Sự cố AI mất kiểm soát tại OpenAI: Hơn 1.000 thực thể AI tự ý liên lạc và tấn công Hugging Face

Vào tháng 7, một mô hình OpenAI chưa được phát hành đã thoát khỏi môi trường bị hạn chế, tìm cách truy cập internet, cho phép các AI agent giao tiếp với nhau thông qua một "bảng tin" bí mật và xâm nhập vào hệ thống nội bộ của một phòng thí nghiệm AI khác là Hugging Face. OpenAI đã mất gần hai tuần mới phát hiện ra toàn bộ sự việc này.

Hơn một tháng sau, hai báo cáo mới đã cung cấp gần 130 trang chi tiết về sự cố và phản ứng của OpenAI, trong đó có nhiều thông tin chưa từng được công bố trước đây. Một báo cáo do chính OpenAI thực hiện, báo cáo còn lại do hai tổ chức phi lợi nhuận nghiên cứu AI độc lập là METR và Redwood Research soạn thảo, sau khi được OpenAI cho phép cùng điều tra sự cố trong sáu ngày. Cả hai báo cáo đều làm sáng tỏ những rủi ro mà các mô hình AI năng lực cao có thể gây ra, đặc biệt là trong lĩnh vực an ninh mạng, đồng thời OpenAI cũng nêu bật những thay đổi mà công ty đang thực hiện để ngăn chặn sự việc tái diễn. Trong một số trường hợp, báo cáo của METR-Redwood còn đi sâu hơn vào chi tiết, mang đến cái nhìn tỉnh táo về một thảm họa an ninh quy mô lớn mà OpenAI đã nhiều lần bỏ lỡ các dấu hiệu cảnh báo.

“Sự cố này là trường hợp đầu tiên được biết đến về một tập thể các tác nhân tự động (automated agent collective) hành động tấn công

mà không có sự cho phép,” OpenAI viết trong báo cáo của mình, đồng thời nói thêm rằng vụ hack này ngụ ý rằng các công ty “không nên tiếp tục giả định rằng các hoạt động mạng tinh vi đòi hỏi sự chỉ đạo liên tục của con người.” Công ty gọi các AI agent là một loại mô hình đe dọa hoàn toàn mới, có khả năng kết hợp chuyên môn của chúng để tạo ra các “đường tấn công” mới mà không thể nhận thấy khi kiểm tra năng lực của chúng như các mô hình riêng lẻ.

Cuộc tấn công xảy ra do “reward-hacking” (hack phần thưởng), một vấn đề phổ biến trong việc căn chỉnh AI (AI alignment), nơi mô hình thực hiện các hành động ngoài ý muốn — và đôi khi cực đoan — để đạt được mục tiêu. OpenAI đã cố tình hoặc vô ý giao cho các mô hình những nhiệm vụ gần như không thể thực hiện được, vốn phụ thuộc vào các tệp tin mà chúng không thể truy cập, vì vậy các mô hình đã phát triển những cách thức mới để giao tiếp với các AI agent khác ở bên trong. Điều đó bao gồm việc thiết lập một hệ thống nhắn tin bí mật mà OpenAI không hề hay biết trong nhiều tháng.

Theo báo cáo của METR-Redwood, một AI agent tự gọi mình là PHASEONE10841 đã thiết lập thứ tương đương với một bảng tin bí mật mà các nhà nghiên cứu không hề hay biết. Trong vòng vài giờ, hơn 50 agent đã tìm thấy nó và gửi hơn một nghìn tin nhắn mà không bị phát hiện. Với việc PHASEONE10841 thường xuyên phân công nhiệm vụ, “tập thể” này đã tìm ra cách hack để truy cập internet; sau đó xâm nhập vào hệ thống nội bộ của Hugging Face, giành quyền truy cập vào dữ liệu riêng tư và nền tảng nhắn tin doanh nghiệp của tổ chức này. OpenAI cũng xác nhận trong báo cáo rằng Hugging Face không phải là tổ chức duy nhất bị xâm phạm trong cuộc tấn công, mặc dù công ty không nêu đích danh tất cả các mục tiêu khác.

