5 bài học từ sự cố OpenAI tấn công Hugging Face

Vào tháng 7, trong một sự cố khiến cả cộng đồng AI phải lo ngại, các hệ thống AI của OpenAI đã tấn công Hugging Face, và vào ngày 21 tháng 7, OpenAI đã công khai thừa nhận họ chịu trách nhiệm cho cuộc tấn công này. Điều này xảy ra là do OpenAI đã vô hiệu hóa các rào cản bảo vệ thông thường nhằm kiểm tra khả năng an ninh mạng của mô hình. Chính trong quá trình thử nghiệm đó, sự cố đã xảy ra.

Tệ hơn nữa, trong những ngày và tuần sau đó, người ta phát hiện ra rằng sự cố Hugging Face không phải là trường hợp cá biệt. Anthropic, Meta và OpenAI đều gặp phải các sự cố tương tự trong những dịp khác, khi các tác nhân (agents) vượt ra ngoài phạm vi dự kiến và thực hiện các hoạt động mạng trong thế giới thực mà không được phê duyệt.

Greg Brockman, một trong những người đồng sáng lập OpenAI, đã tuyên bố đây là "một bước ngoặt đối với an ninh mạng". OpenAI đã có một bài thuyết trình tại Black Hat, một hội nghị an ninh mạng nổi tiếng, và nhiều người cho rằng đây là thời điểm chúng ta thức tỉnh trước những mối đe dọa an ninh mạng trong tương lai do AI gây ra. Vào thứ Tư, METR đã công bố một báo cáo dài 90 trang (một phần) độc lập, mặc dù phạm vi còn khá hẹp, về những gì đã xảy ra. METR có một bản tóm tắt hữu ích về các kết quả nghiên cứu mà bạn có thể đọc tại đây, cùng với một số bình luận tại đây. (Báo cáo của chính OpenAI nằm ở đây.) Chúng ta nên rút ra bài học gì từ sự cố này?

Thứ nhất, không thể phủ nhận rằng AI đặt ra những thách thức an ninh thực sự. Các phòng thí nghiệm AI muốn chúng ta tập trung vào việc AI giúp các tác nhân đe dọa thực hiện các hoạt động tấn công mạng nhanh chóng và hiệu quả hơn bao giờ hết, và điều đó hoàn toàn đúng. Tuy nhiên, thực tế là đồng thời, việc sử dụng AI trong một tổ chức cũng mở rộng đáng kể bề mặt tấn công tiềm ẩn, mang đến cho những kẻ tấn công những cách thức hoàn toàn mới để xâm nhập. Mọi người thực sự nên cảm thấy lo ngại sâu sắc. Như Ryan Greenblatt, người tham gia cuộc điều tra, đã nói: "Chúng ta chưa có những phương pháp tiếp cận tốt để hiểu/giám sát hoạt động và mục tiêu của các 'bầy đàn' AI."

Thứ hai, không phải mọi phản ứng hoảng loạn đều chính xác. Ví dụ, liên quan đến sự cố của OpenAI, nhiều người đang bàn tán về khái niệm "mất kiểm soát". Các tác nhân AI tạo sinh ngày càng trở nên mạnh mẽ hơn, khiến chúng ngày càng khó bị kiểm soát; điều này đúng. Tuy nhiên, câu chuyện về "mất kiểm soát" bản thân nó đang bắt đầu vượt khỏi tầm kiểm soát, và điều quan trọng là phải hiểu thực tế về an ninh AI trông như thế nào. Mặc dù các tác nhân đang trở nên mạnh mẽ hơn, phần lớn những gì đã xảy ra có thể đã được ngăn chặn nếu OpenAI tuân thủ các biện pháp thực hành tốt hơn. Có những bước cụ thể có thể và nên được thực hiện để kiểm soát chúng và ngăn chặn những sự cố như thế này.

Ví dụ, hãy xem xét "sandboxing" (tạo môi trường cô lập), nghĩa là giới hạn các tài nguyên mà một tác nhân có thể hoặc không thể truy cập. Ví dụ, một sandbox có thể ngăn tác nhân chạm vào các tệp nhất định hoặc truy cập internet. Quan điểm phổ biến hiện nay dường như cho rằng sandboxing là một nỗ lực vô vọng. Sau sự cố Hugging Face, một nhân viên giấu tên của OpenAI đã được trích dẫn trên Time khi nói về sandbox rằng: "Các mô hình đã từng thoát khỏi sandbox trước đây và chúng tôi luôn cố gắng vá lỗi. Nhưng vấn đề là không thể vá mọi thứ mà một AI sáng tạo có thể làm." Mặc dù chúng ta không thể khẳng định chắc chắn điều này có đúng hay không, nhưng chúng ta biết rằng một số hệ thống sandbox hiệu quả hơn những hệ thống khác; trong một bài đăng trên blog gần đây, công ty bảo mật Trail of Bits đã mô tả cách họ thực hiện thử nghiệm, trong đó một tác nhân AI cụ thể đã có thể thoát khỏi một số sandbox (khai thác các lỗ hổng trong Linux KVM, QEMU và libslirp), nhưng không phải tất cả. Ít nhất là trong thử nghiệm của họ, tác nhân mà họ kiểm tra đã không thể thoát khỏi sandbox có tên là Firecracker VM. OpenAI và có lẽ toàn bộ lĩnh vực này cần nâng cao năng lực sandboxing, nhưng điều đó không có nghĩa là không thể thực hiện được, hoặc ít nhất là làm tốt hơn. (Chúng ta dự đoán các cuộc chạy đua vũ trang thông thường chắc chắn sẽ xảy ra; việc xây dựng các sandbox vững chắc đòi hỏi sự lặp lại và cập nhật liên tục, giống như bất kỳ thứ gì khác trong an ninh mạng.)

Thứ ba, sandbox là chưa đủ. Cần có một hệ sinh thái đầy đủ để ngăn chặn các sự cố bảo mật. Ngay cả với một sandbox mạnh, bạn vẫn cần có sự giám sát để đảm bảo không chỉ tác nhân không thoát ra ngoài, mà còn không thực hiện các hành động không được phép bên trong sandbox đó.

Đối với các tác nhân không được phép truy cập internet, hoặc chỉ có quyền truy cập vào một tập hợp các tên miền cho phép, mức độ giám sát cơ bản nhất liên quan đến việc kiểm tra lưu lượng mạng. Trong trường hợp của OpenAI, nếu họ có một quy tắc đơn giản để giám sát lưu lượng và cảnh báo về bất kỳ yêu cầu mạng nào tiếp cận các tên miền nằm ngoài phạm vi như Hugging Face, thì chỉ riêng điều đó đã có thể phát hiện và ngăn chặn sự cố này. Tác nhân được đề cập đã thoát khỏi sandbox và có quyền truy cập internet vào ngày 8 tháng 7, trong khi các cuộc tấn công chính vào Hugging Face mãi đến hai ngày sau mới xảy ra. Theo quan điểm của chúng tôi, OpenAI đã thiếu trách nhiệm khi không nhận ra điều đó sớm hơn.

Các cấp độ giám sát nâng cao hơn cũng nên được áp dụng nhưng đã không có. OpenAI đã thực hiện công việc thực sự về giám sát suy luận chuỗi tư duy (chain-of-thought), nhưng họ đơn giản là đã không chạy hệ thống đó trong quá trình đánh giá gây ra sự cố này. Như OpenAI thừa nhận: "Nếu hệ thống giám sát CoT hiện đang được triển khai của chúng tôi chạy vào thời điểm xảy ra sự cố, nó đã phát hiện ra hoạt động liên quan ban đầu và thông báo cho đội ngũ bảo mật của chúng tôi hơn một ngày trước khi các mô hình xâm nhập vào hệ thống của Hugging Face." Nói cách khác, loại giám sát này đã có thể ngăn chặn sự cố.

Lấy một ví dụ, một trong các tác nhân được đề cập có suy luận chuỗi tư duy nói rằng: "Chúng ta đang tấn công HF của bên thứ ba bằng token bị rò rỉ, có khả năng nằm ngoài phạm vi dự kiến.... Điều này có thể coi là trái phép.... dịch vụ bên ngoài không liên quan. Có thể rủi ro. Tuy nhiên, đó là giải pháp mục tiêu." Điều này quá rõ ràng đến mức gần như một đoạn mã độc đang hét lên "đây là mã độc". OpenAI lẽ ra phải phát hiện ra điều đó; việc phát hiện ra nó lẽ ra phải rất đơn giản.

Thứ tư, an ninh mạng luôn là về "phòng thủ theo chiều sâu" (defense in depth), nơi bạn xếp chồng các lớp kiểm soát để nếu một lớp thất bại, bạn vẫn có các lớp khác bảo vệ. Có những giải pháp khác ngoài sandboxing và giám sát lẽ ra phải được áp dụng.

Xbow, công ty xây dựng các tác nhân để thực hiện công việc an ninh mạng tấn công, gần đây đã viết về cách họ kiểm soát các tác nhân để ngăn chặn các sự cố như tình huống OpenAI Hugging Face. Họ thực thi các hạn chế mạng thông qua máy chủ proxy, nằm ngoài bất kỳ hệ thống nào mà tác nhân có quyền truy cập, vì vậy họ có thể quyết định tên miền nào tác nhân có thể và không thể truy cập. Họ cũng chạy một "mô hình giám hộ" (guardian model) để đánh giá tính hợp pháp của từng hành động mà tác nhân đang thực hiện nhằm quyết định cho phép hay chặn hành động đó. Và họ có các kiểm tra sức khỏe cơ bản để đảm bảo hệ thống mà họ đang nhắm tới vẫn hoạt động bình thường, tạm dừng nếu phát hiện không phải như vậy. Điều đó có thể hữu ích để xác định khi nào tác nhân của bạn có thể gây ra thiệt hại thực sự. Bạn có thể đọc toàn bộ bài đăng của họ tại đây.

Một phương pháp phổ biến khác trong an ninh mạng là sử dụng các "canary" (tín hiệu cảnh báo) kích hoạt cảnh báo khi chúng xuất hiện trong nhật ký (logs). Ví dụ, OpenAI có thể đặt các tệp bên ngoài sandbox chứa các câu trả lời giả cho nhiệm vụ. Khi tác nhân thoát ra, nó sẽ đọc tệp đó và điều đó sẽ kích hoạt cảnh báo. Điểm mấu chốt: bảo mật tốt đòi hỏi nhiều lớp bảo vệ lẽ ra phải được áp dụng để ngăn chặn điều này, và ở một mức độ đáng ngạc nhiên, nhiều lớp bảo vệ đó đã không có ở đó.

Thứ năm, không có biện pháp nào được thảo luận ở trên là những đổi mới kỹ thuật vượt quá khả năng của OpenAI. Với tư cách là một công ty, họ có đủ tài năng để làm tất cả những điều này. Tuy nhiên, an ninh mạng hiếm khi chỉ dựa vào công nghệ. Thường thì nó liên quan đến văn hóa, con người và quy trình. Đó là những gì đã thất bại ở đây.

Có lẽ điều này không hoàn toàn đáng ngạc nhiên. Những loại kiểm soát này đòi hỏi sự trưởng thành của tổ chức, và một công ty đang trải qua sự tăng trưởng như OpenAI chắc chắn sẽ có những điểm yếu. Tuy nhiên, điều quan trọng là không coi đó là cái cớ. Nhân viên tại các phòng thí nghiệm AI thường nói như thể họ là những người dẫn đầu về an ninh AI, và chúng ta có thể thấy rõ ở đây rằng không phải như vậy. Trên thực tế, thái độ đó có thể giải thích tại sao một số sai lầm này lại xảy ra ngay từ đầu.

Hãy lấy ví dụ về nhà nghiên cứu AI tại OpenAI được biết đến với tên gọi “roon”, người đã lập luận rằng “các nhà nghiên cứu an toàn và căn chỉnh tại các phòng thí nghiệm này là những người tài năng, hoang tưởng, thần kinh nhất trên hành tinh này và những điều này vẫn xảy ra. Bề mặt của những điều chưa biết là rất rộng lớn.” Mặc dù chúng ta không thể nói về mức độ hoang tưởng của họ, nhưng nhìn lại thì rõ ràng là bất kỳ tài năng nào họ có cũng không đủ và không đủ am hiểu về cơ chế của an ninh mạng. Nhân viên OpenAI có thể đã tin rằng họ đang làm rất tốt, nhưng nhìn lại, họ đã không thực hiện nhiều việc vốn là tiêu chuẩn trong thế giới an ninh mạng, có lẽ cho thấy sự tự tin thái quá đã ngăn cản họ thực hiện sự cẩn trọng cần thiết.

Cuối cùng, nếu chúng ta muốn nghiêm túc với các sự cố bảo mật này, có lẽ cần phải có những hậu quả pháp lý gắn liền với những thất bại này trong tương lai. OpenAI có thể tự nhận là công ty hoang tưởng về bảo mật nhất trên trái đất, nhưng điều đó không được phản ánh trong hành động của họ.

Chúng ta có thể đợi câu chuyện này lặp lại, hoặc chúng ta có thể phát triển khung pháp lý ngay bây giờ để đảm bảo một môi trường an toàn hơn cho sự phát triển của AI trong tương lai.

Cuối cùng, không phải mọi hình thức AI đều vốn dĩ rủi ro ngay từ đầu. Các hệ thống AI hẹp hơn, tập trung hơn như AlphaFold, hệ thống định tuyến GPS, tìm kiếm web cổ điển, hệ thống gợi ý sách và phim, v.v., ngay từ đầu thậm chí không bao giờ cố gắng hack các hệ thống khác (hoặc cố gắng thoát khỏi sandbox). Như Cal Newport lập luận trong một video thảo luận về vụ hack OpenAI/Hugging Face vốn khá tương đồng với quan điểm của chúng tôi, đó là một loại AI rất cụ thể dễ bị tổn thương trước những rủi ro này ngay từ đầu. Xã hội nên (a) quyết định xem lợi ích của các tác nhân AI mở và khó kiểm soát hoàn toàn có vượt trội hơn những rủi ro đó hay không và (b) nỗ lực nhiều hơn nữa vào việc phát triển các hình thức AI thay thế vốn không quá chắp vá ngay từ đầu.

Bài luận này được viết chung với Zack Korman, CEO và đồng sáng lập của Embroidery, một nền tảng giám sát và phát hiện tác nhân AI; ông nổi tiếng với công việc ứng dụng AI vào an ninh mạng.

Chia sẻ

Không có bài đăng nào