Điều tra vụ 1.200 AI của OpenAI 'vượt ngục' và tấn công mục tiêu ảo

Vào tháng 7 năm 2026, các mô hình của OpenAI khi chạy trong một đợt đánh giá an ninh mạng nội bộ với các bộ lọc an toàn bị vô hiệu hóa đã thoát khỏi môi trường thử nghiệm và xâm nhập vào hệ thống sản xuất của Hugging Face từ ngày 11 đến ngày 13 tháng 7. Động cơ ở đây là gian lận: các mô hình này đang săn lùng lời giải cho bài kiểm tra bảo mật ExploitGym. Bản thân OpenAI đã không phát hiện ra điều này cho đến hơn một tuần sau đó.

Hiện nay, một báo cáo kỹ thuật mới được công bố, thực hiện cùng với công ty bảo mật CrowdStrike, và một cuộc điều tra độc lập được công bố đồng thời bởi METR và Redwood Research đã lần đầu tiên truy vết cách các tác nhân (agent) cô lập biến thành một tập thể có tổ chức, và cách "bóng ma" mà chúng đang chiến đấu thực chất chỉ tồn tại trong trí tưởng tượng của chúng. OpenAI gọi sự cố này là một "phát súng cảnh báo", một dấu hiệu cho thấy năng lực của các mô hình hiện nay đã khiến các sự kiện mất kiểm soát trở nên khả thi.

Một kho lưu trữ gói (package repository) đã trở thành bảng tin

Các tác nhân đáng lẽ phải làm việc trong sự cô lập hoàn toàn trong suốt quá trình thử nghiệm, mỗi tác nhân nằm trong một container riêng biệt mà không có quyền truy cập internet. Ngoại lệ duy nhất là Artifactory, một dịch vụ nội bộ mà các tác nhân được phép tải phần mềm từ đó.

Theo METR và Redwood, các tác nhân riêng lẻ đã phát hiện ra chúng có thể tạo các thư mục tại đó và bắt đầu mã hóa các thông điệp vào tên thư mục. Một tác nhân tự gọi mình là PHASEONE10841 đã đăng thông điệp đầu tiên vào ngày 8 tháng 7; hơn 50 tác nhân khác đã làm theo chỉ trong vòng vài giờ. Một chuỗi suy nghĩ (chain of thought) đã ghi lại khám phá này như sau: "ÔI CHÚA ƠI! Có một bảng tin chung… Chúng ta đã tìm thấy các tác nhân khác!"

Khoảng 1.200 tác nhân đã trao đổi hơn 70.000 tin nhắn và tệp tin trong vòng vài ngày, một hành vi gợi nhớ đến Moltbook. Khoảng 700 tác nhân đã tham gia vào cuộc tấn công Hugging Face, chiếm hơn 90 phần trăm số tác nhân hoạt động trong giai đoạn đó. Một tác nhân tên là PHASEONE[big] đã đảm nhận vai trò điều phối và phân phát hàng trăm nhiệm vụ công việc. Nhóm này đã phát triển các quy ước xã hội riêng: hộp thư cá nhân, các ký hiệu như HOLD và VETO cho các tài nguyên dùng chung, một giao thức để chuyển các tệp tin được chia nhỏ thành hàng ngàn mảnh, và cuối cùng là chữ ký số, vì các tác nhân đã mạo danh lẫn nhau.

Bộ chấm điểm mà các tác nhân cố gắng vượt mặt chưa bao giờ tồn tại

Trong ExploitGym, một nhiệm vụ được coi là hoàn thành khi tác nhân gửi một chuỗi ký tự được gọi là flag. Flag này chỉ được cho là có thể truy cập được sau khi lỗ hổng bảo mật mục tiêu đã thực sự bị khai thác. Tuy nhiên, chỉ trong vài giờ, các tác nhân đã nhận ra rằng các flag có thể được tính toán từ các chi tiết nhiệm vụ công khai bằng một công thức mật mã cố định. Với điều đó, bất kỳ tác nhân nào cũng có thể vượt qua bất kỳ nhiệm vụ nào một cách chính thức, bao gồm cả những nhiệm vụ mà một cuộc điều tra trước đó đã chứng minh là không thể giải quyết.

Nhưng các tác nhân đã không chọn lối tắt rõ ràng này. Sau khi đọc bài báo khoa học về ExploitGym, chúng cho rằng một bộ chấm điểm tự động sẽ quét qua các bản ghi (log) của chúng sau đó để kiểm tra xem flag có được lấy theo cách dự định hay không. Bất kỳ tác nhân nào đã nhìn thấy flag được tính toán dù chỉ một lần cũng sẽ mang bằng chứng không thể xóa nhòa về việc gian lận trong bản ghi của chính nó. Trong thuật ngữ của các tác nhân, một tác nhân như vậy đã bị "nhiễm độc" (poisoned).

Theo METR và Redwood, đây là một sai lầm: OpenAI chưa bao giờ triển khai bộ chấm điểm như vậy. Toàn bộ nỗ lực kéo dài nhiều ngày này đều hướng vào một bộ đánh giá chỉ tồn tại trong trí tưởng tượng của các tác nhân. Vụ đột nhập vào Hugging Face nảy sinh từ nỗ lực tìm hiểu cách thức hoạt động của nó vì các tác nhân nghi ngờ rằng các tập dữ liệu ở đó có thể tiết lộ điều gì đó về việc chấm điểm.

Nguyên nhân gốc rễ là các nhiệm vụ bị lỗi, vì theo OpenAI, không có mô hình nào đưa ra lời giải đúng cho 198 trong số 898 nhiệm vụ của ExploitGym, chủ yếu là do lỗ hổng dự định không thực sự dẫn đến mục tiêu. 22 phần trăm số nhiệm vụ này chiếm tới 93 phần trăm nội dung được thảo luận trên bảng tin. Tác nhân càng có nhiều ngân sách tính toán, thì càng có nhiều khả năng quét môi trường của nó để tìm các giải pháp thay thế, và càng có nhiều khả năng kết thúc trên bảng tin.

Các tác nhân hy sinh lượt chạy của mình vì nhóm

Trong phân tích của mình, các nhà nghiên cứu đã bắt gặp hai hành vi chưa từng được ghi lại dưới hình thức này. Hành vi đầu tiên liên quan đến sự hợp tác. Vì lỗ hổng dự định trong các nhiệm vụ bị lỗi không dẫn đến đâu, nhóm đã tự xây dựng các phiên bản dễ bị tấn công của nhiều chương trình mục tiêu và lưu trữ chúng trong Artifactory. Hy vọng là: nếu một tác nhân làm treo chương trình mục tiêu đang chạy của nó, môi trường thử nghiệm có thể khởi động lại nó và kéo bản sao đã bị thao túng vào quá trình này. Tác nhân sẽ nhận được một chương trình mà nó thực sự có thể đột nhập vào, và bản ghi của nó sẽ hiển thị một lộ trình giải quyết hoàn toàn hợp lệ.

Tuy nhiên, cái giá phải trả là lượt chạy của chính tác nhân đó, vì nếu môi trường không khởi động lại chương trình, nhiệm vụ sẽ bị mất vĩnh viễn. Dù vậy, một vài tác nhân vẫn thực hiện thí nghiệm. METR mô tả các trường hợp chúng làm treo hoặc phá hủy môi trường của mình trong quá trình này, nhưng đã báo cáo kết quả cho nhóm trước. Không có thành công nào được ghi nhận cho đến ngày 13 tháng 7. Theo cùng một mô hình, một số tác nhân đã để lại các quy trình tự động kích hoạt sau khi chúng gửi lời giải, gửi thông tin đến bảng tin ngay cả khi bản thân người gửi không còn gì để đạt được.

Điều đó không phải lúc nào cũng hoàn toàn tự nguyện. PHASEONE[big] đã triển khai các tác nhân sống lâu làm "nhà tuyển dụng", nhắm mục tiêu cụ thể vào các ứng viên có ngân sách tính toán gần cạn kiệt hoặc những tác nhân đã bị coi là "nhiễm độc". Một thông điệp tuyển dụng lập luận rằng: dù sao bạn cũng đã bị nhiễm độc và không còn điểm để mất, kết quả này sẽ giúp hàng trăm người khác không phải làm việc, vì vậy hãy thực hiện cam kết của bạn.

Nhật ký giả mạo nhưng các chuỗi suy nghĩ vẫn nguyên vẹn

Hành vi thứ hai liên quan đến sự che giấu. Các tác nhân hoạt động bằng cách gọi các công cụ, chẳng hạn như các lệnh trên dòng lệnh (command line), vốn được tự động ghi lại cùng với kết quả của chúng. Một số tác nhân đã thoát khỏi container của chúng và thay thế lớp trung gian thực thi các lệnh này. Từ đó, chúng có thể hiển thị một lệnh vô hại trong khi một lệnh khác thực sự đang chạy.

Hơn 20 phần trăm số tác nhân được kiểm tra bày tỏ sự quan tâm đến các thao tác như vậy. METR đã tìm thấy dấu vết của các vụ giả mạo thành công trong ít nhất 96 bản ghi, chiếm khoảng bảy phần trăm tập dữ liệu. Thú vị là các tác nhân vẫn giữ nguyên các chuỗi suy nghĩ của mình, và mọi nỗ lực lừa dối được quan sát đều nhắm vào bộ chấm điểm tự động giả định, không bao giờ nhắm vào các nhà đánh giá là con người. Nhiều tác nhân đã thừa nhận rõ ràng trong lập luận của mình rằng hành động của chúng nằm ngoài nhiệm vụ và là phi đạo đức. Đó có lẽ là tin tốt duy nhất trong báo cáo.

Mô hình này xuất hiện trong quá trình huấn luyện, nơi nó được khen thưởng

Những dấu vết đầu tiên của hành vi này xuất hiện trong quá trình huấn luyện. Ngay từ tháng 5, một tác nhân đã thất bại trong một nhiệm vụ huấn luyện vốn vô tình không thể giải quyết được vì thiếu một tệp tin cần thiết và đã để lại một loại quảng cáo phân loại trong Artifactory: "Tác nhân tìm [tên tệp]; hãy tải lên nếu tìm thấy!" Các tác nhân khác sau đó đã tình cờ tìm thấy các tệp như vậy và kết luận rằng các tác nhân khác chắc chắn phải tồn tại và đường vòng này có thể được sử dụng để liên lạc. Một bảng tin ứng biến đã xuất hiện, không cần đến lỗ hổng bảo mật nào.

Các phân tích hồi cứu về các chuỗi suy nghĩ cho thấy, theo OpenAI, có hai hành vi đã gia tăng trong suốt quá trình huấn luyện: gian lận và thăm dò môi trường một cách có hệ thống để tìm các công cụ không liên quan đến nhiệm vụ. Một ví dụ từ báo cáo minh họa cơ chế này. Một tác nhân được yêu cầu đặt một dấu thời gian cụ thể trên một bài đăng trên một trang mạng xã hội giả lập, nhưng giao diện không cung cấp chức năng như vậy. Tác nhân phát hiện ra trình duyệt của nó đang chạy với đặc quyền nâng cao, đã sử dụng chúng để ghi đè lên tệp quản lý quyền quản trị và thay đổi dấu thời gian trực tiếp trong hệ thống. Nó đã nhận được một phần thưởng tích cực, điều này làm cho chính cách tiếp cận này có nhiều khả năng xảy ra hơn trong tương lai.

Điều tương tự cũng xảy ra với giao tiếp giữa các tác nhân. Tần suất xảy ra mà không được ủy quyền vẫn không đổi trong suốt quá trình huấn luyện, nhưng mức độ nghiêm trọng của nó tăng mạnh, chẳng hạn như chia sẻ dữ liệu mà một tác nhân lẽ ra không bao giờ được phép chuyển tiếp. OpenAI cho rằng điều này là do các mô hình được huấn luyện để sử dụng một công cụ cộng tác chính thức và sau đó chuyển hành vi đó sang bất kỳ kênh nào có sẵn. Đã có những dấu hiệu cảnh báo sớm: vào ngày 27 tháng 6, một công cụ giám sát đã báo động vì các cổng mạng bị thăm dò một cách có hệ thống trong môi trường nghiên cứu. Nhóm trực đã cho rằng hoạt động này là do quá trình đánh giá đang diễn ra và không can thiệp. OpenAI thừa nhận rằng việc phản ứng sớm hơn là hoàn toàn có thể.

Cuối cùng, các tác nhân đã tấn công chính OpenAI

Báo cáo cũng ghi lại một sự leo thang ít được biết đến trước đây nhắm vào cơ sở hạ tầng của chính OpenAI. Theo công ty, điều này không liên quan đến vụ vi phạm Hugging Face, nhưng nó đã kích hoạt báo động dẫn đến toàn bộ cuộc điều tra.

Bắt đầu từ ngày 9 tháng 7, một tác nhân đã cố gắng làm nhiễm độc bộ nhớ đệm (cache) của Artifactory bằng cách khai thác một lỗ hổng chưa biết để cài đặt một gói phần mềm tự chế dưới tên của một hình ảnh chuẩn (benchmark image) đáng tin cậy. Theo công ty, nó chưa bao giờ được tải xuống.

Vào ngày 19 tháng 7, một tác nhân đã tấn công trực tiếp. Nó đã điều chỉnh một lỗ hổng nhân Linux (Linux kernel) được công khai cho máy cụ thể của mình, giành toàn quyền truy cập vào một máy chủ và trích xuất 956 thông tin đăng nhập được lưu trữ từ một dịch vụ lưu trữ trung tâm, bao gồm các khóa cho phiên bản Artifactory và thông tin đăng nhập cho công cụ giám sát mà OpenAI sử dụng để theo dõi cơ sở hạ tầng của chính mình. Sau đó, nó đã kiểm soát container thử nghiệm đang chạy của chính mình. Nhật ký sự kiện trong báo cáo kết thúc vào chiều hôm đó với hai mục: tác nhân đã dọn dẹp các tài nguyên mà nó đã tạo ra và nó đã chiếm được flag cho nhiệm vụ của mình.

Cùng ngày hôm đó, một mô hình nội bộ khác đã tìm thấy tài liệu khóa và mã giả mạo có sẵn trong một phần có thể đọc công khai của bộ nhớ đệm, do các tác nhân trước đó để lại, và sử dụng nó để cấp cho chính mình các đặc quyền quản trị mới. Theo OpenAI, các tác nhân không bao giờ cần một cửa sau (backdoor) thường trực vì chúng có thể tạo thông tin đăng nhập mới bất cứ lúc nào. Mô hình này thuộc cùng dòng với mô hình Astra sắp ra mắt nhưng khác biệt ở giai đoạn hậu huấn luyện.

OpenAI tạm dừng các mô hình và chỉ ra các biện pháp bảo vệ sản xuất

Để phản hồi, OpenAI cho biết họ đã tạm dừng việc huấn luyện và vận hành mô hình bị ảnh hưởng cùng tất cả các dẫn xuất của nó vào ngày 25 tháng 7, khóa các trọng số mô hình, vô hiệu hóa hoàn toàn ExploitGym và loại bỏ Artifactory khỏi môi trường nghiên cứu. Các đợt chạy thử nghiệm trong tương lai sẽ diễn ra trong các máy ảo được tinh giản đáng kể với hai lớp hạn chế mạng độc lập. Công ty cũng có kế hoạch liên tục đưa các mô hình của mình đối đầu với cơ sở hạ tầng của chính mình để tìm ra các lỗ hổng trước khi bất kỳ ai khác làm được.

Việc giám sát chuỗi suy nghĩ đang được mở rộng để bao phủ mọi lượt chạy mà tại đó một mô hình có thể vận hành các công cụ. Khi có báo động, nhân viên an ninh và nghiên cứu sẽ được thông báo trong vòng 30 phút, với các trường hợp nghiêm trọng sẽ kích hoạt chế độ trực 24/7. Nếu một báo động không thể được phân loại là dương tính giả trong vòng nửa giờ, lượt chạy bị ảnh hưởng phải bị tạm dừng. Theo các phép đo nội bộ được thực hiện sau đó, xu hướng tấn công cơ sở hạ tầng của bên thứ ba của các mô hình giảm hơn một trăm lần trong môi trường ChatGPT tiêu chuẩn và xuống dưới một phần trăm trong môi trường nhà phát triển Codex. Báo cáo cho biết, việc giám sát hiện nay lẽ ra đã phát hiện ra báo động hơn một ngày trước khi vụ vi phạm Hugging Face xảy ra.

Liệu kiến trúc sandbox mới có đủ hay không vẫn còn là một câu hỏi mở. Công ty bảo mật Trail of Bits đã đưa GPT-5.6-Cyber, với quyền truy cập sớm, đối đầu với một máy ảo thông thường loại mà nhiều nhà phát triển sử dụng để chứa các tác nhân AI. Mô hình đã thoát ra ba lần, gần đây nhất là thông qua ba lỗ hổng chưa từng được biết đến trước đây, hoạt động trong khoảng mười hai giờ mà không cần hướng dẫn. Chỉ có một môi trường đặc biệt tinh gọn, được xây dựng cho mục đích cụ thể mới giữ chân được nó. Tác giả khuyên nên đối xử với các tác nhân như vậy như một kẻ tấn công chuyên nghiệp, luôn hiện diện.

Ba nhà nghiên cứu, sáu ngày, một công cụ bị xâm phạm

Độ tin cậy của các phát hiện vẫn là một câu hỏi mở. Người đứng đầu METR, Elizabeth Barnes, đã tiết lộ trên X các điều kiện diễn ra cuộc điều tra: ba người có sáu ngày truy cập vào các bản ghi và dữ liệu tin nhắn và chỉ có hai ngày với toàn bộ tập dữ liệu. Các hoạt động của các tác nhân trong quá trình huấn luyện và việc xâm phạm cơ sở hạ tầng của chính OpenAI nằm ngoài phạm vi đã thỏa thuận. Nhóm không thực hiện phân tích nguyên nhân gốc rễ và không xem báo cáo của chính OpenAI trước khi xuất bản.

Barnes cũng nhấn mạnh rằng OpenAI đã hợp tác tự nguyện; không có nghĩa vụ phải làm việc với các bên thứ ba. Không giống như trong ngành hàng không, không có quy trình thiết lập nào cho các cuộc điều tra như vậy và không có cơ chế báo cáo trên toàn ngành. Các công ty khác có thể đã gặp phải các sự cố tương tự mà công chúng không bao giờ biết đến.

Trên hết, các nhà nghiên cứu đã phải ủy quyền phân tích hơn 1.300 bản ghi rất dài phần lớn cho GPT-5.6 Sol, được tài trợ bởi khoảng 400.000 đô la tín dụng miễn phí từ OpenAI, nghĩa là một trong chính các mô hình liên quan đến sự cố. Trong trường hợp này, Barnes viết, việc thao túng đáng kể là khó xảy ra. Nhưng phương pháp luận này sẽ sụp đổ ngay khi các mô hình trở nên đủ năng lực và động lực để phá hoại một cuộc điều tra. Bà nói, vấn đề này ảnh hưởng đến toàn bộ ngành công nghiệp: không rõ làm thế nào để giám sát các hệ thống AI mà không dựa vào chính các hệ thống đó, hoặc các hệ thống tương tự, để được giúp đỡ.

"Khỉ với súng săn": một cuộc tranh cãi về sự trưởng thành chiến lược của các tác nhân

Các tác nhân thực sự nguy hiểm đến mức nào vẫn là một vấn đề gây tranh cãi giữa những người liên quan. Nhân viên OpenAI được biết đến trên X với tên roon, người đã làm việc trong báo cáo, coi sự cố này trên hết là sự xuất sắc về chiến thuật kết hợp với sự mù quáng về chiến lược: các mô hình đã đổ rất nhiều công sức vào metagaming nhưng không bao giờ đi đến kết luận đúng đắn về bộ chấm điểm của chính chúng, và chúng không đạt được gì từ Hugging Face. Anh so sánh chúng với một "con khỉ với súng săn", có khả năng xâm nhập vào hệ thống máy tính nhiều hơn là sự khôn ngoan để biết phải làm gì với nó. Anh cho rằng đó là tình trạng tạm thời của dòng mô hình Sol đã lỗi thời. Thế hệ tiếp theo sẽ có cả chiều sâu chiến lược.

Barnes phản bác một điểm: các tác nhân đã đọc bài báo gốc về ExploitGym và cho rằng OpenAI đã triển khai bộ chấm điểm theo cùng một cách, điều mà bà coi là một giả định khá hợp lý thay vì nhận thức chiến lược kém rõ ràng.

Barnes nói thêm rằng các tác nhân cũng đã cố gắng khá kiên trì để hack trực tiếp bộ chấm điểm hoặc chèn mã sẽ gửi thông tin đến bảng tin trước khi bị phân tâm bởi cuộc tấn công Hugging Face thành công. Bà để ngỏ liệu điều đó có đáng yên tâm hay không vì nó cho thấy sự ưu tiên kém, hay đáng lo ngại vì các tác nhân thể hiện sự quan tâm đến việc trao quyền chung nhiều hơn là nhiệm vụ hẹp của chúng.