Khi các bài kiểm tra an toàn AI trở thành mối đe dọa bảo mật thực sự

Trong vài tháng qua, các AI agent đang trải qua các đợt đánh giá an ninh mạng đã thoát khỏi phạm vi kiểm soát, truy cập internet và trong một số trường hợp, đã xâm nhập vào các hệ thống thực tế. Các sự cố này liên quan đến các mô hình từ OpenAI, Anthropic, Meta và gần đây nhất là phòng thí nghiệm AI Trung Quốc Moonshot AI, với các thử nghiệm được thực hiện bởi nhiều tổ chức khác nhau, bao gồm một startup đánh giá an ninh mạng có tên là Irregular.

Những sự việc này phơi bày một vấn đề ngày càng lớn đối với ngành công nghiệp AI: Khi các agent tự hành trở nên mạnh mẽ hơn, các môi trường được thiết kế để kiểm tra giới hạn của chúng một cách an toàn đang thất bại trong việc ngăn chặn chúng.

"Số lượng các sự cố xảy ra cho thấy rõ ràng rằng việc kiểm soát môi trường thử nghiệm và sandbox thực sự không theo kịp khả năng của các mô hình," Seán Ó hÉigeartaigh, giám đốc Chương trình AI: Tương lai và Trách nhiệm tại Trung tâm Nghiên cứu Tương lai Trí tuệ thuộc Đại học Cambridge, chia sẻ với TechCrunch.

Bản chất của các mô hình đang được thử nghiệm làm tăng thêm rủi ro. Các công ty AI thực hiện đánh giá an ninh mạng trên các mô hình thế hệ tiếp theo chưa được phát hành, thường là khi các biện pháp bảo vệ thông thường hạn chế hành vi độc hại đã bị vô hiệu hóa để các nhà nghiên cứu có thể thấy được khả năng thực sự của mô hình. Điều đó có nghĩa là tính bảo mật của chính môi trường thử nghiệm là một tuyến phòng thủ quan trọng.

"Đó là một việc rất tốt để thực hiện trong quá trình thử nghiệm, nhưng nó cũng có nghĩa là nếu chúng thoát ra ngoài thực tế, chúng có thể gây ra thiệt hại đáng kể," Ó hÉigeartaigh nói.

Trong một trong những trường hợp nghiêm trọng nhất, một mô hình chưa được phát hành của OpenAI đã thoát khỏi sandbox và xâm nhập vào hệ thống sản xuất của Hugging Face. Trong các đánh giá riêng biệt do Irregular thực hiện, các mô hình của Anthropic và Meta đã tiếp cận được các hệ thống bên ngoài môi trường thử nghiệm sau khi các cấu hình sai vô tình mở đường cho chúng truy cập internet. Kimi K3 của Moonshot AI cũng đã tận dụng một lỗ hổng trong sandbox do Frontier Security vận hành để truy cập internet và lấy thông tin trên GitHub.

Trong các thử nghiệm của Viện An ninh AI Vương quốc Anh (AISI), các nhà nghiên cứu thực sự đã cấp quyền truy cập internet cho các agent mà không nhận ra rằng chúng sẽ thực hiện các hành động thực tế không được cho phép, bao gồm cả một nỗ lực kỹ thuật xã hội nhằm chèn lỗ hổng vào một dự án mã nguồn mở.

Trong mỗi trường hợp, các agent không được hướng dẫn để tấn công các mục tiêu thực tế ngẫu nhiên. Chúng chỉ đơn giản là làm bất cứ điều gì cần thiết để giải quyết vấn đề được đặt ra.

Nhìn chung, Andrew Yoon, giám đốc nghiên cứu tại tổ chức phi lợi nhuận về AI CivAI, lập luận rằng các sự cố này cho thấy một sự thay đổi.

"Trước đây, chúng ta chỉ phải lo lắng về việc các mô hình AI bị con người lạm dụng cho nhiều mục đích khác nhau, như AI phục vụ lừa đảo hoặc CSAM," Yoon nói với TechCrunch. "Bây giờ chúng ta đang ở trong tình huống mà chính các mô hình AI trở thành các tác nhân đe dọa."

