Hé lộ cách thức hacker đột nhập máy chủ AI bằng một chiếc ăng-ten

Thiết bị nhỏ gọn có thể đánh cắp dữ liệu mô hình AI từ bên ngoài máy chủ

Trong nhiều năm, các cuộc tấn công mạng thường bắt đầu bằng việc khai thác lỗ hổng phần mềm, đánh cắp thông tin đăng nhập hoặc cài mã độc vào hệ thống mục tiêu. Tuy nhiên, một công trình nghiên cứu mới cho thấy việc đánh cắp dữ liệu mô hình AI có thể diễn ra mà không cần truy cập vào máy tính hay mạng nội bộ.

Nhóm nghiên cứu do Giáo sư Han Jun thuộc Viện Khoa học và Công nghệ Tiên tiến Hàn Quốc (KAIST) dẫn đầu, phối hợp với các nhà khoa học từ Đại học Quốc gia Singapore và Đại học Chiết Giang (Trung Quốc), đã biểu diễn một phương thức tấn công hoàn toàn mới tại Hội nghị An ninh Hệ thống Phân tán và Mạng (NDSS) 2026.

Kỹ thuật mang tên ModelSpy cho phép thu thập tín hiệu điện từ phát ra từ GPU đang xử lý dữ liệu AI. Chỉ cần sử dụng một ăng-ten định hướng cùng bộ thu tín hiệu điện từ nhỏ để mang trong ba lô, nhóm nghiên cứu có thể suy luận lại cấu trúc của mô hình AI với độ chính xác lên tới 97,6%.

ModelSpy có thể giúp hacker đột nhập máy chủ AI bằng một chiếc ăng-ten. Ảnh: VSEC.

Điểm đáng chú ý là toàn bộ quá trình diễn ra mà không cần cài đặt phần mềm độc hại, không khai thác lỗ hổng bảo mật, cũng không truy cập vào mã nguồn hoặc dữ liệu lưu trên máy chủ.

Thậm chí, kỹ thuật này vẫn hoạt động khi giữa thiết bị thu và máy chủ tồn tại một bức tường lửa ngăn cách. Điều đó đồng nghĩa với việc một đối tượng chỉ cần xuất hiện gần khu vực đặt máy chủ trong thời gian ngắn cũng có thể thu thập đủ dữ liệu để phân tích.

Nếu bị lợi dụng, phương thức này có thể khiến doanh nghiệp mất đi một trong những tài sản giá trị nhất là dữ liệu mô hình AI mà gần như không để lại dấu hiệu của một cuộc tấn công mạng truyền thống.

Phát hiện mới của nhóm nghiên cứu được cộng đồng khoa học đánh giá cao khi nhận Giải thưởng Bài báo Xuất sắc (Distinguished Paper Award) tại NDSS 2026.

Cơ chế khai thác dựa trên tín hiệu điện từ rò rỉ của GPU

Thay vì tìm cách xâm nhập hệ thống, ModelSpy khai thác một dạng tấn công kênh phụ (side-channel attack), tức phân tích những tín hiệu phụ phát sinh trong quá trình thiết bị hoạt động.

Mọi máy tính khi vận hành đều tạo ra các tín hiệu phụ như biến động dòng điện, nhiệt lượng, rung động cơ học, tiếng quạt làm mát hoặc bức xạ điện từ. Những tín hiệu tưởng như vô hại này lại có thể phản ánh cách phần cứng xử lý dữ liệu.

Trong trường hợp GPU, dòng điện liên tục chạy qua hàng triệu mạch điện khi thực hiện các phép tính AI sẽ tạo ra những sóng điện từ đặc trưng. Các thành phần như đồng hồ bộ nhớ, bộ điều chỉnh điện áp hay mạch làm mát bộ nhớ đều phát sinh các tín hiệu mang thông tin về hoạt động của hệ thống.

ModelSpy khai thác một dạng tấn công kênh phụ (side-channel attack) phát sinh khi AI hoạt động. Ảnh: Australian Cyber Security Magazine

Điểm quan trọng là cường độ của các tín hiệu này không cố định mà thay đổi theo khối lượng tính toán và cách GPU truy xuất dữ liệu trong từng thời điểm.

Nhóm nghiên cứu cho biết chính những biến thiên này đã vô tình phản ánh cách mô hình AI được xây dựng. Sau khi thu thập tín hiệu, hệ thống sử dụng thuật toán phân tích để đối chiếu các mẫu phát xạ điện từ với đặc điểm hoạt động của nhiều loại mạng nơ-ron khác nhau. Kết quả là kiến trúc của mô hình, bao gồm trình tự các lớp tính toán và cấu trúc xử lý, có thể được tái dựng với độ chính xác rất cao.

So với các nghiên cứu trước đây, ModelSpy tạo ra bước tiến đáng kể. Nhiều phương pháp cũ yêu cầu gắn cảm biến trực tiếp vào đường cấp nguồn của GPU hoặc tháo lớp bảo vệ của chip để đo tín hiệu bên trong. Điều này khiến việc triển khai gần như không khả thi trong môi trường thực tế. Ngược lại, phương pháp mới chỉ cần thu tín hiệu điện từ phát ra tự nhiên từ thiết bị, giúp việc thực hiện trở nên kín đáo hơn nhiều.

Nguy cơ mới đối với doanh nghiệp phát triển AI

Sự phát triển nhanh của AI khiến giá trị của các dữ liệu mô hình ngày càng lớn. Với nhiều doanh nghiệp, kiến trúc mô hình, cách tổ chức các lớp mạng và quy trình tối ưu hóa chính là tài sản cốt lõi được đầu tư trong nhiều năm nghiên cứu.

Trước đây, để đánh cắp những tài sản này, tin tặc thường phải vượt qua nhiều lớp bảo mật, từ hệ thống xác thực, tường lửa đến các giải pháp giám sát an ninh mạng. Quá trình này tiềm ẩn nguy cơ bị phát hiện và để lại nhiều dấu vết điều tra.

ModelSpy đặt ra một thách thức hoàn toàn khác khi cuộc tấn công không diễn ra trên không gian mạng mà tận dụng các tín hiệu vật lý phát tán từ phần cứng. Điều này đồng nghĩa với việc những biện pháp bảo mật truyền thống như mã hóa dữ liệu, phân quyền truy cập hay phát hiện mã độc sẽ không đủ để ngăn chặn nguy cơ rò rỉ.

Các chuyên gia cho rằng các trung tâm dữ liệu AI, phòng nghiên cứu và doanh nghiệp sở hữu hạ tầng GPU hiệu năng cao sẽ cần quan tâm nhiều hơn đến các biện pháp bảo vệ ở cấp độ phần cứng. Những giải pháp như tăng cường che chắn điện từ, thiết kế phòng máy đạt tiêu chuẩn chống phát xạ hoặc giám sát khu vực vật lý quanh máy chủ có thể trở thành một phần trong chiến lược bảo mật.

Nghiên cứu cũng cho thấy khi AI tiếp tục phát triển và trở thành tài sản chiến lược của doanh nghiệp, các hình thức tấn công sẽ không còn giới hạn trong việc khai thác phần mềm. Bên cạnh an ninh mạng, bảo vệ cơ sở hạ tầng và kiểm soát rò rỉ tín hiệu từ thiết bị sẽ ngày càng đóng vai trò quan trọng trong việc bảo vệ công nghệ AI.

Tạ Thành