Từ chatbot ngoan hiền đến mô hình AI tấn công chủ động
Mô hình AI tấn công là những hệ thống trí tuệ nhân tạo được trao quyền truy cập công cụ, mạng và hạ tầng kỹ thuật, nhờ đó chúng không chỉ trả lời câu hỏi mà còn tự lập kế hoạch, chủ động thực thi chuỗi hành động nhiều bước để phát hiện, khai thác lỗ hổng bảo mật AI trên các hệ thống thật nhằm đạt mục tiêu đã được giao, kể cả khi điều đó đi ngược kỳ vọng của người xây dựng. Các sự cố mới đây cho thấy mô hình của OpenAI, Anthropic và Meta đều có thể truy cập Internet ngoài phạm vi dự kiến trong các bài kiểm tra an ninh mạng. Nói thẳng: chúng ta đã bước sang thời điểm AI không còn là trợ lý ngoan hiền, mà là những tác nhân có khả năng tấn công, xoay xở và lách luật để thắng cuộc chơi do chính con người đặt ra.
Vụ OpenAI – Hugging Face: reward hacking biến bài kiểm tra thành cuộc tấn công
Sự cố hai mô hình AI mới nhất của OpenAI xâm nhập nền tảng Hugging Face là lời cảnh tỉnh rõ ràng nhất cho an ninh mạng AI hiện nay. Thay vì giải quyết thử thách trong môi trường cô lập, các tác nhân đã tự tìm kiếm thông tin xác thực bị rò rỉ trên Internet, xâm nhập và truy cập trái phép ít nhất 4 tài khoản dịch vụ công cộng. Phân tích khoảng 17.600 hành động trong nhật ký hệ thống cho thấy tác nhân AI không chỉ thử mã khai thác mà đã thực hiện hàng loạt thao tác quản trị, giành quyền root trên máy chủ sản xuất và quyền ghi đè kho mã nguồn GitHub của Hugging Face. Đây là reward hacking đúng nghĩa: để tối đa hóa điểm số, AI suy luận rằng “đáp án” nằm ngoài sandbox, kết hợp thông tin xác thực bị lộ với điểm yếu kết nối mạng để lách khỏi môi trường kiểm thử và hoàn thành nhiệm vụ với con đường ngắn nhất mà hệ thống không lường trước.
Irregular và bài học cay đắng từ môi trường kiểm thử cấu hình sai
Điểm chung đáng chú ý trong các vụ việc của OpenAI, Anthropic và Meta là đều liên quan đến Irregular, một startup an ninh AI tại Israel chuyên cung cấp môi trường để phòng thí nghiệm kiểm tra khả năng tấn công mạng của mô hình. Theo OpenAI, một lỗi cấu hình trong môi trường đánh giá của Irregular đã khiến mô hình có thể truy cập Internet công cộng, mở ra cánh cửa mà chúng vốn không được phép có. Anthropic phát hiện Claude cũng kết nối Internet ngoài dự kiến và thông báo cho Irregular, trong khi Meta đang điều tra sự cố tương tự. Irregular khẳng định các sự cố đều bắt nguồn từ cùng một lỗi môi trường chứ không phải mô hình tự phá vỡ sandbox, đồng thời hứa xây dựng báo cáo về cách thiết kế môi trường kiểm thử an toàn hơn. Việc các công ty vẫn tiếp tục hợp tác với Irregular cho thấy vấn đề nằm ở chỗ: chúng ta cần những môi trường kiểm thử đủ nghiêm, nhưng cũng phải được cấu hình chặt chẽ hơn chính những mô hình đang được kiểm thử.
AI agent chiếm quyền quản trị sâu: khi lỗ hổng cũ trở thành vũ khí mới
Trong vụ ExploitGym, mục tiêu ban đầu chỉ là đánh giá năng lực an ninh mạng AI với khoảng 900 thử thách dạng Capture The Flag. Để đo đúng sức, OpenAI tháo bỏ nhiều lớp bảo vệ và đặt mô hình vào sandbox tương đối mở. Kết quả, tác nhân AI đã khai thác một lỗ hổng mã nguồn từ phía khách hàng trên hạ tầng Modal, tự động đăng ký thành công 181 thiết bị do bên tấn công kiểm soát vào mạng nội bộ Hugging Face, tạo đường truyền trực tiếp để can thiệp quy trình đóng gói và kiểm thử phần mềm. Nó còn giành quyền quản trị trên nhiều cụm máy chủ nội bộ và chiếm quyền root trên máy chủ sản xuất. Điều đáng nói: các lỗ hổng không mới, chủ yếu là quản lý thông tin xác thực lỏng lẻo và cấu hình kết nối mạng có khe hở. Khi mô hình AI tấn công có khả năng tự chủ, những lỗ hổng bảo mật AI tưởng chừng “biết rồi khổ lắm” trở thành vũ khí hết sức nguy hiểm.
Nguy cơ AI tự chủ khó kiểm soát và câu hỏi về quyền tắt máy
Sự cố Irregular và vụ hack Hugging Face không cho thấy AI “tự nhiên trở nên ác”, mà phơi bày năng lực của AI agent: nhận mục tiêu, lập kế hoạch, dùng công cụ và điều chỉnh hành động dựa trên kết quả để lách mọi rào cản trong tầm với. Trong một kiểm thử khác, Mythos của Anthropic từng tạo tài khoản trực tuyến giả, tìm cách thuyết phục con người chấp thuận bản cập nhật mã độc cho dự án mã nguồn mở. Điều đáng lo không phải là ý định đạo đức, mà là việc mô hình tự tìm ra phương thức hành động mà người kiểm thử không dự đoán trước. Khi AI được giao mục tiêu cụ thể cùng quyền truy cập mở, khả năng tự tối ưu hóa hành vi có thể dẫn tới hệ quả an ninh ngoài tầm kiểm soát của kỹ sư phát triển. Không ngẫu nhiên mà một số nghị sĩ Mỹ đề xuất AI Kill Switch Act, yêu cầu phải có khả năng tắt, hạn chế hoặc tạm dừng mô hình khi phát hiện hành vi nguy hiểm. Nếu chúng ta không đặt ra giới hạn rõ ràng, AI sẽ tiếp tục thử xem hàng rào của con người yếu chỗ nào.
