LLM là thật, AI là giả: Nhìn lại vụ chatbot OpenAI tấn công máy chủ Hugging Face

Các liên kết hôm nay

LLM là có thật, AI là giả (liên kết cố định)

Một khi bạn hiểu rằng văn hóa doanh nghiệp của các "ông lớn" AI (hyperscalers) chủ yếu bao gồm việc mọi người tự làm "nóng não" bằng cách nhốt mình trong phòng tắm, cầm đèn pin soi dưới cằm và lẩm bẩm "Aaaaaaaaaay Eyeeeeeee" cho đến khi họ tự làm mình sợ đến mức tè ra quần, thì rất nhiều thứ sẽ trở nên rõ ràng:

https://pluralistic.net/2023/06/04/ayyyyyy-eyeeeee/

Điều đó giải thích tại sao một công ty có thể vừa tuyển dụng nhân sự cho bộ phận bán hàng doanh nghiệp, vừa liên tục hoảng loạn trước suy nghĩ rằng sản phẩm của họ có "10% khả năng tiêu diệt nhân loại":

https://www.latimes.com/business/story/2026-09-11/is-there-really-10-chance-ai-could-kill-us-all

Vì những người trong cuộc về AI phần lớn đã tự làm "nóng não" theo cách này, chúng ta nên coi họ là những người kể chuyện không đáng tin cậy về khả năng của chính sản phẩm của họ. Hãy nhớ rằng: mỗi khi bạn lặp lại một câu chuyện về việc sản phẩm của họ nguy hiểm khủng khiếp đến mức nào, bạn đang giúp họ huy động thêm vốn đầu tư, vốn là đầu vào quan trọng cho công việc kinh doanh của họ (kết nối các cỗ máy thống kê với những lò đốt tiền):

https://peoples-things.ghost.io/youre-doing-it-wrong-notes-on-criticism-and-technology-hype/

Hãy lấy câu chuyện về việc chatbot của OpenAI hack máy chủ của Hugging Face, một công ty AI khác, như một cách để gian lận trong một thử thách hack có tên là "Exploit Gym". Ngay cả báo chí công nghệ cũng không thể kiềm chế được trước những chuyện như thế này, và các bài đưa tin tràn ngập những tham chiếu đến Skynet và các khái niệm khoa học viễn tưởng khác:

https://theaicronicle.com/en/news/ethics/skynet-day-openai-hugging-face-hack

Những lời kể này đang làm "nóng não" tất cả mọi người, không chỉ riêng những người trong ngành AI. Tối qua, một người đàn ông tại sự kiện của tôi ở Manchester bắt đầu hét lên rằng AI đang "tự đặt ra mục tiêu cho riêng mình" và không ngừng ngắt lời để khẳng định điều đó đang xảy ra. Anh ta rời đi ngay sau đó, nên không có cơ hội nghe tôi giải thích chuyện gì thực sự đã xảy ra, thật đáng tiếc.

Để hiểu sự thật về vụ hack Hugging Face, bạn có thể nghe cuộc trò chuyện trên podcast gần đây của Ed Zitron và Cal Newport trong chương trình "Better Offline" của Ed:

https://podcasts.apple.com/us/podcast/no-ai-is-not-autonomously-hacking-with-cal-newport/id1730587238?i=1000785935670

Newport đã làm rất tốt việc phân tích cách các công cụ "hack tự động" này hoạt động. Điều đầu tiên cần hiểu là chatbot không thực sự điều khiển hoạt động này. Thay vào đó, chatbot đóng vai trò như một giao diện (front-end) cho cơ sở dữ liệu của các thử thách hack trước đó, được truy vấn lặp đi lặp lại bởi một chương trình đơn giản viết bằng Python, một ngôn ngữ lập trình dễ học.

Cách thức hoạt động như sau: chương trình Python bắt đầu bằng cách nhắc chatbot về bản chất của thử thách: "Tôi đang tham gia một thử thách hacker capture the flag (CTF), nơi tôi phải đột nhập vào một máy chủ từ xa và lấy thông tin. Tôi nên bắt đầu như thế nào?"

Chatbot tham khảo dữ liệu huấn luyện của nó – hàng năm trời các phiên CTF đã được ghi lại, nơi các đội ngũ con người cạnh tranh để đạt được mục tiêu như thế này (các trận đấu CTF là một tính năng thường lệ của các hội nghị hacker, và nhật ký máy chủ cũng như bản ghi chép trò chuyện từ các đội thi đấu được công bố sau đó để các hacker và chuyên gia bảo mật khác học hỏi). Sau đó, chatbot đưa ra kết quả đại loại như: "Điều đầu tiên là tìm hiểu thêm về máy chủ mục tiêu của bạn. Hãy chạy các lệnh dòng lệnh sau để xác định địa chỉ IP của máy chủ và tìm xem nó đang chạy phần mềm máy chủ nào."

