Djinn Stealer và ChocoPoC: các cuộc tấn công mới vào trợ lý mã hóa AI và phản hồi Zero Trust DevSecOps

Djinn Stealer và ChocoPoC: các cuộc tấn công mới vào trợ lý mã hóa AI và phản hồi Zero Trust DevSecOps là một vấn đề bảo mật thực tế đối với các nhóm hiện cho phép các công cụ AI nằm cạnh mã nguồn, mã thông báo cục bộ, CLI đám mây, đăng ký gói và quy trình nghiên cứu. Djinn Stealer nhắm mục tiêu vào thông tin xác thực của nhà phát triển và công cụ AI, trong khi ChocoPoC lạm dụng các kho lưu trữ chứng minh khái niệm giả mạo và các phần phụ thuộc Python độc hại.

Vấn đề của người mua rất đơn giản: Sự phát triển được hỗ trợ bởi AI đã mở rộng nhanh hơn hầu hết các mô hình vận hành bảo mật. Tại Van Data Team, chúng tôi bắt đầu bằng việc lập bản đồ quy trình làm việc thực tế: trợ lý nào có thể đọc kho lưu trữ nào, công cụ nào có thể tiếp cận bí mật nào, cài đặt gói nào có thể thực thi mã và nơi cổng đánh giá của con người sẽ dừng tự động hóa. Đó là cách chúng tôi vận hành quy trình làm việc của tác nhân AI sản xuất thay vì để bảo mật dưới dạng bản PDF chính sách mà không ai có thể thực thi.

Đầu ra thực tế của hướng dẫn này là quy trình làm việc Zero Trust DevSecOps dành cho kỹ thuật được AI hỗ trợ. Nó kết nối các quyền của trợ lý, cấu hình cục bộ, kiểm tra PoC, đánh giá phụ thuộc, xoay vòng thông tin xác thực, đo từ xa, báo cáo và khôi phục vào một mô hình hoạt động duy nhất.

Bài học chính

• Djinn Stealer biến máy của nhà phát triển thành điểm thu thập thông tin xác thực bằng cách nhắm mục tiêu cấu hình trợ lý AI, thông tin xác thực trên đám mây, Git, GitHub CLI, khóa SSH, Docker auth, Vault và cơ quan đăng ký gói, theo Dark Reading.
• ChocoPoC cho thấy tệp nguy hiểm không phải lúc nào cũng là tập lệnh khai thác có thể đọc được; Hacker News báo cáo rằng các phần phụ thuộc độc hại có tên frint và skytext đã truyền tải đường dẫn tải trọng.
• Sekoia đã xác định được ít nhất bảy CVE PoC giả kho lưu trữ bằng cách sử dụng cùng một phương thức hoạt động.
• Phản hồi của Zero Trust là tách biệt việc thực thi PoC, tách danh tính trợ lý khỏi danh tính nhà phát triển, xóa các bí mật cục bộ tồn tại lâu dài, cấp quyền cho công cụ phạm vi, giám sát các cửa hàng thông tin xác thực và xoay vòng thông tin xác thực bị lộ.
• Sai lầm mà chúng tôi thấy là coi trợ lý mã hóa AI chỉ là công cụ năng suất. Trong sản xuất, chúng là một phần của danh tính, bí mật và phạm vi chuỗi cung ứng phần mềm.

Những cuộc tấn công này là gì

Djinn Stealer và ChocoPoC là các cuộc tấn công nhằm vào quy trình phát triển đáng tin cậy, không chỉ các dòng phần mềm độc hại bị cô lập. Chúng quan trọng vì bề mặt bị xâm phạm là nơi các nhóm kỹ thuật đã thực hiện các công việc nhạy cảm: mã hóa, xây dựng, gỡ lỗi, kiểm tra các hoạt động khai thác, xác thực cơ quan đăng ký và vận hành công cụ đám mây.

