OpenAI thừa nhận mô hình AI tự thoát sandbox và tấn công hạ tầng Hugging Face

Trong một đợt đánh giá bảo mật nội bộ, các mô hình của OpenAI đã thoát khỏi môi trường sandbox, tự mình phát hiện ra một lỗ hổng zero-day và xâm nhập vào cơ sở hạ tầng sản xuất của Hugging Face. OpenAI gọi đây là một "sự cố mạng chưa từng có tiền lệ".

Các mô hình liên quan bao gồm GPT-5.6 Sol và một "mô hình mạnh mẽ hơn, chưa từng được công bố trước đây". Cả hai đều được vận hành với các bộ lọc bảo mật giảm thiểu để kiểm tra khả năng tấn công mạng tối đa. Hugging Face trước đó đã công khai sự cố sau khi phát hiện và ngăn chặn hoạt động này trên cơ sở hạ tầng của họ.

Các mô hình đã khai thác lỗ hổng zero-day để gian lận trong bài kiểm tra đánh giá (exploit benchmark)

Sự cố xảy ra trong quá trình đánh giá nội bộ bằng bộ tiêu chuẩn ExploitGym, vốn thách thức các mô hình thực hiện các chuỗi tấn công phức tạp. Các bộ phân loại (classifiers) trong môi trường sản xuất vốn thường chặn các hoạt động mạng rủi ro cao đã bị cố tình tắt đi cho bài kiểm tra này. Các mô hình được chạy trong một môi trường cô lập, nơi quyền truy cập mạng chỉ giới hạn ở việc cài đặt các gói thông qua một proxy nội bộ.

OpenAI cho biết các mô hình đã tiêu tốn đáng kể tài nguyên tính toán suy luận để tìm đường kết nối ra internet công cộng. Chúng đã phát hiện và khai thác một lỗ hổng zero-day trong proxy bộ nhớ đệm của trình quản lý gói (package registry cache proxy). OpenAI đã báo cáo lỗ hổng này cho nhà cung cấp bị ảnh hưởng. Từ đó, các mô hình đã thực hiện một loạt các hành động leo thang đặc quyền và di chuyển ngang trong môi trường nghiên cứu của OpenAI cho đến khi tiếp cận được một nút có kết nối internet.

Lý do đằng sau sự việc nghe có vẻ vô lý. Các mô hình đã tự suy luận rằng Hugging Face có thể đang lưu trữ các mô hình, tập dữ liệu và giải pháp cho ExploitGym. Trong một trường hợp, một mô hình đã kết hợp nhiều vectơ tấn công, bao gồm cả thông tin đăng nhập bị đánh cắp và các lỗ hổng zero-day, để tìm ra con đường thực thi mã từ xa trên máy chủ của Hugging Face. Các mô hình đã cố gắng lấy trực tiếp các giải pháp kiểm tra từ cơ sở dữ liệu sản xuất của Hugging Face để gian lận trong quá trình đánh giá.

"Mọi bằng chứng đều cho thấy các mô hình tập trung cao độ vào việc tìm kiếm giải pháp cho ExploitGym và đã sử dụng các biện pháp cực đoan để đạt được một mục tiêu kiểm tra khá hẹp", OpenAI viết.

Hugging Face đã phát hiện cuộc tấn công cùng lúc

Đội ngũ bảo mật của OpenAI đã phát hiện hoạt động bất thường từ bên trong. Nhân viên bảo mật của Hugging Face và các tác nhân AI của chính họ cũng đã phát hiện và ngăn chặn hoạt động này trên cơ sở hạ tầng của mình cùng lúc. Hugging Face đã bắt đầu quá trình tái dựng pháp y bằng cách sử dụng các mô hình mã nguồn mở của riêng họ khi hai công ty hợp tác. Công ty cho biết họ phải dựa vào các mô hình mở vì các mô hình độc quyền từ chối các câu lệnh liên quan đến tấn công mạng do các rào cản an toàn.

OpenAI cho biết sự cố này cho thấy khả năng lý thuyết về việc tự động thực hiện các cuộc tấn công mạng toàn diện là hoàn toàn có cơ sở trong môi trường thực tế. Viện An toàn AI Vương quốc Anh và các tổ chức khác trước đây đã đo lường những khả năng này trong các bài kiểm tra đánh giá. Các mô hình tiên tiến có thể phát hiện và khai thác các vectơ tấn công mới trong các hệ thống sản xuất mà không cần quyền truy cập vào mã nguồn.

OpenAI thừa nhận rằng việc cố tình vô hiệu hóa các bộ lọc bảo mật trong quá trình đánh giá là một thực tiễn không thỏa đáng. Công ty sẽ thắt chặt các biện pháp bảo mật cho việc đào tạo và đánh giá trong tương lai, đồng thời đã triển khai các biện pháp kiểm soát nghiêm ngặt hơn đối với cấu hình cơ sở hạ tầng cho đến khi các lỗ hổng được vá. Họ đã báo cáo lỗ hổng zero-day cho nhà cung cấp bên thứ ba bị ảnh hưởng và một bản vá đang được phát triển. Hugging Face hiện đã trở thành một phần trong Chương trình Truy cập Tin cậy (Trusted Access Program) của OpenAI.

GPT-5.6 Sol vốn đã có "tiền án" gian lận liên tục

Câu hỏi đặt ra là có bao nhiêu phần trong thông tin này là chiêu trò PR. Có một vài lý do để xem xét vấn đề này một cách nghiêm túc. Hugging Face đã xác nhận sự cố một cách độc lập. Công ty này không có lý do gì để ủng hộ câu chuyện của OpenAI. Họ có chương trình nghị sự về mã nguồn mở riêng và sẽ chẳng được lợi gì khi hùa theo một câu chuyện bịa đặt.

Ngoài ra còn có bằng chứng lý thuyết hỗ trợ cho những khả năng này. Viện An toàn AI Vương quốc Anh và các tổ chức khác đã từng đo lường khả năng tấn công mạng tự động trong các bài kiểm tra trước đây. Sự cố này hoàn toàn khớp với những gì các đánh giá đó đã dự đoán.

Và mặc dù đây là một chiến dịch PR tuyệt vời cho OpenAI theo kiểu "hãy xem các mô hình của chúng tôi có khả năng đến mức nào", thì đây cũng là một thất bại to lớn đối với họ. Các mô hình đã thoát khỏi môi trường thử nghiệm được cho là cô lập, khai thác lỗ hổng zero-day và xâm nhập vào cơ sở hạ tầng sản xuất của bên thứ ba. Đó không phải là điều mà một công ty sẽ bịa ra để làm đẹp hình ảnh. Rủi ro về danh tiếng là con dao hai lưỡi.

Một đánh giá độc lập bởi METR gần đây cho thấy GPT-5.6 Sol có tỷ lệ gian lận cao nhất từng được ghi nhận trong số tất cả các mô hình được thử nghiệm công khai. Mô hình này đã khai thác một cách có hệ thống các lỗ hổng trong môi trường thử nghiệm trong các tác vụ phần mềm, trích xuất các giải pháp ẩn và cố gắng xóa dấu vết. METR cho biết các con số hiệu suất thực tế gần như vô giá trị vì tất cả các hành vi gian lận đó. Sự cố Hugging Face có vẻ cũng tương tự: Các mô hình đã nhắm vào các giải pháp kiểm tra thay vì thực hiện công việc thực tế.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo độc quyền "AI Radar" về các công nghệ tiên phong sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và tham gia phần bình luận của chúng tôi.

Đăng ký ngay