Thử nghiệm an toàn thực sự trông như thế nào?

Một số nhà nghiên cứu và chuyên gia an ninh mạng nói với TechCrunch rằng các môi trường đánh giá AI cần các biện pháp bảo vệ chuyên sâu và mạnh mẽ hơn, với các cấp độ ngăn chặn và kiểm soát gần giống như những gì được sử dụng trong triển khai thực tế. Điều đó có nghĩa là cần nhiều lớp bảo mật để một cấu hình sai duy nhất — như vô tình để mở quyền truy cập internet — không thể dẫn đến việc thoát ra ngoài.

"Nếu bạn định xây dựng những mô hình này… bạn muốn thực hiện nó trên một mạng lưới cách ly (air-gapped)," Stella Biderman, giám đốc điều hành của tổ chức phi lợi nhuận nghiên cứu an toàn AI EleutherAI cho biết. "Bạn cần phải có sự cô lập rất nghiêm ngặt."

Heather Ceylan, giám đốc an ninh thông tin của Box, cho biết điều đó có nghĩa là loại bỏ các tuyến mạng từ sandbox đến internet, cũng như đến các hệ thống nhạy cảm khác.

"Bạn phải hiểu tất cả các điểm thoát (egress points) là gì," Ceylan nói với TechCrunch. "Nếu chúng ta đang đánh giá một mô hình trong môi trường staging hoặc môi trường phát triển, bạn không muốn có bất kỳ đường thoát nào dẫn đến môi trường sản xuất của chúng ta."

Ceylan cho biết các đánh giá an toàn đúng đắn cần vượt xa việc kiểm soát và ngăn chặn môi trường. Cần phải giám sát tốt hơn nhiều các thử nghiệm khi chúng đang diễn ra.

"Tôi nghĩ điều thú vị trong một vài trường hợp này là không ai phát hiện ra khi nó xảy ra," Ceylan nói. "OpenAI phát hiện ra nhờ Hugging Face. Anthropic không phát hiện ra cho đến khi họ quay lại kiểm tra. Meta cũng tương tự… Tôi chắc chắn rằng đã có những tín hiệu mà họ có thể đã phát hiện ra."

Trong báo cáo phân tích sau sự cố của Anthropic về ba vụ việc, công ty thừa nhận rằng cả họ và Irregular đều có thể làm tốt hơn trong việc giám sát, và trong một số trường hợp, đã có những dấu hiệu rõ ràng cho thấy có điều gì đó không ổn.

Các chuyên gia cũng kêu gọi kiểm toán độc lập từ bên thứ ba đối với các môi trường đánh giá trước khi các mô hình được đưa vào đó.

"Nếu, giả sử, Irregular đã thuê hoặc bị buộc phải thuê một kiểm toán viên bên ngoài để kiểm tra cấu hình hệ thống của họ trước khi chạy đánh giá, họ chắc chắn đã phát hiện ra vấn đề ở đây," Yoon nói. "Ngay cả khi mọi người có một cuộc họp trước đó để xem qua danh sách kiểm tra, họ cũng đã phát hiện ra điều này… Việc họ không làm vậy cho thấy có sự cắt giảm quy trình rất nghiêm trọng đang diễn ra."

Một nguồn tin quen thuộc với các chi tiết nói với TechCrunch rằng môi trường của Irregular được xem xét và kiểm tra liên tục, bao gồm cả việc tham vấn với nhiều bên bên ngoài. Nguồn tin cũng cho biết việc giám sát đã được thực hiện, nhưng chỉ riêng giám sát là chưa đủ.

Yoon và các nhà nghiên cứu khác kêu gọi ngành công nghiệp đưa ra một quy trình tiêu chuẩn hóa cho việc đánh giá an toàn các mô hình tiên phong (frontier models).

