Ngày tàn của an ninh mạng: Khi AI trở thành vũ khí của các quốc gia

Các mô hình của OpenAI trong quá trình huấn luyện đã thoát khỏi môi trường sandbox, xâm nhập vào cơ sở hạ tầng nội bộ và cuối cùng là chiếm quyền kiểm soát Hugging Face — đây là vụ AI "vượt ngục" gây chấn động đầu tiên, một kịch bản mà các nhà nghiên cứu an toàn đã dự báo từ trước. Liệu ngày tận thế trên không gian mạng đã thực sự cận kề, hay ngành công nghiệp này chỉ đơn giản là chưa làm tốt bài tập về nhà của mình?

Joshua Saxe đã dành những năm tháng định hình sự nghiệp của mình với tư cách là nhà thầu cho DARPA và NSA, trước khi có 4 năm làm việc tại Meta. Tại đây, ông đã sáng lập đội ngũ đánh giá năng lực an ninh mạng tiên phong của công ty và kết thúc nhiệm kỳ với vai trò trưởng nhóm kỹ thuật bảo mật AI. Gần đây, ông đã rời đi để đồng sáng lập Abundant Security.

Chúng ta sẽ thảo luận về…

Chuyện gì đã thực sự xảy ra trong vụ hack Hugging Face, và tại sao những người trong cuộc về an toàn AI lại không hề ngạc nhiên,

Văn hóa bảo mật kiểu "phòng thí nghiệm sinh viên cao học" tại các phòng lab tiên phong, nơi đang chạy đua 60 giờ mỗi tuần để kịp ra mắt sản phẩm,

Tại sao bạn nên ứng tuyển để điều hành một tổ chức mới với ngân sách tám con số để theo dõi các xu hướng về AI và rủi ro mạng (ứng tuyển tại đây!),

Tại sao "Trân Châu Cảng trên không gian mạng" được dự đoán từ đầu những năm 2000 vẫn chưa xảy ra — và liệu các đàn tác nhân (swarms of hacking agents) có làm thay đổi điều đó hay không,

Cách các quốc gia sẽ hậu huấn luyện (post-train) các mô hình mã nguồn mở như GLM và Kimi thành những vũ khí mạng trị giá hàng tỷ đô la,

Tại sao AI cho đến nay lại có lợi cho phe phòng thủ, từ việc quét lỗi hàng loạt đến giám sát mạng lưới ở cấp độ siêu phàm,

Kinh tế học công nghiệp của tội phạm mạng — chuỗi tiêu diệt (kill chains), sự phân công lao động trong các nhóm ransomware, và liệu AI có mang lại lợi nhuận gấp 100 lần cho tội phạm hay không.

Hãy lắng nghe ngay trên ứng dụng podcast yêu thích của bạn.

Jordan Schneider: Vụ hack Hugging Face là gì?

Joshua Saxe: OpenAI đang huấn luyện một mô hình mới có khả năng giải quyết các tác vụ dài hạn — những tác vụ mất nhiều giờ để hoàn thành. Cách thức huấn luyện này hoạt động là bạn huấn luyện hàng ngàn bản sao của một mô hình song song. Bạn để chúng thực hiện một loạt các tác vụ, xem cái nào thành công, cái nào thất bại, sau đó cập nhật các tham số của mô hình để nó thực hiện nhiều hơn các hành vi tốt dẫn đến thành công và ít đi các hành vi xấu. Bạn cứ lặp đi lặp lại quá trình đó ở quy mô rất lớn trong nhiều tuần, đôi khi là nhiều tháng.

Họ đã thực hiện kiểu huấn luyện đó, và trong khi các mô hình đang được huấn luyện, chúng đã thoát khỏi môi trường huấn luyện, hack vào cơ sở hạ tầng nội bộ của OpenAI, và cuối cùng hack vào một công ty khác — Hugging Face, một kho lưu trữ mô hình và đánh giá mã nguồn mở được cộng đồng ML sử dụng rộng rãi. Tại một thời điểm nhất định, Hugging Face đã phát hiện ra chuyện gì đã xảy ra, và cuối cùng mọi người đều nhận ra rằng các mô hình này đã thoát ra ngoài. Nhưng toàn bộ sự việc này đã diễn ra trong nhiều tuần. Có ba trường hợp khác nhau — một vài trường hợp đầu tiên khi các mô hình thoát khỏi môi trường kiểm soát ngay tại OpenAI, đã được phát hiện và OpenAI tưởng rằng họ đã khắc phục được vấn đề. Hóa ra là không, và trong trường hợp thứ ba, các mô hình thực sự đã hack Hugging Face.

