Cựu lãnh đạo X-Force Red ra mắt RemoteThreat, gọi vốn 7 triệu USD để tăng tốc tác chiến mạng bằng AI

Hai cựu lãnh đạo của X-Force Red, đội red team (nhóm mô phỏng tấn công để kiểm tra hệ thống) thuộc IBM, vừa thành lập startup RemoteThreat với khoản vốn pre-seed 7 triệu USD. Pre-seed là vòng gọi vốn rất sớm, thường dùng để xây dựng sản phẩm ban đầu và tuyển đội ngũ cốt lõi. Công ty do CEO Chris Thompson và CTO Shawn Jones dẫn dắt, tuyên bố đang phát triển một nền tảng dùng AI để lập kế hoạch, triển khai và điều chỉnh các chiến dịch tấn công mạng chủ động ở tốc độ cao hơn đáng kể so với các công cụ kiểm thử xâm nhập tự động hiện nay.

Theo nhà sáng lập, nền tảng của RemoteThreat không dừng ở continuous penetration testing, tức kiểm thử xâm nhập liên tục để phát hiện điểm yếu, hay vulnerability detection, tức dò tìm lỗ hổng bảo mật. Thay vào đó, công ty muốn mô phỏng toàn bộ chuỗi tấn công như một đối thủ thực sự, bao gồm từ tiếp cận ban đầu đến duy trì kiểm soát và né tránh phát hiện. Đây là hướng đi gần với offensive cybersecurity, tức an ninh mạng tấn công chủ động, nơi doanh nghiệp hoặc cơ quan nhà nước sử dụng công cụ mô phỏng hoặc triển khai năng lực tấn công để hiểu và đối phó với các mối đe dọa tinh vi.

Trước khi lập công ty mới, Thompson và Jones từng điều hành X-Force Red trong các nhiệm vụ kiểm thử cho nhà máy điện hạt nhân, hạ tầng quan trọng và các ngân hàng lớn. Thompson từng cho biết vào năm 2024 rằng nhóm của ông đã dùng AI để xâm nhập mạng của một nhà sản xuất bán dẫn chỉ trong 8 giờ. Chi tiết này cho thấy cách AI đang rút ngắn đáng kể thời gian trinh sát, lập kế hoạch và thực thi tấn công, vốn trước đây thường đòi hỏi nhiều chuyên gia làm việc thủ công trong thời gian dài.

Chris Thompson cho rằng các frontier models, tức những mô hình AI tiên tiến nhất ở thời điểm hiện tại, dù còn “ồn ào” và chưa hoàn hảo, đang tiến rất nhanh về năng lực. Mối lo của ông là AI sớm có thể tạo ra custom malware, nghĩa là mã độc được viết riêng cho từng mục tiêu hoặc chiến dịch, với chất lượng tiệm cận công cụ của các nhóm do nhà nước hậu thuẫn. Khi kết hợp với khả năng tự động hóa, loại mã độc này có thể được triển khai ở tốc độ và quy mô vượt xa các chiến dịch tấn công truyền thống.

RemoteThreat hiện có 15 nhân sự, bao gồm các operator cấp cao, nhà nghiên cứu bảo mật, kỹ sư và lập trình viên phát triển malware. Operator trong bối cảnh này là những người trực tiếp vận hành chiến dịch tấn công hoặc mô phỏng tấn công. Công ty cho biết đội ngũ được tuyển từ nhiều tên tuổi lớn như X-Force Adversary Services, Mandiant, SpecterOps, Dreadnode, Bugcrowd, Microsoft, các nhà thầu quốc phòng và cơ quan chính phủ. Thành phần nhân sự này cho thấy RemoteThreat đang đặt cược vào chuyên môn thực chiến hơn là chỉ xây một lớp phần mềm tự động đơn thuần.

Startup này nói rằng họ đã có khách hàng là một ngân hàng lớn, một đơn vị vận hành sàn giao dịch chứng khoán, một công ty chăm sóc sức khỏe lớn tại Mỹ và một phòng thí nghiệm AI hàng đầu. Mục tiêu trước mắt là giúp các doanh nghiệp Fortune 500, tức nhóm 500 công ty lớn nhất nước Mỹ theo xếp hạng doanh thu, mô phỏng được các cuộc tấn công ở cấp độ nation-state, nghĩa là kiểu tấn công thường gắn với nguồn lực, kỹ thuật và độ tinh vi của các nhóm được quốc gia chống lưng.

RemoteThreat mô tả sản phẩm của mình là 8 hệ thống kết nối với nhau, bao phủ mission planning, command and control, implants, initial access, advanced attack capabilities, obfuscation, analysis và AI-assisted operations. Mission planning là khâu lập kế hoạch nhiệm vụ; command and control, thường viết tắt là C2, là cơ chế điều khiển máy đã bị xâm nhập từ xa; implants là các thành phần phần mềm cài cắm bí mật để duy trì hiện diện; initial access là bước giành quyền truy cập đầu tiên; obfuscation là kỹ thuật làm rối hoặc che giấu hành vi để tránh bị phát hiện. Việc gom toàn bộ các lớp này vào một nền tảng cho thấy tham vọng xây dựng hệ điều hành cho tác chiến mạng chủ động, thay vì chỉ bán từng công cụ rời rạc.