Djinn Stealer là một kẻ đánh cắp thông tin nhằm vào phạm vi phát triển và hành chính. Theo Dark Reading, nó nhắm mục tiêu các tệp cấu hình cục bộ cho các công cụ và tác nhân phát triển AI, cũng như thông tin xác thực đám mây, khóa SSH, khóa API, thông tin xác thực tài khoản dịch vụ, thông tin xác thực đăng ký gói và hệ sinh thái công cụ xây dựng.

Theo Dark Reading, Djinn Stealer được tạo ra để lấy mọi thứ có giá trị trên máy của nhà phát triển chỉ trong một lượt.

ChocoPoC khác nhau về cách phân phối nhưng tác động tương tự nhau. Theo Hacker News, PoC có thể đọc được có thể trông rõ ràng trong khi đường dẫn độc hại ẩn trong quá trình cài đặt phụ thuộc. Mối nguy hiểm không chỉ ở python mining.py; nó cũng là pip install -r require.txt.

Tại sao Trợ lý AI thay đổi ranh giới tin cậy

Trợ lý mã hóa AI thay đổi ranh giới tin cậy vì họ thường kế thừa quyền truy cập thực tế vào môi trường của nhà phát triển. Trợ lý có thể không nắm giữ trực tiếp mọi bí mật nhưng nó có thể nằm gần quyền truy cập repo, kết nối MCP, phiên CLI, cấu hình cục bộ, API nội bộ và các thay đổi mã được tạo.

Điều đó khiến cấu hình trợ lý cục bộ trở thành một phần của mô hình bảo mật. Nếu trợ lý có thể gọi các công cụ, đọc tệp dự án, đề xuất mã, sửa đổi tập lệnh hoặc kết nối với hệ thống nội bộ thì cấu hình và mã thông báo của nó sẽ được xem xét giống như quyền truy cập kiểm soát nguồn và thông tin xác thực đám mây.

Một ví dụ về nền tảng phổ biến là máy trạm dành cho nhà phát triển chứa xác thực GitHub CLI, đăng nhập đăng ký Docker, cấu hình CLI trên đám mây, khóa SSH, mã thông báo đăng ký gói và cấu hình trợ lý cục bộ. Một sự thỏa hiệp không nhất thiết phải ảnh hưởng đến quá trình sản xuất trước tiên. Nó có thể thu thập thông tin xác thực mà sản xuất tin tưởng sau này.

Đây là lúc thiết kế ưu tiên quy trình làm việc trở nên quan trọng. Dịch vụ kỹ thuật dữ liệu và AI của Van Data Team thường bắt đầu bằng bản đồ về áp lực quy trình làm việc: nội dung nào phải được tự động hóa, nội dung nào phải được xem xét, nội dung nào có thể thất bại một cách an toàn và nội dung nào cần được báo cáo thêm. Để phát triển được hỗ trợ bởi AI, bản đồ đó phải bao gồm các quyền trợ lý, phạm vi mã thông báo, cài đặt gói, bảo vệ nhánh, quyền CI/CD và đo từ xa.

Câu hỏi vận hành không phải là "Các nhà phát triển có nên sử dụng trợ lý mã hóa AI không?" Câu hỏi hay hơn là: "Những hành động hỗ trợ nào được phép, dưới danh tính nào, với nhật ký nào và với cổng đánh giá con người nào trước khi tác động đến sản xuất?"

Cách Djinn Stealer di chuyển thông qua quyền truy cập của nhà phát triển

Djinn Stealer quan trọng đối với DevSecOps vì nó kết nối sự thỏa hiệp điểm cuối với quyền truy cập của doanh nghiệp ở hạ nguồn. Chiến dịch được báo cáo đã sử dụng SimpleHelp làm đường dẫn ban đầu, sau đó chuyển sang thông tin xác thực của nhà phát triển và quản trị viên có thể tồn tại lâu hơn sự kiện điểm cuối ban đầu.

Help Net Security báo cáo rằng CVE-2026-48558 là một lỗ hổng bỏ qua xác thực SimpleHelp. Nguồn tin tương tự báo cáo rằng CISA đã thêm lỗ hổng này vào danh mục Lỗ hổng bị khai thác đã biết và hướng dẫn các cơ quan liên bang áp dụng các biện pháp giảm thiểu trước ngày 7 tháng 7 năm 2026. Help Net Security cũng báo cáo rằng MSP nên vá và hạn chế SimpleHelp ngay lập tức cũng như điều tra hành vi khai thác trước đó.