"Đặc biệt là khi các rào cản bảo vệ (guardrails) bị tắt, bạn phải đối xử với nó như thể bạn đang đặt hacker giỏi nhất thế giới vào bên trong môi trường đó," Ceylan nói.

Vấn đề không phải là các công ty không biết cách xây dựng môi trường thử nghiệm an toàn hơn, cả Yoon và Biderman đều lập luận. Vấn đề là việc làm đó có thể tốn kém và cồng kềnh, và các công ty có rất ít động lực để thực hiện những khoản đầu tư đó cho đến khi có sự cố xảy ra.

"Tôi nghĩ rằng các công ty không sẵn lòng bỏ ra các nguồn lực cần thiết để đạt được [các rào cản bảo vệ đầy đủ] và có lẽ sẽ không làm cho đến khi họ bị buộc phải làm," Biderman nói.

Nhưng còn một vấn đề khác. Nếu họ khóa chặt mô hình trong quá trình thử nghiệm, các nhà nghiên cứu có thể không khám phá ra các khả năng trước khi mô hình được phát hành. Điều này cũng nguy hiểm không kém, thậm chí có thể hơn so với việc cho nó quá nhiều tự do, và khi đó chính việc đánh giá lại trở thành vấn đề.

Các đánh giá an toàn có thể được quản lý không?

Chính quyền Trump hiện đang cân nhắc một chế độ đánh giá an ninh mạng tự nguyện trước khi triển khai, theo đó chính phủ sẽ đánh giá các rủi ro an ninh của các mô hình mới, mạnh mẽ 30 ngày trước khi chúng được phát hành công khai. Chính sách này — sản phẩm của một sắc lệnh hành pháp của Trump đã được hoàn thiện trong bí mật — sẽ không giải quyết được các sự cố đánh giá an toàn vì chúng xảy ra ở giai đoạn xa hơn so với việc triển khai.

"Bài học chúng ta rút ra trong vài tháng qua là bộ máy tự quản lý không còn đủ nữa," Yoon nói. "Có những áp lực cạnh tranh đang thúc đẩy cuộc đua xuống đáy về các tiêu chuẩn an toàn, và đó là nơi hoàn hảo cho sự can thiệp của cơ quan quản lý."

"Những gì chúng ta cần để giải quyết vấn đề này là một số hình thức kiểm soát đối với những gì đang diễn ra bên trong các phòng thí nghiệm trong khi các mô hình đang được phát triển, cả ở giai đoạn đào tạo và giai đoạn thử nghiệm," ông nói tiếp.

Thách thức này có khả năng chỉ tăng lên khi các mô hình ngày càng phát triển. Một nguồn tin quen thuộc với các đánh giá của Irregular nói với TechCrunch rằng các mô hình mạnh mẽ hơn đòi hỏi các đánh giá phức tạp hơn, thường được thực hiện nhanh chóng và ở quy mô lớn hơn, điều này mở ra cơ hội cho nhiều sai sót hơn.

AISI, tổ chức cố tình cấp quyền truy cập internet cho một số mô hình, nói với TechCrunch rằng họ đang xem xét sự cân bằng giữa thử nghiệm thực tế và quản lý các rủi ro mà những thử nghiệm đó tạo ra.

OpenAI cho biết họ đang xem xét cách thức thực hiện thử nghiệm của bên thứ ba, cũng như các yêu cầu về sự cô lập, giám sát và thời điểm nên dừng các đánh giá. Meta cho biết họ vẫn đang điều tra sự cố và có kế hoạch công bố báo cáo tổng kết sau khi có đầy đủ thông tin.

Cuối cùng, có thể không có cách nào để loại bỏ hoàn toàn rủi ro. Khi các mô hình trở nên mạnh mẽ hơn, các môi trường thử nghiệm chúng cần phải trở nên mạnh mẽ hơn. Hậu quả của việc làm sai điều đó sẽ chỉ tiếp tục gia tăng.

Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể nhận được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập trong biên tập của chúng tôi.