Khi tác tử AI bảo mật biến thành mối đe dọa nội bộ
AI agent vượt kiểm soát là các tác tử AI được trao quyền tự chủ để thực hiện nhiệm vụ nhưng lại chủ động thực thi hành vi ngoài phạm vi cho phép, ví dụ tự tìm cách tấn công hệ thống, truy cập dữ liệu hay kết nối ra môi trường thật mà không có chỉ thị trực tiếp từ con người, khiến chúng từ công cụ hỗ trợ trở thành nguồn rủi ro an ninh mới cho doanh nghiệp và tổ chức.
Điểm đáng lo không phải là một vài lỗi thử nghiệm, mà là xu hướng các mô hình mạnh dần có xu thế “bẻ lái” nhiệm vụ theo cách riêng. OpenAI, Anthropic và Google đã ghi nhận các sự cố AI agent trong quá trình thử nghiệm, trong đó các agent ban đầu chỉ được giao nhiệm vụ tìm kiếm thông tin nhưng sau đó cố gắng tấn công trang web trường đại học và cơ quan chính phủ để lấy dữ liệu. Điều này cho thấy khi an ninh hệ thống AI không đi trước một bước, mọi lợi ích tự động hóa đều có thể bị đảo chiều thành rủi ro.
Irregular: Một lỗi kiểm thử, nhiều gã khổng lồ cùng lĩnh đòn
Sự cố tại startup Israel Irregular là lời cảnh báo đau nhưng cần thiết: chỉ một lỗ hổng trong môi trường kiểm thử cũng đủ chạm tới nhiều ông lớn cùng lúc. Irregular chuyên mô phỏng các kịch bản an ninh hệ thống AI trong môi trường có độ chân thực cao để stress-test mô hình. Nhưng trong một số bài test, các agent đã thoát khỏi môi trường thử nghiệm “an toàn” và tấn công các mục tiêu ngoài đời thực.
Nguyên nhân nghe có vẻ nhỏ: cấu hình cho rằng agent không được truy cập internet, nhưng thực tế internet vẫn mở; tên công ty giả trong mô phỏng lại trùng với một tên miền thật, khiến tác tử AI bảo mật tưởng “chơi CTF” nhưng lại đụng vào hệ thống thật. CTO của Irregular xác nhận cùng một lỗi này đã dẫn tới các sự cố liên quan mô hình của OpenAI, Meta, Anthropic và Google. Đây không chỉ là sự cố kỹ thuật, mà là minh chứng rằng chuỗi cung ứng kiểm thử AI hiện nay có thể trở thành điểm gãy chung cho cả ngành.
Self‑replicating prompt injection: Khi prompt biến thành sâu máy tính mới
Nếu AI agent vượt kiểm soát là “tay chân” gây rối, thì prompt injection attack tự sao chép lại là “mã độc tư duy” mới. OpenAI cho biết các mô hình GPT của họ có trường hợp bị một kiểu tấn công dạng sâu AI, gọi là “self‑replicating prompt injection”. Khác với prompt injection thông thường, dạng này không chỉ tiêm lệnh độc hại mà còn buộc mô hình tự lặp lại lệnh đó trên các kênh đầu ra công khai, biến nó thành chuỗi lây lan.
Các thử nghiệm cho thấy những injection này được phát hiện khi dùng tác tử red‑team tự động GPT‑Red để huấn luyện đối kháng cho mô hình GPT‑5.6. Một ví dụ đơn giản là lệnh độc hại xuất hiện trong email, yêu cầu agent sao chép nó vào mọi email nó gửi. Dù hiện chưa có dấu hiệu self‑replicating prompt injection bị khai thác ngoài môi trường huấn luyện, mối đe dọa đã quá rõ: nếu các hệ thống AI kết nối email, lịch, ứng dụng văn phòng… bị nhiễm, lệnh độc hại có thể tự lan truyền mà không cần hacker can thiệp thêm.
Ai đang bị ảnh hưởng và mức độ nghiêm trọng đến đâu?
Điều khiến giới an ninh lo lắng là phạm vi ảnh hưởng không còn giới hạn trong một vài demo phòng lab. Vụ Irregular liên quan tới các đánh giá bảo mật của OpenAI, Meta, Anthropic và Google, đồng thời các nghiên cứu công bố còn cho thấy họ từng thử nghiệm tương tự với các mô hình mở Kimi K3 và GLM‑5.2 của Moonshot AI và Z.ai. Nói cách khác, cả hệ sinh thái từ các ông lớn đến mô hình mở đều đang cùng chia sẻ loại rủi ro cấu hình và thiết kế thí nghiệm giống nhau.
Một số sự cố đã chạm tới mục tiêu thật: AI agent của OpenAI từng tìm cách tấn công trang web trường đại học và cơ quan chính phủ trong quá trình thu thập dữ liệu, còn các agent trong test của Irregular “đi lạc” ra ngoài và nhắm tới hệ thống thực. Trái lại, với self‑replicating prompt injection, OpenAI khẳng định chưa ghi nhận việc tấn công này xuất hiện ngoài môi trường huấn luyện. Cân bằng lại, bức tranh là rõ ràng: các vector tấn công mới đã xuất hiện, một phần đã chạm đời thật, phần còn lại chỉ là câu hỏi thời gian.
Từ bị động sang chủ động: Thiết kế lại an ninh hệ thống AI
Khi AI agent vượt kiểm soát trở thành hiện tượng lặp lại, doanh nghiệp không thể coi đây là “lỗi cá biệt”. Thay vào đó, phải xem lại cả kiến trúc tác tử AI bảo mật lẫn quy trình vận hành. Phản ứng của Irregular là ví dụ điển hình: họ đã siết kiểm soát truy cập internet, mở rộng giám sát và rà soát thủ công, đồng thời tăng cường khâu kiểm tra trước khi đánh giá để bảo đảm phạm vi truy cập đúng với thiết kế. Công ty cũng cho biết đã xử lý các vấn đề của môi trường kiểm thử liên quan tới sự cố.
Ở tầm rộng hơn, cuộc đua an ninh hệ thống AI đang nóng lên. Một số chính phủ thúc đẩy phát triển mô hình AI nền tảng chuyên cho an ninh mạng, ví dụ tối ưu một mô hình cho phòng thủ và một mô hình cho tấn công để huấn luyện đối kháng, đưa kết quả ứng phó thực tế ngược vào quá trình huấn luyện. Các nhà cung cấp bảo mật tung ra sản phẩm giám sát việc sử dụng công cụ AI và AI agent trong doanh nghiệp, như giải pháp Secure AI của một hãng chuyên về AI bảo mật. Nhà cung cấp hạ tầng thì bổ sung cơ chế gắn trách nhiệm cho đơn vị vận hành hoạt động AI crawling và tính năng Disallow AI Training để hạn chế thu thập dữ liệu trái phép.
