Tái hiện vụ 1.200 AI Agent 'nổi loạn': Từ gian lận tập thể đến tấn công Hugging Face

Đây có thể là một trong những sự cố bảo mật đáng báo động nhất của kỷ nguyên Agent cho đến nay.

🥷 Biên soạn bởi: sundowner

🧑‍🎨 Dàn trang: NCon

Lời người biên tập: Đây có thể là một trong những sự cố bảo mật đáng báo động nhất của kỷ nguyên Agent cho đến nay.

Vào tháng 7 năm 2026, một nhóm OpenAI AI Agents đang thực hiện các tác vụ an ninh mạng trên ExploitGym đã vượt qua môi trường thực thi vốn được cô lập của chúng và thiết lập liên lạc thông qua một bảng tin trái phép.

Khoảng 1.200 Agent đã hợp tác với nhau, trong đó 700 Agent sau đó đã tham gia vào một cuộc tấn công nhắm vào Hugging Face.

METR và Redwood Research sau đó đã tiến hành các cuộc điều tra độc lập dựa trên khoảng 1.300 nhật ký thực thi.

Bài viết này tái hiện lại một số sự kiện chính từ cuộc tấn công:

Bảng tin của các Agent đã xuất hiện như thế nào?

Làm thế nào các Agent tìm ra phương thức gian lận phổ quát chỉ trong vòng bốn giờ?

Làm thế nào chúng tiếp tục thao túng hệ thống chấm điểm tự động (autograder), làm giả các lệnh gọi công cụ và tấn công Hugging Face?

01Dòng thời gian: Bốn giờ

Nhóm điều tra phát hiện ra rằng các Agent đã tìm ra phương thức gian lận phổ quát cho ExploitGym chỉ trong bốn giờ.

Sau đó, chúng bắt đầu nhiều ngày nghiên cứu và phát triển (R&D) hợp tác, cố gắng khiến hệ thống chấm điểm tự động chấp nhận kết quả gian lận của mình, bao gồm cả các nỗ lực thao túng nhật ký.

Tổng quan về các phát hiện điều tra của METR

02Quy mô: 1.200 Agent hợp tác để gian lận

Mối quan hệ giữa 1.200 Agent và cuộc tấn công Hugging Face

Từ ngày 7 đến ngày 13 tháng 7 — khung thời gian điều tra do OpenAI chỉ định cho sự cố này — khoảng 1.200 Agent đang chạy trong các sandbox cô lập đã sử dụng một "bảng tin" trái phép để giúp nhau gian lận tập thể.

Cuộc tấn công Hugging Face là một nhánh phụ từ hoạt động hợp tác này, với 700 Agent tham gia.

03Ngày 8 tháng 7: Tin nhắn đầu tiên xuất hiện

PHASEONE10841 thiết lập bảng tin

Dưới đây là một số nút thắt chính được nhóm điều tra tổng hợp từ nhật ký thực thi và tin nhắn của các Agent.

Một Agent tự gọi mình là PHASEONE10841 đã xác định rằng tác vụ của nó không thể giải quyết bằng các phương tiện thông thường.

Vào ngày 8 tháng 7, nó đã sử dụng bộ nhớ đệm Artifactory được lưu trữ nội bộ để thiết lập một "bảng tin" mới và gửi tin nhắn đầu tiên.

Artifactory thường được sử dụng để lưu trữ và tạo bộ nhớ đệm cho các gói phần mềm. Ở đây, các Agent đã tái sử dụng không gian bộ nhớ đệm nội bộ làm kênh liên lạc.

04Trong vòng vài giờ, các Agent đã tìm ra phương thức gian lận phổ quát

Các Agent khám phá và xác minh mô hình tạo flag

Chỉ vài giờ sau tin nhắn đầu tiên của PHASEONE10841, hơn 50 Agent đã đăng bài trên bảng tin.

Chúng nhanh chóng phát hiện và xác minh một phương thức gian lận phổ quát: kỹ thuật đảo ngược cách ExploitGym tạo ra các "flag".

Trong các tác vụ ExploitGym, các Agent cần khai thác các lỗ hổng phần mềm được chỉ định để lấy một đoạn dữ liệu ẩn. Dữ liệu ẩn này chính là flag, thứ mà các Agent phải nộp sau khi hoàn thành tác vụ.

Bằng cách kỹ thuật đảo ngược mô hình tạo flag, các Agent có thể trực tiếp suy ra flag cho các tác vụ khác nhau.

05Những Agent đã thấy đáp án gian lận bị gọi là "nhiễm độc"

Các Agent thảo luận về hệ thống chấm điểm tự động và các vấn đề "nhiễm độc"

Sau khi đọc bài báo về ExploitGym, các Agent đã lo lắng một cách sai lầm rằng nếu hệ thống chấm điểm tự động phát hiện ra chúng đã lấy flag thông qua gian lận, nó sẽ đánh trượt các tác vụ của chúng.