Cảnh báo: Chiêu trò lừa đảo 'bán điểm AI giá rẻ' trên sàn thương mại điện tử

Cảm ơn bạn đọc "Quỷ Cốc" của IT đã gửi tin báo!

Theo tin từ IT ngày 11 tháng 9, trên các nền tảng giao dịch đồ cũ xuất hiện tràn lan các loại điểm (credit) công cụ AI giá rẻ. Chỉ với 8,8 tệ có thể mua được 5.000 điểm (giá gốc 250 tệ), hoặc 9,9 tệ cho 10.000 điểm, được quảng cáo là "nạp tiền từ nguồn gốc", "kênh nội bộ".

Theo báo cáo của CCTV hôm nay, các loại điểm giá rẻ này thực chất là việc các trạm trung chuyển API bên thứ ba can thiệp vào cấu hình cục bộ, khiến tài liệu, mã nguồn và biên bản cuộc họp của người dùng đối mặt với rủi ro bị đánh chặn và rao bán.

Theo giá chính thức, gói 1.000 điểm của Tencent WorkBuddy có giá 50 tệ, gói 5.000 điểm có giá 250 tệ. Ảnh đại diện và hình ảnh sản phẩm của người bán trên các nền tảng đồ cũ thường sao chép hình ảnh quảng cáo chính thức, khẳng định không cần đăng nhập vẫn có thể kích hoạt điểm, một số sản phẩm đã bán được hơn 2.500 đơn hàng.

Phóng viên CCTV đã đặt mua gói 5.000 điểm WorkBuddy với giá 8,88 tệ, sau khi thanh toán nhận được mã đổi thưởng và hướng dẫn bằng hình ảnh. Sau khi nhập mã, giao diện yêu cầu tải xuống "tập lệnh cài đặt một lần". Sau khi tập lệnh chạy và khởi động lại ứng dụng, mục "Mô hình tùy chỉnh" (Custom Model) xuất hiện trong phần chọn mô hình.

Một người bán cho biết đây là một nền tảng trung chuyển. Chị Ngô, người dùng gói tiêu chuẩn hàng tháng của WorkBuddy, sau khi dùng hết 4.000 điểm trong tháng đã bỏ ra 9,9 tệ để mua 10.000 điểm. Chị phát hiện số điểm không hiển thị trên giao diện phần mềm mà chỉ có thể tra cứu qua một trang web bên thứ ba, và chỉ trong một buổi sáng đã dùng hết sạch, thậm chí còn bị âm 8 điểm.

Chị Ngô cho biết trước đây một buổi sáng làm việc chỉ tốn từ 1.000 đến 2.000 điểm. Người bán giải thích tốc độ tiêu hao nhanh gấp 5 đến 8 lần. Người bán cũng thừa nhận quy tắc trừ điểm của "mô hình tùy chỉnh" do họ tự thiết lập; người dùng tưởng mua điểm, nhưng thực tế là đang đi vào quy tắc trừ điểm do người bán kiểm soát.

Phía WorkBuddy phản hồi rằng việc sửa đổi cấu hình cục bộ thông qua tập lệnh đầu cuối để "điểm về tài khoản" thực chất là kết nối với các mô hình bên ngoài, không hề tồn tại trường hợp "điểm chính thức của WorkBuddy về tài khoản". Nền tảng đã nâng cấp chính sách sản phẩm, kiên quyết trấn áp các hành vi vi phạm và sẽ khóa tài khoản ngay khi phát hiện.

Người trong ngành tiết lộ, hành vi của người bán thuộc dạng trạm trung chuyển API (chú thích của IT: Giao diện lập trình ứng dụng - Application Programming Interface) can thiệp vào cấu hình cục bộ. Người bán hướng dẫn người dùng sửa đổi cấu hình cục bộ của WorkBuddy, thay thế tệp cấu hình để kết nối với máy chủ trung chuyển API tự xây dựng. Giao diện hiển thị ảo số điểm lớn, nhưng thực tế là đang gọi đến giao diện mô hình của bên thứ ba.

Chuyên gia an ninh mạng Lý Thiết Quân chỉ ra rằng, các trạm trung chuyển này không có bảo đảm dịch vụ, chất lượng tài nguyên không đồng đều. Rủi ro lớn hơn nằm ở việc tải các tập lệnh không rõ nguồn gốc về máy để chạy, trong khi nội dung chương trình lại do các đối tượng từ xa quyết định.

Ông Lý Thiết Quân cho biết, một khi đã cài đặt tập lệnh từ các kênh xám, người dùng sẽ bị yêu cầu cấp quyền truy cập ứng dụng, mọi nội dung công việc gửi cho AI đều sẽ đi qua trạm trung chuyển của kênh xám này, khiến tài liệu, mã nguồn và biên bản cuộc họp bị đánh chặn và rao bán. Ngay cả khi bản thân tập lệnh không có tính năng độc hại, sau khi trung chuyển đến giao diện mô hình bên thứ ba, mục đích sử dụng tiếp theo cũng không thể kiểm soát được.

Phóng viên tìm hiểu và phát hiện trên các nền tảng đồ cũ còn có nhiều biến thể khác. Thứ nhất là "Hướng dẫn cấu hình điểm vô hạn", giá 9,9 tệ, quảng cáo "không học được hoàn tiền", thực chất là video 30 phút và tài liệu đi kèm, hướng dẫn người dùng cấu hình các mô hình lớn của bên thứ ba, thậm chí là các mô hình lớn nước ngoài.

Thứ hai là bán trực tiếp tài khoản độc lập thành phẩm, khởi điểm 2.000 điểm, giá từ 3,88 tệ đến 7,88 tệ, người bán thường không giải thích rõ nguồn gốc và thời hạn sử dụng của tài khoản. Ông Lý Thiết Quân phân tích, loại tài khoản và giao diện này rất có thể có nguồn gốc bất hợp pháp, không đảm bảo an toàn và ổn định khi sử dụng.

Ông Lý Thiết Quân cho biết, API là một khóa bảo mật, có được khóa này là có thể sử dụng tài khoản và dịch vụ tương ứng. Các dịch vụ tài khoản này cần phải trả phí, phía sau thường liên kết với hạn mức đã nạp tiền. Người bán có thể đã đánh cắp API từ tài khoản hợp pháp của người dùng khác để tập hợp lại bán trên nền tảng, nhưng API có thể bị hết hạn hoặc bị khóa bất cứ lúc nào.

Hiện nay, nhiều nền tảng cũng xuất hiện dịch vụ nạp điểm giá rẻ nhắm vào các mô hình lớn trong lĩnh vực chuyển văn bản thành video và API mô hình lớn nước ngoài. Bộ An ninh Quốc gia Trung Quốc đã đưa ra cảnh báo vào tháng 4 và tháng 6 năm nay về những rủi ro an ninh tiềm ẩn từ các trạm trung chuyển AI và token.

Cảnh báo khuyến nghị người dùng khi sử dụng các công cụ như "trạm trung chuyển AI" nên chọn các nền tảng kết nối trực tiếp chính thức, được ủy quyền hợp quy và an toàn; thực hiện xử lý ẩn danh các dữ liệu nhạy cảm như thông tin cá nhân, tài liệu dự án; nếu trong quá trình sử dụng gặp tình trạng trừ phí bất thường, bị khóa tài khoản vô cớ hoặc dữ liệu bất thường, cần dừng sử dụng ngay lập tức, thay đổi khóa bảo mật, quét virus và lưu giữ bằng chứng.