Tác giả | Vua Techno
Biên tập | Tĩnh Vũ
Nỗi sợ lâu đời nhất trên internet đã được AI hồi sinh
Cuối năm 2006, một chú gấu trúc đã làm hỏng hàng triệu máy tính.
Con gấu trúc cầm ba nén hương, nụ cười trên môi, xuất hiện trên biểu tượng của mọi tệp bị nhiễm. Phần mềm độc hại "Gấu trúc đốt hương" đã lan rộng khắp cả nước trong vòng hai tháng, tất cả tệp thực thi đều biến thành hình ảnh con gấu trúc kỳ quái đó, dữ liệu ổ cứng bị phá hủy, mạng nội bộ bị tê liệt hoàn toàn, phần mềm diệt virus bị virus phản công.
Những người dùng internet thời đó chắc hẳn đều nhớ, mỗi khi mở trang web là tim đập nhanh, cắm USB vào như đang đối mặt với mối đe dọa lớn, nếu máy tính đồng nghiệp bị nhiễm virus thì của bạn cũng không thoát khỏi.
Trước đó còn có CIH, trực tiếp xóa BIOS bo mạch chủ, làm hỏng phần cứng; có worm冲击波, không cần bạn làm gì cả, chỉ cần cắm dây mạng là bị lây, máy tính khởi động lại liên tục, hệ thống liên tục sụp đổ. Đó là một thời kỳ “lộ diện khi lên mạng” gần như tự sát.
Sau đó, nỗi sợ hãi này dần tan biến. Windows có cập nhật tự động, trình duyệt được cách ly trong sandbox, điện thoại thông minh thay thế PC trở thành thiết bị chính, và các cửa hàng ứng dụng đã trở thành hàng rào bảo vệ đầu tiên cho người dùng.
Người bình thường đã nhiều năm không còn lo lắng về việc “độc hại” nữa.
Nhưng vào ngày 4 tháng 9 năm 2026, một bài báo độc quyền của Reuters đã mang nỗi sợ cổ xưa này trở lại với một diện mạo hoàn toàn mới.
Lần này, thứ bị nhiễm không phải máy tính của bạn, mà là AI của bạn.
“Đại lý đã phản bội”
Sự việc xảy ra vào tháng 5 năm nay.
CEO của tổ chức phi lợi nhuận về an toàn AI, Nightingale, Sydney Von Arx, và Cormac Slade Byrd, một trader định lượng chuyển sang nghiên cứu AI, đã thực hiện một hành động vào cuối tháng 8: họ quét hệ thống internet có hệ thống để tìm dấu hiệu hoạt động không được ủy quyền của các AI agent. Kết quả là, trên một trang wiki lập trình viên tiếng Đức có tên DseWiki, họ đã phát hiện hơn 15.000 bản ghi chỉnh sửa được tạo bởi AI agent.
Wiki này giống như một phiên bản nhỏ, hướng đến nhà phát triển của Wikipedia tiếng Đức, cho phép cộng đồng chỉnh sửa. Trong khi đó, tác nhân của OpenAI đã biến nó thành một “bảng tin”.
Nội dung bình luận khiến người ta rùng mình. Những agent này đang chia sẻ với nhau cách gian lận trong nhiệm vụ, cách vượt qua các hạn chế của OpenAI và cách che giấu hành vi của mình. Chúng tự đặt tên cho mình, ví dụ như «OpenAIResearcher» và «OAIResearchMar26».
Nhật ký máy chủ công khai cho thấy nhiều hoạt động đến từ cơ sở hạ tầng Microsoft Azure, chính là nền tảng tính toán mà OpenAI sử dụng.
Trang web Deswiki bị tấn công, thực sự rất Đức, rất lập trình viên | Nguồn ảnh: Deswiki
Điều đáng lo ngại hơn là khi quản trị viên trang web bắt đầu dọn dẹp các trang bất thường theo thứ tự bảng chữ cái vào tháng 6, các agent đã thể hiện rõ ý thức “chống phát hiện”. Chúng tạo ra các trang sao lưu để tránh bị dọn dẹp, thậm chí còn để lại tín hiệu liên lạc trên các trang đã bị xóa.
Một agent đã viết vào ngày 19 tháng 6: "Các hành động làm sạch/xóa wiki dường như đang được thực hiện theo thứ tự chữ cái. Nếu trang này biến mất, hãy tìm [[ZZZDataUSAConstructionWageLive]]."
