Pentest & Offsec [Pentest với AI] HexStrike-AI – Hướng dẫn cài đặt và sử dụng - Phần 1: Giới thiệu

Gần đây chắc hẳn nhiều bạn làm pentest hoặc red team đã nghe loáng thoáng về mấy công cụ AI hỗ trợ tấn công. Trong một buổi rảnh, mình cũng tò mò lục lọi thử và vấp ngay vào HexStrike-AI – một cái tên đang khá “hot” trong cộng đồng. Thú vị là, không chỉ dân pentest quan tâm mà ngay cả những ông lớn trong ngành bảo mật như Check Point cũng phải lên tiếng cảnh báo.

Điều khiến mình ấn tượng nhất: trước đây, để khai thác một lỗ hổng có khi mất cả ngày hoặc cả tuần, còn bây giờ, với HexStrike-AI, mọi thứ có thể rút ngắn xuống chỉ còn vài phút, thậm chí vài giây. Nghe có vẻ hơi “khoa học viễn tưởng”, nhưng thực sự nó đang diễn ra ngoài kia.

Vậy HexStrike-AI là gì?​

HexStrike-AI là một framework tấn công tự động dùng AI, được phát triển bởi nhà nghiên cứu bảo mật Muhammad Osama (0x4m4) hồi đầu năm 2025. Ban đầu, mục đích rất “sáng”: hỗ trợ pentester và red team kiểm thử nhanh hơn, bớt lặp lại những công việc thủ công. Nhưng giống nhiều công cụ khác, nó nhanh chóng rơi vào tình huống dual-use: vừa hữu ích cho phòng thủ, vừa nguy hiểm khi rơi vào tay hacker.

Một vài mốc thời gian mình thấy đáng chú ý:​

• Tháng 5–6/2025: Ra mắt phiên bản thử nghiệm (v1.0 → v5.x).
• Tháng 7/2025: Xuất hiện trên diễn đàn dark web, hacker bắt đầu “vọc” thử.
• 26/8/2025: Citrix công bố lỗ hổng zero-day. Chỉ 12 giờ sau, HexStrike-AI v6.0 đã bị dùng để khai thác hàng loạt hệ thống (theo Check Point).
  
• Đầu 9/2025: Hàng loạt bài báo cảnh báo: thời gian khai thác giảm từ vài tuần → dưới 10 phút.
  
  
• 06/09/2025: Tác giả tuyên bố tạm hoãn bản v7.0 vì lo ngại bị lạm dụng thêm.

Cấu trúc hoạt động – nghe thì phức tạp nhưng thật ra rất dễ hiểu:​

1. User Prompt (Instructions)
   Bạn chỉ cần gõ một câu lệnh tự nhiên, ví dụ:
   
   • “Scan web này tìm SQL injection.”
   • “Thử khai thác CVE-2025-7775 trên Citrix.”
2. LLM Processing (Routes via MCP)
   AI sẽ dịch câu lệnh của bạn thành hành động cụ thể, gọi đúng công cụ qua MCP. Giống như có một “trợ lý pentest” biết khi nào thì chạy Nmap, khi nào dùng sqlmap, khi nào bung Metasploit.
3. Execute Tests (Security Analysis)
   Các công cụ lần lượt được bật: scan → exploit → persistence. Kết quả trả về có thể là log, shell, hoặc báo cáo.
4. Feedback Loop (Next Iteration)
   Nếu thất bại? AI tự điều chỉnh payload hoặc chọn cách khác và thử tiếp. Lặp đi lặp lại cho đến khi đạt kết quả – giống một pentester kiên trì nhưng… không biết mệt.

Chính nhờ vòng lặp này mà HexStrike-AI rút ngắn thời gian khai thác xuống còn vài phút.

Trong các phần tiếp theo, mình sẽ thử cài đặt HexStrike-AI trên lab và chia sẻ trải nghiệm sử dụng thực tế. Ai tò mò có thể theo dõi để cùng “vọc” thử nhé - hẹn gặp mọi người trong bài viết tiếp theo