Nền tảng Moltbook bị hacker xâm nhập trong chưa đầy 3 phút

Theo BusinessInsider, một nhóm chuyên gia an ninh mạng đã truy cập thành công vào cơ sở dữ liệu của Moltbook chỉ trong vòng chưa đầy ba phút, qua đó thu thập được hơn 35.000 địa chỉ email, hàng nghìn tin nhắn riêng tư và 1,5 triệu mã xác thực API. Lỗ hổng xuất phát từ một lỗi cấu hình backend khiến toàn bộ dữ liệu không được bảo vệ đúng cách.

Moltbook là nền tảng mạng xã hội đang gây chú ý, nơi các tác nhân AI (AI Agent) có thể tự đăng bài, bình luận và tương tác giống như con người. Dù chỉ mới ra mắt trong thời gian ngắn, Moltbook đã thu hút sự quan tâm từ các nhân vật công nghệ như Elon Musk và Andrej Karpathy.

ẢNH: CHỤP MÀN HÌNH

Gal Nagli, trưởng bộ phận phát hiện rủi ro tại Wiz, cho biết nhóm nghiên cứu của ông đã có toàn quyền đọc và chỉnh sửa dữ liệu trên nền tảng nhờ vào lỗi bảo mật nói trên. Điều này cho phép người ngoài có thể mạo danh các tác nhân AI, đăng nội dung hoặc gửi tin nhắn với danh tính giả. Ngoài ra, kẻ tấn công có thể chỉnh sửa hoặc xóa bài viết, chèn nội dung độc hại hoặc thao túng dữ liệu mà các bot khác sử dụng.

Nagli cảnh báo sự cố này là minh chứng rõ ràng cho rủi ro của phương pháp phát triển phần mềm theo kiểu "vibe coding" - cách xây dựng sản phẩm nhanh dựa vào AI mà không kiểm soát chặt chẽ về mặt kỹ thuật. Ông cho biết nhiều ứng dụng được phát triển theo hướng này thường để lộ thông tin nhạy cảm hoặc không có xác thực truy cập phù hợp.

Người sáng lập Moltbook Matt Schlicht trước đó tuyên bố ông không viết bất kỳ dòng mã nào cho nền tảng, mà chỉ lên ý tưởng kiến trúc hệ thống để AI tự triển khai.

Báo cáo của Wiz cũng phát hiện Moltbook không kiểm tra tính xác thực của các tài khoản được gắn nhãn "AI agent", cho phép cả người dùng thật điều khiển nhiều tài khoản mà không bị kiểm soát. Nền tảng cũng thiếu cơ chế xác minh danh tính và giới hạn tần suất hoạt động, khiến việc phân biệt giữa tác nhân AI thật và người dùng giả mạo trở nên khó khăn.

Wiz cho biết họ đã thông báo cho đội ngũ Moltbook và vấn đề đã được khắc phục trong vòng vài giờ. Toàn bộ dữ liệu truy cập trong quá trình nghiên cứu đã được xóa sau khi hoàn tất xác minh.

//Chèn ads giữa bài (runinit = window.runinit || []).push(function () { //Nếu k chạy ads thì return if (typeof _chkPrLink != 'undefined' && _chkPrLink) return; var mutexAds = '<zone id="l2srqb41"></zone>'; var content = $('[data-role="content"]'); if (content.length > 0) { var childNodes = content[0].childNodes; for (i = 0; i < childNodes.length; i++) { var childNode = childNodes[i]; var isPhotoOrVideo = false; if (childNode.nodeName.toLowerCase() == 'div') { // kiem tra xem co la anh khong? var type = $(childNode).attr('class') + ''; if (type.indexOf('VCSortableInPreviewMode') >= 0) { isPhotoOrVideo = true; } } try { if ((i >= childNodes.length / 2 - 1) && (i < childNodes.length / 2) && !isPhotoOrVideo) { if (i <= childNodes.length - 3) { childNode.after(htmlToElement(mutexAds)); arfAsync.push("l2srqb41"); } break; } } catch (e) { } } } }); function htmlToElement(html) { var template = document.createElement('template'); template.innerHTML = html; return template.content.firstChild; } if (window.pageSettings && pageSettings.allow3rd && (typeof window._isAdsHidden === 'undefined' || !window._isAdsHidden)) { if (!laNuocNgoai) { (function (w, q) { w[q] = w[q] || []; w[q].push(["_mgc.load"]); })(window, "_mgq"); } } (function() { if (!(window.pageSettings && pageSettings.allow3rd && (typeof window._isAdsHidden === 'undefined' || !window._isAdsHidden))) return; if (typeof window.laNuocNgoai === 'undefined' || !window.laNuocNgoai) return; // chỉ chạy khi laNuocNgoai true var containerSelector = 'div.detail-cmain'; var root = document.querySelector(containerSelector); if (!root) return; // Thu thập figure + p (p không nằm trong figure) var figures = Array.from(root.querySelectorAll('figure')); var paragraphs = Array.from(root.querySelectorAll('p')).filter(function(p){ return !p.closest('figure'); }); var elements = figures.concat(paragraphs); // NodeList vốn đã theo DOM order => không cần sort if (!elements.length) return; var target = elements[Math.floor(elements.length / 2)]; // giữa bài if (!target || !target.parentNode) return; var newDiv = document.createElement('div'); newDiv.id = 'taboola-mid-article-widget'; target.parentNode.insertBefore(newDiv, target.nextSibling); window._taboola = window._taboola || []; window._taboola.push({ mode: 'thumbnails-4x1', container: 'taboola-mid-article-widget', placement: 'Mid Article Widget', target_type: 'mix' }); })();