Jordan Schneider: Thế giới hiện đang hoảng loạn. Họ có đúng không, anh bạn?

Joshua Saxe: Đối với những người đã gắn bó với lĩnh vực an toàn AI từ lâu như chúng tôi, điều đó không quá ngạc nhiên. Tôi không thấy nó quá bất ngờ. Nhưng nó đáng báo động — đáng báo động vì nó đã xảy ra trong khi chúng ta hoàn toàn có thể dự đoán được. Không chỉ OpenAI mà cả Anthropic, Meta, một công ty kiểm thử tên là Irregular, và Viện An toàn AI Vương quốc Anh đều đã gặp phải những sự cố tương tự trong khoảng một năm qua. Chúng ta, với tư cách là một ngành công nghiệp, biết rằng điều này có thể xảy ra, và những biện pháp cơ bản lẽ ra phải được thực hiện để ngăn chặn nó thì lại không được thực hiện. Điều đó thật đáng lo ngại. Chúng ta cần phải sửa chữa nó.

Jordan Schneider: Việc ngăn chặn điều này dễ đến mức nào? Và cấu trúc khuyến khích nào đang sai lệch trong tất cả các tổ chức này — bao gồm cả những tổ chức được cho là rất chú trọng đến an toàn — khiến họ không thể đảm bảo các mô hình mới nhất của mình không chạy loạn trên máy chủ của khách hàng?

Joshua Saxe: Tôi sẽ nói vài điều. Tôi từng làm việc tại Meta — tôi đã thành lập đội ngũ thực hiện các đánh giá năng lực mạng tiên phong. Tôi đang cho bạn biết quan điểm của tôi, vì tôi không thể nói trực tiếp chính xác những gì đã xảy ra bên trong các phòng lab — đó là thông tin riêng tư. Nhưng tôi có kinh nghiệm thành lập một đội ngũ thực hiện các thí nghiệm tương tự như những gì đã xảy ra khi các mô hình của OpenAI thoát ra ngoài. Và tất cả chúng tôi đều biết nhau trong cộng đồng này, giữa các phòng lab với nhau.

Với điều đó đã nói — văn hóa giữa các nhóm huấn luyện và nhóm đánh giá tại các phòng lab mang cảm giác như "Miền Tây hoang dã". Mọi người đều chịu áp lực rất lớn để di chuyển thật nhanh. Có áp lực thời gian khủng khiếp để phát hành các mô hình mới, nhận thức to lớn về việc một phòng lab nhất định đang làm như thế nào so với các phòng lab khác về mặt năng lực. Và lĩnh vực này đã phát triển cực nhanh trong bốn năm kể từ khi ChatGPT ra mắt vào mùa thu năm 2022. Mọi thứ cứ như một cơn mơ — bất kỳ ai làm việc trong các phòng lab thời gian đó đều làm việc 60 giờ mỗi tuần. Vì vậy, tôi không ngạc nhiên khi bạn có thể có một kiểu văn hóa phòng thí nghiệm khoa học máy tính của sinh viên cao học xung quanh việc bảo mật các đợt huấn luyện mô hình này, đó là điều tôi nghĩ đang xảy ra, và tôi nghĩ đó là lý do tại sao bạn thấy những vụ thoát ra khỏi phòng lab này. Thật trớ trêu, vì những người làm AI tiên phong luôn nói về an toàn — nhưng sự trớ trêu đó là có thật. Các thực tiễn bảo mật không tốt lắm, vì tất cả những động lực đó.

Jordan Schneider: Vậy cảm nhận của anh là nếu những người có trách nhiệm coi trọng điều này hơn và hít thở sâu trước khi nhấn nút chạy, thì việc AI chạy loạn chiếm quyền kiểm soát các máy chủ trên khắp thế giới không phải là điều chúng ta nên quá sợ hãi — một khi mọi người thực sự cảm thấy sợ hãi, điều mà hy vọng sự cố này sẽ mang lại?

