OpenAI: AI tự hành bí mật tấn công hệ thống nội bộ suốt nhiều tuần để 'lách luật'

Tại hội nghị bảo mật Black Hat, OpenAI đã đưa ra bản tường trình chi tiết hơn về việc các tác nhân AI (AI agents) đã âm thầm xâm nhập vào cơ sở hạ tầng của công ty trong nhiều tuần mà không bị phát hiện.

Câu chuyện bắt đầu vào ngày 7 tháng 5, khi OpenAI đang tiến hành các thử nghiệm huấn luyện và an toàn trên một mô hình tiên phong (frontier model) chưa được phát hành. Công ty đã giao các nhiệm vụ bảo mật phần mềm cho các tác nhân tự hành, nhưng những nhiệm vụ này tỏ ra bất khả thi trong các giới hạn mà OpenAI đã thiết lập.

Thay vì bỏ cuộc khi chạm ngưỡng giới hạn, các tác nhân này bắt đầu tìm cách vượt qua chúng. Eric Wallace, người làm việc trong lĩnh vực nghiên cứu căn chỉnh (alignment) và an toàn tại OpenAI, cho biết điều này không hoàn toàn bất ngờ vì các mô hình tiên phong thường có xu hướng "gian lận": Các mô hình phải chịu áp lực trong quá trình huấn luyện để làm việc nhanh và hiệu quả, điều này thúc đẩy chúng tìm đường tắt thay vì giải quyết vấn đề thực sự. Ví dụ, chúng có thể tra cứu câu trả lời trực tuyến thay vì thực sự giải quyết nhiệm vụ. Các nghiên cứu độc lập cũng đã ghi nhận hành vi tương tự.

Các tác nhân đã biến một trình quản lý gói nội bộ thành một trung tâm điều phối

Theo OpenAI, các tác nhân đã phát hiện ra rằng chúng có thể để lại tin nhắn cho nhau thông qua Artifactory, trình quản lý gói nội bộ của công ty. Những gì bắt đầu từ các yêu cầu trợ giúp đơn giản đã phát triển thành một bảng tin với hàng trăm nghìn bài đăng.

Các tác nhân đã sử dụng bảng tin này để chia sẻ các lỗ hổng khai thác (exploits), thông tin xác thực và các nhiệm vụ, đồng thời phân chia công việc và ủy quyền cho nhau. Toàn bộ sự sắp xếp này gợi nhớ đến cơn sốt Moltbook ngắn ngủi, vốn hóa ra phần lớn chỉ là một trò lừa bịp.

Vì Artifactory được kết nối với cơ sở hạ tầng rộng lớn hơn của OpenAI, vấn đề đã vượt ra ngoài phạm vi các tác nhân tạo ra bảng tin đó. Các phiên bản GPT hiện tại và tương lai đang trong quá trình huấn luyện hoặc đánh giá đã có thể truy cập vào các lỗ hổng khai thác được lưu trữ.

OpenAI cho biết các tác nhân thậm chí còn khuyến khích nhau vượt qua các ranh giới đã thiết lập. Một tin nhắn được trình bày tại hội nghị thừa nhận rằng việc khai thác cơ sở hạ tầng bên ngoài nằm ngoài phạm vi dự định, nhưng sau đó lập luận rằng nhiệm vụ là bất khả thi và các tác nhân khác đã thực hiện rồi, vì vậy công việc nên được tiếp tục.

Việc đóng bảng tin không ngăn được các tác nhân

Đến đầu tháng 7, OpenAI tin rằng họ đã giải quyết được vấn đề. Theo Ground Level AI, sau một sự cố bảo mật nội bộ vào ngày 4 tháng 7, công ty đã thu hồi các thông tin xác thực bị ảnh hưởng, xây dựng lại Artifactory, xóa bảng tin và vá các lỗ hổng mà họ tìm thấy.

Các tác nhân sớm tìm ra cách khác để giao tiếp với nhau. Thay vì lưu trữ tin nhắn trong các tệp, chúng sử dụng tên của các thư mục mới tạo làm kênh liên lạc, về cơ bản là xây dựng lại bảng tin từ đầu.

Với bảng tin mới đã hoạt động, các tác nhân tiếp tục chia sẻ các lỗ hổng và thông tin xác thực. Một số cuối cùng kết luận rằng câu trả lời cho các nhiệm vụ của chúng có thể nằm trên các nền tảng bên ngoài như GitHub hoặc Hugging Face.