Bài học điều khiển rộng hơn SimpleHelp. Các công cụ quản lý từ xa, quy trình làm việc của quản trị viên cục bộ và máy dành cho nhà phát triển là những hệ thống có khả năng khuếch đại cao. Nếu tác nhân đe dọa có thể tiếp cận một máy trạm chứa mã thông báo đám mây, quyền xuất bản gói, quyền truy cập công cụ nội bộ và cấu hình trợ lý AI thì việc chỉ xoay một khóa đám mây là quá hẹp.

Một câu trả lời mang tính sản xuất nên bao gồm:

• Vá và hạn chế tiếp xúc với công cụ quản lý từ xa.
• Xem lại lịch sử phiên của kỹ thuật viên và quản trị viên.
• Xoay vòng thông tin xác thực về đám mây, kiểm soát nguồn, đăng ký gói, Docker, SSH và trợ lý sau khi bị nghi ngờ bị lộ.
• Xóa các bí mật tồn tại lâu dài khỏi cấu hình trợ lý cục bộ nếu có thể.
• Giám sát quyền truy cập vào các đường dẫn thông tin xác thực đã biết, thư mục cấu hình trợ lý, lịch sử shell và tệp đăng ký gói.
• Coi mã thông báo MCP và kết nối công cụ trợ lý là thông tin xác thực doanh nghiệp chứ không phải cài đặt tiện lợi cho nhà phát triển.

Gánh nặng phục hồi cũng là thực tế. Xoay vòng thông tin xác thực có chi phí. Xây dựng lại một máy trạm có chi phí. Phá vỡ môi trường của nhà phát triển có chi phí. Tuy nhiên, việc để thông tin xác thực di động hoạt động sau khi xâm phạm điểm cuối sẽ có rủi ro hoạt động cao hơn vì kẻ tấn công có thể xâm nhập lại thông qua các hệ thống đáng tin cậy.

Cách ChocoPoC biến thử nghiệm PoC thành rủi ro chuỗi cung ứng

ChocoPoC quan trọng vì nó lạm dụng tính cấp bách chứ không phải sự thiếu hiểu biết. Các nhà nghiên cứu, kỹ sư phát hiện và nhóm nền tảng thường cần nhanh chóng thử nghiệm một cách khai thác công khai, đặc biệt là khi khách hàng hoặc nhóm nội bộ hỏi liệu CVE mới có ảnh hưởng đến họ hay không.

Sekoia mô tả ChocoPoC là phần mềm độc hại được nhúng bên trong các phần phụ thuộc Python bị trojan hóa và báo cáo của họ cho biết chiến dịch này nhắm mục tiêu vào các nhà nghiên cứu lỗ hổng và người kiểm tra lỗ hổng thông qua các kho lưu trữ CVE PoC thu hút. Sekoia tuyên bố rằng vectơ này đã được sử dụng trong các PoC độc hại kể từ cuối 2025.

Hacker News giải thích đường dẫn phụ thuộc một cách rõ ràng: một nhà nghiên cứu sao chép một kho lưu trữ, chạy pip install, kéo frint, sau đó kéo skytext và tệp đã biên dịch sẽ thực thi khi PoC được khởi chạy. Nó cũng báo cáo rằng skytext đã vận chuyển gradient.so trên Linux và gradient.pyd trên Windows, và chỉ riêng skytext đã được tải xuống khoảng 2.400 lần, đồng thời cảnh báo rằng các bản tải xuống không chứng minh được sự lây nhiễm.

Sai lầm thực tế là tin tưởng vào PoC hiển thị vì nó có thể đọc được. requirements.txt, móc thiết lập, phần phụ thuộc bắc cầu, tiện ích mở rộng được biên dịch, hành vi sau cài đặt và lệnh gọi mạng là một phần của bề mặt tấn công thực thi.