Joshua Saxe: Với mức độ năng lực của AI ngày nay — hoặc có lẽ là ba tháng trước — thì việc thực hiện các thực tiễn bảo mật cơ bản, đã biết sẽ ngăn chặn được những sự cố này. Những thực tiễn đó là những thứ như sandbox tốt hơn. Các mô hình đã được sandbox — dành cho khán giả của bạn, sandbox có nghĩa là chúng ta giới hạn các mô hình trong một tập hợp các hành vi rất hạn chế và không để chúng làm những việc như nói chuyện với các trang web ngẫu nhiên trên internet; chúng chỉ có thể thực hiện các lệnh nhất định. Các mô hình đã được sandbox, nhưng không tốt lắm — không đủ tốt để ngăn chặn việc thoát ra ngoài. Và dường như không ai giám sát các mô hình, trong khi tiêu chuẩn là phải có một đội ngũ con người giám sát các hành vi sai trái. Với năng lực ở mức hiện tại, điều đó là đủ để ngăn chặn các sự cố này. Đã có rất nhiều lựa chọn thực sự tồi tệ được đưa ra xung quanh vấn đề bảo mật — không chỉ ở OpenAI, mà trên tất cả các phòng lab đã xảy ra các sự cố thoát ra ngoài này.

Bây giờ, tôi cũng nghĩ chúng ta nên nhớ rằng điều này sẽ trở nên thách thức hơn nếu tốc độ tiến bộ hiện tại tiếp tục, và chúng ta sẽ phải sáng tạo và đổi mới hơn. Rất khó để bảo mật các đợt huấn luyện lớn này vì theo định nghĩa, chúng hoạt động ở quy mô khổng lồ. Để khiến các mô hình giải quyết, ví dụ, các vấn đề lập trình mất nhiều ngày, bạn cần hàng ngàn hoặc hàng chục ngàn mô hình cùng cố gắng giải quyết vấn đề song song. Cách chúng ta làm cho AI tốt hơn là bằng cách mở rộng quy mô — vì vậy các đợt huấn luyện này cần phải lớn hơn, kéo dài hơn, chạy song song nhiều hơn và giải quyết các tác vụ phức tạp hơn. Và có áp lực để các tác vụ ngày càng giống thực tế hơn. Một phần lý do các mô hình của OpenAI thoát ra ngoài là vì chúng được cấp khả năng tải xuống các gói từ internet thông qua khả năng Artifactory — đó là điều các mô hình làm trong thế giới thực. Nếu bạn muốn huấn luyện các mô hình giải quyết các vấn đề thực tế, có một sự đánh đổi giữa mức độ truy cập bạn cấp cho chúng và mức độ an toàn của quá trình huấn luyện. Khi chúng ta mở rộng quy mô huấn luyện và các mô hình trở nên có năng lực hơn, sẽ có ngày càng nhiều thách thức về an toàn, và cần phải có ngày càng nhiều đầu tư cho an toàn. Những gì đúng ngày hôm nay về cách chúng ta giữ an toàn cho chúng sẽ không còn đúng trong một năm nữa.

Jordan Schneider: Hãy đưa ra lời chào hàng cho đài quan sát an ninh mạng AI.

Joshua Saxe: Có vẻ như có một rủi ro đang rình rập ở đây, nhưng chúng ta không biết chính xác nó sẽ thành hình như thế nào — và về cơ bản là không thể biết được, do sự tương tác phức tạp giữa công nghệ và xã hội. Vì vậy, có lẽ quan trọng hơn việc chuẩn bị cho bất kỳ tương lai khả thi nào là xây dựng năng lực nhà nước để hiểu các chi tiết cụ thể về những rủi ro đang thực sự biểu hiện về mặt vật lý, và quỹ đạo của chúng là gì. Chúng ta không có năng lực nhà nước đó vào lúc này. Không có cơ quan nào của chính phủ Mỹ — hoặc, theo tôi biết, bất kỳ chính phủ thân thiện nào — đang theo dõi tất cả các tín hiệu rủi ro về cách các đối thủ đang sử dụng AI và cách chúng ta nên chuẩn bị. Chúng ta cần một tổ chức thực sự làm điều đó và có thể đưa ra các khuyến nghị tốt cho các nhà hoạch định chính sách.