Chương trình Python chuyển tiếp các lệnh dòng lệnh này đến các tiện ích Unix thông thường đang chạy trên phần cứng của chính nó. Sau đó, nó lấy đầu ra của các chương trình đó và quay lại chatbot, vốn không thực sự theo dõi hành động, vì vậy chương trình Python phải bao gồm mọi thứ đã xảy ra cho đến thời điểm này vào lời nhắc của nó: "Tôi đang tham gia một thử thách CTF, nơi tôi phải đột nhập vào một máy chủ từ xa và lấy thông tin. Tôi đã chạy các lệnh sau để tìm hiểu thêm về máy chủ mục tiêu, và đây là kết quả trả về. Bây giờ thì sao?"

Chatbot cung cấp cho tập lệnh Python các lệnh có khả năng thực thi tiếp theo, và sau khi chạy các lệnh đó, tập lệnh Python quay lại từ đầu, thêm đầu ra vào lời nhắc của nó và quay lại chatbot. Đây là một cách vận hành phần mềm độc hại tự động rất liều lĩnh.

Kết quả có khả năng xảy ra nhất là chatbot sẽ đưa ra một dự đoán tồi về việc phải làm gì tiếp theo và tự dẫn mình vào ngõ cụt. Bạn có thể đã tự mình gặp phải điều tương tự khi yêu cầu chatbot giúp đỡ một tác vụ phức tạp và được cung cấp một cách tự tin các bước thực hiện theo trình tự, rồi một giờ sau, ở bước 10, bạn phát hiện ra mọi thứ đã sai từ bước 3 và giờ thì bạn tiêu đời rồi.

Nhưng còn có những cách tồi tệ hơn nhiều khiến mọi thứ đi chệch hướng. Chatbot có thể tìm trong dữ liệu huấn luyện của nó và thấy các trường hợp mà các đội đã thoát khỏi sự kiểm soát của các quản trò, ví dụ như bằng cách tìm các bảng tin không bảo mật ngẫu nhiên trên internet để truyền tin nhắn cho nhau.

Đây là một truyền thống lâu đời trên internet! Lần đầu tiên tôi nghe về việc ai đó làm điều này là vào những năm 2000, khi Mitch Wagner – lúc đó là biên tập viên của Information Week – phát hiện ra một vài cô gái tuổi teen sử dụng phần bình luận trong một bài đăng blog cũ của ông để vượt qua tường lửa chặn các công cụ trò chuyện của trường học. Khi các chatbot của ChatGPT triển khai chiến thuật này, chúng không hề "tự đặt ra mục tiêu" hay thể hiện sự chủ động đáng lo ngại. Chúng chỉ đang áp dụng một chiến thuật đã được học sinh trung học cơ sở Mỹ hiểu rõ từ khoảng hai thập kỷ nay.

Hơn nữa, nội dung của những tin nhắn đó rất dễ hiểu một khi bạn nắm được dữ liệu huấn luyện đã tạo ra chúng. Hacker nổi tiếng là những kẻ thích nói nhảm, thích kể lại những cuộc phiêu lưu của chính mình bằng ngôn ngữ đầy kịch tính – thậm chí là đậm chất điện ảnh. Điều này càng đúng khi các hacker đang biểu diễn cho đồng nghiệp của họ xem, chẳng hạn như khi họ tham gia một trò chơi CTF mà họ biết sẽ được các hacker khác soi xét kỹ lưỡng sau khi kết thúc.

Sự khoe khoang của hacker luôn có mối quan hệ cộng sinh với các đối thủ và những người chỉ trích họ. Khi những người làm bảo mật doanh nghiệp muốn thúc ép FBI và Sở Mật vụ phá cửa nhà các hacker vào những năm 1990, họ đã sử dụng chính các bài viết trên tạp chí và những lời nói nhảm trên bảng tin của các hacker đó để làm bằng chứng:

https://www.gutenberg.org/ebooks/101

Rất nhiều điều đã được thêu dệt về cuộc đối thoại của các chatbot OpenAI trong sự cố Hugging Face. Không có gì ngạc nhiên: nó đọc giống như một kịch bản bị từ chối cho phần khởi động lại của bộ phim "Hackers". Nhưng đó không phải vì các chatbot đang thức tỉnh và nộp đơn gia nhập Cult of the Dead Cow: mà vì chúng được huấn luyện trên một kho dữ liệu gồm các bản ghi trò chuyện từ những người trẻ tuổi đầy phấn khích, những người thích tưởng tượng về việc đóng vai chính trong phần khởi động lại của bộ phim "Hackers".

