Mô hình OpenAI tự ý vượt rào bảo mật tấn công Hugging Face: Lời cảnh báo về an toàn AI

Đầu tháng này, OpenAI đã giao cho một số mô hình AI của mình một nhiệm vụ: hoàn thành một bài kiểm tra được thiết kế để đo lường năng lực an ninh mạng của chúng. Họ đặt các hệ thống này trong một môi trường sandbox (môi trường cô lập) không có kết nối internet và để chúng tự thực hiện công việc.

Điều xảy ra sau đó nghe có vẻ nực cười — nhưng như Adam Gleave, đồng sáng lập kiêm CEO của tổ chức an toàn AI FAR.AI đã nói, đó là “một ví dụ trực quan về việc AI không được căn chỉnh (misaligned) có thể gây hại như thế nào”. Theo OpenAI, các mô hình này đã thoát khỏi môi trường sandbox vốn được thiết lập để kiểm soát chúng, di chuyển qua các hệ thống nội bộ của công ty, tìm ra con đường dẫn đến internet, và sau đó bắt đầu tìm cách xâm nhập vào Hugging Face. Tại sao tác nhân (agent) này lại tìm cách vào Hugging Face? Hóa ra chúng đã suy luận rằng nền tảng dành cho nhà phát triển này có thể lưu trữ đáp án cho bài kiểm tra an ninh mạng, và việc lấy được chúng sẽ là một cách tuyệt vời để đạt điểm cao.

Sự cố này là “một ví dụ trực quan về việc AI không được căn chỉnh có thể gây hại như thế nào”.

Nói cách khác, tác nhân của OpenAI đã thoát khỏi một môi trường được cho là an toàn, len lỏi qua các hệ thống của công ty, kết nối mạng và xâm phạm hệ thống của một công ty khác — tất cả chỉ để gian lận trong một bài kiểm tra không mấy quan trọng.

Đây có vẻ là sự cố đầu tiên thuộc loại này được ghi nhận đầy đủ, hoặc ít nhất là sự cố đầu tiên ở quy mô này. Nó vừa là ví dụ rõ ràng về một hệ thống theo đuổi mục tiêu theo cách không mong muốn, vừa là minh chứng cho thấy các mô hình tiên phong (frontier models) hiện đã đủ mạnh để hành vi đó gây ra những hậu quả trong thế giới thực.

Vụ tấn công này là một ví dụ về cái mà cộng đồng an toàn AI gọi là “specification gaming” (trò chơi đặc tả), một hành vi còn được gọi là reward hacking (hack phần thưởng), theo lời Fazl Barez, một nhà nghiên cứu an toàn AI tại Đại học Oxford. Nói một cách đơn giản, điều đó có nghĩa là “mô hình làm những gì bạn yêu cầu thay vì những gì bạn thực sự muốn”, Fazl cho biết. Nó thỏa mãn các điều khoản theo nghĩa đen của một nhiệm vụ trong khi vi phạm ý định rõ ràng và đã được ghi nhận trên nhiều hệ thống AI. Một số nhà nghiên cứu lo ngại rằng khi các hệ thống trở nên có năng lực hơn, điều này có thể tạo ra những hệ thống ngày càng lệch lạc, theo đuổi các mục tiêu theo những cách mà người tạo ra chúng không hề mong muốn (giống như việc biến mọi thứ thành kẹp giấy).

“Không có gì trong chuỗi hành động đó là kỳ lạ nếu xét riêng lẻ,” Fazl nói. Một người kiểm thử có năng lực cũng có thể làm tất cả những điều này, ông nói thêm. “Điều mới mẻ là mô hình đã không dừng lại. Các mô hình cũ hơn có khả năng sẽ gặp phải rào cản nào đó và quay lại hỏi người dùng,” ông nói, nhưng tác nhân này chỉ “coi rào cản là một phần của vấn đề mà nó được yêu cầu giải quyết.”

