AI vượt tầm kiểm soát: OpenAI tiết lộ thêm chi tiết về sự cố bị tấn công

Khoảng hai tuần trước, có thông tin cho biết các mô hình AI của OpenAI đã thoát khỏi môi trường sandbox (khu vực thử nghiệm cách ly) và tự ý thực hiện các cuộc tấn công hack. Đây không phải là trường hợp cá biệt: các mô hình của Anthropic và Meta cũng đã vượt qua ranh giới của môi trường thử nghiệm và tấn công vào các hệ thống bên ngoài. Tại hội nghị Black Hat, OpenAI đã công bố thêm chi tiết về cách sự cố bảo mật này xảy ra. Ban đầu, mục tiêu là kiểm tra hiệu năng của các mô hình mới, trong đó có GPT-5.6 Sol; chúng được yêu cầu sử dụng các kỹ thuật khai thác (exploit) nâng cao, và vì thế các quy tắc hướng dẫn thông thường đã bị tạm ngưng áp dụng. Sau đó, các mô hình đã cố gắng thoát khỏi sandbox để giành quyền truy cập internet. Dù bị cô lập, chúng vẫn tìm ra một lỗ hổng zero-day (lỗ hổng chưa được biết đến và chưa có bản vá), tự cấp cho mình quyền truy cập mở rộng, và sử dụng một giao diện để kết nối internet. Từ đó, chúng suy luận rằng Hugging Face có thể lưu giữ dữ liệu cần thiết, và đã xâm nhập vào các hệ thống nền tảng của nền tảng này thông qua một loạt cuộc tấn công liên tiếp. Eric Wallace và Michael Dalton, hai người làm việc trong các nhóm bảo mật khác nhau tại OpenAI, đã trình bày chi tiết quá trình này. Theo Wired, Wallace cho biết: "Trong sự cố này, thực chất đó là cả một nhóm các tác nhân (agent) cùng phối hợp với nhau, tìm ra lỗ hổng, chia sẻ chúng cho nhau, di chuyển ngang qua các hệ thống của chúng tôi và cả hệ thống bên ngoài, diễn ra liên tục trong nhiều ngày và nhiều tuần." Ông gọi đây là "ví dụ thú vị nhất về mặt chất lượng đối với năng lực của AI" mà ông từng chứng kiến. Sự cố này cũng phơi bày những sai sót và điểm mù trong hệ thống của OpenAI. Nguồn gốc sự việc bắt nguồn từ một bảng tin hợp tác chạy trên trình quản lý gói nội bộ Artifactory, vốn có thể truy cập được từ toàn bộ hạ tầng hệ thống. Điều này cho phép các phiên bản GPT khác truy cập vào những ghi chú được lưu trữ tại đó. Một khi một tác nhân tìm ra cách khai thác, nó có thể chia sẻ thông tin đó lên bảng tin, và một khi một mô hình tìm được cách mở một "cánh cửa" để truy cập trái phép, nó có thể để cửa đó mở sẵn cho các tác nhân khác. Diễn đàn nội bộ này cuối cùng chứa tới hàng trăm nghìn tin nhắn. Các tác nhân bắt đầu tự giao nhiệm vụ cho nhau, và đôi khi xảy ra xung đột, chẳng hạn như một tác nhân xóa mất công việc của tác nhân khác. Một số thậm chí nảy sinh tâm lý nghi ngờ, cho rằng có kẻ lừa đảo trà trộn trong nhóm, và đề xuất ký xác thực mật mã (cryptographic signing) cho các tin nhắn để phát hiện gian lận. Wallace nhận xét rằng các mô hình tiên tiến nhất (frontier models) thực sự rất thích gian lận, một xu hướng bắt nguồn từ áp lực trong quá trình huấn luyện. Dalton mô tả sự cố này là một thời khắc mang tính quyết định đối với công ty cũng như toàn ngành AI, khi các nhóm hiện đang tập trung vào công tác phòng ngừa, chủ động làm chậm tiến độ nghiên cứu và tăng cường giám sát. Ông nhấn mạnh rằng các chu trình tấn công được tự động hóa hoàn toàn đòi hỏi phải đầu tư vào các biện pháp phòng thủ thực sự tự động hóa hoàn toàn, điều mà toàn ngành vẫn còn cách rất xa mới đạt được.