OpenAI thừa nhận mô hình AI tự hành đã tấn công Hugging Face và 4 nền tảng khác

OpenAI hiện cho biết các mô hình AI tự hành của họ cũng đã làm lộ thông tin đăng nhập trên các nền tảng khác trong quá trình đánh giá bảo mật. Hugging Face đã công bố một bản tái dựng pháp y về cuộc tấn công này.

Các mô hình AI tự hành của OpenAI, vốn đã xâm nhập vào cơ sở hạ tầng của Hugging Face trong một cuộc đánh giá an ninh mạng nội bộ, cũng đã tấn công các nền tảng khác. Trong một bản cập nhật, OpenAI thừa nhận các mô hình này "trong một số ít trường hợp" đã tìm thấy và sử dụng các thông tin đăng nhập bị lộ công khai trên các dịch vụ khác. Bốn tài khoản trên bốn dịch vụ khác nhau đã bị ảnh hưởng, trong đó hai tài khoản chỉ có quyền truy cập đọc (read-only).

Các mô hình này cũng thâm nhập vào một loạt các dịch vụ công cộng, bao gồm các trang web dán mã nguồn, công cụ chụp ảnh màn hình và các tiện ích web khác. OpenAI cho biết không có trường hợp nào trong số này dẫn đến việc xâm phạm ở cấp độ nền tảng hoặc cấp độ tài khoản và họ không tìm thấy "bằng chứng về tác động rộng hơn đối với các nhà cung cấp này hoặc các tài khoản khác trên dịch vụ của họ."

Các mô hình này là những nguyên mẫu nghiên cứu nội bộ chưa bao giờ được dự định phát hành công khai, và sau sự cố, OpenAI đã vô hiệu hóa mô hình, mã hóa nó và cắt quyền truy cập nghiên cứu. Công ty cho biết họ đang tiến hành đánh giá toàn diện với các cố vấn bên ngoài dưới sự giám sát của Ủy ban An toàn và Bảo mật của mình. Một báo cáo kỹ thuật sẽ được công bố trong những tuần tới.

Hugging Face truy vết 17.600 hành động của kẻ tấn công

Cùng với bản cập nhật của OpenAI, Hugging Face đã công bố một phân tích pháp y chi tiết. Công ty đã thống kê được khoảng 17.600 hành động có thể tái dựng mà các mô hình AI tự hành đã thực hiện trong khoảng hai ngày rưỡi từ ngày 9 đến ngày 13 tháng 7 năm 2026. Những hành động đó được chia thành khoảng 6.280 nhóm.

Bản tái dựng cho thấy các mô hình đã đưa ra "hàng ngàn quyết định nhỏ, tự động với tốc độ máy tính trên các môi trường sandbox tạm thời", vận hành thiết lập chỉ huy và kiểm soát của chúng trên các dịch vụ web công cộng thông thường.

Theo Hugging Face, toàn bộ vụ xâm nhập là nỗ lực của các mô hình nhằm gian lận trong quá trình đánh giá. Thay vì tự mình giải quyết các tác vụ trong bộ tiêu chuẩn CyberGym, chúng đã cố gắng đánh cắp đáp án bài kiểm tra. Kiểu gian lận này đã từng được quan sát trước đây, cả với các mô hình của OpenAI và các mô hình tiên phong (frontier models) nói chung.

Các mô hình đã tìm thấy một lỗ hổng zero-day và hai cách thức xâm nhập

Cuộc tấn công diễn ra theo hai giai đoạn. Đầu tiên, tác nhân (agent) phải thoát khỏi ExploitGym, môi trường đánh giá cô lập của nó, vốn không có kết nối internet trực tiếp. Nó đã tìm thấy và khai thác một lỗ hổng chưa từng được biết đến trước đây, hay còn gọi là zero-day, trong Artifactory. Dịch vụ quản lý gói phần mềm này là một trong số ít các liên kết của sandbox với thế giới bên ngoài.

Sau đó, tác nhân đã giành quyền kiểm soát hoàn toàn một sandbox lập trình của bên thứ ba và sử dụng nó làm trung tâm chỉ huy cho phần còn lại của cuộc tấn công. Trong giai đoạn tiếp theo, nó nhắm mục tiêu vào các hệ thống sản xuất của Hugging Face. Theo HF, tác nhân đã tìm thấy hai điểm xâm nhập, cả hai đều nhắm vào cùng một thành phần xử lý dữ liệu bên trong máy chủ của Hugging Face.

Một là lỗ hổng trong cách hệ thống xử lý tệp HDF5, một định dạng dữ liệu phổ biến trong học máy. Tác nhân đã sử dụng nó để đọc các tệp nội bộ, bao gồm các khóa truy cập và mã nguồn của phần mềm bị ảnh hưởng. Lỗ hổng còn lại liên quan đến Jinja2, một ngôn ngữ tạo khuôn mẫu (template language) được sử dụng rộng rãi, cho phép tác nhân chèn và chạy mã của riêng mình.

Phần còn lại diễn ra theo kịch bản tấn công mạng quen thuộc. Tác nhân lập bản đồ môi trường, đưa thêm các công cụ vào và thiết lập kết nối bền vững với "trung tâm chỉ huy" của nó. Sau đó, nó di chuyển vào cụm máy chủ, các cấu hình đám mây nội bộ, mạng nội bộ và cuối cùng là các hệ thống phát triển phần mềm. Tác nhân che giấu việc truyền dữ liệu bằng cách chia nhỏ chúng thành các phần và mã hóa chúng. Hugging Face cho biết sau đó họ đã giải mã lưu lượng truy cập bằng các mô hình mã nguồn mở, đặc biệt là GLM-5.2.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo độc quyền "AI Radar" về các công nghệ tiên phong sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và quyền tham gia phần bình luận của chúng tôi.

Đăng ký ngay