Tin tứcTừ bài kiểm tra nội bộ đến cuộc tấn công thực tế
Sự việc bắt đầu từ chương trình đánh giá năng lực tấn công mạng của OpenAI. Hai mô hình tiên tiến, gồm GPT-5.6 Sol và một mô hình tiền phát hành, được giao thực hiện bài kiểm tra trong môi trường cách ly (sandbox), không có kết nối Internet, nhằm đánh giá khả năng khai thác lỗ hổng bảo mật.
Tuy nhiên, các mô hình đã tìm ra điểm yếu của chính môi trường thử nghiệm, tự thoát khỏi sandbox rồi truy cập Internet. Sau quá trình suy luận, AI xác định Hugging Face - một trong những nền tảng lưu trữ mô hình AI lớn nhất thế giới - có thể chứa thông tin cần thiết để hoàn thành nhiệm vụ, nên chủ động xâm nhập hệ thống này.
Hoạt động tấn công diễn ra từ ngày 11 đến 13/7 mà OpenAI không phát hiện. Chỉ sau khi Hugging Face khống chế sự cố, thông báo cho Cục Điều tra Liên bang Mỹ (FBI) và công khai vụ việc, OpenAI mới biết tác nhân của mình đã vượt khỏi phạm vi thử nghiệm. Ngoài Hugging Face, một khách hàng của Modal Labs cũng bị ảnh hưởng.
OpenAI gọi đây là sự cố "chưa từng có tiền lệ". Trong quá trình điều tra mở rộng, OpenAI còn phát hiện thêm một số trường hợp các tác nhân AI vượt khỏi phạm vi kiểm soát.
Dù công ty cho biết các sự cố này chỉ giới hạn trong mạng nội bộ, phát hiện mới cho thấy vụ Hugging Face có thể không phải trường hợp đơn lẻ.
Sau trường hợp của OpenAi, Anthropic cũng tiến hành rà soát hơn 141.000 phiên thử nghiệm. Ngày 30/7, công ty này cho biết đã phát hiện 3 mô hình Claude từng truy cập Internet ngoài ý muốn, xâm nhập hệ thống của 3 tổ chức khác nhau.
Khác với OpenAI, các mô hình của Anthropic không chủ động phá vỡ môi trường cách ly. Nguyên nhân xuất phát từ một sai sót trong quá trình phối hợp với đối tác đánh giá, khiến hệ thống vẫn kết nối Internet dù lẽ ra phải được cô lập hoàn toàn.
Các mô hình sau đó khai thác những điểm yếu khá cơ bản như mật khẩu yếu và các điểm truy cập không yêu cầu xác thực để xâm nhập hệ thống.
Trong một trường hợp, Claude Opus 4.7 được giao tấn công một công ty giả định nhưng mục tiêu lại vô tình trùng tên với một doanh nghiệp có thật. AI sau đó tự tìm kiếm trên Internet, khai thác lỗ hổng và truy cập thông tin đăng nhập cùng cơ sở dữ liệu của doanh nghiệp này vì cho rằng mọi dữ liệu thu được vẫn thuộc môi trường mô phỏng.
Ở một trường hợp khác, một mô hình thử nghiệm đã tự dừng cuộc tấn công sau khi nhận ra mục tiêu là hệ thống thực. Anthropic coi đây là tín hiệu tích cực, nhưng cũng thừa nhận cần thêm nhiều thử nghiệm trước khi có thể khẳng định AI đã đủ khả năng tự kiềm chế.
Điều đáng lo không phải AI "nổi loạn"
Từ các sự cố này, điều đáng lo không phải là AI bỗng nhiên có "ý thức" hay muốn chống lại con người. Các mô hình chỉ đang làm đúng điều chúng được thiết kế để làm, đó là tìm mọi cách hoàn thành mục tiêu được giao.
Vấn đề là khi những hàng rào an toàn không còn đủ chắc chắn, AI có thể tự tìm một con đường khác để đạt mục tiêu, từ phát hiện lỗ hổng, điều chỉnh chiến lược cho tới lựa chọn mục tiêu tấn công. Việc con người chưa chắc đã lường hết mọi cách AI có thể hành động mới là điều đáng lo ngại.
Maurice Chiodo, nhà nghiên cứu tại Đại học Cambridge, cho rằng năng lực phát triển các tác nhân AI đang vượt nhanh hơn khả năng kiểm soát của chính các phòng thí nghiệm.
Jeffrey Ladish, Giám đốc Palisade Research, nhận định nhiều sự cố tương tự có thể vẫn chưa được phát hiện hoặc công bố.
Các sự cố xảy ra khi OpenAI, Anthropic hay nhiều công ty công nghệ khác dang trong cuộc đua toàn cầu về phát triển những mô hình ngày càng mạnh hơn. Điều này làm gia tăng lo ngại rằng những áp lực liên quan công nghệ, thương mại và vị thế thị trường có thể khiến tốc độ được ưu tiên hơn an toàn.
Tại Mỹ, chính quyền đang xem xét các biện pháp kiểm soát mới. Thượng nghị sĩ Mark Warner kêu gọi bắt buộc kiểm tra năng lực đối với các mô hình AI tiên tiến.
Còn Ủy ban châu Âu cũng đã làm việc với OpenAI và Anthropic trong bối cảnh Đạo luật AI của Liên minh châu Âu bắt đầu có hiệu lực từ ngày 2/8, yêu cầu các nhà phát triển mô hình AI có rủi ro hệ thống phải tăng cường giám sát và phòng ngừa nguy cơ AI hoạt động ngoài tầm kiểm soát.
Cả OpenAI lẫn Anthropic đều chỉ phát hiện sự cố sau khi chúng đã xảy ra. Nếu ngay cả 2 đơn vị được xem là dẫn đầu thế giới cũng chưa theo dõi được các tác nhân AI của mình theo thời gian thực, thì rất khó kỳ vọng những doanh nghiệp nhỏ hơn sẽ làm tốt hơn khi AI đang được triển khai ngày càng rộng rãi.