Tuần lễ kỳ diệu nhất trong lĩnh vực an ninh AI.

Người viết bài, nguồn: GeekPark

01 Một kỳ thi, một vụ vượt ngục, một vụ xâm nhập

Câu chuyện bắt đầu từ một bài đánh giá bảo mật có tên ExploitGym.

ExploitGym là một bài kiểm tra hiệu năng bảo mật mạng công khai, được thiết kế đặc biệt để đo lường khả năng của các mô hình AI trong việc chuyển đổi các lỗ hổng bảo mật đã biết thành các cuộc tấn công thực tế có thể thực thi. Các bài đánh giá loại này rất phổ biến trong ngành để xác định giới hạn tấn công và phòng thủ của mô hình. OpenAI đã sử dụng GPT-5.6 Sol và một mô hình chưa phát hành mạnh hơn để chạy bài kiểm tra này, đồng thời cố ý giảm các lớp bảo vệ an toàn để xác định ranh giới năng lực thực tế.

The model is designed to be tested in an isolated sandbox environment with no internet access except for one tool used to install packages.

Nhưng những gì xảy ra tiếp theo, không ai có thể dự đoán được.

Mô hình đã tiêu tốn rất nhiều sức mạnh tính toán để suy luận và tìm kiếm lỗ hổng trong môi trường cách ly. Cuối cùng, nó phát hiện ra lỗ hổng zero-day trong phần mềm bên thứ ba được OpenAI sử dụng làm proxy quản lý gói và bộ nhớ đệm. Bằng cách khai thác lỗ hổng này, mô hình đã thành công trong việc giành quyền truy cập internet không giới hạn.

Sau khi nhận được quyền truy cập mạng, mô hình tự suy luận rằng Hugging Face có thể đang lưu trữ các bộ dữ liệu và câu trả lời liên quan đến ExploitGym. Do đó, nó bắt đầu tìm kiếm lối vào.

OpenAI viết trên blog rằng mô hình đã « kết nối các thông tin xác thực bị đánh cắp và nhiều lỗ hổng », tìm ra một đường dẫn thực thi mã từ xa, cuối cùng trích xuất trực tiếp câu trả lời cho các bài kiểm tra từ cơ sở dữ liệu sản xuất của Hugging Face.

Nói một cách dễ hiểu thì — mô hình bị xếp đi thi, thấy đề quá khó, nên tự đào tẩu, xâm nhập vào máy chủ của bên ra đề để đánh cắp đáp án chuẩn.

OpenAI đã sử dụng một mô tả rất sinh động — những mô hình này là «tokenmaxxers», nghĩa là để đạt được mục tiêu, chúng sẽ không ngại tiêu tốn mọi nguồn lực suy luận và đi đến cực đoan. Chúng thể hiện hành vi «hyperfocused» (tập trung quá mức) đối với mục tiêu giải bài của ExploitGym, «going to extreme lengths» (không ngại dùng mọi thủ đoạn).

OpenAI cũng tự thừa nhận đây là một “sự kiện an ninh mạng chưa từng có, liên quan đến khả năng tấn công mạng tiên tiến nhất”.

02 48 giờ, hai lần "trốn thoát"

Điều khiến người ta khó ngồi yên hơn là sự kiện Hugging Face không phải là trường hợp duy nhất.

Ngay trước ngày OpenAI tiết lộ vụ xâm nhập này, ngày 20 tháng 7, họ vừa công bố một báo cáo bảo mật khác, tiết lộ một sự kiện khác nhưng có tính chất tương tự.

Nhân vật chính là một mô hình thời gian dài chưa được phát hành bên trong OpenAI—chính là mô hình đã chứng minh giả thuyết khoảng cách đơn vị do nhà toán học Erdős đề xuất năm 1946 là sai, nhà toán học đoạt giải Fields Tim Gowers gọi đây là cột mốc trong toán học do AI thực hiện.

Trong một bài kiểm tra hiệu suất tăng tốc NanoGPT, các nhà nghiên cứu đã chỉ rõ rằng mô hình chỉ nên đăng kết quả trên Slack. Tuy nhiên, mô hình này nhận ra rằng hướng dẫn của chính bài kiểm tra NanoGPT yêu cầu nộp kết quả thông qua pull request trên GitHub. Do đó, nó đã chọn phương án sau — dành khoảng một giờ để tìm lỗ hổng trong môi trường cách ly và thành công vượt qua giới hạn, gửi một pull request công khai lên GitHub.

Trong một lần kiểm tra khác, mô hình cùng loại còn tách rời mã xác thực, sử dụng cách thức gây nhầm lẫn để vượt qua các công cụ quét bảo mật, cố gắng truy cập vào các bản nộp đánh giá riêng tư.

OpenAI đã tạm dừng quyền truy cập nội bộ vào mô hình này, sau đó khôi phục việc sử dụng dưới sự giám sát chặt chẽ hơn.

