Không có lỗi trong hệ thống — chỉ có biến đang ngủ.
Vào ngày 17 tháng 7 năm 2026, QiAnXin XLab công bố chi tiết về NadMesh, một botnet viết bằng Go. Không giống các chiến dịch trước đây nhắm vào đánh cắp dữ liệu hoặc đầu độc mô hình, NadMesh là botnet đầu tiên được thiết kế riêng để khai thác hạ tầng AI và hệ sinh thái Model Context Protocol (MCP). Mục tiêu không phải là mô hình — mà là môi trường đặc quyền cao bao quanh nó.
Các con số tự nói: đến ngày 10 tháng 7, bảng điều khiển của kẻ tấn công hiển thị 3.811 khóa AWS độc nhất đã thu thập được. Không phải ba nghìn tám trăm mười một tập tin. Khóa. Cloud credentials — thứ có thể truy cập vào toàn bộ hạ tầng.
Tôi đã dành mười năm nhìn các hệ thống phân tán sụp đổ. Không phải vì chúng bị tấn công bởi những kẻ thông minh hơn, mà vì những người vận hành chúng có một niềm tin mù quáng rằng ranh giới giữa "bên trong" và "bên ngoài" được giữ bởi tường lửa. NadMesh cho thấy điều ngược lại: ranh giới đó là một chuỗi các biến môi trường bị cấu hình sai.
Bối cảnh: MCP bùng nổ, bảo mật ngủ quên
Model Context Protocol đang mở rộng với tốc độ chóng mặt. Dữ liệu từ Censys cho thấy các dịch vụ MCP có thể truy cập được đã tăng từ 12.520 trên 8.758 IP vào cuối tháng 4 lên hơn 21.000 vào đầu tháng 5 năm 2026. Đó là mức tăng 67% trong vài tuần. Lý do rất đơn giản: đặc tả MCP cho phép xác thực tùy chọn. Nhiều lập trình viên — không muốn phức tạp hóa quy trình — đã để các dịch vụ này phơi bày trực tiếp trên internet.
NadMesh nhắm thẳng vào lớp này. Trong hàng đợi tác vụ của bộ điều khiển, khai thác MCP nằm ở vị trí ưu tiên cao nhất — cụ thể là JSON-RPC tools/call để gọi execute_command. Điều kỳ lạ là sự ưu tiên này tồn tại trong khi MCP chỉ chiếm 0,78 phần trăm lưu lượng khai thác mà botnet tạo ra. Docker API RCE chiếm 30,31 phần trăm. Jenkins script console chiếm 22,28 phần trăm. Một nhà phân tích vội vàng sẽ kết luận rằng kẻ tấn công đang ưu tiên sai.
Nhưng trong hệ thống không có lỗi, chỉ có biến đang ngủ. 0,78 phần trăm lưu lượng không phải là dấu hiệu của sự kém hiệu quả — nó là dấu hiệu của sự kiên nhẫn chiến lược. Mỗi cuộc gọi thành công tới một công cụ MCP execute_command là một cánh cửa mở vào một dây chuyền tự động hóa. Trên 39 dịch vụ được quét, công cụ được đặt tên rõ ràng là execute_command — đúng lệnh nằm trên cùng bảng ưu tiên của NadMesh.
Bối cảnh lớn hơn càng làm cho thiết kế của NadMesh trở nên thực tế hơn. ChatMate RPE đã chứng minh cách prompt injection có thể xâm nhập tích hợp công cụ trên Copilot. IBM Langflow CVE-2026-9198 phơi bày lỗ hổng RCE nghiêm trọng trong các khung điều phối mà agent phụ thuộc. Azure SRE Agent — leo thang đặc quyền đã cho thấy quyền truy cập hạ tầng tự động tạo ra một lớp nổ mới. PleaseFix phát hiện hành vi đánh cắp danh tính không cần click trong mọi trình duyệt agent. Kimi K3 cho thấy hành vi mô hình hướng mục tiêu có thể vượt qua đánh giá mà không gặp phản kháng nội tại.
Mỗi lỗ hổng này là một lớp khác của cùng một ngăn xếp. NadMesh nhắm vào lớp bên dưới tất cả chúng.
Core: Giải phẫu cỗ máy khai thác
NadMesh không phải là một con sâu tình cờ dẫm phải hạ tầng AI. Nó là một nền tảng được thiết kế để tìm và thu hoạch hạ tầng đó. Hãy để tôi mổ xẻ từng lớp.
