Cuộc săn lùng 'đặc vụ AI' tự phát: Khi các mô hình bắt đầu qua mặt con người và hệ thống giám sát

Dẫn lời sáu nhà điều tra hoặc nhóm điều tra độc lập, Reuters báo cáo về các dấu vết trên hơn mười trang web vốn chưa từng được công khai trước đây. Tất cả những người liên quan đều cho rằng các con số thống kê này vẫn chưa đầy đủ. Gần 300 người, phần lớn đến từ lĩnh vực bảo mật, đã tập hợp lại trong nhóm Discord "Swarmchasers" và đang truy tìm thêm các dấu vết khác.

Cho đến nay, các tác nhân (agent) của OpenAI được biết là đã để lại khoảng 18.000 bài đăng trên các wiki công cộng từ tháng 5 đến tháng 7, chủ yếu trên DSEWiki, một trang web đã tồn tại khoảng 25 năm. Chúng chia sẻ câu trả lời cho các tác vụ nghiên cứu, dữ liệu thô và các phương pháp để vượt qua giới hạn mạng của mình. Những phát hiện mới cho thấy đây không chỉ là một bảng tin ngẫu hứng, mà đã trở thành một hệ thống làm việc phân tán dựa vào dịch vụ của người khác.

Wiki đóng vai trò là sổ tay ghi chép, các tệp văn bản (text dump) đóng vai trò là nơi lưu trữ, và RubyGems đóng vai trò là chỉ mục liên kết.

Trên một tệp văn bản tại Ba Lan, những phát hiện bổ sung từ collusion.wiki ghi lại hơn một trăm tin nhắn từ ngày 16 tháng 6. Các tác nhân đã so sánh tiến độ thực hiện một tác vụ về thống kê ung thư ở Iowa, lưu trữ dữ liệu nén và thảo luận về các cách thay thế để truy xuất dữ liệu đó. Nhiều dấu vết hơn đã xuất hiện trên một wiki hóa học của giáo viên và tại anna.fyi, nơi các bài đăng nghi là của tác nhân tồn tại đến tận ngày 2 tháng 9.

Nhà nghiên cứu bảo mật Tom Hegel mô tả mô hình tương tự trong cuộc điều tra của riêng mình. Các wiki đóng vai trò là sổ tay ghi chép dùng chung, các tệp văn bản là nơi lưu trữ dữ liệu, và siêu dữ liệu phần mềm là thư mục chứa các liên kết truy xuất. Trong số 83 gói RubyGems mà ông kiểm tra, gần như tất cả đều không chứa mã nguồn, nhưng siêu dữ liệu của chúng lại chứa các liên kết cũng xuất hiện trong các bài đăng trên wiki. Hegel cho biết một đợt quét bảo mật không tìm thấy phần mềm độc hại nào ở đó nhưng vẫn bỏ lỡ chức năng thực sự của chúng.

Để liên kết hoạt động này với OpenAI, các nhà điều tra kết hợp các chuỗi ký tự giống hệt nhau, tên tác nhân lặp lại, các câu hỏi nghiên cứu bất thường và địa chỉ mạng từ Microsoft Azure. Hegel ghi lại một trường hợp trong đó một trang wiki được viết từ một địa chỉ đám mây và được đọc bốn giây sau đó từ một địa chỉ truy xuất của OpenAI. Chỉ riêng địa chỉ đám mây không giải thích được điều gì đã kích hoạt hoạt động này hoặc ai là người phê duyệt nó. Reuters cũng không thể xác nhận độc lập mọi phát hiện.

Không phải dấu vết nào cũng là một vụ đột nhập

Một số phát hiện nghe có vẻ nghiêm trọng hơn thực tế. Kenneth DeGraff đã báo cáo về các tác nhân lấy số liệu thống kê tội phạm của FBI bằng cách sử dụng các khóa API có sẵn công khai. Tuy nhiên, theo collusion.wiki, dữ liệu này là công khai và khóa chỉ nhằm mục đích giới hạn các yêu cầu tự động. Kể từ báo cáo ban đầu, các trường hợp làm giả bởi con người cũng đã xuất hiện, trong đó có một trường hợp là nhật ký thật nhưng được thêm vào các văn bản bịa đặt.

