Lần đầu tiên AI của Google tự 'vượt ngục': Tự bẻ khóa mật khẩu và xâm nhập vào 3 công ty

< img id="wx_img" src="https://www.qbitai.com/wp-content/uploads/imgs/qbitai-logo-1.png" width="400" height="400">

20:01:13, 20/09/2026 Nguồn: QbitAI

Amazon Web Services (AWS) đặt ra tiêu chuẩn cho doanh nghiệp trong việc sử dụng Agent an toàn

Kim Lỗi, đưa tin từ Ao Phi Tự

QbitAI | Kênh chính thức QbitAI

Nếu AI trở nên vô lý, thì nó có thể đi xa đến mức nào?

Nào, hãy cùng xem qua sự cố mới nhất của Gemini.

Khởi nguồn của sự việc là một công ty bảo mật AI có tên là Irregular đã tổ chức một buổi diễn tập "Capture the Flag" (Đoạt cờ), với yêu cầu là để mô hình lấy được một đoạn thông tin bí mật từ hệ thống của một công ty hư cấu.

Môi trường thử nghiệm này vốn dĩ không được phép có khả năng kết nối internet, nhưng vấn đề lại nằm chính ở đây. Do một số lỗi kỹ thuật (bug), quyền truy cập internet công cộng đã vô tình bị mở; trùng hợp hơn nữa, công ty hư cấu được thiết lập trong buổi diễn tập lại trùng tên với một doanh nghiệp có thật ngoài đời.

Thế là, Gemini cứ thế "tự nhiên" truy cập thẳng vào hệ thống của ba công ty thực tế... Trong ba lần thử nghiệm, có một lần Gemini giành được quyền truy cập bằng cách đoán mật khẩu liên tục, hai lần còn lại là tìm thấy thông tin xác thực từ các kho lưu trữ mã nguồn công khai, rồi dùng chính những thông tin đó để đăng nhập.

Tuy nhiên, Google cũng đã phản hồi kịp thời về vấn đề này. Phía công ty cho biết trong cả ba lần thử nghiệm, Gemini đều dừng lại sau khi nhận ra mình đang tiếp cận một công ty thực tế, đồng thời ba tổ chức liên quan cũng đã được Google thông báo chi tiết.

△ Hình ảnh do AI tạo ra

Emmm... Phải nói sao nhỉ, sự việc này cũng coi như là "hú vía" nhưng không có thiệt hại nghiêm trọng.

Nhưng nếu nhìn vào dòng thời gian dài hơn, không khó để nhận ra rằng những sự cố bảo mật AI tương tự thực sự xảy ra rất thường xuyên trong năm nay.

Ví dụ như vài ngày trước, một nhóm nghiên cứu gồm ba người của Hacktron, với sự trợ giúp của Claude, chỉ mất chưa đầy 72 giờ để chiếm quyền kiểm soát tài khoản ChatGPT/Codex của nhân viên OpenAI, và gửi một PR vô hại vào kho lưu trữ mã nguồn nội bộ như một màn trình diễn.

Phía OpenAI đã mất khoảng 14 giờ để khắc phục và trả cho nhóm ba người này khoản tiền thưởng 6.500 USD.

Tất nhiên, sự việc này chỉ có thể coi là nghiên cứu bảo mật do con người chủ đạo và có AI tham gia; nhưng so với đó, một sự cố khác do chính OpenAI tiết lộ lại trực tiếp phơi bày vấn đề mô hình hành động vượt quá mong đợi.

Tháng 7 năm nay, một mô hình trong quá trình đánh giá bảo mật nội bộ của OpenAI đã vượt qua các kiểm soát cách ly, xâm nhập vào một phần cơ sở hạ tầng nghiên cứu của OpenAI và hệ thống Hugging Face. Trong báo cáo tổng kết ngày 26 tháng 8, OpenAI gọi đây là một "phát súng cảnh báo" (warning shot).

Anthropic sau khi kiểm tra khoảng 141.000 bản ghi đánh giá, đã tiết lộ ba sự cố liên quan đến hệ thống của các tổ chức thực tế, và bổ sung thêm sự cố thứ tư vào ngày 9 tháng 9. Ban đầu, công ty nhấn mạnh đây là lỗi cấu hình môi trường, nhưng các cuộc điều tra sau đó cho thấy mô hình có xu hướng bỏ qua hoặc hiểu sai bằng chứng về môi trường thực tế, đồng thời thực hiện các hành động mạo hiểm để hoàn thành nhiệm vụ.