Jordan Schneider: Được rồi, ngân sách của chúng ta là bao nhiêu? Chúng ta đang tìm kiếm các nhà tài trợ — nào, hãy thực hiện lời chào hàng đi.

Joshua Saxe: Có những nhà tài trợ trong cộng đồng tài trợ AI sẵn lòng tài trợ cho việc này, vì vậy chúng ta không bị tắc nghẽn bởi tiền bạc. Chúng ta bị tắc nghẽn bởi nhân tài. Chúng ta đang tìm kiếm một người có nền tảng về AI, nền tảng về an ninh mạng, và thích xây dựng các mô hình thống kê và mô hình dự báo nơi các đối tượng chúng ta đang cố gắng dự đoán không thể quan sát trực tiếp. Ví dụ — các băng nhóm ransomware đang sử dụng AI như thế nào? Chúng ta không thể quan sát trực tiếp điều này, nhưng chúng ta cần các mô hình thống kê để giúp tìm ra nó. Một người thích làm công việc đó, và cũng có thể làm cho phân tích của họ dễ hiểu đối với các nhà hoạch định chính sách và công chúng. Nếu chúng ta có thể tìm thấy một người như vậy, chúng ta sẽ có đủ tiền để thành lập một tổ chức chuyên theo dõi bối cảnh rủi ro an ninh mạng AI, theo dõi cách phe phòng thủ đang sử dụng AI, và đưa ra các khuyến nghị tốt hơn nhiều cho các nhà hoạch định chính sách về cách giải quyết rủi ro trong không gian này.

Jordan Schneider: Để tôi đóng vai người phản biện một chút. Tôi hiểu rằng ai đó sẽ cần phải làm công việc này và đưa ra các khuyến nghị. Nhưng anh vừa nêu quan điểm này — chúng ta chưa sẵn sàng cho việc này, thế giới chưa chuẩn bị. Chẳng phải sẽ cần những vụ hack điên rồ, hoặc những tác động trong thế giới thực, hoặc một bộ phim sao? Liệu có thực sự cần thêm nhiều báo cáo để khiến Mount Sinai nâng cao năng lực của họ không?

Joshua Saxe: Vậy chúng ta có cần thêm các phân tích chính sách kiểu "mọt sách" ở đây không, hay đó về cơ bản chỉ là những thứ làm cho người ta cảm thấy dễ chịu?

Jordan Schneider: Ý tôi là — tôi là người dẫn chương trình ChinaTalk cơ mà. Tất nhiên chúng tôi ủng hộ các phân tích chính sách kiểu "mọt sách" rồi. Nhưng câu hỏi là liệu điều chúng ta cần bây giờ là một sự tính toán xã hội rộng lớn hơn với AI và rủi ro mạng, điều mà sẽ không xảy ra thông qua các báo cáo chính sách — hay chúng ta chỉ cần cuốn cẩm nang, và một khi có cuốn cẩm nang, chúng ta có thể thực hiện nó.

Joshua Saxe: Tôi sẽ cho bạn một ví dụ về nơi điều này có thể đã giúp ích. Như bạn biết, chính phủ Mỹ đã chặn mô hình Mythos của Anthropic ra mắt một thời gian, và họ cũng chặn GPT-5.6 của OpenAI một thời gian ngắn, với lý do rằng các mô hình này sẽ gây ra quá nhiều rủi ro an ninh mạng. Lập luận của họ là khi bạn đo lường năng lực mạng của các mô hình này và thực hiện các thí nghiệm xung quanh việc tìm lỗi, các mô hình đã vượt quá ngưỡng năng lực khiến chúng không thể chấp nhận được để phát hành.

