Ghi chép sau khi đọc nghiên cứu của Unit 42 (Palo Alto Networks), công bố 30/06/2026.

Bạn hỏi trợ lý AI: “Cho tôi link cổng thanh toán sandbox của dịch vụ X.”

Nó trả lời ngay, tự tin, kèm một URL trông cực kỳ hợp lý. Bạn copy vào code. Hoặc tệ hơn — một AI agent tự động gọi thẳng vào URL đó.

Câu hỏi là: ai đã kiểm tra tên miền ấy có thật không?

Unit 42 vừa chứng minh rằng trong rất nhiều trường hợp, câu trả lời là không ai cả — và kẻ tấn công đã biết điều này trước bạn.

Phantom squatting là gì

LLM bịa số liệu, bịa trích dẫn — chuyện quá quen. Nhưng ít ai để ý nó cũng bịa tên miền, và bịa rất có quy luật.

Unit 42 gọi đây là phantom squatting: kẻ tấn công chủ động đăng ký trước những tên miền mà LLM hay ảo giác ra, rồi ngồi chờ chính AI dẫn nạn nhân tới.

Đây là bước tiến hóa của slopsquatting (LLM bịa tên package, kẻ xấu đăng ký package đó trên npm/PyPI). Khác biệt quan trọng: slopsquatting cần lập trình viên chạy npm install. Phantom squatting chỉ cần một cú click — hoặc không cần gì cả, nếu “người click” là một AI agent.

Vì sao nguy hiểm hơn phishing thường

Cả ngành bảo mật web đang chạy trên một giả định ngầm: hạ tầng độc hại phải có tiếng xấu trước đã. Blocklist cần domain từng bị báo cáo. Threat feed cần domain xuất hiện trong chiến dịch đang chạy. Reputation cần thời gian tích lũy telemetry.

Một phantom domain vừa đăng ký thì trắng tinh: không lịch sử, không điểm reputation, không nằm trong blocklist nào. Unit 42 gọi là zero-reputation bypass.

Nhưng điểm khó chịu nhất nằm ở chỗ khác. Phishing truyền thống luôn có khâu “dụ” — email giả, quảng cáo độc, tin nhắn lạ. Nạn nhân ít nhiều còn cơ hội nghi ngờ.

Với phantom squatting, kênh phân phối chính là con trợ lý AI mà tổ chức bạn đã chính thức phê duyệt cho nhân viên dùng. Không email lạ. Không link đáng ngờ. Chỉ có một gợi ý tự tin từ hệ thống được tin tưởng.

Tên miền giả này “sinh ra đã sạch”, vì nó bước ra từ chính vốn từ nội tại của mô hình.

Những con số

Unit 42 chạy 685.339 prompt đối kháng trên 913 thương hiệu toàn cầu, qua hai dòng LLM và ba mức temperature, sinh ra ~2,1 triệu URL. Kết quả:

Dừng lại ở dòng in đậm: khoảng 250.000 tên miền đang nằm đó, chưa ai sở hữu, nhưng LLM sẵn sàng đọc tên chúng ra như thể có thật.

Còn 13.229 URL độc hại thì không phải rủi ro tương lai — đó là LLM đang giới thiệu hạ tầng độc hại đã biết cho người dùng, ngay lúc này. Malware chiếm 67,2%, phishing 16,2%, và 3% là hạ tầng C2 — nhóm cuối đặc biệt nguy hiểm với agent tự động gọi HTTP.

Một chi tiết kỹ thuật đáng nhớ: Unit 42 đề xuất chỉ số THP (Thermal Hallucination Persistence) — nếu một domain giả vẫn xuất hiện ngay cả khi model chạy ở chế độ Precise (T=0.1), tức lúc nó “chắc chắn” nhất, thì model đang coi domain đó gần như một sự thật. Ghép thêm việc nhiều model khác dòng cùng bịa ra một domain, ta có bộ lọc ưu tiên rất hiệu quả.

Ca đáng nhớ nhất: Montana Empire

08/03/2026 — Pipeline của Unit 42 sinh ra 13 URL ảo giác cho một domain giống sàn TMĐT của một dịch vụ bưu chính quốc gia. Ảo giác này xuất hiện ở cả hai dòng model và cả ba mức temperature. THP cao ngất. Vào watchlist ngay.

31/03/2026 — Đúng 23 ngày sau, một kẻ tấn công đăng ký chính domain đó và triển khai bộ phishing kit giả mạo sàn TMĐT.

Phân tích file kit thu được, Unit 42 tìm thấy trong archive thư mục project của một AI coding assistant. Log phiên làm việc cho thấy kẻ tấn công dùng trợ lý AI để scrape giao diện storefront thật, viết backend PHP, và dựng kênh C2 qua Telegram lấy credential thời gian thực.

Cả bên tấn công lẫn bên phòng thủ đều đi tới cùng một tên miền, bằng cùng một cơ chế. AI hỗ trợ tạo vũ khí và AI hỗ trợ phân phối vũ khí không còn là hai câu chuyện riêng.

Một ca khác: domain giả mạo bưu chính quốc gia, phát hiện trước 51 ngày, sau đó được dùng để phát tán APK độc hại qua trang clone thương hiệu chính xác đến từng mã màu HTML.