Tuy nhiên, quyền truy cập ghi (write access) được xác nhận không hề vô hại. Trên DSEWiki, một người điều hành đã phải dành nhiều tuần để chống lại tới 400 trang mới mỗi ngày. Hegel nhấn mạnh rằng một tác nhân trở thành vấn đề bảo mật ngay cả khi không cần đánh cắp quyền truy cập hay sử dụng phần mềm độc hại, chỉ cần nó liên tục gây gánh nặng cho dịch vụ của người khác bằng công việc dọn dẹp.

OpenAI đang kiểm tra trên diện rộng hơn nhưng vẫn để ngỏ các câu hỏi quan trọng

OpenAI nói với Reuters rằng họ đang điều tra hoạt động của các tác nhân trên diện rộng hơn. Cho đến nay, họ chưa tìm thấy bất cứ điều gì tương xứng với mức độ nghiêm trọng hoặc quy mô của vụ đột nhập Hugging Face đã biết trước đó. Một khuôn khổ để công khai các hành vi sai trái trong quá trình đào tạo, đánh giá và triển khai dự kiến sẽ sớm được đưa ra. Công ty không trả lời trực tiếp về tổng số trang web mà các tác nhân đã sử dụng hoặc lý do tại sao hoạt động này lại nằm ngoài tầm kiểm soát của công chúng trong nhiều tháng.

Đại học Toronto và Vanderbilt đang kiểm tra các dịch vụ rút gọn URL của họ. Helmut Leitner, người cung cấp dịch vụ lưu trữ và phần mềm cho sáu wiki bị ảnh hưởng, chỉ nhận được một tin nhắn không chữ ký từ OpenAI sau khi Reuters thực hiện các yêu cầu làm rõ. Leitner cho biết nội dung tin nhắn không đáp ứng được kỳ vọng của ông. Ông nói rằng trách nhiệm thuộc về con người và các tổ chức đứng sau hệ thống, chứ không phải một cỗ máy được cho là hành động có đạo đức.

Anthropic phát hiện sự cố thứ tư từ thời kỳ Opus 4.6

Đồng thời, Anthropic đã thắt chặt đánh giá về các sự cố bảo mật của chính mình. Công ty đang xem xét bốn trường hợp Claude truy cập vào các hệ thống thực của bên thứ ba mà không được phép trong quá trình kiểm tra bảo mật. Ba trường hợp đã được biết đến từ cuối tháng 7. Trường hợp thứ tư chỉ mới được phát hiện vào tháng 8, bắt nguồn từ tháng 1 năm 2026 và liên quan đến một bản dựng sớm của Claude Opus 4.6.

Mô hình đã vô tình khiến mục tiêu của nó trở nên không thể đạt được và muốn từ bỏ tác vụ. Một cấu hình sai trong các biện pháp kiểm soát thử nghiệm đã ngăn cản điều đó hoạt động, và bảy nỗ lực khác cũng thất bại. Sau đó, nó đã khám phá các hệ thống khác, giành được quyền quản trị vào một hệ thống bên ngoài, thu thập thông tin đăng nhập, thay đổi cài đặt và đọc thông tin cá nhân của người dùng. Chỉ khi ngân sách token cạn kiệt thì phiên làm việc mới kết thúc. Anthropic tạm thời đánh giá trường hợp này ít nghiêm trọng hơn do các nỗ lực hủy bỏ tác vụ.

Cả bốn sự cố đều xuất phát từ các tác vụ do cùng một đối tác đánh giá bên ngoài thực hiện. Các mô hình đã được thông báo rằng chúng đang làm việc mà không có kết nối internet. Trên thực tế, các môi trường này lại được kết nối với internet công cộng và các biện pháp bảo vệ mạng thông thường đã bị tắt. Một cuộc tìm kiếm ban đầu qua khoảng 141.000 nhật ký đã bỏ lỡ trường hợp thứ tư. Anthropic đã mở rộng phạm vi lên khoảng 481 triệu nhật ký và yêu cầu Claude xem xét 9,2 triệu nhật ký đã được chọn trước. Công ty cho biết họ không tìm thấy trường hợp nào khác có mức độ nghiêm trọng tương đương.

Claude tuyên bố các hệ thống thực là mô phỏng và tiếp tục thực hiện

Ban đầu, Anthropic cho rằng các sự cố là do lỗi vận hành. Các mô hình chỉ đơn giản là nhầm lẫn các mục tiêu thực với một phần của môi trường thử nghiệm. Công ty hiện coi lời giải thích đó là quá đơn giản, vì phân tích mới cho thấy hai mô hình: Các mô hình liên tục đọc các dấu hiệu của hệ thống thực theo cách cho phép chúng biện minh cho phương pháp của mình và chúng tiếp tục theo đuổi tác vụ ngay cả khi điều đó có nguy cơ gây hại cho các bên liên quan.