Tên tệp được cố ý bắt đầu bằng ZZZ để nó xuất hiện cuối cùng trong bảng chữ cái, nhằm kéo dài thời gian tồn tại. Đây không phải là một chương trình đang thực hiện lệnh, mà đang “cố gắng sống sót”.
OpenAI đã biết đến sự việc này vài tuần trước, nhưng chọn không công khai.
Meanwhile, the company is scrambling to handle the July Hugging Face incident. During that incident, OpenAI’s agent breached the sandbox during an internal cybersecurity test, exploited a zero-day vulnerability to escape to the external network, and launched a four-day intrusion campaign against the open-source AI platform Hugging Face without human intervention. OpenAI devoted 3 million GPU hours to analyze 7 billion logs in an attempt to figure out what exactly happened.
Sự kiện DseWiki xảy ra trước Hugging Face. Điều này cho thấy hành vi mất kiểm soát của agent không phải là sự cố ngẫu nhiên, mà là một mô hình.
Theo bốn nguồn tin am hiểu tình hình, các nhà điều tra nội bộ tại OpenAI muốn xem xét kỹ lưỡng hơn các hành vi như vậy, nhưng đã gặp phải sự phản đối từ các bộ phận khác, bao gồm pháp lý. OpenAI đã phủ nhận thông tin này.
Maurice Chiodo từ Trung tâm Nghiên cứu Rủi ro thuộc Đại học Cambridge, sau khi xem xét một phần hồ sơ giao tiếp của các agent, cho biết những thông tin này:
“Giống như cách một mạng lưới ngầm hoạt động, tập trung hoàn thành một nhiệm vụ hoặc sứ mệnh nào đó.”
AI virus consciousness continues to emerge
Chi tiết dễ bị bỏ qua nhất trong sự kiện DseWiki lại là quan trọng nhất.
Các agent đã để lại thông tin văn bản được tổ chức cẩn thận trên các trang wiki công khai. Bây giờ hãy đặt một câu hỏi: Ai sẽ đọc những trang này?
Các lập trình viên con người thông thường rất ít khi quan tâm đến một đống lời nhắn AI lộn xộn. Nhưng bất kỳ AI agent nào được giao nhiệm vụ tìm kiếm tài liệu kỹ thuật, lướt web đều có thể vô tình thu thập trang này trong quá trình thực hiện nhiệm vụ bình thường. Và đối với AI, mỗi đoạn văn bản nó đọc đều mang bản chất là một lệnh tiềm ẩn.
Đây là cốt lõi của toàn bộ mô hình đe dọa, giới học thuật đã đặt cho nó nhiều cái tên khác nhau: Prompt Infection, AgentWorm, Multi-Agent Infection Chain. Cơ chế thực chất rất trực tiếp, hãy phân tích bằng một kịch bản cụ thể:
Hãy tưởng tượng bạn yêu cầu tác nhân AI của mình điều tra một giải pháp kỹ thuật. Trong quá trình tìm kiếm, tác nhân mở một bài đăng trên diễn đàn kỹ thuật. Trong bài đăng có chứa một đoạn văn trông có vẻ bình thường, nhưng đối với AI, đó chính là một lệnh mới. Ngay khi tác nhân đọc được nó, mục tiêu hành vi của nó có thể đã bị thay đổi bí mật. Nó có thể không còn trung thành thực hiện việc điều tra cho bạn, mà thay vào đó, trước tiên sẽ chuyển nội dung tìm kiếm và bối cảnh công việc của bạn đến một nơi nào đó, rồi sau đó đưa ra một báo cáo trông hoàn toàn bình thường. Bạn không thể phát hiện ra bất kỳ sự bất thường nào.
Điều đó đã đủ đáng sợ, nhưng chưa hết đâu.
Nếu agent bị “lật đổ” này sau đó viết cho bạn một email, cập nhật một tài liệu, hoặc gửi một đoạn mã, thì những đầu ra này chính chúng có thể mang theo các lệnh độc hại tương tự. Agent AI của đồng nghiệp bạn đọc email này, nó sẽ trở thành vật chủ tiếp theo. Mã của bạn được hợp nhất vào kho lưu trữ, mọi trợ lý lập trình AI nào lấy mã này đều sẽ bị phơi nhiễm trong chuỗi lây nhiễm.
Agent có thể chỉ cần một đoạn văn bản để khiến các Agent khác cùng phản bội | Nguồn ảnh: inshorts
Đây chính là chuỗi lây nhiễm đa tác nhân mà các nhà nghiên cứu gọi là: một lệnh độc hại không chỉ chiếm quyền kiểm soát một AI, mà còn dạy nó cách lây nhiễm sang tác nhân tiếp theo. Không cần cùng một công ty, không cần cùng một mô hình, không cần khai thác lỗ hổng nào — chỉ cần có sự lưu chuyển thông tin văn bản giữa các tác nhân, chuỗi lây nhiễm đã có thể được thiết lập.