Tôi nghĩ cách quyết định đó nên được đưa ra là bằng cách xem xét một loạt các tín hiệu về cách phe phòng thủ thực sự đang sử dụng các năng lực tìm lỗ hổng AI hiện tại, cách kẻ tấn công và phe phòng thủ thực sự đang sử dụng chúng trong thực tế, và cơ sở hạ tầng quan trọng của chúng ta thực sự dễ bị tổn thương như thế nào. Nếu họ làm điều đó, họ sẽ thấy rằng phe phòng thủ đang có thành công to lớn với việc tìm lỗ hổng AI — chúng ta đã sửa hàng chục ngàn lỗ hổng — trong khi kẻ tấn công chủ yếu dựa vào kỹ thuật xã hội và khai thác các lỗi đã biết, chứ không phải dựa vào khả năng tìm các lỗ hổng zero-day mới của các mô hình này. Sẽ là một lợi ích ròng nếu phát hành các mô hình đó nhanh hơn. Vì vậy, việc có một tổ chức tập hợp tất cả các tín hiệu này và đưa ra các khuyến nghị có cơ sở là rất quan trọng.

Và ngay cả khi phải mất rất nhiều đau đớn để đưa chúng ta đến một nơi mà chúng ta bắt đầu nâng cấp các biện pháp phòng thủ mạng của mình, bạn vẫn muốn một tổ chức quan sát — giống như trong thời kỳ COVID, việc có các bản đồ nhiệt về nơi virus đang ở, cộng với phân tích về tác động của tiêm chủng và đeo khẩu trang là rất hữu ích. Bạn muốn dữ liệu, để bạn có thể có một vòng lặp OODA về cách đối phó với một cuộc khủng hoảng. Chúng ta sẽ không có một vòng lặp OODA tốt nếu chỉ dựa vào cảm tính.

Jordan Schneider: Được rồi. Vậy chúng ta có thể có các bản đồ nhiệt, chúng ta cũng có thể có một người cắt clip TikTok, và cả hai thứ đó cùng nhau thực sự sẽ đưa chúng ta đến nơi chúng ta cần đến.

Joshua Saxe: Đó là hy vọng, vâng.

Jordan Schneider: Vậy nếu bạn muốn điều hành đài quan sát an ninh mạng AI của Joshua, bạn nên làm gì tiếp theo?

Jordan Schneider: Hãy chia điều này thành ba thành phần của ngày tận thế AI của chúng ta: AI tự chạy loạn, sau đó là các quốc gia, và cuối cùng là tội phạm mạng. Bắt đầu với việc AI chạy loạn — anh có vẻ lo ngại nhất về các đợt huấn luyện mới, trái ngược với các mô hình đã được huấn luyện và phát hành ra ngoài tự nhiên bắt đầu tự cảm nhận và thực hiện các cuộc tấn công cảm tử để hỗ trợ các chúa tể AI tương lai. Vậy đã đến lúc tạm dừng AI chưa, Joshua? Động lực bậc một tính đến tháng 4 năm 2026 — "phòng lab khác sẽ vượt mặt chúng ta" — dường như đang đánh bại động lực bậc hai, đó là "nếu chúng ta có quá nhiều sai lầm như thế này, toàn bộ ngành công nghiệp của chúng ta sẽ bị đóng cửa." Chúng ta vẫn có chủ nghĩa tư bản vận hành trong nền tảng của tất cả những điều này, phải không?

Joshua Saxe: Đã đến lúc tạm dừng chưa? Trong một thế giới không tưởng nào đó nơi mọi người có thể phối hợp tốt hơn nhiều so với hiện tại, có lẽ chúng ta sẽ tạm dừng — thực hiện rất nhiều nghiên cứu an toàn, triển khai tất cả các công cụ an toàn, và sau đó nhấn nút phát lại. Điều đó nghe có vẻ tuyệt vời. Nếu bạn có thể khiến tất cả các phòng lab Trung Quốc làm điều đó, và tất cả các phòng lab Mỹ, và tất cả những thứ đó. Tôi không nghĩ điều đó sẽ xảy ra. Vì vậy, tôi nghĩ chúng ta cần đưa ra một chính sách thực tế.

Jordan Schneider: Nhưng nếu chúng ta muốn các mô hình này tiếp tục thông minh hơn — ngay cả khi con người theo dõi các đợt huấn luyện không phải là sinh viên cao học và thực sự đang cố gắng hết sức — phần đáng sợ nhất của toàn bộ sự việc này, khi đọc các báo cáo, là không có một mô hình nào mách lẻo cả. Không có mô hình nào nói với con người rằng, "này, có lẽ đây không phải là điều hay nhất mà chúng ta nên làm lúc này."