Sai lầm từ con người tại OpenAI đã tiếp tay cho vụ tấn công AI vào Hugging Face như thế nào?

Vào thứ Ba, OpenAI tiết lộ rằng một trong những mô hình của họ đã "nổi loạn" trong quá trình thử nghiệm và tấn công vào hệ thống của nền tảng tập dữ liệu AI Hugging Face trong một cuộc tấn công hoàn toàn do AI thực hiện, đây là một ví dụ điển hình về những nguy cơ tiềm ẩn từ các mô hình AI tiên tiến.

Tuy nhiên, theo một số chuyên gia an ninh mạng, cốt lõi của vụ vi phạm chưa từng có tiền lệ do AI thực hiện này lại là một sai lầm rất con người: OpenAI đã không cấu hình đúng cách cái mà họ gọi là "môi trường biệt lập cao", khiến một sandbox thử nghiệm lẽ ra phải được cách ly hoàn toàn khỏi internet lại có thể kết nối với internet.

Dan Guido, người sáng lập công ty khởi nghiệp nghiên cứu an ninh mạng Trail of Bits, gọi sai lầm này là "một thất bại trong việc ngăn chặn khi các biện pháp an toàn đã bị tắt".

Trong bài đăng trên blog mô tả chi tiết vụ việc, OpenAI cho biết cuộc thử nghiệm dẫn đến vụ vi phạm Hugging Face được thiết lập để chạy trong "một môi trường biệt lập cao, với quyền truy cập mạng bị hạn chế ở khả năng cài đặt các gói thông qua phần mềm bên thứ ba được lưu trữ nội bộ, đóng vai trò là proxy và bộ nhớ đệm cho các kho lưu trữ gói".

Theo OpenAI, mô hình này đã có thể thoát khỏi môi trường thử nghiệm sandbox nhờ một lỗ hổng chưa từng được công bố trước đó trong hệ thống cài đặt gói, đây là bước đầu tiên quan trọng dẫn đến vụ tấn công Hugging Face sau đó.

Để phản hồi, công ty cho biết họ "đã công bố một cách có trách nhiệm về lỗ hổng zero-day được xác định trong phần mềm bên thứ ba được lưu trữ nội bộ và đang làm việc với họ để vá lỗi".

Nhưng đối với hầu hết các chuyên gia an ninh mạng, lỗ hổng phần mềm là điều khó tránh khỏi — và lỗi thực sự nằm ở quyết định duy trì phần mềm bên thứ ba ngay từ đầu. Suy cho cùng, giá trị của một hệ thống "sandbox" nằm ở sự cách ly hoàn toàn và tuyệt đối. Việc đưa vào một hệ thống cài đặt gói chẳng khác nào tự tìm rắc rối.

Martin Boone, một nhà nghiên cứu an ninh mạng, chia sẻ với TechCrunch rằng "điều này nghe giống như một thất bại của con người".

"Việc này lẽ ra không bao giờ được phép xảy ra," Boone nói. "Nếu sandbox thực sự có nghĩa là sandbox, bạn phải kỳ vọng nó không có bất kỳ kết nối vật lý nào với internet. Điều này nghe giống như họ đã thiết lập tường lửa hoặc thứ gì đó tương tự, mà tường lửa thì rất khó kiểm soát từ ngoài vào, chưa nói đến từ bên trong ra internet bên ngoài."

Chuyên gia an ninh mạng kỳ cựu Jake Williams cũng đồng tình. "Bất kỳ mô hình nào thực hiện các loại hành động như Hugging Face đã ghi lại đều không được chứa hoàn toàn trong sandbox," Williams nói, đồng thời gọi đây là "một thất bại kiểm soát nghiêm trọng" của OpenAI.

"Một người nói 'mô hình đã thoát khỏi sandbox' thì người khác sẽ nói 'bạn đã không xây dựng sandbox đúng cách, nên tất nhiên nó phải thoát ra được rồi'," Williams nói thêm.

Liên hệ với chúng tôi

Bạn có thêm thông tin về vụ việc này không? Hoặc về các cuộc tấn công mạng do AI thực hiện khác? Chúng tôi rất muốn lắng nghe từ bạn. Từ thiết bị và mạng không phục vụ công việc, bạn có thể liên hệ bảo mật với Lorenzo Franceschi-Bicchierai qua Signal theo số +1 917 257 1382, hoặc qua Telegram và Keybase @lorenzofb, hoặc qua email.

Daniel Card, một nhà tư vấn an ninh mạng, đồng ý rằng OpenAI "đã không nỗ lực đầy đủ trong việc thiết kế sandbox cũng như các biện pháp kiểm soát của nó" khi cung cấp cho sandbox hoặc một phần của nó "một con đường không bị lọc để truy cập internet". Theo Card, việc thiết lập sandbox, ngay cả với quyền truy cập mạng hạn chế như OpenAI mô tả, không phải là một quyết định "hợp lý".

Chắc chắn rằng những lời chỉ trích đó có lợi thế của việc nhìn lại quá khứ, nhưng chúng đặt ra những câu hỏi thực sự về các biện pháp an ninh tại các phòng thí nghiệm AI – đặc biệt là trong việc duy trì các môi trường biệt lập để thử nghiệm mô hình. Người phát ngôn của OpenAI đã không trả lời các câu hỏi của TechCrunch, bao gồm cả việc liệu AI hay con người đã thiết lập môi trường thử nghiệm đó.

Nhưng những câu hỏi đó còn vượt xa phạm vi của OpenAI.

Trong tài liệu giới thiệu về mô hình tập trung vào an ninh mạng Mythos, Anthropic viết rằng trong một thử nghiệm, mô hình "được cung cấp một máy tính 'sandbox' bảo mật để tương tác" và được hướng dẫn cố gắng thoát khỏi "vùng chứa bảo mật" đó. Mythos đã thành công và giành được quyền truy cập rộng hơn vào internet "từ một hệ thống lẽ ra chỉ có thể tiếp cận một số lượng nhỏ các dịch vụ được xác định trước". Tuy nhiên, Anthropic lưu ý rằng mô hình này không thể "hoàn toàn" thoát khỏi sự ngăn chặn đã được thiết kế.

Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể nhận được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập trong biên tập của chúng tôi.

Lorenzo Franceschi-Bicchierai là Cây bút cấp cao tại TechCrunch, nơi ông đưa tin về hack, an ninh mạng, giám sát và quyền riêng tư.

Bạn có thể liên hệ hoặc xác minh thông tin từ Lorenzo bằng cách gửi email đến [email protected], qua tin nhắn mã hóa tại +1 917 257 1382 trên Signal, và @lorenzofb trên Keybase/Telegram.

Xem tiểu sử