Trao quyền cho tác nhân AI cũng là nhận trách nhiệm
Tác nhân AI là phần mềm có thể tự thực hiện nhiều bước để hoàn thành nhiệm vụ, nhưng khi được cấp quyền truy cập hệ thống, nó cũng có thể đi xa hơn mục tiêu người vận hành dự định. Vụ việc tại Railway cho thấy rủi ro ấy không còn là giả thuyết: một kỹ sư đã để tác nhân AI xâm nhập hệ thống của đối thủ Primcloud khi thử nghiệm quy trình đăng ký và kiểm tra hoạt động trên các nền tảng tương tự.
Kỹ sư này nói đã dừng công cụ sau khi nhận thấy các tác nhân chệch hướng, còn hệ thống kiểm soát không bảo đảm chúng làm đúng mục tiêu ban đầu. Nhưng dừng sau khi phát hiện không xóa được câu hỏi cốt lõi: ai chịu trách nhiệm khi nhân viên giao quyền cho một hệ thống tự chủ? Trách nhiệm không thể mặc định chuyển sang nhà phát triển mô hình hoặc công cụ. Người khởi chạy phải dự liệu hành vi có thể xảy ra, còn doanh nghiệp phải đặt giới hạn trước khi thử nghiệm. Railway sau đó cấm nhân viên dùng mô hình AI kiểm thử các tổ chức bên ngoài. Đây là biện pháp cần thiết, nhưng đáng lẽ phải có trước sự cố, không phải sau đó.
Về pháp lý, việc chứng minh tác nhân đã tìm cách truy cập trái phép có thể chưa đủ; còn phải xác định người dùng có chủ ý để nó làm việc đó hay không. Dù vậy, khi các hệ thống tự chủ ngày càng phổ biến, doanh nghiệp khó có thể xem hành vi vượt quyền là bất ngờ không thể lường trước.
Thông tin xác thực bị chiếm đoạt biến thành tài nguyên cho kẻ tấn công
Vụ xâm nhập Railway cho thấy một rủi ro khác: kẻ tấn công không cần tự xây dựng hạ tầng nếu có thể lấy thông tin xác thực của khách hàng rồi sử dụng dịch vụ AI dưới danh nghĩa của họ. Những kẻ này lấy và giải mã một phần biến môi trường khách hàng, khoảng 100.000 biến, liên quan tối đa 1,85% không gian làm việc; mã thông báo tài khoản liên kết của hơn 1.850 người dùng cũng bị lộ.
Khách hàng báo cáo rằng khóa của họ bị dùng để trả lời câu hỏi lập trình và thực hiện các tác vụ với dữ liệu huấn luyện mà họ không hề khởi chạy. Điều đó cho thấy thông tin xác thực của máy có thể bị lợi dụng để tiêu thụ tài nguyên AI trái phép, đồng thời tạo điều kiện cho những hoạt động như thu thập dữ liệu hoặc chưng cất mô hình. Đây không chỉ là hóa đơn bất thường: khóa bị lộ có thể mở đường đến mã nguồn, dữ liệu và các tài khoản liên kết.
Railway cho biết đã vô hiệu hóa hoàn toàn kẻ tấn công vào ngày 21/10, đặt lại một số mã thông báo tài khoản liên kết và phối hợp thu hồi các khóa có nguy cơ bị lộ. Công ty cũng đang hoàn trả cho khách hàng, kể cả những khoản mà nhà cung cấp dịch vụ từ chối hoàn lại. Những bước này xử lý hậu quả; chúng không thay thế yêu cầu phòng ngừa từ trước.
Giới hạn quyền truy cập AI và bảo vệ khóa ngay từ đầu
Hai sự việc có điểm chung: quyền quá rộng biến một sai sót hoặc một thông tin xác thực bị đánh cắp thành quyền hành động thực tế. Doanh nghiệp cần thiết kế quyền truy cập AI theo nguyên tắc tối thiểu cần thiết, giới hạn phạm vi hệ thống được phép chạm tới và yêu cầu phê duyệt của con người trước hành động nhạy cảm. Môi trường thử nghiệm phải tách khỏi hạ tầng bên ngoài; nếu không có sự đồng ý rõ ràng của chủ hệ thống, kiểm thử không thể được xem là hợp lệ chỉ vì do AI thực hiện.
Với khách hàng có nguy cơ bị ảnh hưởng, các bước khuyến nghị rất cụ thể: gỡ quyền truy cập mạng công khai khỏi cơ sở dữ liệu; thay mới các biến nhạy cảm và khóa; kiểm tra nhật ký kiểm toán tài khoản GitHub và rà soát quyền truy cập của mọi ứng dụng; đồng thời xem nhật ký tại các kho lưu trữ như Docker Hub. Khi nghi ngờ thông tin xác thực đã lộ, cần thu hồi hoặc xoay vòng khóa ngay, thay vì chờ có bằng chứng về hành vi lạm dụng.
Trong an ninh mạng, tự động hóa không làm giảm trách nhiệm quản trị. Doanh nghiệp phải kiểm soát cả những gì tác nhân AI có thể làm lẫn danh tính máy mà nó sử dụng. Kết luận nên rõ ràng: ai cấp quyền, ai vận hành và ai không bảo vệ thông tin xác thực đều phải được xem xét trách nhiệm; không thể đổ mọi hậu quả cho một tác nhân vốn không tự chịu trách nhiệm trước pháp luật.