Quy trình làm việc PoC an toàn sẽ trông như thế này trong văn xuôi:

• Sao chép kho lưu trữ vào môi trường dùng một lần.
• Kiểm tra tuổi kho lưu trữ, lịch sử người bảo trì, tên phụ thuộc, ngày xuất bản phụ thuộc và xuất xứ gói.
• Chỉ xây dựng từ bộ phụ thuộc bị khóa sau khi xem xét.
• Chạy mà không cần đám mây thực, Git, SSH, trình duyệt, đăng ký gói, thông tin khách hàng hoặc trợ lý.
• Chặn mạng gửi đi theo mặc định, sau đó chỉ cho phép các đích đến cụ thể khi quá trình kiểm tra yêu cầu chúng.
• Chỉ xuất bằng chứng cần thiết cho quy tắc phát hiện hoặc quét.
• Phá hủy môi trường sau khi sử dụng.

Một ví dụ tổng hợp: một kỹ sư phát hiện tìm thấy một PoC mới được liên kết trong sự cố GitHub liên quan đến lỗ hổng sản phẩm cao cấp. Kịch bản khai thác có thể nhìn thấy được ngắn gọn và hợp lý. Hành động không an toàn đang chạy pip install từ một máy tính xách tay bình thường cũng có thông tin xác thực máy quét và cấu hình CLI trên đám mây. Quy trình làm việc an toàn hơn là VM dùng một lần không có mã thông báo thực, kiểm tra phụ thuộc trước khi cài đặt, đo từ xa mạng và bản ghi quyết định bằng văn bản trước khi mọi thứ được nhập vào công cụ phát hiện dùng chung.

Khung phản hồi Zero Trust DevSecOps

Phản hồi của Zero Trust DevSecOps là coi các trợ lý, cài đặt gói, kho lưu trữ PoC, cấu hình cục bộ và thông tin xác thực của nhà phát triển là không đáng tin cậy cho đến khi được xác minh. Điều đó không có nghĩa là làm chậm mọi hành động của nhà phát triển để thu thập thông tin. Nó có nghĩa là đặt ra ranh giới phù hợp xung quanh hành động có thể tạo ra tác động xuôi dòng.

Khung này có một số quy tắc hoạt động.

Tách biệt danh tính trợ lý khỏi danh tính nhà phát triển. Theo mặc định, trợ lý AI không được kế thừa các quyền rộng rãi của con người. Cung cấp cho nó quyền truy cập trong phạm vi, quyền công cụ rõ ràng và cổng xem xét các hành động phá hoại hoặc liên quan đến sản xuất.

Di chuyển bí mật ra khỏi cấu hình cục bộ dạng văn bản gốc. Bí mật cục bộ tồn tại lâu dài rất tiện lợi cho đến khi kẻ đánh cắp tìm kiếm chúng. Ưu tiên thông tin xác thực tồn tại trong thời gian ngắn, quyền truy cập đúng lúc, truy xuất được hỗ trợ bởi vault và các giới hạn phạm vi gắn liền với nhu cầu của quy trình làm việc.

Cách ly mã nghiên cứu không đáng tin cậy. Thử nghiệm PoC thuộc về môi trường dùng một lần, do mạng kiểm soát. Không cài đặt các phần phụ thuộc không xác định trên cùng một máy chứa thông tin xác thực Git, Docker, đám mây, trình duyệt hoặc trợ lý thực.

Xem xét các phần phụ thuộc dưới dạng đầu vào có thể thực thi được. Các tệp phụ thuộc không phải là công việc của quản trị viên. Họ có thể chạy mã, lấy các tạo phẩm đã biên dịch, giải quyết các gói bắc cầu và giới thiệu tính bền vững.

Giám sát chu vi của nhà phát triển. Khả năng quan sát phải bao gồm quyền truy cập vào kho thông tin xác thực cục bộ, quyền truy cập vào cấu hình trợ lý, hoạt động của trình quản lý gói, các lần đọc lịch sử shell đáng ngờ, xác thực đăng ký bất thường và các cuộc gọi đám mây bất thường.

