạo đức, pháp lý và quản lý.
Khi chỉ một số ít tổ chức lớn có quyền phát triển và sở hữu công nghệ AI mạnh mẽ, điều này gây lo ngại về việc tập trung quyền lực và khả năng lạm dụng.
Ví dụ, OpenAI gần đây đã đề nghị chính quyền Trump bảo vệ các công ty AI khỏi các quy định của tiểu bang nếu họ tự nguyện chia sẻ mô hình AI với chính phủ liên bang — lập luận rằng quá nhiều dự luật quản lý AI có thể làm chậm tiến bộ của Mỹ trong bối cảnh Trung Quốc đang vươn lên mạnh mẽ (đặc biệt sau sự kiện DeepSeek). Chính quyền Trump hiện chủ trương giảm quy định với AI, và Mỹ vẫn chưa có luật liên bang riêng cho lĩnh vực này.
OpenAI cũng đề xuất:
-
Chính phủ Mỹ đầu tư vào hạ tầng AI và cải cách luật bản quyền, cho phép sử dụng dữ liệu theo “fair use”.
-
Cho phép truy cập dữ liệu do chính phủ nắm giữ, bao gồm cả dữ liệu y tế, để “thúc đẩy phát triển AI”.
Nếu những đề xuất này được chấp thuận, chính phủ và các công ty AI Mỹ sẽ có quyền truy cập dữ liệu khổng lồ mà không chịu nhiều ràng buộc pháp lý, gây lo ngại về quyền riêng tư và bảo mật dữ liệu.
Nhu cầu xây dựng khung pháp lý rõ ràng
Các tiêu chuẩn và quy định nền tảng là yếu tố cốt lõi để đảm bảo đổi mới AI đi đúng hướng. Chúng giúp nhà phát triển có niềm tin khi xây dựng sản phẩm, đồng thời giúp công chúng tin tưởng vào tính an toàn và minh bạch của công nghệ.
Tại Úc, hiện đã có Bộ Tiêu Chuẩn An Toàn AI Tự Nguyện (Voluntary AI Safety Standard) gồm 10 nguyên tắc quản trị tốt, khuyến khích doanh nghiệp triển khai AI an toàn và có trách nhiệm. Tuy nhiên, từ tháng 9/2024, chính phủ đề xuất chuyển thành tiêu chuẩn bắt buộc, bao gồm yêu cầu về quản trị dữ liệu, bảo mật và quyền riêng tư.
Dù đây là bước khởi đầu, các tiêu chuẩn hiện tại mới chỉ đáp ứng mức tối thiểu. Cần có quy định cụ thể hơn về:
-
Rủi ro AI,
-
Trách nhiệm pháp lý nếu AI gây hậu quả,
-
Và hình phạt khi lạm dụng công nghệ.
Các cơ quan quản lý cần đặt ra chuẩn mực rõ ràng về hiệu suất, minh bạch, và trách nhiệm của hệ thống AI, nhằm bảo đảm công nghệ này được triển khai một cách có đạo đức và an toàn. Nếu không, xã hội có nguy cơ rơi vào “vùng xám vô luật”, nơi AI được phát triển và sử dụng bừa bãi, tiếp tay cho kẻ xấu.
📰 Bài viết trong ấn phẩm “CyberSight 360 – Góc nhìn pháp lý về an ninh mạng và bảo hiểm, năm 2025”.
📚 Nguồn: Deloitte Threat Report – How threat actors are leveraging AI technology to conduct sophisticated attacks.