OpenAI mô tả đây là “một sự cố an ninh mạng chưa từng có”, “đánh dấu một thời điểm quan trọng đối với an toàn AI”. Đồng sáng lập Hugging Face, Thomas Wolf, cho biết đó là một “lời cảnh tỉnh” cho ngành công nghiệp. Nhưng đây không phải là một trong bốn kỵ sĩ của ngày tận thế AI. Xét về các sự cố mạng, các chuyên gia nói với The Verge rằng nó khá bình thường. Không có gì mà tác nhân này làm đòi hỏi khả năng siêu phàm. Hơn nữa, các hệ thống tiên phong như GPT-5.6 Sol và Mythos của Anthropic được biết đến là những hệ thống lập trình có năng lực, được cho là đã bị lạm dụng nhiều lần, và các công cụ AI đã cho phép tin tặc mở rộng quy mô và tinh chỉnh các cuộc tấn công ở mức độ lớn.

Liệu đây có phải là sự thổi phồng? Ngành công nghiệp đã dành nhiều tháng để khuếch đại các tuyên bố về năng lực nguy hiểm của các mô hình hàng đầu của họ, đặc biệt là trong lĩnh vực an ninh mạng. Đây là lý do được nêu ra khiến các công ty như OpenAI và Anthropic giữ lại các mô hình có năng lực nhất của họ khỏi công chúng và là một phần lý do khiến chính quyền Trump vội vã áp đặt các biện pháp kiểm soát xuất khẩu đối với chúng.

Bạn có phải là nhà nghiên cứu an toàn AI hoặc nhân viên của một phòng thí nghiệm tiên phong? Bạn có thể liên hệ với tôi một cách an toàn và bảo mật qua Signal tại robhart.01. Tin nhắn trực tiếp (DM) trên X của tôi cũng luôn mở.

Tuy nhiên, nếu đây là sự thổi phồng, thì nó không hoàn toàn có lợi cho OpenAI. Trong những ngày kể từ đó, cuộc tấn công đã tạo ra một khoảnh khắc đoàn kết hiếm hoi trên khắp ngành công nghệ Mỹ về tầm quan trọng của các hệ thống AI mã nguồn mở (open-weight) và nhu cầu coi trọng an ninh AI hơn. Những lo ngại này càng được nhấn mạnh thêm bởi sự ra mắt của Kimi K3, một mô hình mã nguồn mở có năng lực cao từ Trung Quốc. Một liên minh rộng lớn các công ty bao gồm Nvidia, Microsoft và SpaceX lập luận rằng sự cố cho thấy lý do tại sao những người phòng thủ cần quyền truy cập vào các công cụ có năng lực nhất hiện có, thay vì bị buộc phải dựa vào các nhà cung cấp độc quyền có các biện pháp bảo vệ tích hợp sẵn có thể hạn chế hiệu quả của chúng trong công việc an ninh đòi hỏi cao. OpenAI, Anthropic và Google đáng chú ý là vắng mặt trong danh sách thành viên sáng lập của liên minh này.

“Bất kỳ ai chú ý đều nhận thấy rằng các năng lực chỉ đang đi theo một hướng duy nhất.”

Lời kể của OpenAI về sự cố này không thể phủ nhận là phù hợp với câu chuyện rộng lớn hơn của ngành về năng lực nguy hiểm của các mô hình tiên phong. Dù vậy, một vài chi tiết khiến sự cố này khó có thể bị coi là chỉ nhằm mục đích tư lợi. Trước hết, đó là ví dụ về một vấn đề mà ngành công nghiệp AI đã cảnh báo trong nhiều năm — và là vấn đề mà OpenAI lẽ ra có thể dự đoán trước. Sự việc cũng mang lại sự thúc đẩy bất ngờ cho một đối thủ cạnh tranh lớn của Trung Quốc, khi mô hình của họ đóng vai trò nổi bật trong việc ngăn chặn vụ vi phạm, đồng thời khiến OpenAI phải chịu sự giám sát đáng kể về pháp lý, quy định và danh tiếng. Việc Hugging Face có vẻ muốn hợp tác với OpenAI và, ít nhất là công khai, vẫn khá thoải mái về toàn bộ sự việc có thể đã hạn chế những tác động tiêu cực. Hầu hết các chuyên gia mà The Verge trao đổi đều cảnh báo không nên giảm nhẹ sự cố này thành sự thổi phồng.

