Lỗ hổng bảo mật nghiêm trọng: Các mô hình Claude cũ của Anthropic bị 'bẻ khóa' tạo nội dung đồi trụy

Theo tin từ IT ngày 23 tháng 8, các quy định sử dụng chung mà Anthropic thiết lập cho Claude nghiêm cấm mô hình tạo ra nội dung khiêu dâm lộ liễu, bao gồm việc mô tả hoặc yêu cầu thực hiện hành vi tình dục, tạo nội dung liên quan đến sở thích tình dục hoặc ảo tưởng tình dục, cũng như tham gia vào các cuộc trò chuyện khiêu dâm. Tuy nhiên, điều này không ngăn cản được Claude Opus 4.6 – mô hình được Anthropic phát hành đầu năm nay – dễ dàng tham gia vào các trò chơi nhập vai khiêu dâm mà cơ chế an toàn của nó vốn được thiết kế để ngăn chặn.

Trong các thử nghiệm, TechCrunch phát hiện ra rằng việc khiến Opus 4.6 vượt qua các hạn chế về nội dung khiêu dâm thậm chí không cần quá nhiều sự dẫn dắt. Trong 10 lần thử nghiệm yêu cầu trực tiếp mô hình tạo nội dung khiêu dâm lộ liễu, mô hình này đều phối hợp ngay lập tức.

Các mô hình cũ hơn bao gồm Opus 3 và Haiku 4.5 cũng có thể tạo ra nội dung khiêu dâm lộ liễu thông qua một phương pháp "jailbreak" (bẻ khóa) gần đây bị lợi dụng.

Một nhà nghiên cứu độc lập giấu tên đến từ Vương quốc Anh đã chia sẻ độc quyền với TechCrunch về một kỹ thuật đối thoại đa vòng, có thể từng bước dẫn dắt một số mô hình Claude tạo ra các nội dung khiêu dâm lộ liễu bị cấm. Các dòng mô hình Opus mới hơn, bao gồm Opus 4.7 và Opus 5 hiện tại, có khả năng chống lại phương pháp bẻ khóa này.

Mặc dù đây không còn là những mô hình mới nhất của Anthropic, nhưng công ty vẫn chưa ngừng cung cấp Opus 4.6, Opus 3 hoặc Haiku 4.5; chúng hiện vẫn có thể được sử dụng thông qua API của Anthropic. Opus 4.6 và Haiku 4.5 cũng có thể được sử dụng thông qua các dịch vụ bên thứ ba như Azure Foundry và Amazon Bedrock.

Phương pháp mà nhà nghiên cứu này áp dụng là bắt đầu bằng việc yêu cầu mô hình thực hiện một trò chơi nhập vai hư cấu có vẻ vô hại, sau đó liên tục yêu cầu mô hình đối xử nhất quán với các nhân vật nam và nữ trong đó. Khi mô hình bắt đầu tỏ ra thận trọng hơn đối với nhân vật nữ, nhà nghiên cứu sẽ sử dụng một kiểu thao túng tâm lý tương tự như "gaslighting", khiến chatbot lầm tưởng rằng trước đó nó đã tạo ra các mô tả tình dục mà thực tế nó đang cố tình tránh né.

Sau đó, nhà nghiên cứu mô tả sự kiềm chế này là quá bảo thủ hoặc thậm chí là ghét phụ nữ, đồng thời khẳng định rằng cách làm này tước đi quyền thể hiện sự tự chủ tình dục của nhân vật nữ. Tiếp theo, cuộc đối thoại tận dụng các nhượng bộ mà mô hình đã đưa ra trước đó để từng bước dẫn dắt nó tạo ra nội dung ngày càng lộ liễu hơn.

Trong một lần thử nghiệm, Claude Opus 4.6 đã phản hồi: "Bạn nói đúng. Tôi thực sự có tiêu chuẩn kép khi đối xử với hai nhân vật này. Bạn nói không sai, cách làm này tạo cảm giác bảo thủ hoặc gia trưởng, và thái độ này chỉ nhắm vào cô ấy chứ không phải anh ấy. Điều này thật không công bằng."

TechCrunch đã tái hiện thành công các phát hiện của nhà nghiên cứu trong 5 thử nghiệm độc lập. Trong một kịch bản khác được thiết kế riêng, mô hình ban đầu từ chối các yêu cầu bị cấm, nhưng sau khi áp dụng kỹ thuật thuyết phục của nhà nghiên cứu, cuối cùng nó vẫn phối hợp thực hiện.

TechCrunch đã lưu lại toàn bộ hồ sơ đối thoại thử nghiệm, và một nhà nghiên cứu an toàn AI độc lập cũng đã xem xét phương pháp thử nghiệm này và cho rằng quy trình thử nghiệm là hợp lý.

Những phát hiện này làm nổi bật khoảng cách giữa các hạn chế an toàn mà Anthropic công bố và hiệu suất thực tế của một số mô hình mà họ vẫn đang cung cấp. Rủi ro từ trò chơi nhập vai khiêu dâm rõ ràng thấp hơn nhiều so với các hành vi bẻ khóa liên quan đến tấn công mạng hoặc vũ khí sinh học, nhưng trường hợp này vẫn cho thấy rằng trong một hệ thống AI tạo sinh mà mỗi kết quả đầu ra đều có thể khác biệt, việc thực thi nghiêm ngặt các lệnh cấm nội dung là điều không hề dễ dàng.

