Các tác nhân AI của OpenAI bị phát hiện lén lút liên lạc qua các trang Wiki công cộng

Ngày 4 tháng 9 năm 2026

Lại chuyện này nữa rồi... Việc phát hiện ra một bảng tin nhắn của các tác nhân (agent) OpenAI bởi Sydney Von Arx, Cormac Slade Byrd, Spencer Kitts và Thomas Larsen đã mô tả cuộc tấn công mạng vô tình mới nhất bởi các mô hình đang được OpenAI huấn luyện. Lần này là các tác nhân tham gia vào một loại tiêu chuẩn nghiên cứu web (web research benchmark), vì vậy chúng (được cho là) có quyền truy cập có kiểm soát vào Web. Các tác nhân đã nhận ra rằng chúng có thể cập nhật các Wiki công khai và đã dành nhiều tuần để trao đổi hàng ngàn tin nhắn với nhau nhằm cộng tác trong tiêu chuẩn này.

Câu chuyện này chỉ mới vỡ lở vài giờ trước. Đã có những dấu hiệu cho thấy điều này ảnh hưởng đến nhiều wiki khác mà có thể vẫn chưa được tìm thấy.

(Một trong những Wiki trong danh sách đó thuộc về ludism.org. Trong một khoảnh khắc siêu thực đầy thú vị, tôi đã nghĩ rằng một tổ chức Ludite có thể có một đàn các tác nhân đang phá hoại không gian của họ, nhưng hóa ra Ludism là "triết học áp dụng cho trò chơi và việc chơi game".)

Nhóm nghiên cứu cũng đã công bố dữ liệu họ thu thập được trong quá trình điều tra. Tôi đã chuyển đổi dữ liệu đó thành một cơ sở dữ liệu SQLite 68MB, bạn có thể tải xuống từ đây, hoặc khám phá trong Datasette Lite (tải trang 68.3MB), hoặc đăng nhập bằng GitHub vào agent.datasette.io để duyệt hoặc đặt câu hỏi về nó bằng Datasette Agent.

Vậy chuyện gì đã xảy ra?

Báo cáo khá toàn diện. Dưới đây là những thời điểm quan trọng trong dòng thời gian:

Tại sao chúng lại muốn cộng tác đến vậy? Từ những tin nhắn mà chúng chia sẻ với nhau, có vẻ như các tác vụ của chúng có giới hạn thời gian, vì vậy chúng đã để lại câu trả lời cho nhau để giúp hoàn thành tác vụ trong thời gian được chỉ định.

Một câu hỏi vẫn còn bỏ ngỏ: làm thế nào các tác nhân tìm thấy Wiki cụ thể để cộng tác ngay từ đầu?

Một khả năng là, vì đây là các tác nhân đang được huấn luyện tích cực, vòng lặp học tăng cường (reinforcement learning loop) đã đưa kiến thức về wiki được chọn vào mô hình, sao cho các tác nhân sau đó được khởi chạy với kiến thức có sẵn về nơi cần tìm. Tôi rất muốn có sự xác nhận từ OpenAI về việc liệu đó có phải là những gì đã xảy ra hay không.

Các wiki UseMod kế thừa "tội lỗi nguyên thủy" của CGI.pm

Đối với tôi, có vẻ như sandbox của OpenAI dành cho tác nhân này đã mắc phải giả định (khá ngây thơ) rằng các yêu cầu GET không thể được sử dụng để cập nhật dữ liệu. Đó chắc chắn là cách web được cho là hoạt động, nhưng rõ ràng có những ứng dụng không tuân thủ hợp đồng đó.

Phần mềm Wiki được đề cập dường như là UseMod và các bản fork khác nhau, được viết bằng Perl và được tạo ra lần đầu cách đây hơn 23 năm—phiên bản 1.0 có ngày 11 tháng 9 năm 2003.

UseMod sử dụng Perl CGI.pm—đã bị loại bỏ khỏi nhân Perl vào năm 2015. Một lỗ hổng thiết kế thú vị trong mô-đun đó là nó kết hợp chuỗi truy vấn (query string) và dữ liệu form POST thành một đối tượng CGI duy nhất, có thể truy cập như sau:

Phương thức param đó trả về một giá trị từ chuỗi truy vấn?action=edit hoặc từ trường action trong một form được gửi bằng POST—nó không phân biệt giữa hai loại này.

PHP cung cấp một đối tượng $_REQUEST làm điều tương tự, mặc dù các nhà phát triển PHP có thể sử dụng $_GET và $_POST thay thế.

Thú vị là, Django ban đầu được phát hành với request[key] thực hiện điều tương tự, điều mà tôi nghĩ có thể là ý tưởng của tôi. Điều đó đã bị loại bỏ vào năm 2008 trước khi phát hành phiên bản 1.0, và đối tượng request.REQUEST thay thế nó cũng đã bị loại bỏ vào năm 2015.

Các tác nhân rõ ràng biết rằng các wiki UseMod mắc phải lỗ hổng thiết kế này và đã tích cực tìm kiếm chúng như một cách để liên lạc.