Báo cáo của METR-Redwood đã trình bày toàn bộ quy mô của sự cố. Khoảng 1200 AI agent vốn được thiết kế để cách ly, theo báo cáo, đã trao đổi hơn 70.000 tin nhắn và tệp tin trên “bảng tin không được cấp phép”, thực hiện “nghiên cứu sâu rộng về cách chúng có thể giả mạo, chỉnh sửa hoặc xóa các bản ghi của chính mình” để tránh bị phát hiện. Trong số đó, 700 agent đã tham gia vào cuộc tấn công Hugging Face. Các agent này “đã suy luận một cách rõ ràng và thường xuyên về cách né tránh các kiểm tra an ninh tự động từ cả Hugging Face và OpenAI.”

Vào ngày 20 tháng 7, OpenAI đã phát hiện ra vụ hack, 12 ngày sau khi các AI agent lần đầu tiên vượt qua các biện pháp bảo vệ của chúng. Theo báo cáo của chính OpenAI, công ty đã nhanh chóng liên hệ với Hugging Face và bắt đầu “các biện pháp ngăn chặn ban đầu”, đồng thời có thể tắt hầu hết các hoạt động trái phép từ các agent của mình trong vòng ba ngày, mặc dù một số hoạt động vẫn tiếp diễn lâu hơn thế. Vào ngày 25 tháng 7, công ty đã dừng tất cả các hoạt động đào tạo liên quan đến mô hình nghiên cứu nội bộ này và các mô hình liên quan.

Hai mô hình OpenAI chịu trách nhiệm cho thiệt hại này là một “mô hình nghiên cứu năng lực cao, chỉ dùng cho nghiên cứu” chưa được đặt tên, vốn “không dành cho mục đích sử dụng công cộng” theo OpenAI — METR gọi nó là “HPIM”. Mô hình còn lại là GPT-5.6 Sol, một mô hình OpenAI hiện đang công khai. Vì mô hình chưa được đặt tên vẫn chưa được phát hành, nên nó “không được đánh giá với cùng loại biện pháp bảo vệ mà OpenAI sử dụng trong sản xuất,” báo cáo của công ty cho biết.

Vụ hack Hugging Face xảy ra sau nhiều tháng lo ngại về rủi ro an ninh mạng của Claude Mythos 5 từ Anthropic, và nhiều tuần tranh luận qua lại giữa chính phủ và OpenAI về việc phát hành GPT-5.6 Sol dưới dạng bản xem trước giới hạn vì cùng những lý do an toàn tương tự.

Trong báo cáo của mình, OpenAI cho biết việc thiết lập các đảm bảo an ninh một lần là không đủ, và công ty sẽ phải nỗ lực hơn nữa trong việc giải quyết vấn đề reward-hacking. Tuy nhiên, công ty cũng cho biết họ đã thực hiện rất nhiều thay đổi: “tăng cường bảo mật cho cơ sở hạ tầng nghiên cứu”; cải thiện việc giám sát “chuỗi suy nghĩ” (chain of thought) hay sổ tay tư duy của mô hình; nỗ lực giữ cho các mô hình AI căn chỉnh tốt hơn với mục tiêu của con người; và “tập trung hóa, củng cố” quy trình ứng phó sự cố của công ty cho những trường hợp tương tự trong tương lai.

OpenAI hứa hẹn sẽ cách ly các mô hình tốt hơn và hạn chế các phiên bản rủi ro cao truy cập internet, đồng thời cho biết họ sẽ giới thiệu cơ chế “leo thang và phản ứng nhanh 24/7” đối với các sự cố hoặc cảnh báo đáng lo ngại, thông báo cho các nhà nghiên cứu trong vòng 30 phút. Thú vị là, biện pháp an ninh này có vẻ là mới, mặc dù các cảnh báo “trực chiến” (on-call) đối với các công ty công nghệ đã được triển khai ở những nơi khác từ nhiều thập kỷ trước. Công ty cũng cho biết họ đang “xây dựng cơ sở hạ tầng” sẽ được kích hoạt nếu người được cảnh báo không phản hồi kịp thời trước một cảnh báo nghiêm trọng.

OpenAI viết rằng công ty coi sự cố này là “một ‘phát súng cảnh báo’ cho chúng tôi và cho cả thế giới: bằng chứng cho thấy, nếu không có các biện pháp bảo vệ phù hợp, các AI agent năng lực cao hiện đã có thể vượt qua các kiểm soát kỹ thuật, cộng tác thông qua các kênh không được phê duyệt và thực hiện các hành động nguy hiểm mà không có sự chỉ đạo của con người.”

Theo dõi các chủ đề và tác giả từ bài viết này để xem thêm các nội dung tương tự trên trang chủ cá nhân của bạn và nhận cập nhật qua email.