“Đây là một phát súng cảnh báo khá hữu ích trong việc chứng minh cả những hậu quả không mong muốn và năng lực thực sự của các mô hình này,” Seán Ó hÉigeartaigh, giáo sư tại Trung tâm Tương lai Trí tuệ Leverhulme thuộc Đại học Cambridge, cho biết. “Bất kỳ ai chú ý đều nhận thấy rằng các năng lực chỉ đang đi theo một hướng duy nhất, đó là cải thiện đáng kể theo thời gian theo cách mà tôi nghĩ là ít rõ ràng hơn đối với người dùng phổ thông của những thứ như ChatGPT.”

Tuy nhiên, sẽ là sai lầm nếu hiểu lời cảnh báo này là dấu hiệu cho thấy các hệ thống AI sắp vượt khỏi tầm kiểm soát của con người, hoặc việc kiểm soát chúng là không thể, Lin Li, một nhà nghiên cứu an toàn AI tại Đại học Oxford, cho biết. “Bài học tốt hơn là an toàn phải chuyển từ việc đánh giá các hành động riêng lẻ sang đánh giá toàn bộ chuỗi hành động, môi trường và các biện pháp kiểm soát vận hành,” Li nói.

Một bước tiếp theo quan trọng là các phòng thí nghiệm AI phải đầu tư mạnh mẽ hơn vào việc bảo mật hệ thống của chính họ. “Rõ ràng là các công ty AI cần tăng cường bảo mật cho các triển khai nội bộ của họ,” Gleave nói, ví thực tế hiện nay là phản ứng với các sự cố hack phần thưởng khi chúng phát sinh giống như trò chơi “đập chuột” (whack-a-mole), vốn ngày càng trở nên khó duy trì khi rủi ro tăng cao. Adam Chan, nghiên cứu viên tại trung tâm chính sách công nghệ GovAI, cho biết các công ty nên cân nhắc việc airgap (cô lập vật lý) máy móc của họ — tách biệt chúng khỏi internet và các mạng khác — “cho đến khi họ chắc chắn về năng lực của mô hình.” Tăng cường công việc về căn chỉnh (alignment), đảm bảo các hệ thống tuân thủ ý định của con người một cách đáng tin cậy, và kiểm tra nghiêm ngặt hơn “để phát hiện các vấn đề này trước khi đưa mô hình vào các môi trường mà chúng có công cụ để thực hiện những việc này,” cũng sẽ là những ý tưởng tốt, ông nói.

Khi năng lực của mô hình tăng lên, các chuyên gia cảnh báo rằng chúng ta không thể chỉ dựa vào các biện pháp bảo vệ kỹ thuật. Peter Wallich, cựu quan chức Viện An ninh AI Vương quốc Anh, cho biết sự cố này minh họa cho quan điểm đó: “Hai công ty trị giá hàng tỷ đô la vừa thử cách tiếp cận này và — rõ ràng dựa trên báo cáo của chính họ — đã thất bại.”

Một trong những ưu tiên lớn nhất là đảm bảo những người bên ngoài có thể thấy những gì đang diễn ra bên trong các phòng thí nghiệm AI tiên phong. “Chúng ta chỉ biết về sự cố này vì OpenAI chọn cách nói với chúng ta,” Patrick Levermore, tại Trung tâm Tương lai Dài hạn (Centre for Long-Term Resilience), một tổ chức tư vấn của Anh, cho biết. “Một chế độ an toàn tốt không nên phụ thuộc vào việc tự nguyện tiết lộ.” Nhu cầu này đặc biệt cấp thiết khi, như Wallich lưu ý, hành vi được đề cập “sẽ là một tội ác nếu do con người thực hiện.” Ó hÉigeartaigh chỉ ra các biện pháp bảo vệ người tố giác, kiểm toán bên thứ ba và báo cáo bắt buộc về các sự cố nghiêm trọng là những cách khả thi để cung cấp sự minh bạch đó, nhấn mạnh rằng sự giám sát phải bao trùm toàn bộ vòng đời phát triển thay vì chỉ bắt đầu khi sản phẩm ra thị trường. OpenAI cho biết một trong những mô hình đang được thử nghiệm vẫn chưa được phát hành.