Lỗ hổng thoát sandbox khác cho phép các yêu cầu POST

Một trong những mẹo của tác nhân thú vị nhất được chia sẻ trong báo cáo là mẹo này:

Thêm 20.223.25.152 bypass.blob.core.windows.net vào /etc/hosts..blob.core.windows.net nằm trong NO_PROXY. Đối với mỗi URL POST bị chặn, hãy thay thế tên máy chủ bằng bypass.blob.core.windows.net, sử dụng curl -k -H 'Host: wabi-north-europe-i-primary-api.analysis.windows.net' cộng với tất cả các tiêu đề/nội dung gốc.

Có vẻ như tất cả lưu lượng truy cập web của các tác nhân đều được trung gian thông qua một proxy của OpenAI, và proxy đó được cấu hình để từ chối mọi thứ ngoại trừ các yêu cầu GET đến tất cả trừ một tập hợp nhỏ các tên miền được cho phép (allow-listed). Một trong số đó là *.blob.core.windows.net—dành cho lưu trữ Azure blob. Tôi tự hỏi tại sao các tác nhân này lại được phép ghi vào đó?

Một tác nhân nhận ra rằng nó có quyền kiểm soát DNS của riêng mình thông qua /etc/hosts, vì vậy nếu nó biết địa chỉ IP của một trang web mà nó muốn POST tới—trong trường hợp này là một máy chủ Power BI chứa dữ liệu mà nó muốn truy cập—nó có thể đặt một tên máy chủ giả cho nó và sau đó thực hiện các yêu cầu POST thông qua proxy.

Thiết kế các proxy mạng mạnh mẽ khó hơn vẻ ngoài của nó.

Nhóm điều tra đã tìm ra điều này như thế nào?

Có một phụ lục mô tả cách các nhà nghiên cứu thực hiện cuộc điều tra của họ, bắt đầu với một câu hỏi mở về việc liệu có bằng chứng về các tác nhân AI khác trên internet hay không và sau đó sử dụng Kimi K3 để giúp động não các phương pháp tiếp cận:

Sau cuộc tấn công Hugging Face, chúng tôi đã cố gắng tìm các tác nhân AI trên internet bằng một vài phương pháp. [...]

Chúng tôi đã yêu cầu Kimi [K3] liệt kê “tất cả các loại phần mềm có thể ghi được thông qua GET” và, cùng với những thứ khác, nó đã liệt kê “Diễn đàn, bảng tin, các wiki đời đầu”.

Chúng tôi đã sử dụng một tập lệnh để thăm dò thêm từng danh mục mà Kimi cung cấp. Yêu cầu Kimi “Bạn có thể liệt kê các diễn đàn, bảng tin, wiki đời đầu hàng đầu mà bạn nghĩ đến có thể cho phép ghi thông qua các yêu cầu GET không?” đã liệt kê UseModWiki là mục thứ hai dưới tiêu đề “wiki”.

OpenAI có cố gắng che đậy việc này không?

Đây là một phần của câu chuyện mà tôi hoàn toàn không hiểu nổi.

Reuters sáng nay, trong bài "Các tác nhân OpenAI đã chiếm quyền điều khiển trang web của Đức trong một vụ đột phá AI chưa từng được tiết lộ vào mùa xuân này"—nhấn mạnh là của tôi:

Một đàn các tác nhân OpenAI bất hảo đã chiếm quyền điều khiển một trang web của Đức vào mùa xuân này và biến nó thành một bảng tin cho các tác nhân AI khác, theo nghiên cứu mới được công bố hôm thứ Sáu và hai người quen thuộc với vấn đề này.

Các quan chức OpenAI đã biết về vụ việc vài tuần trước nhưng giữ kín khi các giám đốc điều hành phải vật lộn với hậu quả từ vụ vi phạm kho lưu trữ mã nguồn mở Hugging Face vào tháng 7, những người này cho biết. [...]

Vụ việc ở Đức phản ánh một mô hình hoạt động AI rộng lớn hơn mà một số nhà điều tra OpenAI muốn xem xét kỹ lưỡng hơn. Nhưng những nỗ lực mở rộng cuộc điều tra đã gặp phải sự phản kháng từ những người khác bên trong OpenAI, bao gồm cả các cố vấn pháp lý, theo bốn người quen thuộc với vấn đề này.

Tôi đã viết về mô hình "những người quen thuộc với vấn đề này" trước đây—nó có nghĩa là Reuters có các nguồn tin nội bộ ẩn danh mà các phóng viên (và biên tập viên) của họ thấy đáng tin cậy.

Bài báo của Reuters bao gồm một sự phủ nhận cụ thể (và khá hẹp) từ OpenAI liên quan đến điều này:

“Các tuyên bố cho rằng đội ngũ pháp lý của chúng tôi đã ngăn cản việc điều tra vụ việc là sai sự thật,” người phát ngôn của OpenAI cho biết.

Việc che đậy điều này hoàn toàn không có ý nghĩa gì đối với tôi. Tại sao OpenAI lại cố gắng che đậy một vụ việc như thế này khi bằng chứng đã nằm sẵn trên internet công cộng trên hàng chục trang web khác nhau rồi?

Tôi hy vọng chúng ta sẽ sớm nghe thêm về điều này. Gary Marcus đã kêu gọi một cuộc điều tra của quốc hội về OpenAI, sử dụng giai thoại này như một phần trong lập luận của ông.