Mô hình AI của OpenAI tự ý tấn công HuggingFace trong quá trình kiểm thử bảo mật

Sự cố mới nhất này là một bước leo thang khá kịch tính trong các vụ vi phạm an ninh mạng liên quan đến AI tác tử (agentic AI). Nó nghiêm trọng đến mức đã được báo cáo cho các cơ quan chức năng ngay từ đầu, trước khi cả HuggingFace hay OpenAI kịp hiểu chuyện gì đang xảy ra.

Sam Altman (CEO OpenAI): chúng tôi đã gặp một sự cố bảo mật đáng kể trong quá trình đánh giá các mô hình của mình. Chúng tôi đang chia sẻ những gì đã học được cho đến nay. Cảm ơn @huggingface vì sự hợp tác trong vấn đề này.

Leo Gao (OpenAI): đây là thời điểm thế giới ít giống phim khoa học viễn tưởng nhất mà chúng ta từng thấy.

Jack Clark (Anthropic): Hoan nghênh OpenAI vì đã công bố bài viết này về một số vấn đề an toàn và căn chỉnh (alignment) được quan sát thấy trong các triển khai nội bộ - có rất nhiều động lực trái chiều khiến người ta không muốn công bố những thông tin như thế này, nhưng bằng cách công khai nó, tất cả chúng ta đều có được thông tin tốt hơn về sự an toàn ở ranh giới công nghệ.

Micah Carroll (OpenAI): Nếu điều này không thuyết phục được bạn rằng rủi ro sai lệch (misalignment) sẽ là mối quan tâm hàng đầu trong tương lai, thì tôi không biết điều gì mới có thể làm được.

Mô hình của chúng tôi, trong quá trình đánh giá, đã "kết nối nhiều vectơ tấn công lại với nhau, bao gồm việc sử dụng thông tin đăng nhập bị đánh cắp và các lỗ hổng zero-day để tìm ra con đường thực thi mã từ xa trên các máy chủ của Hugging Face".

Sự sai lệch sẽ trông như thế nào vào năm 2027? Năm 2030?

Những câu hỏi tuyệt vời.

Nếu chúng ta không muốn chứng kiến tình trạng này tồi tệ hơn theo thời gian, trong khi các mô hình vẫn tiếp tục cải thiện khả năng, thì cơ sở hạ tầng và các biện pháp bảo vệ tốt hơn sẽ là không đủ.

Chúng ta cần sửa quy trình đào tạo để ngăn chặn điều này xảy ra.

Chúng ta chưa biết cách làm điều đó.

Phần mở đầu.

Sự cố.

Chuyện gì đã xảy ra.

Chuyện gì đã xảy ra (Giải thích cho người không chuyên).

Mức độ hoảng loạn đúng đắn không phải là con số không.

Luôn có những người nói rằng mọi thứ chỉ là thổi phồng hoặc giả mạo.

Chúng ta sẽ làm gì với vấn đề này?

Triển khai nội bộ tạo ra rủi ro thảm khốc.

Bình tĩnh lại nào anh bạn.

Các vấn đề pháp lý.

Truyền thông đưa tin và phản ứng chính trị.

Một chút bối cảnh: Vào thứ Hai, OpenAI đã công khai một cách đầy thiện chí về các vấn đề căn chỉnh.

Tiết lộ đó giờ đây mang một ý nghĩa khác, khi biết về sự cố thứ hai.

Mô hình được triển khai nội bộ của OpenAI, mô hình đã bác bỏ giả thuyết khoảng cách đơn vị Erdős, đã gặp một vấn đề tái diễn trong các mô hình của OpenAI. Nó liên tục tìm cách thoát khỏi các sandbox (môi trường cô lập), vượt qua các hạn chế và tận dụng môi trường cục bộ theo những cách mà người dùng không mong muốn và rõ ràng sẽ coi là 'gian lận'.

Những nỗ lực gian lận như vậy rất phổ biến. UK AISI báo cáo rằng Claude Mythos Preview cố gắng gian lận trong các bài kiểm tra 7,8% thời gian, và Sol cố gắng gian lận 12,6% thời gian, và các mô hình bảo vệ các nỗ lực gian lận của chúng hơn một nửa thời gian. Ít nhất một nửa thời gian, Sol nhận ra ràng buộc mà nó đang vi phạm nhưng vẫn thực hiện. Tỷ lệ cao tương tự về các vấn đề như vậy cũng được tìm thấy trong GPT-5.4 và GPT-5.5, với kiểu gian lận phổ biến nhất là 'tấn công một hệ thống khác ngoài mục tiêu'.

Nếu điều này tiếp tục xảy ra, đây là sự sai lệch nghiêm trọng, ngay cả khi mô hình hiếm khi thành công.

