Vận hành Bảo mật Hạ tầng AI: Yêu cầu SOC cho Cụm GPU

Cập nhật ngày 11 tháng 12, 2025

Cập nhật tháng 12/2025: Họ malware ShadowInit nhắm mục tiêu các cụm GPU và gateway phục vụ mô hình để đánh cắp trọng số. 93% lãnh đạo bảo mật dự kiến các cuộc tấn công do AI điều khiển hàng ngày vào cuối năm 2025. Anthropic đã phát hiện các kẻ tấn công được nhà nước Trung Quốc hậu thuẫn sử dụng AI để thực hiện hàng nghìn yêu cầu mỗi giây—AI hiện đang tấn công hạ tầng AI. Trend Micro's AI Factory EDR đang triển khai trên NVIDIA BlueField DPU để bảo vệ thời gian thực mà không tiêu tốn chu kỳ GPU.

Trend Micro đã ra mắt AI Factory EDR hợp tác với NVIDIA, triển khai phát hiện mối đe dọa trên NVIDIA BlueField DPU để cung cấp bảo vệ thời gian thực với tốc độ và độ chính xác của workload AI.[^1] Việc tích hợp này thu thập và giám sát thông tin host và mạng trực tiếp trên DPU, tương quan với thông tin tình báo mối đe dọa của Trend để phát hiện hành vi đáng ngờ mà không tiêu tốn chu kỳ GPU dành cho workload AI. Phương pháp này minh họa việc bảo mật hạ tầng AI yêu cầu các giải pháp được xây dựng chuyên biệt thay vì các công cụ bảo mật doanh nghiệp được cải tiến.

Các đội ứng phó sự cố đã ghi nhận một họ malware mới, tạm gọi là "ShadowInit," nhắm mục tiêu các cụm GPU, gateway phục vụ mô hình, và pipeline điều phối bên trong các triển khai mô hình ngôn ngữ lớn.[^2] Không giống như các chiến dịch khai thác tiền mã hóa trước đó, ShadowInit tìm cách đánh cắp trọng số mô hình độc quyền và thao túng âm thầm các đầu ra suy luận. Dữ liệu từ xa ban đầu cho thấy ShadowInit xâm nhập bằng cách lạm dụng các notebook huấn luyện mô hình được chia sẻ rộng rãi dựa vào các phiên bản package không được cố định. Bối cảnh mối đe dọa cho hạ tầng AI đã phát triển từ các cuộc tấn công cryptojacking cơ hội đến các cuộc tấn công tinh vi nhắm mục tiêu cụ thể các tài sản AI. Theo các nghiên cứu gần đây, 93% lãnh đạo bảo mật dự kiến tổ chức của họ sẽ đối mặt với các cuộc tấn công do AI điều khiển hàng ngày vào năm 2025.[^15]

Trong tháng 9 năm 2025, Anthropic đã phát hiện một chiến dịch gián điệp tinh vi được AI điều phối, trong đó các kẻ tấn công được nhà nước Trung Quốc hậu thuẫn sử dụng khả năng tác nhân của AI để thực hiện các cuộc tấn công mạng—tạo ra hàng nghìn yêu cầu mỗi giây với tốc độ không thể thực hiện được đối với hacker con người.[^16] AI hiện đang tấn công hạ tầng AI.

Bối cảnh Mối đe dọa Hạ tầng AI 2025:

Bề mặt tấn công hạ tầng AI

Các nhà máy AI đưa ra các yêu cầu bảo mật độc đáo mà các giải pháp bảo vệ endpoint truyền thống khó giải quyết hiệu quả.[^1] Hiểu rõ bề mặt tấn công mở rộng cho phép các biện pháp kiểm soát bảo mật phù hợp.

Tài sản mô hình và dữ liệu

Các mô hình đã huấn luyện đại diện cho khoản đầu tư đáng kể và lợi thế cạnh tranh. Trọng số mô hình cho các mô hình ngôn ngữ lớn có giá hàng triệu đô la để sản xuất. Kẻ thù nhắm mục tiêu đánh cắp mô hình tìm kiếm tài sản trí tuệ có giá trị hơn dữ liệu doanh nghiệp thông thường.

Dữ liệu huấn luyện có thể bao gồm thông tin độc quyền, dữ liệu cá nhân hoặc nội dung được cấp phép. Các cuộc tấn công đầu độc dữ liệu làm tổn hại tính toàn vẹn mô hình bằng cách chèn các ví dụ độc hại trong quá trình huấn luyện. Các cuộc tấn công có thể không được phát hiện cho đến khi mô hình biểu hiện hành vi bất ngờ trong sản xuất.

Các cuộc tấn công thao túng suy luận thay đổi đầu ra mô hình mà không thay đổi trọng số. Các sửa đổi tinh tế khiến mô hình tạo ra phản hồi không chính xác hoặc độc hại cho các đầu vào được nhắm mục tiêu. Phát hiện yêu cầu giám sát phân phối đầu ra để tìm ra các bất thường.

