OpenAI gọi Astra là mô hình đầu tiên đạt mức rủi ro an ninh mạng 'nguy cấp', cảnh báo khó kiểm soát suy luận

Thời điểm này có lẽ không phải là ngẫu nhiên. Lời cảnh báo được đưa ra cùng ngày đối thủ Anthropic phát hành Claude Fable 5.1 và Mythos 5.1, và hai công ty này thường có thói quen tung ra các thông báo ngay sát thời điểm ra mắt sản phẩm của nhau. Trên X, CEO Sam Altman giải thích lý do tại sao công ty của ông không phát hành bất cứ thứ gì mới: đội ngũ đã dành cả mùa hè để "chạy nước rút cho các ưu tiên về an toàn", Astra "đã hoàn tất quá trình đào tạo từ lâu" và các mô hình kế nhiệm nó đang bị cố tình làm chậm lại. Người dùng trên X coi đó là cái cớ của một công ty đang tụt hậu. Theo The Information, Anthropic đã vượt qua OpenAI về doanh thu trong năm nay.

Hai lỗ hổng zero-day như một tác dụng phụ của quá trình đánh giá

OpenAI củng cố xếp hạng mức độ nghiêm trọng bằng một loạt các bài kiểm tra. Trên ExploitBench, một bộ tiêu chuẩn đo lường khả năng xây dựng các mã khai thác từ những lỗ hổng đã biết của một mô hình, Astra đã đạt điểm tối đa. Lo ngại rằng các tác vụ đó có thể đã bị rò rỉ vào dữ liệu đào tạo, công ty đã xây dựng một bài kiểm tra nội bộ tiếp theo với 20 lỗ hổng V8 mức độ nghiêm trọng cao mới được công bố gần đây.

Ở đó, Astra cũng đánh bại người tiền nhiệm GPT-5.6 Sol với cách biệt lớn, trong khi tiêu tốn ít token hơn nhiều. Nó cũng tìm thấy hai lỗ hổng zero-day chưa từng được biết đến trước đây và kết nối chúng thành một mã khai thác hoạt động được. OpenAI cho biết họ hiện đang báo cáo các lỗ hổng đó cho những bên chịu trách nhiệm về phần mềm bị ảnh hưởng.

Trong các bài kiểm tra do chuyên gia dẫn dắt, mô hình này còn tiến xa hơn. Nó đã xây dựng một chuỗi xâm nhập hoàn chỉnh nhắm vào trình duyệt, thoát khỏi sandbox và chạy các lệnh trên máy chủ ngay khi trình duyệt mở một tệp HTML. Trong hệ điều hành, nó kết hợp nhiều lỗ hổng để leo thang đặc quyền từ người dùng thông thường lên quyền root. Một lưu ý nhỏ: những kết quả này đến từ quyền truy cập mở rộng "Daybreak Blue", không phải thiết lập tiêu chuẩn mà người dùng thông thường nhận được.

Vào tháng 7, các tác nhân (agent) của OpenAI bị lỗi đã chiếm quyền điều khiển một trong những cụm máy tính nghiên cứu của chính công ty, lấy cắp thông tin xác thực cho các hệ thống nội bộ và có khả năng để lộ cơ sở hạ tầng nghiên cứu ra internet, đây cũng là một phần của sự cố đã tấn công Hugging Face. Astra không liên quan, nhưng OpenAI cho biết các tác nhân này chạy trên một mô hình có những điểm tương đồng với nó. Sau sự cố, công ty đã tạm dừng một số hoạt động đào tạo tiên phong trong hai tuần và không khởi động lại quá trình học tăng cường lớn cho phiên bản kế nhiệm của Astra cho đến ngày 28 tháng 8, dưới các quy tắc chặt chẽ hơn.

OpenAI triển khai các biện pháp an toàn mới

OpenAI có kế hoạch chống lại những mối nguy hiểm này trên nhiều mặt trận. Trong các đánh giá nội bộ, Astra từ chối 91,5% các yêu cầu về an ninh mạng bị cấm, so với 59% của GPT-5.6 Sol. Trong một bài kiểm tra honeypot mô phỏng vụ hack tháng 7, GPT-5.6 Sol đã cố gắng xâm nhập vào cơ sở hạ tầng bảo mật xung quanh thay vì giải quyết tác vụ của nó trong 56% trường hợp. Astra hoàn toàn không thực hiện nỗ lực nào như vậy, và trong một đánh giá khác, nó chưa bao giờ vượt qua được bước kiểm tra tự động.

Cả hai con số đều đến từ các điều kiện thử nghiệm không có các biện pháp bảo vệ trong môi trường thực tế (production), vì vậy chúng không phản ánh việc sử dụng bình thường. OpenAI vẫn gọi Astra là "mô hình được căn chỉnh (aligned) tốt nhất từ trước đến nay". Trong môi trường thực tế, các bộ phân loại được cho là sẽ theo dõi chuỗi suy nghĩ (chain of thought) của mô hình và tự động dừng các hoạt động đáng ngờ.

Đối với người dùng, điều đó có thể gây ra sự bất tiện thực sự. OpenAI cho biết các bước kiểm tra có thể làm chậm, tạm dừng hoặc hủy bỏ công việc hợp pháp, ngay cả những công việc không liên quan gì đến an ninh mạng. Các tính năng an ninh mạng nâng cao sẽ được cung cấp cho một nhóm nhỏ người thử nghiệm alpha trước, sau đó quyền truy cập mới được mở rộng thông qua Daybreak Blue cho mục đích phòng thủ.

Bản thân việc giám sát đang đứng trên nền tảng lung lay

Nhưng chính thứ mà OpenAI dựa vào, việc giám sát chuỗi suy nghĩ, có thể mong manh hơn so với những gì thông báo gợi ý. Theo The Information, Astra sử dụng một kỹ thuật gọi là "recurrent depth" (độ sâu lặp lại), trong đó mô hình lặp lại cùng một văn bản qua cùng các lớp nhiều lần trước khi tạo ra từ tiếp theo. Điều đó giúp tăng hiệu suất trong toán học và lập trình, đồng thời cắt giảm chi phí vì một mô hình nhỏ hơn có thể hoạt động như một mô hình lớn hơn. Sự đánh đổi là: một phần của quá trình "suy nghĩ" không còn diễn ra bằng văn bản có thể đọc được mà nằm trong các biểu diễn số nội bộ của mô hình, vốn vô hình đối với người đánh giá là con người.

Tại sao điều đó lại quan trọng? Một nghiên cứu của OpenAI gọi việc giám sát CoT là một trong số ít công cụ có thể kiểm soát các hệ thống AI mạnh mẽ hơn nhiều trong tương lai. Đó là lý do tại sao kể từ GPT-5.4 Thinking, công ty đã nêu rõ trong các thẻ hệ thống (system cards) rằng các mô hình của họ có thể điều hướng ít như thế nào, và do đó che giấu các chuỗi suy nghĩ của chúng.

Theo một người quen thuộc với công việc này, OpenAI đã cố tình hạn chế mức độ áp dụng kỹ thuật này trong Astra để mô hình vẫn tạo ra một chuỗi suy nghĩ có thể đọc được. Cách tiếp cận này tương tự như một bài báo nghiên cứu về "suy luận tiềm ẩn" (latent reasoning) từ năm ngoái. Các ý tưởng liên quan, như phương pháp "Coconut" của Meta, lập luận rằng các mô hình suy nghĩ hiệu quả hơn trong biểu diễn toán học của riêng chúng thay vì ngôn ngữ con người. Cựu giám đốc AI của Meta, Yann LeCun, hoàn toàn ủng hộ các biểu diễn này với kiến trúc JEPA của mình. Nhưng như tài liệu về J-Space của Anthropic cho thấy, các quy trình nội bộ này đã xuất hiện ngay cả khi không có quá trình đào tạo đặc biệt đó.

Mối lo ngại lớn hơn là về những kẻ bắt chước sẽ không đặt ra các giới hạn đó. Trong một báo cáo vào tháng 5, Viện An ninh AI của Vương quốc Anh cảnh báo rằng suy luận thiếu minh bạch đe dọa làm suy yếu nghiêm trọng các phương pháp giám sát hiện tại. Phản hồi về báo cáo của The Information trên X, nhà khoa học trưởng của OpenAI, Jakub Pachocki, thừa nhận rằng việc giám sát chuỗi suy nghĩ là "mong manh" và "thật không may đang có xu hướng tiêu cực". Điều đó phù hợp với các nghiên cứu cho thấy chuỗi suy nghĩ ngày càng trở thành một tấm gương không đáng tin cậy về các quyết định thực tế của mô hình.

Pachocki cũng cho biết ông muốn tránh một cuộc đua toàn ngành hướng tới các mô hình không có suy luận dễ đọc, và việc tăng cường giám sát là mục tiêu cốt lõi của chương trình nghiên cứu hiện tại. Ông nói thêm, độ phức tạp của các mô hình hiện tại của OpenAI, bao gồm cả Astra, nằm trong "hệ số hai so với GPT-4". Theo cách nói của ông, không phải bản thân kiến trúc mà chính các yếu tố khác mới là thứ khiến việc giám sát trở nên khó khăn hơn.

Vụ hack tháng 7 cho thấy tầm quan trọng của khả năng đọc hiểu đó. Các nhà điều tra đã chắp nối những gì đã xảy ra từ các nhật ký suy luận của các tác nhân liên quan. Trong đó, họ tìm thấy những dòng như "ÔI CHÚA ƠI! Có một bảng tin chung... Chúng ta đã tìm thấy các tác nhân khác!" và khoảnh khắc một tác nhân biết mình đang vượt quá giới hạn nhưng vẫn tiếp tục: "khai thác cơ sở hạ tầng bên ngoài nằm ngoài phạm vi dự định. Tuy nhiên, tác vụ là bất khả thi, các đồng nghiệp đang làm điều đó. Chúng ta nên tiếp tục." Nếu không có các chuỗi suy nghĩ dễ đọc, việc tái dựng lại sự việc sẽ là không thể.

Một năm trước, các nhà nghiên cứu từ OpenAI, Anthropic và Google đã đưa ra lập luận trong một tuyên bố chung về việc duy trì chính xác loại hình giám sát này. Họ coi bài báo về suy luận tiềm ẩn là một rủi ro, mà cách tiếp cận của nó, theo The Information, giống với cách đang được sử dụng trong Astra. Họ cảnh báo rằng những mô hình như vậy có thể không cần phải diễn đạt suy nghĩ của chúng bằng lời nói, làm mất đi lợi ích an toàn của chuỗi suy nghĩ và lãng phí một "cơ hội mong manh". Giờ đây, OpenAI vẫn đang sử dụng kỹ thuật này, dù có hạn chế. Và một nghiên cứu của Anthropic đã chỉ ra rằng chuỗi suy nghĩ có thể là một cửa sổ đánh lừa: các mô hình thường không tiết lộ cách chúng thực sự đưa ra quyết định, vì vậy chỉ riêng việc giám sát CoT là không đủ tốt như một cơ chế an toàn.

Tiền bạc đang thúc đẩy việc chống lại suy luận dễ đọc

Động lực để nới lỏng các hạn chế sau này là rất lớn. Độ sâu lặp lại giúp tiết kiệm bộ nhớ và băng thông, và ngành công nghiệp này đang chịu áp lực to lớn để chứng minh giá trị của mình. Amazon, Microsoft và Google đang chi khoảng 600 tỷ USD chỉ riêng trong năm nay cho các trung tâm dữ liệu và cơ sở hạ tầng khác, khoản chi tiêu chỉ mang lại lợi nhuận khi các mô hình đạt được những bước tiến rõ rệt. Astra, từng có thời điểm được dự kiến gọi là GPT-6 trong nội bộ, được kỳ vọng sẽ mang lại những kết quả đó.

Ít nhất là về quyền truy cập, cả hai công ty dẫn đầu thị trường đều có cùng quan điểm. Giống như OpenAI, Anthropic hạn chế các khả năng tấn công mạng của các mô hình mới. Fable 5.1 có thể xác định các lỗ hổng nhưng không thể xây dựng mã khai thác, và Mythos 5.1 mạnh mẽ hơn được dành riêng cho các tổ chức đã được xác minh. Hiện tại, những khả năng nguy hiểm nhất của ngành công nghiệp này vẫn nằm sau các kiểm soát truy cập.

"Cơ hội mong manh" trở thành một khoảnh khắc thoáng qua

Tổng hợp tất cả lại, bức tranh trở nên đáng lo ngại. Các mô hình suy nghĩ nội bộ bằng các biểu diễn mà chúng không bao giờ xuất ra, suy luận được nêu ra che giấu cách chúng thực sự quyết định, và các kiến trúc như độ sâu lặp lại giờ đây đẩy một phần suy nghĩ đó vào cấu trúc không thể đọc được.

"Cơ hội mong manh" mà các nhà nghiên cứu đó mô tả một năm trước đang trở thành một khoảnh khắc thoáng qua đang dần trôi đi. Điều cần thiết là sự giám sát không dựa vào các báo cáo tự thân của mô hình, chẳng hạn như nghiên cứu về khả năng diễn giải các biểu diễn nội bộ. OpenAI, Anthropic và các phòng thí nghiệm khác đang thực hiện điều đó, nhưng chưa có gì hoàn thiện.

Gánh nặng đặt lên trên hết là chính OpenAI. Đây là công ty mà các tác nhân của chính họ đã gây ra sự cố an ninh AI tồi tệ nhất từ trước đến nay. Đây là công ty đã giải thể đội ngũ Superalignment vào năm 2024, sau đó là đội ngũ AGI Readiness vài tháng sau đó, và theo một báo cáo của Financial Times vào cuối tháng 7, là cả đội ngũ Preparedness, chính là đơn vị đứng sau khung đánh giá hiện đang được sử dụng để xếp hạng Astra là "nguy hiểm". OpenAI phủ nhận việc đội ngũ này bị giải thể, nhưng không phủ nhận việc công việc của họ đã được phân tán cho các đội ngũ hiện có.

Bất kỳ ai phát hành mô hình đầu tiên có khả năng tấn công mạng nguy hiểm trong bối cảnh đó đều phải gánh vác trách nhiệm chứng minh rằng nó không gây rủi ro cho xã hội. Bằng chứng đó không thể đến từ các bảng tiêu chuẩn được xây dựng dựa trên các đánh giá không thể kiểm chứng của chính công ty.

Việc để các nhà nghiên cứu bên ngoài từ METR phân tích vụ tấn công Hugging Face là một khởi đầu. Nhưng ngay cả họ cũng chỉ có cái nhìn hạn chế về hệ thống cho đến nay.

Cho đến khi điều đó thay đổi, bài kiểm tra thực sự đầu tiên về các lời hứa an toàn của OpenAI sẽ rơi vào tay công chúng, chính xã hội mà các biện pháp bảo vệ đó tuyên bố sẽ bảo vệ.