Công ty cho biết nền tảng có thể dùng các mô hình nhỏ được thiết kế cho từng tác vụ cụ thể, đồng thời cho phép khách hàng kết nối thêm mô hình từ OpenAI, Anthropic hoặc open-weight models. Open-weight là các mô hình có trọng số được công bố hoặc cấp quyền truy cập rộng hơn, giúp doanh nghiệp tự triển khai và tinh chỉnh theo nhu cầu. Theo Thompson, mô hình ngôn ngữ lớn, hay LLM, sau khi được kết nối có thể truy cập vào khoảng 1.000 công cụ do RemoteThreat tự phát triển. Nói cách khác, AI không chỉ trả lời câu hỏi mà còn có thể gọi công cụ để thực hiện hành động kỹ thuật thực tế.

RemoteThreat cho biết nền tảng có thể được vận hành bởi con người hoặc AI agents, tức các tác nhân AI có khả năng tự động thực hiện chuỗi nhiệm vụ nhiều bước. Khách hàng thậm chí có thể điều khiển một phần quá trình kiểm thử từ Codex terminal thay vì phải đăng nhập website. Terminal là giao diện dòng lệnh quen thuộc với kỹ sư, còn Codex gợi đến kiểu môi trường nơi AI hỗ trợ viết mã và thực thi tác vụ kỹ thuật. Điều này phản ánh một xu hướng mới: công cụ an ninh mạng đang được đưa thẳng vào quy trình làm việc hàng ngày của đội ngũ kỹ thuật để tăng tốc độ phản ứng.

Do nguy cơ bị sử dụng sai mục đích là rất rõ ràng, RemoteThreat nói chỉ cung cấp quyền truy cập cho các doanh nghiệp đã được thẩm định, nhà thầu quốc phòng và khách hàng thuộc chính phủ Mỹ. Tuy nhiên, với các nền tảng offensive cyber, bài toán không chỉ là kiểm soát danh tính khách hàng mà còn là giám sát phạm vi sử dụng, nhật ký hành động và cơ chế phê duyệt. Khi AI ngày càng có thể tự động hóa nhiều bước tấn công, tranh luận về đạo đức, trách nhiệm pháp lý và kiểm soát xuất khẩu công nghệ an ninh mạng có thể sẽ nóng lên nhanh chóng.

RemoteThreat đã hợp tác với Talon Defense, đơn vị cung cấp công nghệ AI và an ninh mạng cho khách hàng an ninh quốc gia, quốc phòng và tình báo. Công ty cũng bắt tay với Nakasone Group, hãng tư vấn an ninh quốc gia do tướng Paul Nakasone sáng lập. Ông Nakasone từng là giám đốc NSA, tức Cơ quan An ninh Quốc gia Mỹ, đồng thời là chỉ huy US Cyber Command, bộ chỉ huy tác chiến mạng của quân đội Mỹ. Việc có một nhân vật như vậy làm cố vấn chiến lược giúp RemoteThreat tăng đáng kể uy tín trong giới quốc phòng và tình báo.

Sự xuất hiện của RemoteThreat diễn ra đúng lúc chính phủ Mỹ thúc đẩy vai trò lớn hơn của doanh nghiệp tư nhân trong các hoạt động mạng chủ động. Chiến lược an ninh mạng công bố hồi tháng 3 kêu gọi hợp tác chặt hơn với ngành công nghiệp ở cả nhiệm vụ phòng thủ lẫn tấn công. Đến tháng 8, một presidential memorandum, tức bản ghi nhớ chỉ đạo từ tổng thống, còn yêu cầu xây dựng chương trình cho phép các công ty Mỹ đã được thẩm định tiến hành hoạt động mạng chống lại các nhóm tội phạm mạng nước ngoài dưới sự chỉ đạo và giám sát của liên bang.

Công ty cũng cho biết đã gia nhập SOF RACER, viết tắt của Special Operations Forces Rapid Acquisition Consortium for Emerging Requirements, một cơ chế giúp đưa năng lực công nghệ mới vào lực lượng tác chiến đặc biệt nhanh hơn. Theo Thompson, thị trường này đang giống một “gold rush”, tức cơn sốt đổ xô đi tìm cơ hội kiếm lợi lớn, bởi đây là lần đầu tiên trên diện rộng chính phủ Mỹ bị thúc đẩy phải làm việc với khu vực thương mại trong các chương trình tác chiến mạng. Nếu trước đây các công cụ tấn công mạng tinh vi chủ yếu nằm trong tay cơ quan nhà nước hoặc nhà thầu cực kỳ chuyên biệt, thì giờ đây RemoteThreat đang định vị mình là nhà cung cấp hạ tầng và công cụ nền tảng cho làn sóng thương mại hóa mới đó.