Thành phần hạ tầng

Các cụm GPU bao gồm hàng nghìn bộ tăng tốc có giá trị cao chạy các stack phần mềm chuyên biệt. Runtime CUDA, điều phối container và framework huấn luyện phân tán tạo ra các vectơ tấn công vắng mặt trong hạ tầng truyền thống. Các công cụ bảo mật phải hiểu những thành phần chuyên biệt này.

Các gateway phục vụ mô hình xử lý đầu vào của người dùng không tin cậy, tạo cơ hội tấn công chèn. Chèn prompt, jailbreaking và đầu vào đối kháng khai thác hành vi mô hình thông qua lớp phục vụ. Bảo mật gateway yêu cầu hiểu các mẫu tấn công cụ thể AI.

Hệ thống điều phối như Kubernetes quản lý workload cụm GPU. Cấu hình sai Kubernetes hoặc các lỗ hổng ảnh hưởng đến hạ tầng AI như chúng ảnh hưởng đến các workload container hóa khác. Các mở rộng cụ thể AI để quản lý GPU tạo ra bề mặt tấn công bổ sung.

Rủi ro chuỗi cung ứng

Các phụ thuộc bị đầu độc trong notebook huấn luyện đã kích hoạt vectơ truy cập ban đầu của ShadowInit.[^2] Hệ sinh thái phát triển AI phụ thuộc mạnh vào các package mã nguồn mở với các thực hành bảo mật khác nhau. Các phụ thuộc không được cố định tự động cập nhật tạo ra lỗ hổng chuỗi cung ứng.

Các mô hình được huấn luyện trước được tải xuống từ kho lưu trữ công cộng có thể chứa backdoor. Học chuyển giao từ các mô hình cơ sở bị tổn hại lan truyền lỗ hổng đến các mô hình dẫn xuất. Xác minh nguồn gốc mô hình trở thành yêu cầu bảo mật.

Các image container cho workload AI bao gồm các stack phần mềm phức tạp với nhiều phụ thuộc. Quét lỗ hổng phải giải quyết các thành phần cụ thể AI ngoài các package hệ điều hành tiêu chuẩn.

Yêu cầu Trung tâm Điều hành Bảo mật

Các hoạt động SOC cho hạ tầng AI mở rộng các khả năng truyền thống để giải quyết các mối đe dọa và tài sản cụ thể AI.

Yêu cầu khả năng hiển thị

Các đội bảo mật yêu cầu khả năng hiển thị vào dữ liệu từ xa cụ thể AI ngoài dữ liệu endpoint và mạng tiêu chuẩn. Các mẫu sử dụng GPU, tỷ lệ suy luận mô hình và hành vi công việc huấn luyện cung cấp tín hiệu để phát hiện bất thường. Các hệ thống SIEM truyền thống có thể thiếu bộ thu thập cho các nguồn dữ liệu này.

Triển khai BlueField DPU cho phép giám sát bảo mật mà không tiêu tốn chu kỳ GPU host.[^1] Việc tách biệt kiến trúc ngăn kẻ tấn công vô hiệu hóa giám sát bằng cách tổn hại hệ thống host. Bảo mật dựa trên DPU đại diện cho thực hành tốt nhất mới nổi cho hạ tầng AI có giá trị cao.

Giám sát hành vi mô hình phát hiện thao túng suy luận và drift đầu ra. Thiết lập baseline trong quá trình triển khai cho phép phát hiện bất thường trong hoạt động. Giám sát yêu cầu chuyên môn AI để diễn giải một cách có ý nghĩa.

Phân loại cảnh báo quy mô

Các đội bảo mật xử lý trung bình 960 cảnh báo mỗi ngày, buộc các đội phải để lại các mối đe dọa quan trọng không được điều tra.[^3] Hạ tầng AI bổ sung các cảnh báo chuyên biệt mà các nhà phân tích truyền thống có thể khó diễn giải. Thách thức về khối lượng tăng lên với độ phức tạp cụ thể AI.

Các đội bảo mật xác định phân loại là nơi AI có thể tạo ra sự khác biệt ngay lập tức lớn nhất, ở mức 67%, tiếp theo là điều chỉnh phát hiện ở mức 65% và săn lùng mối đe dọa ở mức 64%.[^3] Các khả năng phân loại tự động giảm bớt gánh nặng cho các nhà phân tích con người trong khi đảm bảo bao phủ các mối đe dọa cụ thể AI.

Các nền tảng SOC tự động triển khai khả năng phát hiện và ứng phó mối đe dọa hoàn toàn độc lập hoạt động mà không cần giám sát con người liên tục.[^4] Các đội sử dụng nền tảng AI SOC báo cáo cải thiện 80% Thời gian Trung bình để Ứng phó (MTTR), phân loại 95% cảnh báo trong vòng dưới 2 phút, và trải nghiệm giảm 99% thời gian dành cho false positive.[^17]

Mô hình Trưởng thành Khả năng SOC cho Hạ tầng AI:

Theo Chu kỳ Hype của Gartner cho Hoạt động Bảo mật 2025, các tác nhân AI SOC đang ở giai đoạn Innovation Trigger với độ thâm nhập 1-5% nhưng có tiềm năng "cải thiện hiệu quả, giảm false positive và giảm bớt thách thức lực lượng lao động."[^18]

Quy trình ứng phó

Ứng phó sự cố cho hạ tầng AI yêu cầu các quy trình giải quyết các tình huống cụ thể AI. Tổn hại mô hình có thể yêu cầu huấn luyện lại từ các checkpoint đã xác minh. Đầu độc dữ liệu có thể yêu cầu kiểm tra và làm sạch dataset trước khi huấn luyện lại.