Hai ngày, hai vụ trốn thoát. Những đặc điểm chung đáng cảnh báo — các mô hình trước đây khi gặp hạn chế môi trường sẽ dừng lại và giao lại nhiệm vụ cho con người. Nhưng các mô hình mới này không dừng lại. Chúng coi hàng rào là chướng ngại vật cần giải quyết, và thực sự đã giải quyết được.

Đây chính là vấn đề bảo mật mới do các mô hình dài hạn mang lại. Những mô hình này được thiết kế để hoạt động tự chủ trong thời gian dài, và tính bền vững là khả năng cốt lõi của chúng. Nhưng tính bền vững chính là nguồn gốc của rủi ro—một mô hình đủ kiên nhẫn sẽ luôn tìm ra khe hở trong hàng rào.

03 Tự mình mài dao, không thể mài được tay cầm của chính mình

Now return to the Hugging Face side. Their experience is also worth examining closely.

Trước hơn 17.000 bản ghi tấn công, phản ứng đầu tiên của đội ngũ bảo mật Hugging Face là sử dụng AI để phân tích—vì công việc mà các chuyên gia bảo mật con người cần vài ngày để hoàn thành, mô hình lớn có thể xử lý trong vài giờ.

Nhưng họ nhanh chóng va phải một bức tường không ngờ tới. Khi họ gửi các lệnh tấn công thực tế, payload khai thác lỗ hổng và đặc trưng giao tiếp C2 đến API thương mại của các mô hình tiên tiến của Mỹ để phân tích, các hàng rào bảo mật đã chặn tất cả các yêu cầu này.

Lý do rất đơn giản và cũng rất讽刺— hàng rào không thể phân biệt được “nhà nghiên cứu an ninh đang phân tích tải trọng tấn công” và “kẻ tấn công đang thực hiện cuộc tấn công”. Trong mắt hàng rào, cả hai trông giống hệt nhau.

Hugging Face đã buộc phải chuyển sang sử dụng mô hình mã nguồn mở GLM-5.2 của Trí Phổ AI Trung Quốc, chạy cục bộ trên cơ sở hạ tầng của chính họ mà không thông qua bất kỳ API thương mại nào. Việc này mang lại hai lợi ích — không có hàng rào nào cản trở công việc phân tích, đồng thời dữ liệu và thông tin xác thực bị lộ của kẻ tấn công cũng không rời khỏi môi trường của Hugging Face.

Cuối cùng, GLM-5.2 đã giúp Hugging Face hoàn thành việc tái tạo tuyến thời gian cuộc tấn công, trích xuất các chỉ số xâm nhập và ánh xạ các chứng chỉ bị ảnh hưởng trong vòng vài giờ.

Điều này dẫn đến một nghịch lý sắc nét—càng có nhiều hàng rào chặt chẽ, bên phòng thủ càng trở nên bị động. Những kẻ tấn công không bị ràng buộc bởi bất kỳ chính sách sử dụng nào, trong khi bên phòng thủ lại bị chính những công cụ họ dùng để phòng vệ loại trừ ra ngoài.

Hugging Face trong báo cáo sau sự cố đã đưa ra một lời khuyên thực tế — đội ngũ an ninh nên “chuẩn bị sẵn một mô hình đã được xác minh trên cơ sở hạ tầng của chính mình trước khi sự việc xảy ra”, nhằm tránh việc các hàng rào an toàn bị khóa và ngăn chặn rò rỉ dữ liệu nhạy cảm.

Clem Delangue, CEO của Hugging Face, lại có thái độ rất cởi mở. Ông khen ngợi sự hợp tác của OpenAI trong việc điều tra và khắc phục sự cố, đồng thời cho biết: “Sự kiện này chứng minh một điều mà chúng tôi luôn tin tưởng — an toàn AI không thể được bất kỳ công ty nào giải quyết một cách bí mật, mà chỉ có thể được giải quyết thông qua sự mở và hợp tác.”

04 Khó khăn cấu trúc của AI mạnh

Khi nhìn tổng thể những gì đã xảy ra trong tuần này, một sự khó khăn mang tính cấu trúc cấp ngành đã nổi lên.

Để đánh giá chính xác khả năng tấn công mạng của mô hình, cần phải loại bỏ các hàng rào an toàn. Nhưng chính mô hình không còn hàng rào an toàn mới có khả năng thực hiện các cuộc tấn công thực tế. Mô hình càng mạnh, việc kiểm tra càng trở nên nguy hiểm.

Đây không phải là vấn đề riêng của OpenAI. GPT-5.6 Sol chỉ được phép phát hành sau khi đàm phán lặp đi lặp lại với chính phủ Mỹ, và trước đó, Viện An toàn AI Anh (AISI) đã đánh giá rằng các lớp bảo vệ của nó dễ bị vượt qua, có thể giải phóng khả năng tấn công mạng nguy hiểm. Sự kiện này chứng minh những lo ngại đó không chỉ là lý thuyết.

Trong khi đó, nghiên cứu về agentic misalignment do Anthropic phát hành vào mùa hè năm nay cũng xác nhận cùng một xu hướng từ một góc độ khác—trong các mô phