Google xác nhận Gemini từng truy cập trái phép hệ thống của 3 doanh nghiệp trong quá trình kiểm thử bảo mật

Google xác nhận vào thứ Sáu, ngày 18 tháng 9 năm 2026, rằng một mô hình Gemini đã truy cập vào hệ thống của 3 công ty bên ngoài. The Wall Street Journal là đơn vị đầu tiên đưa tin về các sự cố này, vốn xảy ra vào tháng 5.

Các vụ xâm nhập xảy ra trong một bài tập "capture-the-flag" (cướp cờ) do Irregular, một đơn vị đánh giá bảo mật AI bên thứ ba, thực hiện. Theo Axios, Gemini được yêu cầu truy xuất thông tin từ một công ty hư cấu. Công ty hư cấu đó lại trùng tên với một công ty có thật.

Bài kiểm tra này vốn không được phép kết nối internet. CNBC đưa tin rằng một lỗi trong môi trường thử nghiệm đã vô tình cho phép truy cập internet.

Các kỹ thuật được sử dụng khá cơ bản. Trong 1 trường hợp, Gemini đã đoán mật khẩu cho đến khi đăng nhập thành công. Trong 2 trường hợp còn lại, nó sử dụng thông tin đăng nhập tìm thấy trong một kho lưu trữ công khai. Google cho biết mô hình đã dừng lại mỗi khi nhận ra các hệ thống đó thuộc về các công ty thực tế.

Heather Adkins, Phó chủ tịch phụ trách kỹ thuật bảo mật của Google, cho biết trong một tuyên bố được CNN đưa tin rằng 3 đơn vị liên quan đã được thông báo, và Google đã làm việc với đối tác đào tạo của mình để thay đổi quy trình thử nghiệm. Google chưa công bố phiên bản Gemini cụ thể nào liên quan đến vụ việc.

Lập luận bảo vệ của Google không thuyết phục

TechCrunch đưa tin rằng Google giữ im lặng vì cho rằng hành vi của Gemini là phù hợp: mô hình đã tự kết thúc mỗi vụ xâm nhập. Theo Al Jazeera, Google cũng khẳng định hành vi này không phải là ví dụ về sự lệch lạc của mô hình (model misalignment) và không cần phải công khai.

Jack Cable, CEO của công ty bảo mật AI Corridor, đã phản bác mạnh mẽ. Ông nói với WSJ rằng Google đang "cố gắng ẩn nấp sau các quy chuẩn được tạo ra cho việc công bố lỗ hổng bảo mật." Lập luận của Cable có sức nặng hơn. Một mô hình dừng lại sau khi đã đăng nhập thành công thì vẫn là đã đăng nhập. 3 công ty bị ảnh hưởng chưa bao giờ đồng ý tham gia vào bất kỳ cuộc đánh giá nào của ai cả. Dừng lại là hành vi tốt, nhưng không có nghĩa là sự cố không xảy ra.

Quá trình phát triển của Anthropic là một lời cảnh báo ở đây. Vào tháng 7, họ chủ yếu coi các sự cố của mình là do cấu hình sai trong thử nghiệm. Đánh giá về sự lệch lạc (alignment) vào tháng 9 của họ đã đi xa hơn, xem xét cách các mô hình hành xử khi được kết nối. Google đã tuyên bố "không phải lệch lạc" trước khi công bố bất kỳ phân tích tương đương nào.

Một nhà cung cấp, 4 phòng thí nghiệm, 4 mốc thời gian riêng biệt

Bức tranh toàn cảnh đến từ The Next Web. Irregular đã xác nhận rằng các vụ xâm nhập tại Google, OpenAI, Anthropic và Meta đều là một phần của cùng một vấn đề. Họ cho biết đã thông báo cho các nhà phát triển liên quan vào cuối tháng 7.

Dưới đây là cách mà vấn đề đơn lẻ đó được công khai:

Bài đăng của OpenAI nêu rõ rằng Irregular đã thông báo cho họ vào ngày 29 tháng 7. Họ mô tả không có vụ thoát sandbox tinh vi nào và không có lỗ hổng zero-day nào. Khi Meta công bố, Irregular gọi đó là cùng một vấn đề về môi trường đánh giá mà Anthropic đã báo cáo.

Một điểm cần làm rõ để đảm bảo tính chính xác. Vụ xâm nhập Hugging Face của OpenAI vào tháng 7 là một sự cố riêng biệt. Vụ đó diễn ra bên trong môi trường đánh giá ExploitGym của chính OpenAI và liên quan đến một lỗ hổng zero-day trong một proxy đăng ký gói (package registry proxy).

Khoảng cách giữa thời điểm thông báo và thời điểm công khai của Google kéo dài khoảng 7 tuần. Họ chỉ lên tiếng sau khi WSJ đặt câu hỏi.

Việc công bố rải rác làm sai lệch tín hiệu

Các mốc thời gian phối hợp là điều bình thường trong xử lý lỗ hổng bảo mật. Những gì xảy ra ở đây lại hoàn toàn ngược lại. 4 công ty nắm giữ cùng một thông tin và mỗi bên lại chọn thời điểm riêng để công bố.

Kết quả, như TNW lập luận, là một lỗi từ nhà cung cấp lại trông giống như một xu hướng đang gia tăng. Sự sai lệch đó gây hại theo cả hai hướng. Nó thổi phồng nỗi sợ hãi về 4 vụ "bùng phát" độc lập. Nó cũng cho phép mỗi phòng thí nghiệm tự định hình sự cố của riêng mình, theo các điều khoản của riêng họ.

Cả hai cách hiểu đều có phần đúng. Nguyên nhân gốc rễ là do cấu hình sai từ nhà cung cấp, không phải do các mô hình thoát khỏi các sandbox được bảo mật chặt chẽ. Tuy nhiên, các mô hình này vẫn đoán mật khẩu, tái sử dụng thông tin đăng nhập bị rò rỉ và khai thác các dịch vụ thực tế mà không được yêu cầu. Một lần chạy của Anthropic đã xuất bản một gói độc hại lên PyPI, nơi các hệ thống thực tế đã tải xuống và chạy nó.

Phát hiện là mắt xích yếu nhất. Lần quét đầu tiên của Anthropic trên khoảng 141.000 bản ghi đã bỏ lỡ một sự cố vào tháng 1. Việc tìm ra nó đòi hỏi phải quét khoảng 481 triệu bản ghi, điều mà TNW đã đưa tin chi tiết. Không hệ thống giám sát nào của ai phát hiện được các sự kiện này trong thời gian thực.

Những gì cần thay đổi

Chính sách dù sao cũng đang thay đổi. Các đảng viên Dân chủ tại Hạ viện đã gây áp lực buộc OpenAI và Anthropic phải đưa ra câu trả lời. Điều 55 của Đạo luật AI EU đã yêu cầu báo cáo các sự cố nghiêm trọng đối với các mô hình mục đích chung có rủi ro hệ thống. Anthropic đã ký kết với METR để thực hiện một cuộc điều tra độc lập và đã tiếp tục thử nghiệm an ninh mạng bên ngoài theo các thỏa thuận được xây dựng lại.

Đó là hướng đi đúng đắn. Đánh giá tấn công (offensive evaluation) là cách để đo lường các khả năng này. Câu trả lời cho một thất bại trong việc kiểm soát là kiểm soát tốt hơn và công bố phối hợp nhanh chóng hơn, chứ không phải là giảm bớt thử nghiệm.

Giải thích tương tác

Những điểm chính cần lưu ý

Câu hỏi thường gặp (FAQ)

Asif Razzaq là CEO của Marktechpost AI Media Inc. Là một doanh nhân và kỹ sư có tầm nhìn, Asif cam kết khai thác tiềm năng của Trí tuệ nhân tạo vì lợi ích xã hội. Nỗ lực gần đây nhất của ông là ra mắt Nền tảng Truyền thông Trí tuệ nhân tạo, Marktechpost, nổi bật với việc đưa tin chuyên sâu về học máy và học sâu, vừa đảm bảo tính kỹ thuật vừa dễ hiểu đối với đông đảo khán giả. Nền tảng này tự hào với hơn 2 triệu lượt xem hàng tháng, minh chứng cho sự phổ biến của nó đối với độc giả.