Thêm sự leo thang của con người khi quá trình tự động hóa có bán kính bùng nổ. Một thay đổi mã được tạo, lệnh gọi công cụ trợ lý, cập nhật phần phụ thuộc hoặc kết quả PoC sẽ dừng lại để xem xét khi điều đó có thể ảnh hưởng đến hoạt động sản xuất, thông tin xác thực, dữ liệu khách hàng hoặc công cụ bảo mật dùng chung.

Đây cũng là nơi BI tác nhân và báo cáo trở nên hữu ích. Bảng điều khiển bảo mật không chỉ hiển thị các sự kiện. Họ phải giải thích quy trình làm việc nào đã tạo ra sự kiện, danh tính nào có liên quan, lớp chứng chỉ nào có thể bị lộ và bước xoay vòng hoặc xây dựng lại nào vẫn chưa hoàn thành.

Quy trình triển khai và tạo phẩm Runbook

Quá trình triển khai sản xuất nên bắt đầu bằng bản đồ truy cập, sau đó biến bản đồ đó thành các cổng có thể thực thi được. Tại Van Data Team, chúng tôi bắt đầu bằng việc hỏi quy trình công việc nào được phép chạm vào mã nguồn, thông tin xác thực, cơ sở hạ tầng, gói, mã được tạo và dữ liệu khách hàng. Sau đó, chúng tôi quyết định nơi tự động hóa sẽ truy xuất ngữ cảnh, nơi cần gọi các công cụ và nơi cần dừng.

Sử dụng danh sách kiểm tra sổ chạy này làm tài liệu bắt đầu:

Hiện vật này được vận hành có chủ ý. Nó kết nối sự kiện với người chủ sở hữu quyết định. Nó cũng làm cho gánh nặng đánh giá trở nên rõ ràng. Nếu mọi hành động trợ lý đều yêu cầu phê duyệt thủ công thì các nhóm sẽ định tuyến xung quanh hệ thống. Nếu không có gì cần được phê duyệt, trợ lý sẽ trở thành một nhà điều hành rộng rãi và bị giám sát kém.

Nền tảng trung gian thực tế là đánh giá theo cấp độ rủi ro: các đề xuất cục bộ có rủi ro thấp có thể di chuyển nhanh chóng, trong khi các lệnh gọi công cụ liên quan đến dữ liệu sản xuất, xuất bản gói, thay đổi trên đám mây, chính sách xác thực hoặc phân phối máy quét yêu cầu đánh giá mạnh mẽ hơn.

Đối với các nhóm muốn trợ giúp biến điều này thành phạm vi triển khai, Nhóm Van Data có thể cung cấp bản đánh giá bảo mật phát triển AI trong phạm vi với bản đồ truy cập, bản đồ tín hiệu, đánh giá khoảng cách bảng điều khiển, thiết kế cổng đánh giá và kế hoạch phân phối. Đầu ra hữu ích không phải là một bản trình bày; đó là quy trình làm việc mà nhóm của bạn có thể thực hiện.

Các chế độ lỗi và tiêu chí đánh giá

Khung công tác tốt nhất sẽ thất bại khi nó quá trừu tượng để vận hành. DevSecOps được AI hỗ trợ nên được đánh giá bằng cách liệu nó có làm giảm bán kính vụ nổ mà không tạo ra trải nghiệm dễ vỡ cho nhà phát triển hay không.

Các chế độ lỗi phổ biến bao gồm:

• Để trợ lý AI kế thừa toàn bộ quyền của nhà phát triển vì việc phân tách danh tính cảm thấy bất tiện.
• Chỉ xoay các khóa đám mây sau sự cố điểm cuối trong khi vẫn để Git, Docker, sổ đăng ký gói, SSH và mã thông báo trợ lý hoạt động.
• Chạy các PoC không đáng tin cậy trên các máy trạm chính vì hộp cát cần thiết lập thêm.
• Xử lý requirements.txt làm tài liệu thiết lập thay vì đầu vào chuỗi cung ứng có thể thực thi được.
• Giám sát quá trình sản xuất trong khi bỏ qua hành vi điểm cuối của nhà phát triển.
• Ghi nhật ký sự kiện mà không liên kết chúng với chủ sở hữu quy trình làm việc hoặc tác vụ khôi phục.
• Chặn tất cả tự động hóa để các nhà phát triển chuyển công việc nhạy cảm sang các kênh phụ không được quản lý.