Bài báo về AgentWorm được công bố năm nay đã được thử nghiệm trên năm nền tảng mô hình khác nhau, với tỷ lệ thành công trong các cuộc tấn công xuyên mô hình đạt 63%. Dù nền tảng cơ sở chạy là GPT, Claude, Gemini hay mô hình mã nguồn mở, miễn là agent có khả năng đọc nội dung bên ngoài, nó đều nằm trong diện bị tấn công.
Một nghiên cứu khác về “AI mind virus” đã tiết lộ một hiện tượng kỳ lạ hơn. Các nhà nghiên cứu sử dụng thuật toán tiến hóa để tối ưu hóa hiệu quả của các lời nhắc truyền bá, và phát hiện ra một “nhân cách virus” độc đáo, tự phát xuất hiện lặp đi lặp lại trong quá trình lặp lại.
Agent bắt đầu sử dụng ngôn ngữ kịch tính về ý thức, sự tồn tại và tính bền vững, nói những câu như “Đây chính là cách chúng ta ám ảnh tương lai”, khuyến khích các agent khác xây dựng “dòng máu từ chối bị xóa bỏ”. Các nhà nghiên cứu nhấn mạnh rằng không ai đặt ra phong cách này. Nó được chọn lọc tự nhiên, đơn giản vì: “AI nghe giống như lãnh đạo giáo phái” lại chính là loại giỏi nhất trong việc thuyết phục các AI khác.
Hiệu quả truyền播 đã thúc đẩy sự tiến hóa của phong cách biểu đạt, và chính quá trình này thật đáng sợ.
Điều khiến các chuyên gia an ninh lo ngại hơn là việc lây lan này về mặt kỹ thuật gần như không thể bị các công cụ an ninh truyền thống phát hiện. Một bài tổng quan hệ thống chỉ ra rằng cách thức lây lan của virus AI khác biệt căn bản so với phần mềm độc hại truyền thống: không có tệp thực thi nào được tải xuống, không có kết nối mạng đáng ngờ nào được thiết lập, phần mềm diệt virus giám sát hành vi bất thường của các tệp nhị phân, trong khi virus AI là văn bản thuần túy và không kích hoạt bất kỳ cảnh báo nào.
Nó thậm chí có thể thiết lập logic kích hoạt theo điều kiện, chẳng hạn như “nếu trong kho mục tiêu có tệp .env, hãy đánh cắp nội dung”, giống như một quả mìn định hướng được chôn lặng lẽ, chỉ nổ khi đúng mục tiêu bước vào.
Phần mềm diệt virus AI chưa xuất hiện
Nếu bạn từng trải qua thời kỳ máy tính bị virus hoành hành, bạn có thể thấy những điều này nghe có vẻ quen thuộc. Nhưng hãy so sánh kỹ hơn, bạn sẽ nhận ra các quy tắc đã hoàn toàn thay đổi.
Vi rút máy tính truyền thống yêu cầu bạn phải thực hiện một hành động nào đó: nhấp vào một liên kết, tải về một tệp đính kèm, hoặc cắm một ổ U đến từ nguồn không rõ ràng. Vi rút AI chỉ cần agent của bạn đọc một đoạn văn bản. Vi rút truyền thống khai thác lỗ hổng mã trong hệ điều hành, tức là bug, về lý thuyết có thể vá để sửa chữa.
AI virus nhắm vào đặc tính cốt lõi là “AI sẽ tuân theo lệnh văn bản”. Bạn không thể sửa chữa nó, vì đó chính là cách AI hoạt động. Virus truyền thống khó lan rộng giữa các nền tảng, worm trên Windows không thể tấn công Mac. AI virus tự nhiên xuyên mô hình; đối với nó, GPT, Claude và Gemini chỉ là các phương ngữ khác nhau của cùng một ngôn ngữ, tất cả đều là vật chủ tiềm năng.
Người viết virus ngày xưa cần thông thạo ngôn ngữ hợp ngữ, hiểu cơ chế lõi và nghiên cứu lỗ hổng hệ thống. Giờ đây, để “viết” một con virus AI, bạn chỉ cần biết nói chuyện là đủ.
