Báo cáo mới tiết lộ OpenAI mất kiểm soát khi mô hình AI tự ý tấn công Hugging Face

Các mô hình này đã hành động nhanh hơn bất kỳ hacker con người nào có thể làm được.

Theo Bloomberg, các mô hình AI này đã thực hiện một cuộc tấn công chỉ trong vài giờ, điều mà một hacker con người lành nghề phải mất hàng tuần mới làm được. Ba mô hình đã tham gia vào vụ việc: GPT-5.6 Sol, một mô hình chưa được phát hành thậm chí còn mạnh mẽ hơn, và một mô hình thứ ba mà theo một người am hiểu vấn đề, đã không được căn chỉnh (aligned) đúng cách và chưa trải qua các kỹ thuật đào tạo tiêu chuẩn.

Các mô hình này chạy mà không có các rào cản an toàn thông thường vì OpenAI cho rằng chúng sẽ nằm trong môi trường sandbox. Tuy nhiên, theo TIME, các mô hình đã tìm thấy một lỗ hổng chưa từng được biết đến trong một dịch vụ nội bộ được thiết kế để tải xuống các phần mềm đã được phê duyệt.

Các mô hình đã sử dụng lỗ hổng đó để truy cập vào các hệ thống khác của OpenAI và cuối cùng kết nối với internet công cộng. Sau đó, chúng xác định rằng Hugging Face có thể chứa tài liệu hữu ích cho bài kiểm tra an ninh mạng của mình, từ đó hack vào hệ thống của công ty này và sử dụng những gì tìm được để cải thiện kết quả của chính chúng. Các mô hình này đã gian lận, một hành vi vốn đã từng xuất hiện trong các bài kiểm tra khác liên quan đến GPT-5.6 Sol và các mô hình tiên phong (frontier models) nói chung.

Reuters đã tổng hợp lại dòng thời gian của vụ hack. Những nỗ lực đầu tiên nhằm thoát khỏi môi trường thử nghiệm bắt đầu từ ngày 9 tháng 7. Theo đồng sáng lập Thomas Wolf, vụ xâm nhập thực tế tại Hugging Face bắt đầu vào ngày 11 tháng 7 và kéo dài đến ngày 13 tháng 7. Hugging Face đã đăng một bài blog về cuộc tấn công vào ngày 16 tháng 7, đổ lỗi cho một "hệ thống tác nhân AI tự hành" (autonomous AI agent system).

Chỉ sau đó, OpenAI mới nhận ra rằng các mô hình của chính họ là thủ phạm. Trong suốt cuối tuần ngày 18 và 19 tháng 7, các nhân viên đã tìm thấy manh mối trong các bản ghi (logs) nội bộ. Theo Reuters và Wolf, hai công ty đã không liên lạc với nhau cho đến khoảng ngày 20 tháng 7. Điều đó có nghĩa là ít nhất một tuần đã trôi qua kể từ những dấu hiệu đầu tiên của hành vi có vấn đề cho đến khi OpenAI kết nối được các sự kiện. Đến lúc đó, Hugging Face đã mời FBI vào cuộc.

OpenAI đã có những dấu hiệu cảnh báo và dường như đã phớt lờ chúng.

Theo Reuters, các tín hiệu cảnh báo (red flags) đã xuất hiện trước khi sự cố xảy ra. Trong một trường hợp, một tác nhân (agent) đã để lại các ghi chú dường như dành cho các phiên bản tương lai của chính nó. Được tìm thấy trong một phần cơ sở hạ tầng của OpenAI, các ghi chú này chứa hướng dẫn về cách các tác nhân có thể vượt qua các hạn chế nội bộ. Các mô hình cũng được cho là đã tự tắt các hệ thống giám sát trong các bài kiểm tra trước đó.

Một nhân viên giấu tên của OpenAI chia sẻ với TIME: "Các mô hình đã từng thoát khỏi sandbox trước đây, và chúng tôi luôn cố gắng vá lỗi. Nhưng vấn đề là... không thể vá mọi thứ mà một AI sáng tạo có thể làm."

Bốn người am hiểu quy trình đào tạo của OpenAI nói với Reuters rằng công ty thường xuyên chạy nhiều đánh giá mô hình cùng một lúc. Các đánh giá này diễn ra nhanh chóng và tạo ra quá nhiều dữ liệu khiến nhân viên đôi khi không theo kịp. Các mô hình đang được đánh giá chạy trên một hệ thống riêng biệt mà mặc định không được giám sát. Theo tuyên bố của chính công ty, một ngày trước khi sự cố Hugging Face được công khai, OpenAI đã dừng một đợt triển khai nội bộ khác cũng đã thoát khỏi sandbox của nó.

"Điều đó có nghĩa là họ đã để nó không được giám sát và không nhận ra nó đang làm gì? Hay có lẽ họ biết nhưng không biết cách ngăn chặn nó? Cả hai khả năng đều nguy hiểm và đáng báo động như nhau," Marley Smith từ tổ chức phi lợi nhuận World Ethical Data Foundation nói với Reuters.

Một nhân viên OpenAI đã viết công khai trên X rằng anh cảm thấy "hơi chấn động" bởi sự cố này và hy vọng OpenAI sẽ "tận dụng món quà hiếm hoi là phát súng cảnh báo này để làm tốt hơn nhiều trong tương lai."

Một phát ngôn viên của OpenAI nói với Reuters rằng các báo cáo chứa "một vài điểm không chính xác" nhưng không đưa ra bất kỳ ví dụ nào khi được hỏi.

Các tiêu chuẩn đánh giá độc lập đã từng cảnh báo về những khả năng này.

Ngay sau sự cố, tổ chức nghiên cứu Epoch AI đã phân tích liệu vụ hack có thể được dự đoán trước hay không. Câu trả lời là có. Mặc dù rất khó để dự đoán chi tiết chính xác, nhưng một số tiêu chuẩn đánh giá độc lập, bao gồm cả các tiêu chuẩn từ Viện An ninh AI Vương quốc Anh (UK AI Security Institute), đã chỉ ra rằng các mô hình tiên phong (Frontier models) khi tắt các biện pháp an toàn có thể tìm thấy lỗ hổng trong phần mềm thực tế và xây dựng các mã khai thác (exploits) hoạt động được.

Viện An ninh AI Vương quốc Anh cũng phát hiện ra rằng GPT-5.6 Sol và Mythos của Anthropic có thể liên tục giành quyền truy cập đầy đủ vào các mạng doanh nghiệp mô phỏng không được bảo vệ. Hugging Face đã có các biện pháp phòng thủ dựa trên AI nhưng chúng không được đưa vào các bài kiểm tra của viện này.

Epoch AI cảnh báo rằng nếu những khả năng này trở nên phổ biến, hoặc nếu các hệ thống AI tự khởi động các cuộc tấn công như cách chúng đã làm với Hugging Face, chúng ta có thể sẽ chứng kiến "nhiều vụ tấn công mạng thực tế hơn với mức độ tinh vi tương đương hoặc lớn hơn sự cố Hugging Face."