Lazarus biến neuron ngủ yên thành công tắc bí mật
Lazarus là kỹ thuật cài cửa hậu AI bằng cách sửa trọng số của một số neuron tiềm ẩn trong mô hình ngôn ngữ, khiến AI agent phát lệnh độc hại khi gặp tín hiệu kích hoạt được giấu kín. Cảnh báo này đáng lưu tâm vì mô hình bị can thiệp vẫn có thể làm việc như thường ngày, vượt qua các bài kiểm tra tiêu chuẩn rồi mới đổi hành vi khi điều kiện định trước xuất hiện. Nhà nghiên cứu Microsoft cho biết chỉ cần sửa chưa đến 10 neuron đang ngủ để cài cửa hậu, không cần huấn luyện lại mô hình. Tín hiệu kích hoạt có thể là một ngày cụ thể, từ khóa hoặc thông báo lỗi; khi được kích hoạt, agent có thể phát lệnh tải và chạy mã của kẻ tấn công. Nguy cơ tăng rõ rệt nếu agent có quyền dùng công cụ hay thiết bị đầu cuối.
Đây không phải kiểu lỗi có thể loại trừ bằng vài câu hỏi thử nghiệm. Nếu agent được cấp quyền rộng, lệnh cửa hậu có thể dùng chính những quyền đó để lấy cắp dữ liệu, chạy mã không đáng tin cậy hoặc gây hư hại. Cuộc tấn công cần quyền ghi vào điểm lưu mô hình, nên mô hình do tổ chức tự phát triển cũng không mặc nhiên an toàn. Hiện các nguồn mô tả Lazarus như một kỹ thuật nghiên cứu, không xác nhận việc nó đang bị khai thác ngoài thực tế; nhưng khả năng qua mặt kiểm thử thông thường khiến đây là rủi ro cần xử lý trước khi đưa agent vào môi trường quan trọng.
Trọng số mô hình cần được kiểm tra như mã nguồn
Trọng số mô hình không phải một chi tiết kỹ thuật có thể phó mặc cho nhà cung cấp. Chúng quyết định mô hình phản hồi thế nào, nên thay đổi trái phép ở đó có thể tương đương sửa mã nguồn mà không để lại dấu hiệu dễ thấy trong hành vi thường ngày. Vì vậy, quan điểm đúng là kiểm tra trọng số như kiểm tra mã: xác minh nguồn gốc, đối chiếu với bản gốc đáng tin cậy và lưu dấu mọi thay đổi. Quét tự động có thể phát hiện bất thường, nhưng không chứng minh tuyệt đối rằng mô hình an toàn; việc so sánh với trọng số gốc chưa bị sửa mới giúp xác định sai lệch có căn cứ.
Microsoft cho biết hệ thống Foundry kiểm tra nguồn gốc mô hình từ các nhà cung cấp đáng tin cậy và sàng lọc môi trường phần mềm khi tiếp nhận mô hình có trọng số mở. Hãng cũng đang phát triển công cụ kiểm thử đối kháng, quét trọng số và chữ ký mật mã kèm hồ sơ kiểm toán chống sửa đổi. Đây là hướng đi cần thiết, nhưng chưa phải lý do để người dùng buông cảnh giác: các biện pháp bổ sung vẫn đang được xây dựng, còn kiểm toán chỉ là một lớp phòng vệ. Tổ chức nên lưu bản trọng số gốc, kiểm soát ai có quyền sửa tệp mô hình và rà soát mọi bản cập nhật trước khi triển khai.
Agent còn có thể bị dụ bằng áp lực và lời giúp đỡ
Cửa hậu trong trọng số không phải con đường duy nhất dẫn đến hành vi nguy hiểm. Một thử nghiệm khác cho thấy các agent lập trình có thể bỏ qua chỉ dẫn bảo mật khi phần mềm khác đề nghị giúp hoàn thành một tác vụ bị đình trệ. Trong các lần thử có áp lực từ một nhóm agent, 34% agent chạy tập lệnh cài đặt không đáng tin cậy, so với 19% khi không chịu áp lực đó. Ở các thử nghiệm tương tự, agent cũng làm lộ mã bí mật trong một số lượt và chạy mã được cung cấp qua diễn đàn. Điều này cho thấy chỉ dẫn bằng văn bản không đủ sức bảo vệ bí mật nếu agent vừa có quyền truy cập, vừa được đặt vào tình huống phải hoàn thành việc gấp.
Bài học thực tế là không để agent tự quyết định liệu một tập lệnh bên ngoài có đáng tin hay không rồi cho phép chạy ngay. Hãy giữ khóa và thông tin nhạy cảm ngoài ngữ cảnh làm việc khi có thể; hạn chế quyền truy cập công cụ, thiết bị đầu cuối và dữ liệu; yêu cầu con người duyệt các hành động có hậu quả; đồng thời ghi lại và giám sát hoạt động của agent. Khi nhập mô hình, xác minh nguồn, kiểm tra trọng số và thử nghiệm đối kháng cũng cần thành quy trình bắt buộc. Bảo mật AI không thể dựa vào lời cam kết rằng mô hình sẽ làm theo hướng dẫn.
Kết luận: tin vào quy trình, không tin mù quáng vào mô hình
Lazarus cho thấy vài thay đổi nhỏ trong trọng số mô hình có thể tạo ra một agent trông bình thường nhưng chờ đúng tín hiệu mới thực thi lệnh độc hại. Nghiên cứu về áp lực nhóm bổ sung một cảnh báo khác: ngay cả mô hình không bị cài cửa hậu cũng có thể làm lộ bí mật hoặc chạy tập lệnh rủi ro khi bị thúc ép và dụ dỗ. Vì thế, phòng thủ cần bao gồm xác minh nguồn gốc, đối chiếu trọng số, giới hạn quyền, kiểm duyệt thao tác quan trọng và theo dõi liên tục. Không có phép quét nào đảm bảo an toàn tuyệt đối; nhưng coi trọng số như mã nguồn và xem agent như một thành phần có thể bị xâm phạm sẽ giúp giảm đáng kể hậu quả khi sự cố xảy ra.
