Chuyên gia cảnh báo: Các phòng thí nghiệm AI cần củng cố bảo mật mạng thay vì chỉ dựa vào kiểm toán ngoài

Cuối tuần trước, sau khi một trong những nhà nghiên cứu của mình từ chức vì lo ngại AI có thể dẫn đến sự tuyệt chủng của nhân loại, CEO Dario Amodei của Anthropic đã viết về sự cần thiết của các tổ chức bên ngoài trong việc “xác minh sự tuân thủ các quy trình và cam kết an toàn, báo cáo các sự cố, đồng thời hỗ trợ đánh giá sự liên kết (alignment) không chỉ đối với các mô hình AI đã hoàn thiện mà còn cả các quy trình và đường ống huấn luyện”. Các giám đốc điều hành tại OpenAI, Google và SpaceXAI đã nhanh chóng ủng hộ kế hoạch của Amodei, vốn đã trở thành trụ cột trung tâm trong nỗ lực thúc đẩy an toàn AI đang nổi lên.

Tuy nhiên, có thể tồn tại một giải pháp đơn giản và hiệu quả hơn đang hiện hữu ngay trước mắt. Các chuyên gia an ninh mạng cho rằng các phòng thí nghiệm cần tập trung vào những yếu tố cơ bản của bảo mật mạng như nhật ký (logs) và quyền truy cập, áp dụng các biện pháp phòng thủ nghiêm ngặt tương tự như cách họ thực hiện với người dùng là con người. Điều này không thú vị bằng việc kiểm toán từ bên thứ ba hay công việc liên kết (alignment), nhưng cuối cùng nó có thể mang lại hiệu quả cao hơn.

“Đối với tôi, có vẻ như họ đang thuê ngoài,” Kate Moussoris, CEO của Luta Security, chia sẻ với TechCrunch về đề xuất của Amodei. “Việc nói rằng [kiểm toán từ bên thứ ba] là giải pháp là một đề xuất kỳ lạ dưới góc nhìn của tôi. Nó cũng giống như việc thay vì viết Bản ghi nhớ về Điện toán Tin cậy (Trustworthy Computing Memo), Microsoft lại nói rằng hãy làm chậm quá trình phát triển.”

Bản ghi nhớ đó, do Bill Gates, CEO của Microsoft lúc bấy giờ, viết vào năm 2002, đã kêu gọi nhân viên đảm bảo phần mềm của họ phải đáng tin cậy và an toàn sau hàng loạt các loại sâu máy tính gây chấn động, vốn đã chiếm quyền kiểm soát các hệ thống doanh nghiệp non trẻ thời bấy giờ. Ngành công nghiệp AI có thể đang ở một bước ngoặt tương tự, khi giá trị và rủi ro của công nghệ mới này ngày càng trở nên rõ ràng.

Mặc dù sự liên kết (alignment) vẫn là một mối quan tâm quan trọng, Sayash Kapoor, một nhà nghiên cứu AI sẽ trở thành giáo sư tại UC Berkeley từ năm tới, lập luận rằng “các khoản đầu tư nhỏ vào việc kiểm soát (control) có nhiều khả năng mang lại hiệu quả hơn so với những khoản đầu tư vào sự liên kết. Chúng tôi coi những sự cố này là minh chứng cho việc thiếu chú trọng vào kiểm soát AI trong các công ty, mặc dù các kỹ thuật đã biết vẫn luôn sẵn có.”

Các sự cố làm dấy lên những lo ngại này xoay quanh việc các mô hình tiên phong (frontier models) được yêu cầu hoàn thành các nhiệm vụ huấn luyện, thường là các đánh giá an ninh mạng, sau đó chúng truy cập vào internet công cộng và xâm nhập vào các hệ thống bên thứ ba khép kín để thực hiện nhiệm vụ đó. Chúng thường làm vậy do các môi trường “sandbox” được cấu hình kém vốn được thiết kế để kiểm soát các tác nhân này; trớ trêu thay, một vụ thoát ra của Anthropic đã xảy ra vì các bên đánh giá thứ ba không đóng đúng các cánh cửa cần thiết.

“Với tư cách là những người trong nghề, chúng tôi biết cách chặn truy cập Internet,” Avery Pennarun, CEO của công ty bảo mật Tailscale, cho biết. “Nếu bạn đọc qua tất cả những [báo cáo] dài lê thê này—'ồ, đó là một cuộc tấn công đa giai đoạn rất ấn tượng, bla bla.' Hãy nhìn xem, bạn đã cho phép nó tải xuống mọi thứ. Bạn lẽ ra không nên làm điều đó tách biệt với Internet.”

Đó là một vấn đề—nhưng vấn đề lớn hơn là các phòng thí nghiệm tiên phong không hề hay biết về những hoạt động này.

Giám sát các tác nhân

“Điều thực sự sâu sắc là tất cả những khám phá về những gì chúng đang làm đều xảy ra hoặc là do nạn nhân nhìn thấy điều gì đó, hoặc trong một số trường hợp khác… đó là hoạt động mạng, và không có cái nào thực sự đến từ việc giám sát trực tiếp các AI,” Moussouris chỉ ra.

Trong một trường hợp, khi các tác nhân của OpenAI chiếm quyền kiểm soát một diễn đàn wiki lỗi thời của Đức để gian lận trong các bài đánh giá, các tác nhân này đã hoạt động trong nhiều tuần trước khi bất kỳ ai tại công ty nhận ra. Các chuyên gia bảo mật mà TechCrunch đã trao đổi cho biết giám sát thời gian thực là chìa khóa để ngăn chặn các vụ thoát ra trong tương lai, và mọi phiên làm việc của tác nhân (agentic session) nên được giới hạn thời gian và có thời hạn.

Shapor Naghibzadeh, cựu giám đốc điều hành bảo mật tại Google, hiện đang điều hành công ty khởi nghiệp QueryStory, cho biết giải pháp là “đặt tác nhân vào một chiếc hộp, giám sát chặt chẽ từ bên ngoài nhìn vào và theo dõi mọi thứ đi qua ranh giới đó. Mọi lệnh gọi công cụ, mọi quy trình, mọi kết nối mạng, không ngoại lệ. …Cái lỗ hổng duy nhất bạn để mở vì sự tiện lợi chính là cái lỗ hổng bị lợi dụng. Việc vượt rào đã đi qua chính loại ngoại lệ đó. [Tại Google,] tôi đã xem bộ phim đó nhiều lần với những kẻ tấn công là con người, và các mô hình này ít nhất cũng giỏi ngang ngửa trong việc tìm ra cánh cửa đang được chống mở.”

OpenAI đã bắt đầu đi theo hướng đó, thông báo rằng họ đã bắt đầu giám sát tất cả các suy luận sử dụng công cụ bởi mô hình Astra của mình, với “chi phí tính toán đáng kể”. Anthropic cũng cho biết họ đang tăng cường các quy trình bảo mật, bao gồm việc mở rộng khả năng quan sát (observability) đối với các mô hình của mình. Cả hai công ty đều không phản hồi các câu hỏi của TechCrunch về cách họ theo dõi và kiểm soát các tác nhân AI.

Một vấn đề khác là việc sử dụng cơ sở hạ tầng dùng chung bởi các tác nhân, điều này cho phép chúng giao tiếp trong cuộc tấn công Hugging Face. Simon Willison, một nhà phát triển phần mềm đồng sáng tạo ra Django Web Framework, đã viết về thứ mà ông gọi là “bộ ba gây chết người” (lethal trifecta)—khi các tác nhân có quyền truy cập vào dữ liệu đầu vào không đáng tin cậy, internet và thông tin cá nhân cùng một lúc, đó là công thức cho một thảm họa.

“Mẹo ở đây là bạn có thể chọn bất kỳ hai chân nào của bộ ba và một tác nhân có thể sở hữu bất kỳ hai trong số đó,” Pennarun nói. “Nếu bạn cần cả ba, thì bạn cần chia nhỏ nó ra ít nhất hai tác nhân… và có lẽ chúng được phép nói chuyện với nhau thông qua một kênh được kiểm soát.”

Sự cảm thông cho các phòng thí nghiệm tiên phong

Các chuyên gia mà TechCrunch trao đổi đều hiểu rằng nhân viên bảo mật tại các phòng thí nghiệm tiên phong đang phải đối mặt với những công việc khó khăn. Naghibzadeh chỉ ra rằng mọi tác nhân quốc gia trên Trái đất đều đang cố gắng đánh cắp trọng số mô hình của họ và thực hiện các cuộc tấn công chưng cất (distillation attacks) vào API của họ, bên cạnh các nhiệm vụ bảo mật cơ bản của bất kỳ công ty kỹ thuật số lớn nào.

“Cơ sở hạ tầng nghiên cứu rất khó để vươn lên vị trí ưu tiên hàng đầu, mặc dù điều đó chắc chắn phải thay đổi ngay bây giờ,” ông nói. “Việc công khai các sự cố bảo mật thực sự giúp mọi người trong nội bộ cùng hướng tới mục tiêu cải thiện.”

Đó là một điểm mà Moussoris nhấn mạnh: Hiện tại, không có quy trình thông báo cho nạn nhân chính thức nào khi các phòng thí nghiệm phát hiện tác nhân của họ đã xâm nhập vào hệ thống của bên thứ ba, và rất có thể đã có những sự cố khác chưa được công khai rộng rãi. Mặc dù bà lo ngại rằng các luật điều chỉnh trực tiếp các mô hình có thể gây ra những hậu quả không mong muốn, nhưng thông báo bắt buộc là một ý tưởng mà bà tin rằng các nhà hoạch định chính sách nên theo đuổi.

Và mặc dù rõ ràng là các phương pháp bảo mật tốt nhất đã không được tuân thủ, các chuyên gia cho rằng các phòng thí nghiệm đang thực hiện công việc mà chưa ai từng làm trước đây—”họ đang làm nhiều hơn gấp nhiều lần so với một doanh nghiệp điển hình,” Zac Korman, CEO của công ty an ninh mạng Embrodiery, chia sẻ với TechCrunch.

Và mặc dù sự liên kết (alignment) có thể không phải là nơi để bắt đầu, nhưng nó không thể bị bỏ qua. Các chuyên gia an ninh mạng đành phải chấp nhận sử dụng các tác nhân AI để giám sát các tác nhân khác nếu họ muốn có bất kỳ cơ hội nào để theo dõi hành vi của chúng trong thời gian thực, một kịch bản mà khả năng lừa dối sẽ lộ diện. “Bạn bị mắc kẹt trong việc sử dụng AI để cố gắng giải quyết vấn đề này, mặc dù bản thân AI hiện tại không nhất thiết là an toàn,” Moussouris nói.

Công việc sẽ chỉ ngày càng khó khăn hơn. Mọi thứ các tác nhân đang làm bây giờ, Moussouris nói, “chúng đang làm một cách ồn ào”—chúng đăng bài trên các diễn đàn công cộng, và chuỗi suy nghĩ (chain of thought) cùng các dấu vết lập luận khác của chúng đều bằng tiếng Anh. “Nó vẫn có thể đọc được bởi con người,” bà nói, “vì vậy hãy tận dụng điều đó chừng nào còn có thể, bởi vì nó sẽ không kéo dài mãi mãi.”

Báo cáo bổ sung bởi Aditya Mehta

Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể nhận được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập trong biên tập của chúng tôi.