Tại sao AI đang trở thành biện pháp phòng thủ mới của giáo dục đại học trong cuộc chiến truy cập người dùng và thông tin xác thực

Tội phạm mạng đã nâng cấp mục tiêu, và giáo dục đại học hiện đang là mục tiêu trực tiếp của chúng.

Trong nhiều năm, các khu học chánh K-12 đã chịu phần tệ nhất. Khi đại dịch buộc phải chuyển sang học từ xa trong một đêm, các hệ thống trường học chưa bao giờ chuẩn bị đã bị để lộ. Giáo dục đại học trông tương đối an toàn: các khuôn viên đã có các phòng IT trưởng thành, ngân sách cho công cụ bảo mật, và đã vận hành các hệ thống kỹ thuật số và học trực tuyến hơn một thập kỷ trước khi COVID bùng phát. Khoảng cách này đang thu hẹp nhanh chóng. Những mục tiêu dễ dàng ở cấp K-12 phần lớn đã bị khai thác, và các kẻ tấn công giờ đang chuyển sự chú ý sang các trường cao đẳng và đại học với cùng những công cụ dựa trên AI đã khiến K-12 trở thành mục tiêu dễ dàng.

Quy mô đã xuất hiện trong các tiêu đề tin tức. Chỉ trong tháng này, thông tin cá nhân đã bị đánh cắp từ ít nhất 137.000 tài khoản nhân viên trường trong một vụ vi phạm đã ảnh hưởng đến Glendale Community College, Moody Bible Institute, Illinois Central College và Houston City College. Tường lửa và các công cụ biên giới vẫn quan trọng, nhưng chúng chưa bao giờ được xây dựng để ngăn chặn những gì đang xảy ra hiện nay: AI cho phép kẻ tấn công mạo danh nhân viên và sinh viên ở quy mô lớn, đủ để trượt qua các kiểm tra mà các tổ chức đã dựa vào trong nhiều năm. Trộm cắp thông tin xác thực và chiếm đoạt tài khoản không còn là trường hợp hiếm. Chúng đã trở thành bề mặt tấn công chính, và việc bảo vệ chúng đã trở thành thách thức an ninh mạng trung tâm trong giáo dục đại học năm 2026.

The Other Side of the Problem: Ghost Students

Thông tin xác thực nhân viên bị đánh cắp nhận được phần lớn sự chú ý, nhưng chúng chỉ là một nửa câu chuyện. Nửa còn lại đang diễn ra ở phía sinh viên, và có thể là vấn đề tốn kém hơn: gian lận sinh viên ảo.

Cơ chế rất đơn giản. Những kẻ xấu sử dụng danh tính giả hoặc bị đánh cắp để đăng ký làm sinh viên, không phải để tham gia lớp học, mà để thu lợi từ trợ cấp tài chính. Các đơn đăng ký được tạo bằng AI hiện đủ tốt để vượt qua quá trình xác minh danh tính mà hầu hết các tổ chức vẫn sử dụng, nghĩa là gian lận này mở rộng theo cùng cách như trộm cắp thông tin xác thực: tự động và nhanh chóng.

Các con số đang trở nên khó bỏ qua. Ước tính $150 triệu trong trợ cấp đã được chuyển tới các sinh viên không đủ tiêu chuẩn chỉ trong năm 2025, với các trường cao đẳng cộng đồng chịu ảnh hưởng nặng nhất vì chúng thường có hạ tầng danh tính yếu nhất. Delaware County Community College đã phát hiện hơn 500 tài khoản sinh viên giả trên trường của mình. Trên toàn quốc, chính phủ liên bang đang điều tra hơn $350 triệu trong các vụ gian lận sinh viên ảo, qua 200 vụ mở.

Chi phí không phải là trừu tượng, và không chỉ giới hạn ở các trường. Khi một kẻ lừa đảo đăng ký dưới danh tính bị đánh cắp và nhận khoản vay, người thật đứng sau danh tính thường là người phải chịu nợ. Các sinh viên hợp pháp phải cạnh tranh trong các quỹ trợ cấp tài chính ngày càng giảm và tài nguyên của trường mà gian lận đã hút cạn. Như một cuộc điều tra gần đây của ABC News đã phát hiện, các trường cao đẳng cộng đồng ở miền Nam California đang bị ngập tràn các đơn đăng ký do AI tạo ra, và xu hướng này đang lan rộng trên toàn quốc, không chỉ ở một khu vực.

Trộm cắp thông tin xác thực và gian lận sinh viên ảo có vẻ là các vấn đề khác nhau, nhưng chúng có chung nguyên nhân gốc: các kiểm tra danh tính chỉ diễn ra một lần, tại thời điểm đăng nhập hoặc đăng ký, và không bao giờ được xem xét lại.

Identity Isn’t an Event: It’s a Lifecycle

Đó là sự chuyển đổi mà giáo dục đại học cần thực hiện vào năm 2026. Câu hỏi không chỉ là “người này đã xác thực thành công chưa”. Nó phải liên tục: ai đang có quyền truy cập ngay bây giờ, và họ có nên vẫn giữ quyền đó không.

Câu hỏi này ngày càng khó trả lời vì số lượng “danh tính” trên khuôn viên đã mở rộng vượt ra ngoài sinh viên và nhân viên. Các trường đại học hiện phải bảo vệ các tác nhân AI tự động, các tích hợp bên thứ ba, và các danh tính máy móc tiếp xúc với các hệ thống nhạy cảm mỗi ngày, thường với mức giám sát thấp hơn nhiều so với một tài khoản con người. Mỗi danh tính đó là một điểm vào tiềm năng, và hầu hết các tổ chức không có cách theo dõi chúng theo thời gian thực.

Đây chính là nơi Quản lý Vòng đời Danh tính (Identity Lifecycle Management) xứng đáng được đặt làm ưu tiên, không chỉ là một tính năng phụ. Xác thực tĩnh, một lần đã được thiết kế cho một thế giới mà “danh tính” chỉ có nghĩa là một người đăng nhập bằng mật khẩu. Nó không bao giờ được xây dựng cho một thế giới có AI tự động, các tích hợp máy-máy, và các băng nhóm gian lận có thể tạo ra một sinh viên giả thuyết trong vài giây. Đóng khoảng trống này đồng nghĩa với việc kết hợp các khóa bảo mật chống lừa đảo và quản trị AI tự động với một cách tiếp cận ILM liên tục xem xét và cập nhật quyền truy cập, thay vì cấp một lần và giả định nó vẫn hợp lệ sau một học kỳ.

Giáo dục đại học không thể đứng ngoài cuộc và chờ đợi các cuộc điều tra liên bang kịp thời. Những tổ chức đi trước trong vấn đề này sẽ là những người ngừng xem danh tính như một mục kiểm tra tại thời điểm đăng nhập và bắt đầu xem nó như một yếu tố cần được xác minh, giám sát và điều chỉnh liên tục, cho mọi con người và mọi máy móc tiếp xúc với hệ thống của họ.

Các kẻ tấn công đã tự động hoá phía của họ. Đã đến lúc giáo dục đại học cũng làm như vậy.