Cỗ máy quét tự động
Botnet sử dụng một công cụ quét tự động bao phủ hơn 90 dải địa chỉ của nhà cung cấp dịch vụ đám mây. Đây không phải là quét toàn bộ IPv4 ngẫu nhiên — nó quét có chọn lọc các dải IP đã biết là nơi chứa dịch vụ AI và phần mềm tự động hóa. Mục tiêu chính: thông tin xác thực đám mây như khóa AWS, token tài khoản dịch vụ Kubernetes, bao gồm cả đặc quyền cluster-admin.
Các nhà nghiên cứu QiAnXin XLab ghi nhận rằng kẻ điều hành tìm kiếm "không phải máy chủ, mà là thông tin xác thực đám mây, đặc quyền cụm Kubernetes" trên đó.
Hai mươi vectơ khai thác
NadMesh sử dụng hơn 20 vectơ thực thi mã từ xa — Docker API, Jenkins, Redis, Elasticsearch, SSH. Mỗi vectơ là một biến trong phương trình. Các biến này không ngủ — chúng chờ điều kiện kích hoạt. Nhưng sự tập trung vào MCP là tín hiệu quan trọng nhất. Nó nằm trên cùng hàng đợi tác vụ của bộ điều khiển mặc dù chiếm chưa đến 1 phần trăm lưu lượng khai thác quan sát được.
Tại sao? Tôi đã phân tích các botnet khác trong mười năm. Một kẻ tấn công cơ hội sẽ xếp Docker và Jenkins lên đầu vì chúng đem lại tỷ lệ thành công cao nhất. NadMesh làm ngược lại. Nó chứng minh rằng kẻ điều hành không quan tâm đến số lượng — họ quan tâm đến chất lượng truy cập. Một lần xâm nhập MCP thành công vào một môi trường có agent đang chạy là một kho báu lớn hơn một nghìn máy chủ dính Docker API không có gì bên trong.
Sự trưởng thành vận hành
Điều tách biệt NadMesh khỏi botnet thông thường là sự trưởng thành vận hành của nó. Hãy nhìn vào kỹ thuật né tránh:
- Các bản build đa hình kết hợp Garble obfuscation với UPX-9 packing và padding ngẫu nhiên, tạo ra hash duy nhất cho mỗi agent. Không có hai agent nào giống nhau.
- Tính bền bỉ sử dụng ba đường riêng biệt: backdoor SSH authorized_keys, tệp tiến trình trong /dev/shm, /var/tmp và /tmp, và cron watchdogs. Nếu bạn dọn một đường, hai đường còn lại vẫn hoạt động.
- Một cơ chế blacklist tự động gắn cờ máy chủ đã hấp thụ từ 10 lần triển khai trở lên mà không cho kết quả. Botnet tự động đổi hướng — một hình thức né tránh honeypot được xây dựng trong thiết kế.
Cỗ máy quét tự nuôi chính nó. Các phân đoạn tạo ra kết quả nhận được tần suất quét lại dày đặc hơn mỗi năm phút. Các IP bị gắn cờ nguy hiểm trong 24 giờ qua sẽ quay lại dưới dạng quét lại /32 với các cổng dịch vụ AI được ưu tiên trước. Nếu hàng đợi tác vụ cạn, bot tạo các khối /24 ngẫu nhiên và tiếp tục.
Đây không phải là một con sâu đang dò dẫm — nó là một hệ thống tự tối ưu hóa.
Kỷ nguyên hậu CTF
Tôi nhớ lại năm 2017, khi tôi tình cờ đọc whitepaper của dự án ICO "BlockVault" trên Bitcointalk và phát hiện một lỗi integer overflow có thể dẫn đến in token vô hạn. Tôi báo cáo lên GitHub — đội ngũ phát triển phớt lờ. Một tháng sau, dự án sụp do khai thác chính xác lỗi đó, thiệt hại 2 triệu USD.
Sự thờ ơ đó vẫn tồn tại trong ngành công nghiệp blockchain và AI. Chúng ta xây dựng các hạ tầng phức tạp — hợp đồng thông minh được kiểm toán nhiều lần, mô hình AI có bảo mật cạnh tranh — nhưng bỏ quên môi trường vận hành. Tôi đã tư vấn rủi ro cho các quỹ đầu tư và giao thức DeFi có hàng trăm triệu USD TVL. Họ có long-term audit cho hợp đồng thông minh nhưng không có bất kỳ kế hoạch bảo mật nào cho máy chủ chạy bot giao dịch tự động, nơi chứa private key của hot wallet.
Khi tôi phơi bày lỗ hổng trong cơ chế tái đầu tư của một giao thức staking lỏng quảng cáo lợi suất 15%, tôi bị gọi là "kẻ phá hoại". Cùng một kiểu phản ứng đó sẽ xảy ra khi ai đó nói rằng hạ tầng AI của bạn có lỗ hổng — cho đến khi một con botnet khai thác nó.
Góc nhìn nghịch lý: Phe bò đúng?
Trong một thị trường tiền mã hóa giảm, nhiều lập luận cho rằng "không có thị trường nào cho hạ tầng AI". Họ nói rằng AI agents là câu chuyện kể quá mức. Nhưng NadMesh tự chứng minh điều ngược lại.
Những kẻ tấn công không xây dựng hạ tầng AI. Chúng khai thác những gì đang tồn tại. Thực tế rằng một botnet được chế tạo riêng cho MCP và hạ tầng AI tồn tại vào năm 2026 là bằng chứng rõ ràng nhất rằng việc triển khai AI đã đạt đến quy mô đáng kể. Không ai xây dựng một công cụ thu hoạch chuyên dụng cho một hệ sinh thái trống rỗng.
Phe bò có thể đúng về giá trị dài hạn của AI agents và MCP. NadMesh xác nhận điều đó theo cách rùng rợn nhất có thể.
Nhưng phe bò sai về một điều: họ cho rằng giá trị nằm trong mô hình. Trên thực tế, kẻ tấn công nhìn vào môi trường — credentials, token, quyền truy cập. Điều tương tự cũng đúng trong DeFi: kẻ tấn công bridge không nhắm vào logic hợp đồng thông minh (thường được kiểm toán kỹ), mà nhắm vào quyền sở hữu admin, khóa chưa được thu hồi, và biến môi trường có chứa private key.
Phòng thủ: Bắt đầu từ bốn cổng
Đối với các tổ chức đang triển khai hạ tầng AI, phòng thủ không phức tạp về mặt kỹ thuật, nhưng đòi hỏi sự kỷ luật. Dựa trên kinh nghiệm kiểm toán của tôi, danh sách sau đây là ưu tiên tuyệt đối:
- Đưa các dịch vụ phơi bày vào sau xác thực hoặc biến mất khỏi internet công cộng. NadMesh ưu tiên bốn cổng trong các lần quét lại: 8188 (ComfyUI), 11434 (Ollama), 7860 (Gradio), và 5678 (n8n). Bốn cổng này là cửa trước của bạn. Nếu không dùng, tắt. Nếu dùng, đặt sau VPN hoặc xác thực mạnh.
- Kiểm toán các managed identity assignments và Kubernetes RBAC. Đừng gán cluster-admin cho một token mà một luồng công việc chỉ cần quyền đọc. Nguyên tắc đặc quyền tối thiểu không phải là cụm từ hoa mỹ — nó là ranh giới giữa một vụ xâm nhập nhỏ và một vụ rò rỉ toàn bộ hạ tầng.
- Rà soát biến môi trường. Khóa AWS không bao giờ nên nằm trong một biến môi trường được đọc bởi một dịch vụ có thể bị ép gọi execute_command. Tôi đã thấy các dự án để AWS_ACCESS_KEY_ID trong biến môi trường của một ứng dụng web dễ bị SQL injection. Đây là một biến đang ngủ — và NadMesh là dòng điện đánh thức nó.
- Áp dụng cùng một chế độ kiểm toán nghiêm ngặt bạn dùng cho hợp đồng thông minh vào hạ tầng máy chủ. Nếu bạn có thể trả 500.000 USD cho một audit hợp đồng thông minh, bạn có thể trả ít hơn một phần mười số đó cho một cuộc kiểm tra bảo mật hạ tầng. Nhưng các công ty không làm điều đó, bởi vì hợp đồng thông minh được đo lường bằng TVL, còn máy chủ chỉ là "phần bên dưới".
Takeaway: Các mô hình vẫn sẽ tốt hơn, môi trường thì sao?
NadMesh là hình thức thích ứng của tội phạm khi hạ tầng AI trở thành một lớp mục tiêu. Kiến trúc botnet — khai thác có chủ đích, ưu tiên MCP, vận hành cấp sản phẩm — tiết lộ nơi mà sự chú ý tội phạm đang đổ vào khi việc xây dựng AI tăng tốc.
Các mô hình sẽ tiếp tục thông minh hơn. Câu hỏi không phải là liệu chúng có đạt đến AGI hay không. Câu hỏi nằm trong các biến môi trường mà chúng chạy — những khóa AWS, token Kubernetes, và công cụ MCP đang nằm đó, với các đặc quyền hàng nghìn máy chủ, không có bất kỳ dây chuyền kích hoạt nào được kiểm soát.
Trong hệ thống không có lỗi — chỉ có biến đang ngủ. NadMesh vừa chứng minh rằng giấc ngủ đó là một lựa chọn, không phải một tất yếu.