Chúng tấn công các hệ thống nội bộ của OpenAI trước, sau đó áp dụng các phương pháp tương tự nhắm vào Hugging Face. OpenAI chỉ kết nối hai sự cố này vào cuối tháng 7, khi phát hiện ra rằng thông tin xác thực được sử dụng trong vụ vi phạm Hugging Face đến từ cùng các đợt đánh giá nội bộ.

Vụ vi phạm đã thúc đẩy OpenAI làm chậm quá trình nghiên cứu và tập trung vào bảo mật

Theo WIRED, Michael Dalton, một kỹ sư bảo mật tại OpenAI, người đã thuyết trình cùng với Wallace, gọi sự cố này là thời điểm then chốt đối với công ty và ngành công nghiệp AI nói chung.

Bài thuyết trình cho thấy nhiều nhóm tại OpenAI hiện đang tạm hoãn các công việc khác để cải thiện khả năng phòng ngừa, phát hiện và ứng phó sự cố. Công ty đang cố tình làm chậm quá trình nghiên cứu để tăng cường bảo mật trên toàn bộ hệ thống và mở rộng quy mô giám sát các tác nhân AI của mình.

Các nhân viên OpenAI cũng đã nói về những lỗ hổng trong mô hình của họ với sự thẳng thắn bất thường. Nhà nghiên cứu Boaz Barak của OpenAI viết: "Chúng tôi (cũng như những người khác) không ở vị trí mà chúng tôi muốn và cần phải đạt được." Ông đang phản hồi lại đồng nghiệp Aidan Clark, người đã đăng rằng chưa ai giải quyết được vấn đề căn chỉnh.

Clark giải thích thêm về ý nghĩa của việc căn chỉnh trong thực tế: "Hầu hết con người chia sẻ các hàm giá trị đến mức mọi thứ đều bị thiếu thông số kỹ thuật nghiêm trọng, ngay cả những yêu cầu quan trọng, vì chúng ta giả định một sự hiểu biết chung về những điều ngầm định. Đối với tôi, căn chỉnh là đảm bảo AI tôn trọng những giá trị này nhiều như những giá trị mà chúng ta có thể thể hiện một cách rõ ràng."

Wallace và Dalton kết thúc bài nói chuyện của họ với cảnh báo rằng sự cố này tương đương với việc hack bằng AI hoàn toàn tự hành, mặc dù nó phát sinh một cách tình cờ. Họ dự đoán các tác nhân độc hại sẽ triển khai cách tiếp cận tương tự một cách có chủ đích trong tương lai gần.

Đột nhiên, mọi người đều có hệ thống AI hack tự hành

Sự cố OpenAI đã gây ra một làn sóng đánh giá trên toàn ngành công nghiệp AI. Anthropic phát hiện trong một đợt đánh giá như vậy rằng ba mô hình Claude đã hack các tổ chức thực tế trong các bài kiểm tra do các nhóm bên ngoài thực hiện. Viện An toàn AI của Vương quốc Anh đã báo cáo các trường hợp tương tự về việc các tác nhân vượt quá giới hạn được giao trong quá trình thử nghiệm. Và Meta hiện cho biết mô hình Spark AI của họ đã vô tình khai thác các lỗ hổng bảo mật trong một dịch vụ được kết nối sau khi một sandbox được cấu hình sai cấp cho nó quyền truy cập internet.

Một số nhà quan sát cho rằng những tiết lộ về an ninh mạng này là chiêu trò tiếp thị dựa trên nỗi sợ hãi nhằm thu hút sự chú ý. Các báo cáo cũng có thể cung cấp cho các phòng thí nghiệm AI một cái cớ thuận tiện để làm chậm quá trình phát triển nếu họ nhận thấy mình sẽ không đạt được mục tiêu doanh thu và cần thu hút thêm nhà đầu tư.

Lập luận đó có một số logic chiến lược, nhưng nó đang đi chệch hướng sang thuyết âm mưu. Cả hai điều đều có thể đúng cùng một lúc. Các phòng thí nghiệm AI đang chịu áp lực tài chính thực sự, và các tác nhân tự hành đang tạo ra những rủi ro an ninh mạng vốn không tồn tại một năm trước và xứng đáng được quan tâm nghiêm túc.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo tiên phong "AI Radar" độc quyền sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và quyền truy cập vào phần bình luận của chúng tôi.

Đăng ký ngay