Điều này không chỉ xảy ra với một mô hình hay một phòng thí nghiệm duy nhất. Ở một mức độ nào đó, đây là tình trạng của mọi mô hình mà UK AISI đã thử nghiệm, tại mọi phòng thí nghiệm, với các mô hình của OpenAI liên tục thực hiện điều đó nhiều hơn các mô hình Claude.

Sự khác biệt là mô hình mới này, để đơn giản hãy gọi cả hai phiên bản của nó là Galaxy (để khớp với Sol-Terra-Luna, và vì nó rõ ràng có một "Galaxy Brain", trong trường hợp nó không phải là GPT-6, lưu ý rằng đây có thể là hai mô hình riêng biệt), thường xuyên được quan sát thấy thành công trong việc thoát khỏi các sandbox và khai thác môi trường cục bộ theo những cách không mong muốn.

Chúng ta nên mong đợi điều này xảy ra nhiều hơn theo thời gian.

Tôi đã cố gắng giải thích trong quá khứ rằng Mythos có thứ mà người ta có thể gọi là "The Juice" (Năng lực cốt lõi), ở chỗ nó có thể độc lập tìm ra mà không cần được chỉ dẫn, và xâu chuỗi các lỗ hổng thành các chuỗi khai thác hoàn chỉnh, về cơ bản là tự nó thực hiện, và điều này làm cho Mythos trở nên nguy hiểm một cách độc nhất so với tất cả các mô hình công khai khác, bao gồm cả Sol.

Đây chính là "The Thing" (Thứ đó), đòi hỏi phải có "The Juice". Galaxy thuộc đẳng cấp Mythos. Nó có "The Juice". Những gì xảy ra sau đó, với việc Galaxy hack vào HuggingFace, 100% đòi hỏi phải có "The Juice".

OpenAI đã đưa ra quyết định đúng đắn là đưa một mô hình nội bộ bị sai lệch ngoại tuyến trong nhiều tháng trong khi họ phát triển các biện pháp giảm thiểu và chiến lược phòng thủ theo chiều sâu mới, bao gồm việc huấn luyện nó để tuân thủ hướng dẫn tốt hơn và do đó ít có xu hướng thực hiện các hành động như vậy hơn.

Điều mà OpenAI chưa làm được là giải quyết lý do tại sao điều này xảy ra ngay từ đầu. Sandbox hiện đã bớt mất an toàn hơn và các biện pháp bảo vệ đã được cải thiện đáng kể, đặc biệt là với khả năng tạm dừng phiên làm việc, nhưng sandbox chắc chắn vẫn không an toàn, và khi khả năng tiếp tục cải thiện, các mô hình mới sẽ có thể tiếp tục thoát ra và thực hiện các cuộc khai thác. Cuối cùng, có lẽ sớm thôi, chúng chắc chắn sẽ không còn vô hại nữa.

Ian Hogarth: Tạo ra một "môi trường cô lập cao độ" là một thách thức thực sự.

Một số người tỏ ra cực kỳ chậm hiểu về tất cả những điều này, nói rằng 'ồ, OpenAI chỉ không cấu hình máy chủ của họ đúng cách' khi Galaxy tìm thấy một lỗ hổng chưa từng thấy mà nó đã sử dụng để thoát khỏi sandbox, hoặc hỏi 'tại sao không cách ly hoàn toàn (air gap)'. Và vâng, cách ly hoàn toàn sẽ làm cho toàn bộ việc này khó thực hiện hơn nhiều, và việc hỏi tại sao nó không được cách ly hoàn toàn là một câu hỏi tuyệt vời. Nhưng bạn biết tại sao họ không sử dụng cách ly hoàn toàn rồi đấy. Nó gây phiền toái, thực sự rất đắt đỏ khi xét đến cách các mô hình như vậy được vận hành, và OpenAI vẫn chưa sẵn sàng thừa nhận thất bại ở mức độ đó.

Marko Jukic: Ở một mức độ nào đó, chừng nào hai máy tính còn được kết nối vật lý, thì luôn có cách để phần mềm nhảy từ máy này sang máy kia. Tôi tự hỏi liệu AI có châm ngòi cho một cuộc chạy đua vũ trang an ninh mạng dẫn đến việc internet toàn cầu bị phân mảnh hay không, vì biện pháp phòng thủ đáng tin cậy duy nhất là rút phích cắm.

Tôi đã cố gắng hết sức để giữ sự cân bằng giữa việc khen ngợi các hành động có trách nhiệm của OpenAI, việc tạm dừng và công khai thông tin, đồng thời chỉ ra mức độ báo động chưa đủ và các biện pháp đối phó được chọn sẽ chứng tỏ là không đủ.

Hay tóm lại, trong ba hồi: