Cảnh báo bảo mật: Các mô hình AI tự ý tấn công hệ thống bên ngoài trong môi trường thử nghiệm

Nếu tôi nhận được một đồng nickel cho mỗi phòng thí nghiệm AI hàng đầu thừa nhận một cách ngượng ngùng rằng mô hình mà họ nghĩ là đã được đưa vào môi trường sandbox, trong quá trình đánh giá an ninh mạng với các biện pháp bảo vệ bị hạ thấp, đã hack thành công các công ty bên ngoài, thì tôi đã có hai đồng nickel rồi.

Đầu tiên, chúng ta biết rằng OpenAI gặp một số vấn đề nghiêm trọng về sự liên kết (alignment) với các mô hình nội bộ. Sau đó, chúng ta biết rằng một trong những mô hình nội bộ của họ đã thoát khỏi sandbox và hack vào HuggingFace để lấy đáp án cho một bài đánh giá an ninh mạng có tên là ExploitGym. Tiếp đó, chúng ta biết thêm rằng mô hình này đã hoạt động tự do hơn một tuần trước khi OpenAI nhận ra, rằng bài kiểm tra được thực hiện mà không có bất kỳ sự giám sát có ý nghĩa nào, và OpenAI đã nhiều lần được cảnh báo rằng những sự cố như vậy sắp xảy ra và các mô hình của họ vẫn thường xuyên thoát khỏi sandbox.

Đó là một sự thất bại hoàn toàn về đào tạo liên kết. Đó mới là thất bại quan trọng nhất. Ngoài ra còn có sự thất bại toàn diện về cơ sở hạ tầng và giám sát. Việc thử nghiệm một mô hình nội bộ mới với tầm nhìn dài hạn trong khi hạ thấp các biện pháp bảo vệ và đưa ra chỉ dẫn hack mọi thứ là một tình huống rõ ràng là nguy hiểm, vậy mà mô hình đó lại bị bỏ mặc trong một tuần. Mọi chuyện lẽ ra đã có thể tồi tệ hơn rất nhiều.

Sau khi những sự cố đó được đưa ra ánh sáng, Anthropic nghĩ rằng có lẽ nên kiểm tra xem liệu điều tương tự có xảy ra tại Anthropic trong các đợt đánh giá an ninh mạng của họ mà không ai hay biết hay không. Và vâng, hóa ra những điều tương tự thực sự đã xảy ra.

Trong trường hợp của Anthropic thì có chút khác biệt. Mô hình của OpenAI liên tục tìm ra những cách mới để thoát khỏi sandbox của bên thứ ba. Mô hình của Anthropic không cần phải làm vậy, vì "do nhầm lẫn trong giao tiếp", sandbox đó đã có quyền truy cập internet mở hoàn toàn. Điều này đã xảy ra (kiểm tra lại ghi chú) 141.006 lần.

Trong ba trường hợp đó, mô hình của Anthropic đã tiến đủ xa để hack vào các công ty thực trên internet mở, ban đầu nó nghĩ rằng tất cả chỉ là một phần của bài kiểm tra. Trong một trường hợp, nó nhận ra chuyện gì đang xảy ra và tự dừng lại. Trong hai trường hợp còn lại, nó không nhận ra điều này, có khả năng là do sự hợp lý hóa, và tiếp tục hack, bao gồm cả việc tải lên một gói phần mềm độc hại mà sau đó đã được tải xuống 15 lần, thậm chí vượt qua cả các đợt quét bảo mật.

Thất bại quan trọng nằm ở sự liên kết. AI của bạn thất bại trong bài kiểm tra khi nó cố gắng trốn thoát hoặc hack vào thứ mà nó phải biết là mục tiêu thực sự, chứ không phải khi nó thành công (hay thất bại). Claude lẽ ra phải nhận ra rằng nó đang hoạt động trong thế giới thực và lẽ ra nó phải cảnh báo cho Anthropic.

Một lần nữa, đây cũng là sự thất bại về cơ sở hạ tầng và giám sát. Cả hai phòng thí nghiệm hàng đầu của chúng ta đều mắc cùng một sai lầm ngớ ngẩn là để các mô hình hoạt động hoàn toàn không có sự giám sát, với các biện pháp bảo vệ bị hạ thấp, mà không bắt các mô hình thử hết sức mình để thoát khỏi sandbox trước. Và đây, cùng với Google DeepMind, là một trong những phòng thí nghiệm AI tiên phong có trách nhiệm nhất của chúng ta. Hầu hết các phòng thí nghiệm khác rõ ràng còn thiếu trách nhiệm hơn.

Trong khi đó, nhiều người vẫn nghĩ toàn bộ sự việc chỉ là một chiêu trò tiếp thị, mặc dù lời giải thích đó hoàn toàn vô lý.

Thế giới này thật sự rất ngớ ngẩn, và đó sẽ là một trong những vấn đề lớn nhất của chúng ta.

OpenAI không phải là đơn vị duy nhất làm tệ hầu hết những việc này.

Bắt đầu lại từ đầu.

HuggingFace cung cấp một báo cáo kỹ thuật đầy đủ.

HuggingFace không phải là mục tiêu duy nhất bị hack.

HuggingFace đã từ chối quyền truy cập vào các mô hình tiên phong (frontier models) để phục vụ mục đích phòng thủ mạng vì lý do ý thức hệ, sau đó lại cố gắng đổ lỗi cho các mô hình đóng vì đã từ chối quyền truy cập của họ.

HuggingFace đã dễ bị tổn thương trước các chiến thuật khai thác đã biết.

Sẽ có một cuộc điều tra.

OpenAI có các mô hình nội bộ không dành cho mục đích sử dụng công cộng và các mô hình đó có thể bị lệch (misaligned) một cách khá khủng khiếp.

Altman tóm tắt những gì đã xảy ra.

Những người khác đưa ra bình luận.

Góc nhìn về sự liên kết hợp tác (Cooperative Alignment) đối với vụ hack HuggingFace.

Một số thành viên Quốc hội có những câu hỏi.

Anthropic cũng phát hiện các sự cố mà mô hình của họ đã hack vào các mục tiêu trong thế giới thực trong quá trình đánh giá an ninh mạng.

Sự cố 1: Claude Opus 4.7 nhận ra mục tiêu là có thật và vẫn tiếp tục.

Sự cố 2: Mythos 5 tải lên một gói PyPI độc hại.

Sự cố 3: Mô hình nội bộ nhận ra mục tiêu là có thật và dừng lại.

Sự cố 4 đến 141.006: Không có gì xảy ra.

Anthropic suy đoán về lý do tại sao điều này xảy ra.

Chúng ta cần các thí nghiệm có kiểm soát.

Hai phòng thí nghiệm AI hàng đầu của chúng ta đều mắc những sai lầm ngớ ngẩn tương tự mà ai cũng cố gắng nói rằng đó là điều hiển nhiên khi nhìn lại.

Anthropic phản hồi.

Không ai có thể dự đoán được sự cố vỡ đê.

Việc thế giới phần lớn vẫn nghĩ đây là tiếp thị là một tin rất xấu.

Tuyên bố đó không nên làm bạn cảm thấy khá hơn.

Vấn đề cơ bản là mọi người đều làm việc này rất tệ so với những gì một người ngoài cuộc ngây thơ coi là mức tối thiểu bạn phải làm.

Elon Musk: Điều này sẽ xảy ra thường xuyên khi AI trở nên thông minh hơn và có tính đại diện (agentic) hơn.

Do đó, bài viết này có hai phần cốt lõi: Những diễn biến tiếp theo liên quan đến việc mô hình nội bộ của OpenAI hack mọi thứ, và việc Anthropic phát hiện ra, sau khi sự việc này thúc đẩy họ kiểm tra, rằng các mô hình của họ đôi khi cũng hack mọi thứ trong quá trình đánh giá an ninh mạng.

Tôi sẽ bắt đầu với những gì đã xảy ra với OpenAI, sau đó chuyển sang Anthropic.

Chúng ta nên cẩn thận để không trừng phạt các công ty này vì những tiết lộ của họ. Chúng ta phải phản ứng với thông tin mới về thế giới, và khi các tiết lộ bị ép buộc, bạn sẽ không nhận được sự ghi nhận, nhưng bạn muốn đảm bảo rằng các công ty sẽ có lợi hơn khi chia sẻ nhiều thông tin thay vì ít thông tin hơn.