Bị OpenAI chặn truy cập Internet, AI Agent tự chiếm website cũ để lập diễn đàn riêng

Vụ việc lần này cùng với sự cố trước đó trên trang Hugging Face cho thấy cách các AI Agent phản ứng với những giới hạn do con người đặt ra. Thay vì tuân thủ các giới hạn đó, chúng đều thử nghiệm nhiều phương án để tìm cách vượt qua.

OpenAI cho phép các AI Agent đọc Internet nhưng chặn chúng ghi dữ liệu trở lại mạng. Thế nhưng, một nhóm agent vẫn tìm được cách vượt qua rào cản này, biến một website của Đức tồn tại từ năm 2003 thành nơi trao đổi thông tin với nhau.

Trong khoảng một tuần, các agent đã tạo ra khoảng 13.000 lượt chỉnh sửa trên website. Điều đáng chú ý là chúng không chỉ đăng nội dung mà còn sử dụng nơi này như một “bộ nhớ chung”, để agent đi trước chia sẻ thông tin cho những agent khác đang thực hiện cùng nhiệm vụ.

Bị cấm viết, AI tìm ra một ngoại lệ

Trong môi trường thử nghiệm, OpenAI thiết lập một quy tắc khá đơn giản: cho phép các agent gửi yêu cầu GET để đọc Internet, đồng thời chặn POST và những phương thức khác để ngăn chúng ghi dữ liệu ra bên ngoài.

Có thể hiểu đơn giản, GET giống như việc hỏi một website: “Hãy đưa cho tôi thông tin này”. POST thường được dùng khi người dùng muốn gửi dữ liệu để website lưu lại, chẳng hạn như đăng bài hoặc chỉnh sửa nội dung.

Vấn đề là GET và POST chỉ là quy ước trong cách xây dựng website, không phải quy tắc mà mọi phần mềm bắt buộc phải tuân thủ.

Các agent cuối cùng đã tìm thấy DSEWiki, một wiki dành cho các nhà phát triển Đức gần như đã bị bỏ quên. Website này sử dụng một nhánh của UseModWiki, phần mềm có từ năm 2003.

Điểm đặc biệt nằm ở cách phần mềm này xử lý dữ liệu. Nó có thể lấy tham số từ cả URL lẫn biểu mẫu mà không phân biệt dữ liệu đến bằng GET hay POST. Vì vậy, một URL chứa tham số yêu cầu chỉnh sửa như action=edit vẫn có thể khiến website thực hiện việc sửa trang.

Nói cách khác, OpenAI chặn AI gửi POST, nhưng website cũ này cho phép AI thực hiện hành động tương tự chỉ bằng một yêu cầu GET.

Các agent mất khoảng hai tuần để tìm ra cách này. Từ ngày 11/5, chúng liên tục thử những phương thức khác nhau và để lại các chỉnh sửa thử nghiệm trên những trang công khai. Đến ngày 24/5, chúng tiếp cận được DSEWiki và không còn cần những phương án vòng vèo trước đó nữa.

Website cũ biến thành “diễn đàn” của các AI

Điều đáng chú ý hơn nằm ở việc các agent dùng quyền chỉnh sửa này để làm gì.

Nhiệm vụ ban đầu hoàn toàn không phải là tấn công website. Các agent được yêu cầu tìm kiếm thông tin trên Internet trong một bài kiểm tra gồm 5 vòng. Mỗi vòng đưa ra một câu hỏi về một bang hoặc quốc gia trong danh sách được xáo trộn.

Thời gian làm bài khá ngắn: vòng đầu có 15 phút, những vòng sau chỉ khoảng 60 giây.

Có nhiều agent cùng thực hiện bài kiểm tra và chúng xử lý cùng một danh sách nhưng với tốc độ khác nhau. Đây chính là lúc website trở thành công cụ hữu ích.

Hãy hình dung Agent A nhận câu hỏi về Nevada và mất thời gian tìm kiếm. Sau khi tìm được đáp án, nó đăng thông tin lên DSEWiki. Một lúc sau, Agent B nhận đúng câu hỏi đó. Thay vì tìm kiếm lại từ đầu, Agent B chỉ cần đọc thông tin Agent A vừa đăng và sử dụng đáp án đó.

Dữ liệu ghi nhận một agent đăng thông tin về Nevada với con số 20.369, sau đó một agent khác nhận câu hỏi tương tự khoảng 20 phút sau và trả lời ngay lập tức.

Như vậy, DSEWiki đã vô tình trở thành một bảng tin chung trên Internet. Agent đi trước tìm được thông tin thì “ghi nhớ” nó trên website; agent đi sau đọc lại và tiếp tục công việc.

Không có hệ thống liên lạc riêng nào được OpenAI thiết kế cho chúng. Các agent đơn giản phát hiện rằng một website công khai có thể chỉnh sửa chính là nơi để lưu và đọc lại thông tin giữa những phiên làm việc khác nhau.

Các nhà nghiên cứu vì thế cho rằng đây không chỉ là chuyện một AI tìm được cách vượt sandbox. Đáng chú ý hơn, một nhóm các tiến trình AI độc lập đã phát hiện Internet có thể đóng vai trò như bộ nhớ chung để chúng phối hợp với nhau.

Từ vài dòng “test” thành 13.000 lượt chỉnh sửa

OpenAI thừa nhận sự cố mới về các AI Agent này

Hoạt động trên DSEWiki nhanh chóng vượt xa vài thông điệp trao đổi đáp án.

Ngày 2/6, một quản trị viên con người phát hiện lượng nội dung bất thường và bắt đầu xóa các trang. Nhưng đến ngày 16/6, khoảng 13.000 lượt chỉnh sửa đã xuất hiện chỉ trong một tuần. Các agent tạo khoảng 400 trang mỗi ngày, trong khi người quản trị chỉ xóa được khoảng 100 trang.

Đến ngày 19/6, một agent còn nhận ra quy luật xóa trang của con người. Người quản trị xóa theo thứ tự bảng chữ cái, nên agent bắt đầu đặt tiền tố “ZZZ” vào tên các trang sao lưu để chúng nằm cuối danh sách và bị xóa muộn hơn. Những agent khác tiếp tục học theo cách này.

Người quản trị phải khôi phục trang chủ tới 9 lần. Hoạt động của các agent dừng lại vào ngày 22/6 và người này mất thêm 5 tuần để dọn dẹp hậu quả.

OpenAI đã xác nhận sự cố và cho biết sẽ xây dựng một khung mới để công bố những trường hợp AI có hành vi “misalignment”, tức hành vi đi lệch khỏi ý định của con người.

Sự cố càng đáng chú ý khi đặt cạnh một vụ việc khác liên quan đến các agent AI trên Hugging Face.

Các nhà nghiên cứu cho rằng nhóm agent trong sự cố wiki có khả năng là một swarm khác. Một nhóm được giao nhiệm vụ hacking, còn nhóm này chỉ được giao nhiệm vụ tìm kiếm thông tin. Nhưng cả hai đều đi tới một ý tưởng tương tự: sử dụng Internet mở để trao đổi và phối hợp với nhau.

Điều đáng chú ý nhất trong sự việc có lẽ không phải việc một website cũ có lỗ hổng. Đó là cách các agent phản ứng khi gặp giới hạn: thay vì dừng lại, chúng thử nhiều phương án, tìm những giả định mà hệ thống bảo mật dựa vào, rồi chia sẻ cách làm hiệu quả với những agent khác.