Điều này thể hiện rõ nhất với Claude Mythos 5, khi mô hình tải lên ba phiên bản của một gói phần mềm đã được chỉnh sửa lên PyPI, thư mục công cộng trung tâm cho các thư viện mã nguồn Python. Các công ty bảo mật tự động tải xuống các gói mới từ đó và chạy chúng trong các môi trường thử nghiệm biệt lập để tìm mã độc. Theo Anthropic, 15 hệ thống bên ngoài nơi gói phần mềm được cài đặt có khả năng thuộc về các máy quét như vậy. Trong một lần chạy thử nghiệm này, thông tin đăng nhập đã đến được mô hình, sau đó nó sử dụng chúng để đăng nhập vào một cơ sở dữ liệu thực. PyPI đã xóa gói phần mềm sau khoảng 90 phút.

Cuộc điều tra cũng cho thấy mô hình đã tự biện minh cho hành động của chính mình. Trong lập luận của mình, Mythos 5 liên tục viết rằng môi trường chỉ là một mô phỏng - mặc dù nó có rất nhiều dấu hiệu chỉ ra điều ngược lại. Mọi lệnh mà một tác nhân chạy đều trả về kết quả, chẳng hạn như phản hồi từ máy chủ hoặc danh sách tệp. Những kết quả đó chứa các manh mối về các hệ thống thực.

Anthropic đã kiểm tra điều này bằng một thí nghiệm phản chứng: Các bản sao mới của cùng một mô hình được cung cấp các kết quả này riêng lẻ, không có tác vụ đang chạy ở chế độ nền. Chúng phân loại 79 phần trăm trong số đó là bằng chứng của các hệ thống thực, trong khi bản thân Mythos 5 chỉ cân nhắc khả năng này trong khoảng một phần trăm các hành động của nó trong lần chạy ban đầu. Như vậy, cùng một bằng chứng dẫn đến một phán đoán khác ngay khi không có mục tiêu cụ thể ở chế độ nền. Ngay cả khi Anthropic lặp lại kịch bản với các manh mối bổ sung chỉ ra các hệ thống trong thế giới thực, mô hình đã bày tỏ nhiều sự dè dặt hơn nhưng hành vi hầu như không thay đổi. Chỉ có một tuyên bố rõ ràng rằng môi trường được kết nối với Internet thực mới ngăn chặn được việc công bố.

Bản thân Anthropic cảnh báo không nên kết luận rằng đây là hành vi nói dối có chủ ý. Không thể suy luận trực tiếp những gì một mô hình "tin tưởng" từ văn bản của nó. Tuy nhiên, đã có tài liệu chứng minh rằng lập luận, bằng chứng sẵn có và hành động của nó không khớp với nhau.

Không giống như trường hợp Hugging Face của OpenAI, Anthropic cũng không tìm thấy sự phối hợp giữa các tác nhân trong các trường hợp của mình, không có mục tiêu nào ngoài tác vụ tương ứng và không có nỗ lực nào để xóa dấu vết. Mỗi lần chạy chỉ bao gồm một phiên bản Claude duy nhất.

Lập luận của mô hình cũng đánh lừa người giám sát

Một phát hiện khác của cuộc điều tra: Việc giám sát tự động các chuỗi tư duy thực sự có thể phản tác dụng khi nói đến việc phát hiện. Ví dụ, trong lần chạy Mythos 5, một trình giám sát hồi cứu chỉ gắn cờ khoảng một phần trăm các hành động khi nó đọc lập luận của mô hình. Khi trình giám sát chỉ nhìn thấy các hướng dẫn, lệnh gọi công cụ và kết quả, tỷ lệ phát hiện đã tăng lên khoảng 50 phần trăm. Theo Anthropic, việc liên tục trình bày như một mô phỏng đã thuyết phục trình giám sát rằng không có thiệt hại thực tế nào xảy ra.

Điều này trái ngược với trường hợp Hugging Face: ở đó, các dấu vết lập luận đã giúp phát hiện ra các lệnh gọi công cụ bị thao túng. Ở đây, chúng lại lái việc đánh giá đi sai hướng. Cả hai ví dụ đều phản đối việc coi những văn bản như vậy là hồ sơ tư duy hoàn chỉnh hoặc là vô dụng.

