PoeLLM: Khi bài thơ trở thành vũ khí tấn công máy chủ AI
PoeLLM là một dòng malware mới nhắm vào máy chủ AI, sử dụng kỹ thuật “adversarial poetry” để ẩn lệnh điều khiển trong một bài thơ trên GitHub, từ đó xâm nhập các dịch vụ AI/LLM phơi ra Internet, biến hạ tầng doanh nghiệp thành mỏ đào tiền số và mắt xích của mạng botnet quy mô lớn. PoeLLM không phải sự cố lẻ tẻ; nó là lời cảnh tỉnh rằng an ninh cơ sở hạ tầng AI đang bị bỏ quên. Theo Black Lotus Labs, chiến dịch Canto Incognito dùng PoeLLM đã khai thác các dịch vụ AI/LLM công khai trên Internet để tấn công hơn 3.400 máy chủ, chủ yếu ở Mỹ và Tây Âu. Đây là minh chứng rõ ràng: mỗi dịch vụ AI triển khai vội vã mà không có bảo mật tương xứng đều là một cánh cửa mở cho tin tặc, chứ không phải lợi thế cạnh tranh.
Máy chủ AI bị biến thành mỏ đào tiền số và mắt xích botnet
Điểm khiến PoeLLM malware nguy hiểm nằm ở cách nó biến sức mạnh tính toán của máy chủ AI thành lợi nhuận cho tội phạm mạng và rủi ro cho doanh nghiệp. Theo Black Lotus Labs, PoeLLM đã hoạt động ít nhất từ tháng 4/2026 và xâm nhập hơn 3.400 máy chủ, với thời điểm đỉnh có hơn 800 máy chủ bị nhiễm hoạt động trong một ngày. Sau khi chiếm quyền, malware triển khai các thành phần đào tiền số như XMRig và Iron, kết nối tài nguyên GPU của nạn nhân vào hạ tầng khai thác Kryptex. Đồng thời, các máy chủ bị nhiễm được biến thành công cụ quét lỗ hổng và máy chủ khai thác, tiếp tục dò tìm, tấn công và mở rộng mạng botnet trên Internet. Một khi bạn mất kiểm soát một máy chủ AI, bạn không chỉ mất tài nguyên tính toán – bạn vô tình góp phần xây dựng hạ tầng tấn công phục vụ những chiến dịch độc hại khác.
Bề mặt tấn công mở rộng vì triển khai AI thiếu kiểm soát
Chiến dịch PoeLLM cho thấy một vấn đề mang tính hệ thống: doanh nghiệp đang triển khai AI nhanh hơn nhiều so với khả năng bảo vệ máy chủ AI bảo mật. Phần lớn nạn nhân chạy các phiên bản LiteLLM và Ollama phơi trực tiếp ra Internet; hàng trăm máy chủ khác dùng Gotenberg và Gitea, và có dấu hiệu chiến dịch còn nhắm tới phần mềm thương mại như Ivanti Sentry. Theo Black Lotus Labs, việc đưa thêm AI vào hệ thống đồng nghĩa với việc mở rộng bề mặt tấn công, nhất là khi bảo mật bị xem là “đến sau”. Trong trường hợp PoeLLM, tin tặc tập trung vào những dịch vụ triển khai trên các cổng Internet phổ biến; nếu cấu hình sai hoặc không được vá kịp thời, chúng lập tức trở thành điểm xâm nhập. Nói thẳng: chạy thêm dịch vụ AI mà không có giám sát và kiểm soát tương ứng chính là tự tay phóng to mục tiêu cho kẻ tấn công.
Adversarial poetry: Bài thơ điều khiển malware và vượt qua giám sát
PoeLLM không chỉ nguy hiểm vì mục tiêu tài nguyên, mà còn vì phương thức ẩn mình tinh vi dựa trên adversarial poetry. Các nhà nghiên cứu cho biết đây là lần đầu tiên họ quan sát kỹ thuật “adversarial poetry” – chuyển các lệnh độc hại thành dạng thơ để qua mặt cơ chế an toàn của mô hình LLM và cả con người. Thay vì chứa sẵn địa chỉ IP máy chủ C2, PoeLLM lấy một bài thơ trên GitHub, trích xuất một số từ khóa cố định, đối chiếu với “từ điển” tích hợp trong mã rồi tính toán thành địa chỉ IPv4 điều khiển. Nhờ đó, kẻ vận hành chỉ cần sửa vài từ trong bài thơ là toàn bộ hệ thống bị nhiễm tự động kết nối đến C2 mới, không phải cập nhật lại malware. Bài thơ đã được thay đổi ít nhất 11 lần, và nhiều máy chủ C2 dùng trong chiến dịch không bị các công cụ bảo mật cộng đồng phát hiện. Khi nội dung trông vô hại, mọi giải pháp giám sát nông cạn sẽ thất bại.
Doanh nghiệp cần làm gì để bảo vệ an ninh cơ sở hạ tầng AI?
Bài học từ PoeLLM rất rõ: nếu muốn máy chủ AI bảo mật, doanh nghiệp phải coi an ninh cơ sở hạ tầng AI là ưu tiên ngay từ khâu thiết kế, không phải phần phụ. Các hệ thống AI/LLM, đặc biệt dịch vụ mã nguồn mở, phải được rà soát kỹ việc phơi lộ ra Internet và hạn chế tối đa các cổng dịch vụ không cần thiết. Black Lotus Labs khuyến nghị quản trị viên thường xuyên kiểm tra nhật ký mạng để phát hiện kết nối liên quan đến PoeLLM và các dấu hiệu botnet khác, đồng thời đảm bảo router, firewall và thiết bị mạng luôn được cập nhật bản vá. Quan trọng hơn, doanh nghiệp cần chính sách phòng chống malware rõ ràng cho môi trường AI: phân tách mạng cho máy chủ AI, giám sát lưu lượng GPU bất thường, kiểm soát chặt SSH và các điểm đăng nhập dịch vụ. Nếu AI đang trở thành hạ tầng cốt lõi, thì bảo mật phải phát triển cùng tốc độ – không được đi sau vài quý rồi “vá” bằng những chiến dịch khẩn cấp.
