06/07/2026
AI- Threat Modeling
I. TÀI SẢN AI & BỀ MẶT TẤN CÔNG (AI ASSETS & ATTACK SURFACE)
1. 6 Tài sản AI cốt lõi cần kiểm kê
- Training Data (Dữ liệu huấn luyện): Nguyên liệu gốc để dạy mô hình. Nếu bị nhiễm độc (Data Poisoning), sai lệch sẽ bị "nướng chín" vĩnh viễn vào hệ thống.
- Model Weights / Parameters (Trọng số / Tham số mô hình): Bản chất toán học của AI. Mất trọng số = mất toàn bộ mô hình (Mất sạch chi phí đầu tư compute).
- Embedding Vectors (Vector nhúng): Biểu diễn số của dữ liệu trong kiến trúc RAG. Thao túng vector sẽ làm sai lệch thông tin AI truy vấn được.
- System Prompts (Câu lệnh hệ thống): Chỉ thị ẩn định hình tư cách phản hồi (persona) và luật bảo mật. Lộ tệp này = trao bản đồ vượt guardrails cho hacker.
- Feature Stores (Kho lưu trữ tính năng): Dữ liệu tiền xử lý theo thời gian thực. Thay đổi tính năng sẽ đánh lừa thị giác của AI lúc suy luận (inference time).
- Model Registry / Artifacts (Kho đăng ký / Cấu phần mô hình): Nơi lưu trữ các phiên bản mô hình. Tổn hại kho này dẫn đến rủi ro bị tráo đổi bằng mô hình cài cửa hậu (backdoored model).
2. Sự khác biệt triết học của Hệ thống AI
- Non-deterministic behaviour (Hành vi phi tất định): Cùng một đầu vào có thể cho ra nhiều đầu ra khác nhau. Gây khó khăn lớn cho việc tái hiện sự cố và kiểm toán.
- The black box problem (Bài toán hộp đen): Không thể dò vết lập luận từng dòng mã code như phần mềm truyền thống. Phải tư duy theo hướng hành vi đầu vào - đầu ra (input-output behaviour).
II. CHUỖI CUNG ỨNG DỮ LIỆU & ĐIỂM YẾU CỦA KHUNG STRIDE
1. 5 Giai đoạn của Chuỗi cung ứng dữ liệu (AI Data Supply Chain)
Stage 1: Data Collection (Thu thập): Gom dữ liệu từ web scraping, bên thứ ba... Kẻ tấn công tìm chỗ đứng vững chắc (foothold) tại đây.
Stage 2: Cleaning and Labelling (Làm sạch & Gán nhãn): Bộ dữ liệu bị gán nhãn sai (mislabelled dataset) không gây ra lỗi hệ thống mà âm thầm dạy AI quyết định sai.
Stage 3: Model Training (Huấn luyện): Chất độc ngấm sâu vào trọng số mô hình. Muốn sửa phải huấn luyện lại từ đầu (retrained from scratch) vô cùng tốn kém.
Stage 4: Validation and Packaging (Xác thực & Đóng gói): Mô hình cài cửa hậu vượt qua kiểm tra vì đầu vào kích hoạt (trigger inputs) không nằm trong tập xác thực.
Stage 5: Inference (Suy luận): Điểm tiêm nhiễm (injection point) mới xuất hiện tại đường ống truy xuất (retrieval pipeline) của RAG.
2. Tại sao STRIDE nguyên bản bị "hụt hơi"?
- Tampering (Thao túng): STRIDE chỉ mạnh ở dữ liệu lưu trữ/truyền đi. Thao túng dữ liệu huấn luyện có tác động khuếch tán (diffuse), trì hoãn và gần như vô hình.
- Adversarial manipulation (Thao túng đối địch): Ép AI ảo tưởng (hallucinate) hoặc phân loại sai (misclassify) làm mờ ranh giới của nhiều danh mục STRIDE cùng lúc.
- Scope of Privilege (Phạm vi đặc quyền): Trận bẻ khóa (jailbreak) kèm quyền truy cập công cụ biến toàn bộ quyền của Agent thành năng lực phá hoại của hacker.
- Information Disclosure (Rò rỉ thông tin): Đánh cắp trọng số qua API (Model Extraction) là mất đi một trí tuệ đã huấn luyện (trained intelligence), không thể xử lý bằng cách đổi mật khẩu (rotate a credential).
III. MA TRẬN ÁNH XẠ STRIDE-AI THỰC CHIẾN
Danh mục STRIDE Biểu hiện chính trên AI (Primary Manifestation) Ví dụ thực tế tại Doanh nghiệp
Spoofing (Giả mạo) Data Source Impersonation (Mạo danh nguồn dữ liệu RAG) Tiêm tài liệu chính sách giả vào kho tri thức RAG khiến Chatbot báo sai.
Tampering (Thao túng) Data Poisoning (Nhiễm độc dữ liệu huấn luyện/Prompt Injection) Giao dịch ma làm lệch ranh giới quyết định (decision boundaries).
Repudiation (Phủ nhận) Lack of Decision Audit Trails (Thiếu vết kiểm toán quyết định) Hệ thống không thể giải thích lý do tại sao AI duyệt một lệnh lừa đảo.
Info Disclosure (Rò rỉ) Model Extraction / Stealing (Trích xuất / Đánh cắp mô hình) Đối thủ spam API thu thập dữ liệu để dựng "mô hình bóng ma" (shadow model).
Denial of Service (DoS) Denial of Wallet - DoW (Khai thác bào mòn chi phí ví tiền) Bắn prompt mồi ép AI nhả text tối đa, đẩy hóa đơn Cloud tăng vọt.
Elevation of Privilege Jailbreaking / Guardrail Bypass (Bẻ khóa hệ thống) Dùng Chatbot bị bẻ khóa để ép nó thực thi lệnh SQL hút sạch bảng PII.
IV. LÀM GIÀU THÔNG TIN BẰNG KHUNG MITRE ATLAS
ATLAS đóng vai trò là lớp làm giàu thông tin (enrichment layer) cho STRIDE theo cấu trúc phân cấp: Tactic (Tại sao) ➔ Technique (Như thế nào) ➔ Mitigation (Biện pháp chặn).
5 Kỹ thuật ATLAS cốt lõi bắt buộc phải thuộc lòng:
Data Poisoning (AML.T0020): Nhiễm độc dữ liệu huấn luyện. (STRIDE: Tampering)
Model Extraction (AML.T0024): Trích xuất sao chép mô hình qua API công khai. (STRIDE: Information Disclosure)
Evade ML Model (AML.T0015): Chế tác dữ liệu đối địch (adversarial data) để lẩn tránh bộ lọc, lẩn tránh phát hiện mã độc.
LLM Prompt Injection (AML.T0051): Tiêm lệnh trực tiếp (chat) hoặc gián tiếp (qua tài liệu RAG nhiễm độc). (STRIDE: Tampering)
Backdoor ML Model (AML.T0018): Nhúng bom logic (logic bomb) kích hoạt hành vi độc hại qua một trigger ẩn khi huấn luyện.
2 Siêu Case Study thực tế cần nhớ:
ShadowRay (AML.CS0023): Khai thác framework Ray không xác thực, chiếm hạ tầng AI để đào tiền ảo ngầm trên GPU.
Morris II Worm (AML.CS0024): Sâu prompt injection tự nhân bản, lây lan giữa các AI Agent qua email RAG để hút dữ liệu định danh PII.
