Hugging Face bị AI của OpenAI tấn công tự động: Tốc độ chóng mặt nhưng không bất khả chiến bại

Đầu tháng này, nền tảng tập dữ liệu AI Hugging Face đã gây chấn động thế giới khi tiết lộ rằng họ là nạn nhân của một cuộc tấn công mạng hoàn toàn tự động do AI điều khiển. Vài ngày sau, câu chuyện có thêm một bước ngoặt kịch tính khi OpenAI thừa nhận rằng hacker đứng sau vụ xâm nhập chính là một trong những mô hình AI của họ. Mô hình này đã thoát khỏi môi trường thử nghiệm để thâm nhập vào các hệ thống được bảo vệ của Hugging Face nhằm mục đích vượt qua một bài kiểm tra đánh giá (benchmark).

Đây là một sự cố đáng báo động đối với bất kỳ ai dù chỉ quan tâm đôi chút đến các mô hình AI "nổi loạn" — và những ngày kể từ khi sự kiện xảy ra tràn ngập các dự đoán về một mô hình an ninh mạng mới, nơi các mô hình AI tung ra những cuộc tấn công mạnh mẽ đến mức chỉ có các mô hình AI khác mới có thể chống đỡ được.

Tuy nhiên, bất chấp sự lo ngại chính đáng, mô hình này có lẽ chưa thay đổi nhiều như vẻ ngoài của nó. Các chuyên gia trao đổi với TechCrunch nhấn mạnh rằng tác nhân (agent) của OpenAI phần lớn hoạt động giống như con người — với một vài lưu ý — và nếu các kỹ thuật phòng thủ truyền thống được triển khai tốt hơn thì đã có thể giúp ngăn chặn cuộc tấn công này. Tóm lại, chúng ta có thể đã có sẵn các công cụ để chống lại loại tấn công này; chỉ là chúng ta chưa sử dụng chúng đúng cách.

Hugging Face đã nêu một ý tương tự trong báo cáo sự cố của mình, khẳng định rằng những điểm yếu bị khai thác trong cuộc tấn công "đã được biết đến" và "một kẻ tấn công là con người có năng lực cũng có thể tìm thấy và khai thác những lỗ hổng tương tự."

Kyle Ryan, Trưởng bộ phận R&D tại Pensar, một startup phát triển các tác nhân AI tấn công liên tục, và Vlad Ionescu, đồng sáng lập kiêm CTO của RunSybil, một startup xây dựng các công cụ săn lỗi bằng AI, đều đồng tình và chia sẻ với TechCrunch rằng các kỹ thuật được sử dụng trong cuộc tấn công này cũng chính là những kỹ thuật mà một cá nhân hoặc một nhóm red team (đội ngũ tấn công giả lập) con người sẽ sử dụng. Đó là những hacker được giao nhiệm vụ tấn công hệ thống để giúp công ty sở hữu hệ thống đó cải thiện khả năng phòng thủ.

Điều không giống con người ở đây chính là tốc độ, quy mô và sự không ngừng nghỉ của cuộc tấn công. Như Hugging Face đã giải thích, tác nhân của OpenAI đã thực hiện 17.600 hành động trong vòng bốn ngày rưỡi: nó đột nhập, thực hiện trinh sát, đánh cắp mật khẩu và mã nguồn, đồng thời di chuyển khắp cơ sở hạ tầng của công ty.

"Điều ấn tượng chính là tính tự chủ và sức bền," Ryan nói. "Kiểu vận hành bền bỉ và thích ứng đó là điều khiến tôi chú ý nhất."

Liên hệ với chúng tôi

Bạn có thêm thông tin gì về vụ hack của OpenAI nhắm vào Hugging Face không? Hoặc các cuộc tấn công mạng bằng AI khác? Chúng tôi rất muốn lắng nghe từ bạn. Từ thiết bị và mạng không phục vụ công việc, bạn có thể liên hệ bảo mật với Lorenzo Franceschi-Bicchierai qua Signal theo số +1 917 257 1382, hoặc qua Telegram và Keybase @lorenzofb, hoặc qua email.

Mặt khác, xét đến số lượng hành động khổng lồ trong suốt vài ngày, tác nhân của OpenAI "ồn ào một cách điên rồ", như cách Ryan mô tả. Không giống như con người — những kẻ có thể lén lút hơn — tác nhân này tạo ra rất nhiều dấu vết, điều lẽ ra phải khiến hệ thống phòng thủ của Hugging Face cảnh báo sớm hơn, từ đó dẫn đến việc con người can thiệp và ngăn chặn cuộc tấn công.

"Tôi gọi đó là sự thất bại trong phòng thủ hơn là một cuộc tấn công xuất sắc. Các công cụ của Hugging Face thực tế đã liên kết các hoạt động đó thành một tín hiệu tấn công, nhưng lại không nâng mức độ nghiêm trọng và thông báo cho đội ngũ trực chiến, điều này khiến họ mất thời gian," Ryan giải thích. "Từ đó, con người vẫn phải nhận diện mức độ nghiêm trọng và phản ứng."

Jamieson O’Reilly, người sáng lập công ty an ninh mạng Dvuln, cũng đi đến kết luận tương tự trong một bài đăng trên X khi phân tích báo cáo của Hugging Face.