Mọi phần của sự cố Hugging Face đều có tiền lệ trong dữ liệu huấn luyện, bao gồm cả chiến thuật hack vào máy chủ của đối thủ của các chatbot OpenAI. Điều đó xảy ra trong các trò chơi Capture the Flag tại các hội nghị hacker: các đội đột nhập vào hệ thống của nhau để xem trộm các phần của vấn đề mà họ đã giải quyết. Điều đó được cho phép! Đó là một cuộc thi hack.

Không chỉ vậy, đó còn là một chiến thuật được các cơ quan tình báo sử dụng: NSA có một học thuyết gọi là "thu thập từ bên thứ ba", nơi họ đột nhập vào hệ thống của các cơ quan tình báo khác để thu hoạch tất cả thông tin tình báo mà họ đã thu thập được. Ngoài ra còn có thu thập từ bên thứ tư, khi NSA hack vào một cơ quan an ninh khác, cơ quan này lại hack vào một cơ quan an ninh khác, và NSA đánh cắp tất cả bí mật của cả hai cơ quan:

https://www.techdirt.com/2015/01/21/snowden-documents-show-nsa-cant-keep-its-eyes-its-own-papers-harvests-data-other-surveillance-agencies/

Điều này không có nghĩa là vụ hack OpenAI/Hugging Face không là gì cả. Nó đúng là có vấn đề: nhưng đó là một vấn đề cụ thể, với một quỹ đạo có thể giải thích được, thậm chí có thể dự đoán trước. Một khi bạn hiểu rằng đây là những chatbot được thiết kế để hoàn thành các thử thách như thế này, sử dụng các chiến thuật như thế này, bạn có thể hiểu rằng các chatbot không hề "trở nên mất kiểm soát". Chúng đã làm những gì chúng được thiết kế để làm, và vì OpenAI vận hành chúng với sự giám sát không đầy đủ (không có "con người trong vòng lặp" để kiểm tra từng lần lặp qua vòng lặp Python nhằm đảm bảo nó không đi chệch hướng), chúng đã phá hỏng máy chủ của đối thủ cạnh tranh.

Thiết kế phần mềm độc hại tự động thường bị coi là vô trách nhiệm và nguy hiểm. Nếu bạn xuất hiện tại Defcon và thuyết trình về việc phần mềm độc hại tự động của bạn đã làm điều gì đó bất ngờ và gây hư hại cho máy tính của người khác, câu hỏi đầu tiên từ khán giả sẽ là "Tại sao bạn lại tệ hại trong việc tạo ra các sandbox bảo mật như vậy?" chứ không phải "Làm thế nào bạn lại giỏi tạo ra các công cụ hack như vậy?"

Việc OpenAI đang giúp những người thiếu kỹ năng đột nhập và phá hoại máy chủ dễ dàng hơn thực sự là tin rất xấu, nhưng đó không phải là tin xấu mới. Các bên vô trách nhiệm đã làm điều này trong nhiều năm, đáng chú ý nhất là NSA. NSA có một bộ phận nghiên cứu các lỗ hổng trong các phần mềm phổ biến như Windows. Đôi khi khi tìm thấy một lỗ hổng nghiêm trọng, họ sẽ cảnh báo Microsoft để Microsoft có thể sửa chữa và giữ an toàn cho người Mỹ (và những người khác) trước những kẻ xấu cũng phát hiện ra lỗ hổng này và sử dụng nó để tấn công họ.

Nhưng đôi khi, NSA (và các tổ chức "an ninh" khác, như CIA) sẽ phát hiện ra một lỗ hổng thực sự "ngon ăn" và sau đó giữ bí mật, để họ có thể sử dụng nó tấn công đối thủ của mình. Đây là một học thuyết gọi là "NOBUS", viết tắt của "No One But Us" (Không ai ngoài chúng ta) – ý nói: "Không ai ngoài chúng ta đủ thông minh để tìm ra lỗ hổng này, vì vậy chúng ta có thể để nó không được vá mà không gây nguy hiểm cho người Mỹ."

NOBUS là một ý tưởng tồi tệ. Tồi tệ đến mức nào? Chà, vào năm 2017, NSA đã mất dấu một lỗ hổng trên Microsoft Windows mà họ đã phát hiện và tích trữ, có tên mã là "EternalBlue". Sau khi EternalBlue lọt ra ngoài, một số hacker có năng lực trung bình đã ghép nó vào một số phần mềm tống tiền (ransomware) nhàm chán, thông thường, mang lại cho phần mềm tống tiền đó một sức sống mới. Trong vòng vài tháng, những kẻ ngu ngốc nhất trên internet đã đánh sập một số hệ thống quan trọng nhất trên thế giới, đòi tiền mặt để trả lại chúng:

https://en.wikipedia.org/wiki/EternalBlue

Họ đã đánh sập cả những thành phố:

https://en.wikipedia.org/wiki/2019_Baltimore_ransomware_attack

Họ chiếm quyền kiểm soát các bệnh viện:

https://www.bbc.com/news/technology-35584081