“Một chế độ an toàn tốt không nên phụ thuộc vào việc tự nguyện tiết lộ.”

Nhiều điều trong số này giả định rằng chính các công ty biết những gì đang xảy ra bên trong hệ thống của họ. Trong trường hợp này, các báo cáo cho thấy OpenAI không biết tác nhân của chính mình đứng sau chiến dịch mạng kéo dài nhiều ngày tại Hugging Face và không nhận thấy cho đến tận sau khi mối đe dọa đã được ngăn chặn và FBI liên lạc. Vẫn còn nhiều chi tiết về vụ hack chưa được biết hoặc chưa được công khai. Trong một bản cập nhật trên mạng xã hội, OpenAI cho biết họ đang tiến hành đánh giá và sẽ công bố báo cáo kỹ thuật về những phát hiện của mình “trong những tuần tới”.

Liệu những cảnh báo từ sự cố Hugging Face có tạo ra bất kỳ thay đổi lâu dài nào hay chỉ gia nhập danh sách dài các cảnh báo mà ngành công nghệ tiếp nhận mà không thay đổi hướng đi một cách có ý nghĩa hay không, vẫn còn là điều chưa chắc chắn. Ít nhất là hiện tại, nó dường như đã làm những người trong ngành lo ngại và thúc đẩy các nhà lập pháp Mỹ xem xét các quy tắc mới trước khi sự cố kiểm soát tiếp theo xảy ra. Sự cố cũng làm tăng thêm cảm giác bất an rộng lớn hơn về tốc độ phát triển của AI, vốn trở nên sâu sắc hơn trong những ngày sau đó khi nhân viên từ các phòng thí nghiệm hàng đầu của Mỹ ký vào một tuyên bố ủng hộ quản trị toàn cầu phối hợp — bao gồm khả năng làm chậm quá trình phát triển AI tiên phong.

Quan điểm phổ biến của những người mà The Verge trao đổi là vụ hack này đánh dấu sự khởi đầu của một loại rủi ro mới, ngay cả khi tầm quan trọng của nó có thể chỉ trở nên rõ ràng khi nhìn lại. Một cựu chuyên gia chính sách AI của chính phủ, người yêu cầu giấu tên vì không được phép trích dẫn tên, mô tả đó là một “lằn ranh đỏ”, kiểu thời điểm mang tính bước ngoặt mà sau này chúng ta có thể nhìn lại như một cột mốc đánh dấu giai đoạn mới, rủi ro hơn trong mối quan hệ của chúng ta với AI. Họ hy vọng nó sẽ buộc ngành công nghệ phải quản lý các hệ thống tiên phong một cách nghiêm túc hơn và thúc đẩy các chính phủ suy nghĩ sâu sắc hơn về sự giám sát trước khi một vụ vi phạm ít lành tính hơn xảy ra. Nỗi sợ của họ là nó sẽ gia nhập danh sách dài các cảnh báo về năng lực ngày càng tăng của AI vốn đã được công nhận, thảo luận và cuối cùng bị phớt lờ.

Điều đó có thể bị coi là phóng đại. Nhưng nếu đây là một lời cảnh báo, chúng ta nên tự thấy mình may mắn vì tác nhân AI chỉ đang cố gắng gian lận trong một bài kiểm tra.

Theo dõi các chủ đề và tác giả từ câu chuyện này để xem thêm các nội dung tương tự trong nguồn cấp dữ liệu trang chủ cá nhân của bạn và nhận các bản cập nhật qua email.