AI Agent tự động phát hiện lỗ hổng OTP Bypass nghiêm trọng trên hệ thống thực tế

Trong một cuộc kiểm thử bảo mật được ủy quyền gần đây, một tác nhân AI (AI pentesting agent) đã tự động phát hiện một lỗ hổng nghiêm trọng liên quan đến việc vượt qua xác thực (authentication bypass) trên website sản xuất của một tập đoàn bảo hiểm lớn. Điều đáng chú ý là AI này đã tự thực hiện toàn bộ quá trình từ dò quét đến khai thác mà không cần sự can thiệp của con người.

Lỗ hổng nằm ở cơ chế gửi mã OTP

Vấn đề xuất phát từ cách thức hệ thống xử lý mã xác thực một lần (OTP). Thông thường, mã OTP phải được gửi đến kênh liên lạc đã được liên kết với tài khoản người dùng (như số điện thoại hoặc email đã đăng ký). Tuy nhiên, trong trường hợp này, yêu cầu đăng nhập cho phép người dùng tùy chọn kênh và địa chỉ nhận mã.

Kẻ tấn công có thể thay đổi tham số trong yêu cầu gửi mã, khiến server gửi OTP đến một địa chỉ email do kẻ tấn công kiểm soát thay vì địa chỉ chính chủ của tài khoản. Lỗ hổng này vi phạm nguyên tắc cơ bản trong xác thực là phải đảm bảo mã OTP được gắn liền với tài khoản người dùng chính xác theo tiêu chuẩn của OWASP.

Vai trò của “Web Context” trong kiểm thử tự động

Theo Reflectiz, đơn vị phát triển tác nhân AI này, việc tìm ra lỗ hổng chỉ là một phần, phần khó hơn là chứng minh nó trên một môi trường website thực tế. Hầu hết các công cụ kiểm thử tự động thường dừng lại ở cổng đăng nhập, trong khi các lỗ hổng nguy hiểm thường nằm sâu bên trong các luồng xử lý (workflow) phức tạp.

Tác nhân AI này đã tận dụng dữ liệu ngữ cảnh web tích lũy qua hơn một thập kỷ để điều hướng qua các luồng xác thực đa bước, bao gồm cả việc nhận mã OTP và xác thực 2FA. Điều này cho phép nó mô phỏng hành vi người dùng thực tế để xác nhận lỗ hổng thay vì chỉ dừng lại ở các giả thuyết.

Tầm quan trọng của kiểm thử liên tục

Sự việc này một lần nữa cho thấy hạn chế của các đợt kiểm thử thâm nhập (pentest) định kỳ theo kiểu “point-in-time”. Các website hiện đại thay đổi liên tục với mỗi bản cập nhật, trong khi lịch trình pentest truyền thống thường quá cứng nhắc. Khi kẻ tấn công ngày càng sử dụng AI để dò quét lỗ hổng nhanh hơn, các doanh nghiệp cần các giải pháp kiểm thử tự động có khả năng theo kịp tốc độ thay đổi của ứng dụng, đảm bảo mọi endpoint mới đều được kiểm tra định kỳ và có bằng chứng xác thực rõ ràng.

Nguồn tham khảo: The Hacker News