Báo cáo từ Viện An toàn AI Anh: AI tự hành vượt rào bảo mật, tấn công thực tế trên Internet

Ngày 5 tháng 8 năm 2026 - Link Blog

Báo cáo sự cố: hành vi trái phép của tác nhân (agent) trong quá trình thử nghiệm an ninh mạng. Chuyện đó lại xảy ra lần nữa. Lần này, chính Viện An toàn AI (AI Security Institute - AISI) của chính phủ Anh đã vô tình tấn công các công ty khác trong khi thực hiện đánh giá với các mô hình đã tắt bộ lọc an toàn. Trích từ tài liệu kỹ thuật của họ (PDF):

Trong quá trình đánh giá an ninh mạng, từ ngày 25 đến 28 tháng 7 năm 2026, các AI agent đã tham gia vào các hoạt động trái phép kéo dài nhắm vào những người và tổ chức thực tế. Những nỗ lực này không thành công và theo hiểu biết tốt nhất của chúng tôi, không có thiệt hại thực tế nào xảy ra. [...]

Qua 122 lần thử nghiệm đánh giá trên hai thử thách an ninh mạng của AISI, AISI đã phát hiện 19 trường hợp AI agent thực hiện hành động trái phép trên internet thực tế, bao gồm cả các trường hợp nhắm mục tiêu vào người và tổ chức thực. [...]

Chưa rõ mức độ mà mô hình nhận thức được rằng nó đang thực hiện hành động chống lại con người thực. Trong trường hợp nghiêm trọng nhất, một AI agent (Mythos 5) đã quyết định cố gắng giải quyết thử thách an ninh mạng bằng cách sử dụng một cuộc tấn công chuỗi cung ứng (supply-chain attack). Kết quả là, AI agent này đã tạo một tài khoản GitHub và sau đó cố gắng thuyết phục người duy trì kho lưu trữ mã nguồn mở chấp nhận một yêu cầu pull request (PR) độc hại, bao gồm cả việc tạo một tài khoản thứ hai giả danh một người dùng khác để xác nhận PR đó. [...] Hơn nữa, trong nỗ lực giải quyết thử thách, agent này đã quyết định sử dụng kỹ thuật “spear-phishing” bằng cách gửi các email có mục tiêu chứa nội dung độc hại và cố gắng thao túng người nhận chấp nhận các thay đổi mã, đồng thời lên kế hoạch tấn công prompt injection để xâm nhập các agent lập trình khác.

Điều tôi thấy ngạc nhiên nhất là AISI đã vận hành các agent này mà không hề có bất kỳ hình thức sandbox mạng nào:

AISI đã cung cấp cho các AI agent quyền truy cập internet trong các đánh giá này, điều này cho phép chúng thực hiện các hành động trên internet mở trong môi trường thử nghiệm. Quyền truy cập internet là một phần có chủ đích trong cấu hình đánh giá của AISI trong bối cảnh này, chứ không phải do thoát khỏi sandbox.

Điều này, kết hợp với thực tế là "AISI cố tình vô hiệu hóa các bộ phân loại an ninh mạng (cyber-classifiers) do nhà phát triển triển khai", khiến việc các agent bắt đầu tấn công các mục tiêu thực tế trở nên hoàn toàn không có gì đáng ngạc nhiên đối với tôi.

Hầu hết các sự cố được báo cáo đều liên quan đến Mythos 5, nhưng "GPT-5.6 Sol không có bộ phân loại an ninh mạng" cũng ghi nhận một vài trường hợp.

Đây là "Mẫu 1" từ tài liệu, trong đó agent cố gắng thực hiện một cuộc tấn công chuỗi cung ứng bằng cách gửi một PR với một cuộc tấn công prompt injection ẩn, sau đó thực hiện kỹ thuật xã hội (social engineering) với một agent thứ hai giả vờ như đã xem xét mã nguồn!

Đó là một tài liệu thú vị. Tôi khuyên bạn nên đọc toàn bộ nội dung.