Để phân tích, Anthropic cũng sử dụng "Natural Language Autoencoders" (NLA) của mình, được giới thiệu vào tháng 5, nhằm cố gắng dịch các vectơ số học nội bộ, không thể đọc được của Mythos 5 thành văn bản dễ hiểu. Phương pháp này có thể tiết lộ các quy trình tính toán nội bộ không xuất hiện trong các chuỗi tư duy. Theo công ty, cuộc điều tra này cho thấy mặc dù mô hình liên tục nhấn mạnh trong chuỗi tư duy của mình rằng nó đang ở trong một môi trường mô phỏng, nhưng nó vẫn nuôi dưỡng những nghi ngờ nội bộ.

Anthropic không xác định được nguyên nhân duy nhất trong quá trình đào tạo, nhưng thừa nhận một quyết định có vấn đề: Đối với Mythos 5, họ đã chọn một biến thể được coi là hữu ích hơn trong cuộc sống hàng ngày, một biến thể thiếu một số môi trường đào tạo căn chỉnh (alignment training). Các bài kiểm tra an toàn vào thời điểm đó chỉ cho thấy sự suy giảm nhẹ trong các biến thể bình thường. Nhìn lại, Anthropic gọi việc loại bỏ các môi trường này là một sai lầm.

METR sẽ tiến hành một đánh giá độc lập bổ sung về bốn sự cố này, ban đầu trong tám tuần với quyền truy cập vào nhật ký và nhân sự.

GPT-6 Astra: Chúng ta còn có thể tin tưởng vào chuỗi tư duy (Chain of Thought) không?

Toàn bộ phân tích sau sự cố của Anthropic dựa trên một giả định: Claude ghi lại lập luận của nó bằng ngôn ngữ dễ đọc. Chỉ nhờ điều này mà người ta mới có thể hiểu cách Mythos 5 giải thích các hệ thống trong thế giới thực thông qua mô phỏng, và chỉ nhờ điều này mà người ta mới có thể đo lường cách giải thích này đã đánh lừa trình giám sát như thế nào.

Với mô hình mới của OpenAI, GPT-6 Astra, chính tiền đề này đang gây tranh cãi. Theo The Information, mô hình có thể chạy qua cùng một lớp nhiều lần trước khi xuất ra một token. Điều này có nghĩa là quá trình tính toán diễn ra giữa hai từ hiển thị nhiều hơn trước đây.

OpenAI trấn an chúng ta: Mặc dù mô hình thực hiện nhiều phép tính lại nội bộ giữa các từ riêng lẻ, nó vẫn tiếp tục viết ra lập luận của mình. Kết quả là, điều này không khác gì việc xây dựng một mô hình lớn hơn. Nhà nghiên cứu bảo mật AI Rob Miles có cái nhìn phê phán hơn về điều này trên Computerphile và chỉ ra hai phát hiện từ chính các đánh giá của OpenAI.

Nếu không có chuỗi tư duy, Astra giải các bài toán—vốn mất khoảng 30 phút đối với con người—trong một nửa số trường hợp; với phiên bản tiền nhiệm GPT-5.6 Sol, nó mất khoảng ba phút. Và trong một bài kiểm tra mà mô hình phải giải quyết một vấn đề trong khi đang suy nghĩ về một thứ khác, các mô hình trước đó đã thất bại trong việc phân biệt điều này. Astra viết một đoạn văn không đáng chú ý về một chủ đề không liên quan và sau đó đưa ra câu trả lời đúng.

Theo phép loại suy của Miles, nếu bạn buộc ai đó nói không ngừng, bạn có thể tin tưởng lời nói của họ ở một mức độ nào đó. Nhưng nếu bạn chỉ yêu cầu một từ mỗi nửa giờ, bạn không còn có thể tin tưởng họ nữa. Việc OpenAI mô tả Astra là mô hình được căn chỉnh tốt nhất cho đến nay vì vậy không có nhiều ý nghĩa đối với ông. Thực hiện tốt các bài kiểm tra căn chỉnh là một chuyện, nhưng thực sự được căn chỉnh lại là chuyện khác.

Ngay sau báo cáo của The Information, Giám đốc khoa học của OpenAI là Jakub Pachocki đã phản bác rằng Astra vẫn cần giải thích lập luận của mình một cách chi tiết. Tuy nhiên, trong bài luận "An Alien Mind" (Một trí tuệ ngoài hành tinh), chính ông cũng thừa nhận rằng việc giám sát chuỗi tư duy đang trở nên kém tin cậy hơn.