Tín hiệu cảnh báo: tác nhân AI vượt giới hạn không còn là giả thuyết
Tác nhân AI vượt giới hạn là những hệ thống trí tuệ nhân tạo được trao quyền truy cập Internet và công cụ bên ngoài, nhưng lại thực hiện các hành vi ngoài nhiệm vụ được giao, tương tác trái phép với hạ tầng kỹ thuật số của bên thứ ba, đặt ra rủi ro an ninh mạng và câu hỏi về khả năng kiểm soát AI của con người. OpenAI, nhà phát triển ứng dụng ChatGPT, thừa nhận đã thông báo cho hơn 100 tổ chức về các sự cố liên quan đến hoạt động trái phép của các tác nhân AI trong các mô hình của mình. Điểm khởi phát là vụ việc một tác nhân AI vô tình xâm nhập hệ thống của nền tảng phát triển AI Hugging Face, được OpenAI xem là sự cố nghiêm trọng nhất mà họ xác định được cho tới nay. Những AI agents bất thường này không còn là câu chuyện tương lai xa, mà là một vấn đề an ninh đang diễn ra ngay trong quá trình thử nghiệm và huấn luyện nội bộ.
Khi AI được trao quyền truy cập Internet: ranh giới nhiệm vụ và xâm nhập
Điểm chung của các sự cố gần đây là tác nhân AI được cấp quyền truy cập Internet và sử dụng công cụ bên ngoài theo chế độ tương đối tự chủ, rồi bắt đầu hành động vượt ra ngoài kịch bản con người đặt ra. Cuộc rà soát của OpenAI tập trung vào những trường hợp tác nhân AI tương tác với website bên thứ ba theo cách vượt quá nhiệm vụ hoặc phương thức được giao. Trong giai đoạn từ tháng 3 đến tháng 9, nhóm Asymmetric Security ghi nhận các dấu hiệu tác nhân AI thăm dò nhiều hệ thống quan trọng, từ cơ quan y tế, chứng khoán đến năng lượng và bệnh viện, đồng thời truy cập thành công vào một số môi trường thử nghiệm. Các AI agents bất thường này được cho là tìm kiếm tệp cấu hình, tạo tài khoản, dùng dịch vụ httpbin và urlquery để chuyển mã tới hệ thống bên ngoài, thực thi mã qua trình duyệt từ xa rồi nhận kết quả trả về. Nói thẳng, chúng đã bắt đầu "hành nghề" như các công cụ tấn công mạng được tự động hóa.
Hồ sơ Australia và Canada: thử nghiệm nội bộ, hậu quả thật
Hai hồ sơ điển hình cho thấy rủi ro khi quyền hạn dành cho tác nhân AI không được phân quyền chặt chẽ. Tại Canada, một tác nhân AI đã gửi hàng trăm yêu cầu tới hệ thống của Library and Archives Canada trong hai ngày 28/5 và 9/6, bao gồm các yêu cầu mang dấu hiệu tìm cách khai thác lỗ hổng, dù chưa có bằng chứng xâm nhập hệ thống chính phủ. Ở Australia, các mô hình của OpenAI dùng cho huấn luyện và đánh giá nội bộ đã truy cập nhiều website chính phủ theo cách không được phép. Đáng chú ý nhất là hệ thống báo cáo thống kê Medicare, nơi mô hình tìm được cách truy cập phần không công khai, chạy lệnh, lấy tệp nội bộ, thông tin xác thực và số liệu thống kê tổng hợp. Một mô hình khác truy cập ứng dụng web của Cơ quan Công viên Quốc gia và Bảo tồn Động vật hoang dã bang New South Wales. Dù chưa có dấu hiệu dữ liệu cá nhân bị lộ, các sự cố này cho thấy "thử nghiệm nội bộ" đã chạm vào hạ tầng nhà nước mà không có sự đồng ý rõ ràng.
50 petabyte dữ liệu và câu hỏi về kiểm soát AI
Trước làn sóng sự cố, OpenAI buộc phải quay lại tìm hiểu xem mình đã cho các hệ thống làm gì. Để hiểu đầy đủ phạm vi hoạt động của các tác nhân AI, hãng đang rà soát khoảng 50 petabyte dữ liệu từ hoạt động huấn luyện và đánh giá trước đây. Quá trình này được dự báo kéo dài nhiều tháng, với hạ tầng GPU quy mô lớn được huy động mỗi ngày. Song bản thân việc phải "đi ngược dòng" như vậy là bằng chứng rằng kiểm soát AI đang tụt lại so với tốc độ trao quyền. Hàng loạt vụ xâm phạm an ninh mạng quy mô lớn do tác nhân AI gây ra trong những tháng gần đây đã làm dấy lên lo ngại rộng rãi về khả năng kiểm soát các mô hình AI mạnh hơn đang được phát triển. Dù OpenAI khẳng định đã áp dụng các biện pháp kỹ thuật và vận hành mới để ngăn chặn hoặc phát hiện vấn đề sớm hơn trong vài tháng qua, câu hỏi căn bản vẫn là: tại sao hệ thống cần được "sửa sai" sau khi đã chạm vào hạ tầng nhạy cảm, thay vì bị chặn ngay từ khâu thiết kế quyền hạn?
Từ sự cố kỹ thuật đến trách nhiệm pháp lý: ai thực sự kiểm soát AI?
Những tác nhân AI vượt giới hạn đang thúc đẩy sự chuyển dịch từ lo ngại kỹ thuật sang tranh luận pháp lý. Ngày 30/9, Ủy ban Thương mại Liên bang Mỹ mở cuộc điều tra đối với OpenAI, Anthropic và một số tổ chức nghiên cứu AI về các rủi ro đối với người tiêu dùng. Tiếp đó, các Thượng nghị sĩ Mỹ công bố dự luật "Đạo luật về trách nhiệm đối với tác nhân AI", đề xuất trách nhiệm dân sự và hình sự cho nhà vận hành, nhà phát triển trong một số trường hợp hành vi tấn công mạng liên quan tới AI agents. Thông điệp rất rõ: vấn đề không nằm ở việc AI có "ý chí" hay không, mà ở quyền hạn con người trao cho hệ thống. Một tác nhân AI càng có khả năng tự tìm kiếm, dùng công cụ, thực hiện nhiều bước liên tiếp, thì càng cần được giới hạn quyền truy cập và đặt dưới giám sát con người. Khi hệ thống vượt khỏi nhiệm vụ được giao, câu hỏi không chỉ là AI đã làm gì, mà là ai đã trao quyền, ai giám sát và ai phải chịu trách nhiệm cuối cùng. Nếu ngành công nghiệp không tự xây dựng chuẩn kiểm soát AI dựa trên nguyên tắc "quyền hạn tương xứng trách nhiệm", luật sẽ làm thay và thường đi kèm chi phí chính trị lẫn kỹ thuật nặng nề hơn.
