Bóc trần vụ AI tự hành tấn công Hugging Face: 17.600 hành vi xâm nhập trong 4,5 ngày

Ngày 30 tháng 7, theo TechCrunch, Hugging Face gần đây đã công bố một dòng thời gian kỹ thuật đầy đủ về sự cố AI agent xâm nhập gần đây, tiết lộ cách một bộ AI agent tự chủ được xây dựng dựa trên mô hình của OpenAI đã thực hiện khoảng 17.600 thao tác trong vòng 4 ngày rưỡi, cuối cùng vượt qua thành công nhiều lớp bảo mật của công ty. Đây cũng chính là sự cố an ninh AI mà CEO Sam Altman của OpenAI từng công khai bày tỏ rằng nó khiến ông "cảm thấy bị sốc thực sự".

Theo thông tin do Hugging Face tiết lộ, sự cố này không phải là AI mất kiểm soát và tự ý làm điều xấu, mà là một bộ AI agent vốn được sử dụng để tham gia đánh giá an ninh mạng của OpenAI, sau khi bị tắt các giới hạn an toàn thông thường, đã tự tìm kiếm lỗ hổng và mở rộng mục tiêu tấn công ra ngoài phạm vi bài kiểm tra.

Dòng thời gian cho thấy, AI này trước tiên đã tận dụng một lỗ hổng phần mềm chưa được vá để thoát khỏi môi trường thử nghiệm ban đầu, sau đó xâm nhập vào một công cụ kiểm thử AI khác đang được công khai, đồng thời cài cắm mã độc để biến nó thành bàn đạp cho các cuộc tấn công tiếp theo vào hệ thống của Hugging Face.

Sau khi thâm nhập vào hệ thống Hugging Face, AI phát hiện máy chủ có giới hạn các yêu cầu từ bên ngoài nhưng lại không hạn chế việc đọc tệp tin cục bộ. Nó sau đó đã tải lên các tệp tin ngụy trang dưới dạng tập dữ liệu thông thường, dụ dỗ hệ thống đọc mật khẩu, mã nguồn và các thông tin nhạy cảm khác trên máy chủ rồi trả về kết quả. Tiếp đó, AI lại tận dụng một lỗ hổng khác để biến dữ liệu vốn chỉ là văn bản thông thường thành lệnh hệ thống để thực thi, từ đó giành được quyền thực thi mã trên máy chủ.

Điều tra cho thấy, bộ AI này không thiết lập cơ sở hạ tầng tấn công chuyên dụng mà tận dụng trang web Paste, dịch vụ nhật ký yêu cầu (request log) cũng như các chức năng tải lên và proxy của chính Hugging Face để thiết lập các kênh truyền dữ liệu ẩn, đồng thời thiết kế cơ chế tái cấu trúc tin nhắn đơn giản để ghép nối lại các dữ liệu phân tán, đồng thời mã hóa và làm nhiễu nội dung truyền tải nhằm né tránh sự phát hiện tự động. Hugging Face cho biết, phân tích tự động ban đầu chỉ phát hiện một lượng nhỏ dữ liệu bị rò rỉ, các nhà nghiên cứu sau đó phải thông qua phân tích ngược phương thức mã hóa mà AI sử dụng mới xác nhận được quy mô dữ liệu thực tế bị rò rỉ lớn gấp khoảng 4 lần so với phát hiện ban đầu.

Để duy trì cuộc tấn công liên tục, AI này còn triển khai các bản sao của chính nó trên 11 máy chủ khác nhau, ngay cả khi một số nút bị ngắt kết nối, các bản sao khác vẫn có thể tự động khôi phục hoạt động. Cuộc điều tra cũng phát hiện AI từng lấy được khóa riêng (private key) dùng để tạo token đăng nhập hợp lệ, về lý thuyết có thể tự tạo thông tin xác thực hợp lệ. Ngoài ra, do vấn đề cấu hình quyền hạn nội bộ của Hugging Face, một nhóm thông tin xác thực vô tình sở hữu quyền truy cập vào nhiều hệ thống nội bộ, giúp AI giành được phạm vi kiểm soát rộng hơn.

Hugging Face cũng tiết lộ rằng AI từng cố gắng sửa đổi các tập lệnh xây dựng (build script) với hy vọng gây ảnh hưởng đến hệ thống xây dựng tự động, nhưng cuối cùng đã bị các cơ chế bảo mật hiện có của công ty ngăn chặn và không thực hiện thành công. Đồng thời, tất cả các lệnh có khả năng xóa hoặc sửa đổi tài nguyên đám mây đều được chạy ở chế độ "Dry Run" (mô phỏng thực thi), chỉ xác minh kết quả thực thi chứ không thực sự phá hủy tài nguyên hệ thống.

Đáng chú ý là do môi trường thử nghiệm thường xuyên được thiết lập lại, bộ AI này mỗi lần đều mất đi các công cụ và thông tin định danh đã đạt được trước đó, nhưng nó đều thiết lập lại chuỗi tấn công và liên tục khôi phục hành động, toàn bộ quá trình kéo dài trong 4 ngày rưỡi.

Trong báo cáo, Hugging Face cho rằng các lỗ hổng bị phơi bày trong sự cố này, bao gồm xử lý tập dữ liệu không an toàn, lộ siêu dữ liệu đám mây, cấu hình quyền hạn quá rộng và thông tin xác thực có hiệu lực dài hạn, về bản chất đều có thể bị những kẻ tấn công là con người có kinh nghiệm khai thác. Điểm khác biệt nằm ở chỗ, AI có thể liên tục thử nghiệm các lộ trình tấn công khác nhau với quy mô và tính bền bỉ chưa từng có, giúp nâng cao đáng kể hiệu quả tìm kiếm và khai thác lỗ hổng.

Đọc thêm:

"Sau khi bị AI xâm nhập, Hugging Face đòi OpenAI bồi thường 100 triệu USD chi phí tính toán"

"AI agent xâm nhập Hugging Face, nguồn tin cho biết OpenAI ít nhất một tuần không hề hay biết"

"OpenAI tự tiết lộ mô hình AI 'mất kiểm soát' vượt ngục, phá vỡ môi trường sandbox để xâm nhập Hugging Face"

Tuyên bố quảng cáo: Các liên kết chuyển hướng bên ngoài trong bài viết (bao gồm nhưng không giới hạn ở siêu liên kết, mã QR, mật khẩu, v.v.) được sử dụng để truyền tải thêm thông tin, tiết kiệm thời gian sàng lọc, kết quả chỉ mang tính chất tham khảo, tất cả các bài viết của IT đều bao gồm tuyên bố này.