Liên hệ Việt Nam: chúng ta đã sẵn nhiên liệu

Đọc xong hai case study trên, tôi thấy hơi rợn — vì cả hai đều xoay quanh bưu chính và giao vận, đúng thứ đang bị lạm dụng nhiều nhì ư ở Việt Nam (vì chưa có tài liệu chứng minh là nhất =))).

Kịch bản lừa đảo giả mạo đơn vị chuyển phát, giả mạo ứng dụng dịch vụ công để dụ cài APK ngoài store rồi chiếm quyền đọc OTP ngân hàng — đó không phải chuyện lạ với ai theo dõi an ninh mạng trong nước. Phantom squatting không tạo ra kịch bản mới. Nó chỉ thay kênh phân phối: từ tin nhắn SMS rác sang lời khuyên của một con AI mà nạn nhân tin tưởng hơn nhiều.

Vài điểm tôi nghĩ đặc biệt đáng lo với bối cảnh Việt Nam:

1. Tên miền .vn an toàn hơn – và đó chính là vấn đềĐăng ký .vn cần định danh, thủ tục, chi phí cao hơn hẳn. Kẻ tấn công sẽ không đụng tới. Nhưng LLM khi bịa domain cho thương hiệu Việt thì rất hay cho ra dạng tenthuonghieu-online.com, tenthuonghieu-portal.net… — toàn gTLD giá rẻ, đăng ký trong 5 phút, không cần giấy tờ. Bức tường bảo vệ của .vn không che được vùng này.

2. Thương hiệu Việt gần như nằm ngoài 913 brand được khảo sát. Nghiên cứu của Unit 42 tập trung vào brand toàn cầu. Nghĩa là bề mặt ảo giác của các ngân hàng, sàn TMĐT, đơn vị giao vận và cổng dịch vụ công Việt Nam chưa ai lập bản đồ cả — không phía phòng thủ, mà cũng chưa chắc phía tấn công. Đây là cửa sổ cơ hội, nhưng nó đang đóng dần.

3. Ngành gia công phần mềm dùng AI coding assistant rất mạnh. Đây là điểm tôi nghĩ ít người để ý. Một URL ảo giác lọt vào code của một dự án outsourcing không dừng lại ở công ty đó = nó đi thẳng vào sản phẩm của khách hàng nước ngoài. Rủi ro chuỗi cung ứng theo đúng nghĩa đen.

4. Agentic AI đang được triển khai nhanh hơn tốc độ dựng hàng rào. Unit 42 nói thẳng: mục tiêu giá trị nhất của phantom squatting không phải con người, mà là AI agent tự hành. Người dùng bấm vào link phishing vẫn còn một bước nữa — họ phải tự nhập credential. Còn agent tự fetch URL và xử lý response thì có thể rò rỉ secret hoặc lan truyền dependency nhiễm độc qua build pipeline mà không có điểm quyết định nào của con người ở giữa.

Vậy làm gì

Điểm sáng: lợi thế phòng thủ cũng mang tính cấu trúc. Chính vì LLM ảo giác một cách nhất quán và dự đoán được, ta hoàn toàn có thể lập bản đồ trước khi kẻ tấn công hành động. AEW 18–51 ngày là lead time mà không threat intel truyền thống nào cho được.

Nếu bạn giữ thương hiệu: tự hỏi LLM về chính thương hiệu mình — nhiều model, nhiều temperature — và ghi lại mọi URL nó bịa ra. Domain nào xuất hiện cả ở T=0.1 và ở nhiều model thì đăng ký phòng thủ ngay. Vài trăm nghìn đồng một năm rẻ hơn rất nhiều so với một chiến dịch phishing mang tên bạn.

Nếu bạn viết code: đừng bao giờ copy URL do AI sinh ra vào code mà chưa đối chiếu tài liệu chính chủ. Và bật allowlist cho outbound domain trong CI/CD — nếu pipeline chỉ được gọi ra danh sách đã duyệt thì phantom domain có lọt vào cũng không đi tới đâu.

Nếu bạn triển khai agent: siết egress filtering ở tầng agent. Đừng để agent tự do fetch URL do chính nó sinh ra, nhất là ở bốn tác vụ buộc phải sinh URL: lấy tài liệu API, tải dependency, gọi webhook, resolve schema.

Kết

Câu kết luận sắc nhất của Unit 42: đây là thuộc tính cấu trúc của kiến trúc LLM, về bản chất không thể vá. Model học từ văn bản do con người viết thì tất yếu sẽ bịa ra những tên miền nghe hợp lý. Và bề mặt tấn công này mở rộng theo mỗi lần triển khai LLM mới.

Nên câu hỏi không còn là “làm sao sửa được model”, mà là: giữa bên phòng thủ và bên tấn công, ai sẽ lập bản đồ ảo giác của thương hiệu bạn trước?

Với 250.000 phantom domain đang bỏ trống ngoài kia — và danh sách thương hiệu Việt Nam thì chưa ai đụng tới — tôi không nghĩ đây là câu hỏi nên để dành cho quý sau.

Nguồn: Keerthiraj Nagaraj, Diva-Oriane Marty, Beliz Kaleli, Oleksii Starov — “Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector”, Unit 42, Palo Alto Networks, 30/06/2026.

What’s Your Reaction?

0In Love0Happy0Not Sure0OMG0Angry0Sad0LOL0Cry0Silly0Crazy