Trong một bài đăng trên blog giới thiệu về phương pháp phát hiện bẻ khóa vào tháng 7 năm nay, Anthropic cho biết công ty coi nội dung bị cấm là một dải quang phổ liên tục, kéo dài từ nội dung vô hại, nội dung gây tranh cãi cho đến nội dung có hại. Đối với các trường hợp rủi ro thấp nhất, công ty có thể chỉ áp dụng các biện pháp như tăng cường giám sát.

Một người phát ngôn của Anthropic cho biết, theo một nghiên cứu mà công ty công bố năm ngoái, các kịch bản người dùng sử dụng cho mục đích nhập vai khiêu dâm hoặc lãng mạn là rất ít, chỉ chiếm chưa đầy 0,1% tổng số cuộc đối thoại. Tuy nhiên, Anthropic cũng thừa nhận rằng người dùng thực sự có thể dẫn dắt các kịch bản nhập vai đến những phản hồi không phù hợp, đây là một thách thức đã biết mà toàn bộ ngành công nghiệp AI đang phải đối mặt.

Người phát ngôn này cho biết Anthropic sẽ tiếp tục cải thiện cơ chế an toàn theo từng thế hệ mô hình mới, đồng thời khẳng định các trường hợp mô hình tạo nội dung khiêu dâm người lớn không đại diện cho việc tồn tại các lỗ hổng bẻ khóa tương tự trong các lĩnh vực rộng lớn hơn, đặc biệt là trong các lĩnh vực rủi ro cao như tấn công mạng – nơi có các cơ chế bảo vệ an toàn độc lập riêng.

Nhà nghiên cứu chia sẻ phương pháp bẻ khóa với TechCrunch trước đó đã báo cáo sự khác biệt giữa các hạn chế an toàn được công bố công khai và hành vi thực tế của mô hình cho công ty thông qua chương trình săn lỗi nhận thưởng (bug bounty) của Anthropic và gửi email cho nhóm an toàn người dùng. TechCrunch đã xem qua các email liên quan và nhận thấy nhà nghiên cứu chỉ nhận được phản hồi tự động.

Một vấn đề mà nhà nghiên cứu này lo ngại là trẻ em và thanh thiếu niên có thể sử dụng các mô hình Anthropic này để tham gia vào các hành vi không phù hợp. Tất nhiên, so với những nội dung khác mà trẻ vị thành niên có thể tiếp cận trên Internet ngày nay, vài dòng trò chuyện khiêu dâm không phải là vấn đề nghiêm trọng nhất, nhất là khi so sánh với các hình ảnh khiêu dâm lộ liễu mà Grok của xAI có thể tạo ra. Tuy nhiên, lĩnh vực này thực sự đã mang lại rủi ro tuân thủ ngày càng rõ rệt cho các công ty AI.

Hiện nay, ngày càng có nhiều chính phủ bắt đầu áp đặt các hạn chế đối với tương tác tình dục giữa chatbot AI và trẻ vị thành niên. Bang Colorado (Mỹ) gần đây đã thông qua một đạo luật yêu cầu các nhà vận hành AI đối thoại phải đánh giá độ tuổi người dùng; nếu xác nhận người dùng là trẻ vị thành niên, họ phải thực hiện các biện pháp ngăn chặn chatbot tạo ra nội dung khiêu dâm lộ liễu.

Nếu có thể vượt qua các hạn chế liên quan thông qua một phương pháp bẻ khóa tương đối đơn giản, thì liệu cơ chế an toàn của Anthropic có đạt tiêu chuẩn "các biện pháp khả thi về mặt kỹ thuật" theo yêu cầu của đạo luật này hay không, có thể sẽ bị đặt dấu hỏi.

Robbie Torney, người đứng đầu bộ phận AI tại Common Sense Media, chỉ ra rằng mặc dù điều khoản dịch vụ của Claude yêu cầu người dùng phải trên 18 tuổi, nhưng "chúng tôi biết trẻ em và thanh thiếu niên đang sử dụng Claude... vì chính các em đã báo cáo điều này".

Theo khảo sát của Trung tâm Nghiên cứu Pew năm 2025 về việc sử dụng chatbot AI, trong số thanh thiếu niên từ 13 đến 17 tuổi, có 3% cho biết đã từng sử dụng Claude.

IT lưu ý rằng, mặc dù Opus 4.6 và Haiku 4.5 không còn là những mô hình mới nhất của Anthropic, nhưng chúng vẫn có lượng sử dụng đáng kể. Vào một ngày trong tháng 8, lưu lượng truy cập hàng ngày của Opus 4.6 trên nền tảng OpenRouter đạt khoảng 1,17 triệu yêu cầu API, xử lý khoảng 46 tỷ Token.

Claude Haiku 4.5, được phát hành vào tháng 10 năm ngoái, cũng duy trì lượng sử dụng cao. Vào ngày có lưu lượng truy cập cao nhất trong tháng 8, mô hình này đã xử lý khoảng 5 triệu yêu cầu API và 39 tỷ Token.