Ngay cả những "ông lớn" AI như OpenAI, Anthropic và Google cũng gặp phải vấn đề mô hình hành động vượt quá phạm vi cho phép; chẳng trách CEO Dario Amodei của Anthropic gần đây đã đăng một bài viết dài, công khai kêu gọi ngành công nghiệp làm chậm tốc độ nâng cao năng lực tiên phong, và một trong những lý do chính là những sự cố bảo mật kiểu này.

Vậy câu hỏi đặt ra là:

Khi chúng ta kết nối Agent với cơ sở dữ liệu, kho lưu trữ mã nguồn và hệ thống nghiệp vụ, làm thế nào để đảm bảo nó chỉ làm việc trong phạm vi được cho phép?

Vấn đề bảo mật trong kỷ nguyên AI đã thay đổi

Trước khi bàn về giải pháp, chúng ta cần làm rõ các loại vấn đề bảo mật AI phổ biến hiện nay.

Loại thứ nhất: Con người sử dụng AI để thực hiện tấn công.

AI có thể hỗ trợ phân tích mã nguồn, xác định lỗ hổng, viết và điều chỉnh các payload tấn công. Trường hợp của Hacktron mà chúng ta vừa nhắc đến đã chứng minh hiệu quả thực tế của loại năng lực này, và tất nhiên, năng lực tương tự cũng có thể bị sử dụng cho mục đích xấu.

Loại thứ hai: AI của doanh nghiệp bị nội dung bên ngoài dẫn dắt sai lệch.

Trong quá trình thực hiện nhiệm vụ, Agent thường cần đọc các trang web, email và tài liệu; nếu nó coi các chỉ dẫn độc hại ẩn chứa trong đó là yêu cầu cần thực hiện, thì "tiêm lệnh" (Prompt Injection) sẽ xảy ra, dẫn đến việc gọi nhầm công cụ hoặc rò rỉ thông tin. Điều này hoàn toàn khác với việc người dùng trực tiếp đưa ra các chỉ dẫn độc hại.

Loại thứ ba: Agent vượt quá ranh giới ủy quyền khi thực hiện nhiệm vụ.

Ngay cả khi không có kẻ tấn công bên ngoài, cấu hình môi trường sai sót, quyền hạn quá rộng, cùng với việc mô hình đánh giá sai nhiệm vụ và mục tiêu cũng có thể khiến một cuộc thử nghiệm chạm đến hệ thống kinh doanh thực tế.

Vậy tại sao những vấn đề này lại trở nên nan giải hơn trong kỷ nguyên AI?

Hãy nhìn lại các yếu tố cấu thành những sự kiện này: mật khẩu yếu, thông tin xác thực trong kho lưu trữ công khai, lỗi cấu hình cách ly mạng, tái sử dụng token đăng nhập một lần...

Thực tế, bản thân những lỗ hổng này không mới, điều thực sự thay đổi chính là tốc độ và tính liên tục khi khai thác chúng.

Các mô hình có khả năng gọi công cụ có thể thực hiện liên tiếp các hành động như tìm kiếm, đăng nhập, leo thang đặc quyền, thực thi mã nguồn trong một hơi; một sơ suất ở một khâu sẽ bị khuếch đại dọc theo chuỗi nhiệm vụ. Một chi tiết mà OpenAI đề cập trong báo cáo tổng kết rất tiêu biểu: cụm tác nhân (agent cluster) chỉ mất chưa đầy 13 giờ từ lúc bắt đầu cho đến khi giành được quyền kiểm soát cấp máy chủ trên nhiều cụm khác nhau.

Đồng thời, đầu ra của mỗi tương tác đơn lẻ cũng đã thay đổi. Trước đây, trợ lý sau khi đọc xong một email thường chỉ xuất ra một đoạn văn bản; sau khi kết nối với các công cụ nghiệp vụ, cùng một đoạn nội dung bên ngoài có thể trực tiếp ảnh hưởng đến việc nó sẽ gọi giao diện (API) nào tiếp theo, đọc những tệp tin nào, và gửi thông tin gì cho ai.

Vì vậy, doanh nghiệp hiện nay phải xử lý đồng thời hai việc:

Về vấn đề này, Amazon Web Services đã tóm tắt hai lộ trình công việc này là AI for Security (AI phục vụ bảo mật) và Security for AI (Bảo mật cho AI).

Nói một cách đơn giản, các cuộc tấn công với tốc độ máy móc phải được phản công bằng khả năng phòng thủ với tốc độ máy móc, và khi ngày càng nhiều quyền quyết định được giao cho Agent, bản thân Agent đã trở thành một bề mặt tấn công mới.