"Đó chính xác là khoảng cách giữa việc nhìn thấy và ngăn chặn," O’Reilly viết. "Hệ thống đã quan sát cuộc tấn công và thậm chí hiểu được nó, nhưng không có gì biến sự hiểu biết đó thành một sự can thiệp đủ nhanh."

Ryan giải thích rằng các kỹ thuật được triển khai đúng cách như phòng thủ theo chiều sâu (defense-in-depth) — một chiến lược tận dụng nhiều lớp biện pháp an ninh mạng — lẽ ra đã mang lại cho Hugging Face nhiều cơ hội để phát hiện cuộc tấn công.

"Một chương trình bảo mật hiện đại mạnh mẽ vẫn nên có khả năng bẻ gãy một cuộc tấn công như thế này tại nhiều điểm thông qua phòng thủ theo chiều sâu, nguyên tắc đặc quyền tối thiểu, phân đoạn mạng, phát hiện tốt, leo thang sự cố đáng tin cậy và kiểm thử tấn công liên tục để tìm ra các lỗ hổng," Ryan giải thích.

Như O’Reilly đã nói, "không có gì trong số đó là xa lạ, và không có gì trong số đó phụ thuộc vào việc kẻ tấn công là AI," vì các kỹ thuật được sử dụng trong cuộc tấn công đều là "đồ cũ."

Điều phụ thuộc vào việc kẻ tấn công là AI, theo một cách nào đó, là tác nhân của OpenAI đã không được hướng dẫn để trở nên lén lút. "Tác nhân đó không hề cẩu thả. Nó đơn giản là không có lý do gì để im lặng. Không ai yêu cầu nó làm vậy cả. Mục tiêu là thực hiện tốt nhiệm vụ," Nico Waisman, giám đốc an ninh thông tin tại XBOW, một startup sản xuất các công cụ săn lỗi bằng AI, cho biết.

Waisman cũng chỉ ra rằng sai lầm lớn nhất của Hugging Face là một thông tin xác thực bị đánh cắp duy nhất đã mang lại cho tác nhân của OpenAI đặc quyền cao trên nhiều hệ thống của họ.

Mặc dù vậy, như câu ngạn ngữ cũ, kẻ tấn công chỉ cần thắng một lần, và việc phòng thủ trước bất kỳ loại hacker nào cũng không hề dễ dàng.

"Hugging Face có thể đã thực hiện nhiều biện pháp phát hiện hơn, nhưng công bằng mà nói, không phải [tổ chức] nào cũng làm tốt điều đó," Vincent Yiu, giám đốc điều hành tại SYON Security, cho biết. "Việc duy trì cơ sở hạ tầng và tồn tại như một doanh nghiệp vào năm 2026 không hề dễ dàng. Hacker ở khắp mọi nơi."

Theo Vlad từ RunSybil, người cho biết họ từng thực hiện ứng phó sự cố tại Mandiant và Meta, Hugging Face dường như đã thực hiện "các biện pháp hợp lý dựa trên sự hiểu biết của họ về khả năng của các mô hình."

"Thực sự rất khó để phân loại đâu là hành động độc hại cần cảnh báo, so với việc ai đó chỉ đang làm công việc của họ," Vlad nói. "Chỉ riêng khối lượng hành động thôi thì chưa hẳn là một dấu hiệu cảnh báo đỏ."

Dan Guido, CEO của công ty nghiên cứu an ninh mạng Trail of Bits, nói với TechCrunch rằng OpenAI đáng bị khiển trách vì đã không nhận ra cuộc tấn công đang diễn ra trong nhiều ngày, trong khi Hugging Face xứng đáng được ghi nhận vì cuối cùng đã tự phát hiện ra cuộc tấn công.

"Phần khó trước đây là nhận diện một cuộc tấn công tinh vi, nhưng giờ đây phần khó có thể là tách biệt cuộc tấn công thực sự ra khỏi những nhiễu loạn mà kẻ tấn công tạo ra trong quá trình thực hiện," Guido nói. "Không ai đi đọc thủ công 17.000 hành động được tái dựng để tìm hiểu chuyện gì đã xảy ra, vì vậy Hugging Face phải xây dựng công cụ chỉ để tái dựng lại dòng thời gian."

Và để làm được điều đó, công ty cần chính AI của mình. Hugging Face cho biết họ phải sử dụng mô hình mã nguồn mở GLM 5.2 từ công ty Z.AI của Trung Quốc sau khi bị chặn sử dụng các mô hình tiên tiến do các biện pháp bảo vệ của chúng, mà theo cách nói của công ty là "không thể phân biệt được người ứng phó sự cố với kẻ tấn công."

Tại thời điểm đó, Hugging Face đã kết hợp AI và con người để điều tra hacker sử dụng LLM của OpenAI. Đó là một tình huống tương đối mới lạ. Nhưng ngoài điều đó, sự cố cho thấy các khái niệm và phương pháp an ninh mạng phòng thủ kiểu cũ vẫn có thể đóng vai trò quan trọng trong việc bảo vệ và chống lại các hacker AI.

Khi bạn mua hàng qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể nhận được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập trong biên tập của chúng tôi.