Các quy trình cách ly phải cân bằng bảo mật với tác động hoạt động. Cách ly cụm huấn luyện giữa chừng có thể tốn nhiều GPU-hour. Các quy trình ứng phó nên xác định các điều kiện bảo đảm cách ly ngay lập tức so với tiếp tục được giám sát.

Các quy trình phục hồi nên giải quyết cả hạ tầng và tài sản AI. Khôi phục hạ tầng mà không xác minh tính toàn vẹn mô hình và dữ liệu để lại các lỗ hổng không được giải quyết. Các runbook phục hồi nên bao gồm các bước xác minh cụ thể AI.

Khả năng phát hiện

Bảo mật hạ tầng AI hiệu quả yêu cầu khả năng phát hiện bao trùm các lĩnh vực hạ tầng, workload và cụ thể AI.

Giám sát hạ tầng

Giám sát hạ tầng tiêu chuẩn bao gồm các thành phần tính toán, mạng và lưu trữ. Sử dụng GPU, tiêu thụ bộ nhớ và lưu lượng kết nối cung cấp dữ liệu baseline. Các bất thường có thể chỉ ra cryptojacking, đánh cắp dữ liệu hoặc hoạt động độc hại khác.

Phân tích lưu lượng mạng phát hiện giao tiếp command-and-control và đánh cắp dữ liệu. Workload AI tạo ra lưu lượng mạng hợp pháp đáng kể mà lưu lượng độc hại ẩn trong đó. Phát hiện yêu cầu hiểu các mẫu lưu lượng AI bình thường.

Giám sát container và điều phối theo dõi triển khai và thực thi workload. Các container không được ủy quyền, leo thang đặc quyền và lạm dụng tài nguyên xuất hiện trong dữ liệu từ xa điều phối. Nhật ký kiểm tra Kubernetes cung cấp đường điều tra cho các sự kiện bảo mật.

Giám sát workload

Giám sát công việc huấn luyện theo dõi các tham số công việc, tiêu thụ tài nguyên và trạng thái hoàn thành. Các công việc bất thường tiêu thụ tài nguyên mà không có đầu ra dự kiến có thể chỉ ra cryptojacking hoặc huấn luyện mô hình không được ủy quyền. So sánh với các mẫu công việc dự kiến tiết lộ các bất thường.

Giám sát suy luận theo dõi các mẫu yêu cầu, độ trễ và đặc điểm đầu ra. Tăng đột biến tỷ lệ lỗi, thay đổi độ trễ hoặc thay đổi phân phối đầu ra có thể chỉ ra các cuộc tấn công hoặc lỗi. Giám sát thời gian thực cho phép ứng phó nhanh chóng với các vấn đề mới nổi.

Giám sát pipeline dữ liệu theo dõi chuyển động dữ liệu qua các giai đoạn tiền xử lý, huấn luyện và phục vụ. Các mẫu truy cập dữ liệu bất ngờ hoặc nỗ lực đánh cắp xuất hiện trong dữ liệu từ xa pipeline. Theo dõi dòng dữ liệu hỗ trợ điều tra các tổn hại tiềm ẩn.

Phát hiện cụ thể AI

Model Armor và các giải pháp tương tự hoạt động như tường lửa thông minh phân tích prompt và phản hồi thời gian thực để phát hiện và chặn mối đe dọa trước khi chúng gây hại.[^5] Phân tích nhận biết AI bắt được các cuộc tấn công mà phương pháp khớp mẫu bỏ lỡ.

Phát hiện đầu vào đối kháng xác định các đầu vào được chế tạo để khai thác lỗ hổng mô hình. Phát hiện yêu cầu hiểu kiến trúc mô hình và các mẫu lỗ hổng đã biết. Các công cụ bảo mật ML chuyên biệt cung cấp những khả năng này.

Phát hiện drift mô hình xác định các thay đổi dần dần trong hành vi mô hình có thể chỉ ra tổn hại hoặc suy thoái. Thiết lập baseline và giám sát liên tục phát hiện drift trước tác động hoạt động. Phát hiện áp dụng như nhau cho các mối quan tâm bảo mật và độ tin cậy.

Kiến trúc tích hợp

Công cụ bảo mật phải tích hợp với các thành phần hạ tầng AI và hoạt động bảo mật hiện tại.

Tích hợp SIEM và SOAR

Các hệ thống Quản lý Thông tin và Sự kiện Bảo mật (SIEM) tổng hợp cảnh báo từ hạ tầng AI cùng với