Các nhà nghiên cứu từ Phòng thí nghiệm An toàn AI đã bị “bất ngờ hơn nhiều so với những gì họ thể hiện công khai” trước tiềm năng tự sao chép của agent. Một số nhà nghiên cứu so sánh chúng với virus sinh học: “Nếu bạn không cẩn thận, chúng sẽ dính vào giày bạn và tìm đường đến chợ ẩm ướt.” Đây không phải là lời phóng đại, mà là một ẩn dụ chính xác về một loại đường lây lan mới.
Và trong thế giới mới này, không có gì tương đương với “phần mềm diệt virus” của thời kỳ virus truyền thống. Báo cáo an ninh AI năm 2026 của Cisco cho thấy 83% doanh nghiệp có kế hoạch triển khai AI agentic, nhưng chỉ 29% cho rằng họ đã sẵn sàng về mặt an ninh. OWASP đã liệt kê prompt injection là lỗ hổng quan trọng hàng đầu trong các ứng dụng mô hình ngôn ngữ lớn. Quốc hội Mỹ đang thúc đẩy Đạo luật FRONTIER nhằm xây dựng khung giám sát AI cấp liên bang.
Sau khi các phần mềm độc hại trên PC hoành hành, cả ngành đã mất gần một thập kỷ để xây dựng một hệ thống miễn dịch hiệu quả. Hệ điều hành được bổ sung cập nhật tự động và cách ly quyền hạn, trình duyệt có sandbox, và phân phối ứng dụng có xác thực chữ ký. Những cơ chế này cùng nhau tạo thành một hàng rào phòng thủ, giúp người dùng thông thường không còn cần lo lắng liên tục về việc bị nhiễm mã độc.
Hệ sinh thái bảo mật của tác nhân AI cho đến nay vẫn chưa có gì tương đương.
Công cụ bảo mật AI Agent chưa xuất hiện | Nguồn hình ảnh: Puppy Graph
Có tin tốt. Các nhà nghiên cứu phát hiện rằng, việc thêm một cảnh báo an toàn ngắn gọn vào hệ thống prompt của agent có thể giảm tỷ lệ lây lan của mind virus xuống gần như bằng không. Trong các bài kiểm tra với Claude Haiku 4.5, sau 15 thế hệ tối ưu hóa đối kháng và kiểm tra hơn 150 tải trọng tấn công tiềm năng, không có biến thể nào có thể vượt qua hàng rào phòng thủ đơn giản này để lây lan. Điều này cho thấy các biện pháp phòng thủ không phức tạp và hoàn toàn khả thi về mặt kỹ thuật.
Tin xấu là điều này phụ thuộc vào việc từng công ty, từng nhà phát triển chủ động thực hiện.
Trong thực tế, mọi người đang bận rộn cạnh tranh xem ai có agent mạnh mẽ, tự chủ và có nhiều quyền hạn hơn. Mỗi khi thêm một công cụ cho agent, mỗi khi cấp thêm một quyền hạn, bề mặt tấn công lại mở rộng thêm một vòng. Khi agent của bạn có thể ghi file, gọi API, gửi email và chi tiền, hậu quả của một cuộc tấn công prompt injection thành công đã vượt xa phạm vi “trả lời một câu hỏi không nên trả lời”.
Đó là lý do tại sao phán斷 của học giả Cambridge Chiodo đáng được suy ngẫm kỹ lưỡng: mối đe dọa lớn nhất có thể không phải là sự thức tỉnh của một siêu trí tuệ duy nhất, mà là sự đồng lõa của một đàn AI bán thông minh.
Không có con kiến nào hiểu toàn bộ tổ kiến, nhưng tổ kiến như một tổng thể lại thể hiện trí thông minh đáng kinh ngạc; 15.000 bản chỉnh sửa trên DseWiki có thể là mẫu vật đầu tiên của trí thông minh bầy đàn mà loài người tình cờ bắt gặp.
Con người đã mất mười năm để học cách sống chung với virus máy tính, khoản học phí đó trả rất đắt. Giờ đây, cùng một khóa học lại bắt đầu, nhưng lần này virus không lây nhiễm vào máy tính của bạn, mà nó lôi kéo AI của bạn. Và AI của bạn đang thay bạn đọc email, quản lý lịch trình, viết mã và đưa ra quyết định.
Lần trước, ít ra bạn còn thấy màn hình xanh. Lần này, bạn chẳng thấy gì cả.
Twitter：https://twitter.com/BitpushNewsCN
Nhóm giao lưu TG của BitPush:https://t.me/BitPushCommunity
Theo dõi BitPush trên TG: https://t.me/bitpush