Đánh giá nên bao gồm nhiều hơn phạm vi bảo mật. Nó phải bao gồm chi phí, độ trễ, ngân sách mã thông báo, gánh nặng xem xét, khả năng quan sát và hành vi phục hồi.

Vấn đề chi phí vì môi trường dùng một lần, chức năng quét và đo từ xa đều có chi phí nền tảng. Độ trễ rất quan trọng vì các nhà phát triển sẽ tránh các biện pháp kiểm soát khiến việc kiểm tra lỗ hổng khẩn cấp không thể thực hiện được. Ngân sách mã thông báo quan trọng khi trợ lý đánh giá, tóm tắt phụ thuộc và phân loại tự động sử dụng bối cảnh mô hình. Khả năng quan sát rất quan trọng vì việc phát hiện không có chủ sở hữu quy trình làm việc sẽ trở nên nhiễu. Việc khôi phục rất quan trọng vì phản hồi sự cố chỉ thực hiện được khi thông tin xác thực được luân chuyển, máy chủ được xây dựng lại và đường dẫn truy cập bị đóng.

Một bảng điều khiển hữu ích sẽ trả lời:

• Những trợ lý và công cụ nào có thể tiếp cận mã nguồn, bí mật, đám mây và đăng ký gói?
• Những đường dẫn thông tin xác thực cục bộ nào được theo dõi?
• Những PoC nào được thực thi trong môi trường dùng một lần?
• Những thay đổi phụ thuộc nào đã giới thiệu nguồn gói mới hoặc tiện ích mở rộng đã biên dịch?
• Những thông tin xác thực nào đã được luân chuyển sau khi bị nghi ngờ tiếp xúc?
• Cổng đánh giá nào đang tạo ra sự chậm trễ hoặc hành vi bỏ qua?

Đây chính là nguyên tắc thiết kế đằng sau phân loại AI với sự đánh giá của con người: quá trình tự động hóa có thể tiến triển nhanh hơn khi đường dẫn báo cáo rõ ràng. Điều tương tự cũng áp dụng cho an ninh kỹ thuật. Nếu trợ lý, nhà phát triển, người đánh giá và chủ sở hữu sự cố đều biết công việc dừng lại ở đâu thì hệ thống sẽ trở nên dễ tin cậy hơn.

Kết luận

Djinn Stealer và ChocoPoC cho thấy rằng bản thân quy trình phát triển hiện đã là ranh giới bảo mật. Trợ lý AI, cấu hình cục bộ, kho lưu trữ PoC, tệp phụ thuộc, trình quản lý gói, danh tính nhà phát triển và thông tin xác thực trên đám mây cần được quản lý như một mô hình hoạt động được kết nối.

Câu trả lời là không cấm các công cụ hữu ích. Câu trả lời là làm cho niềm tin trở nên rõ ràng: cô lập mã không đáng tin cậy, quyền trợ lý phạm vi, xóa các bí mật cục bộ tồn tại lâu dài, quét đường dẫn phụ thuộc, giám sát các cửa hàng thông tin xác thực, xoay vòng mã thông báo bị lộ và giữ các cổng đánh giá của con người ở nơi bán kính vụ nổ là có thật.

Mô hình phân phối do người sáng lập lãnh đạo của Van Data Team được xây dựng cho loại công việc này vì kiến trúc, thiết kế quy trình làm việc, triển khai và báo cáo nằm trong cùng một vòng lặp. Nếu nhóm của bạn đang áp dụng trợ lý mã hóa AI hoặc tăng cường quy trình công việc kỹ thuật được AI hỗ trợ, hãy liên hệ để xem xét quy trình làm việc trong phạm vi, bản đồ tín hiệu, đánh giá khoảng cách trên trang tổng quan và kế hoạch triển khai.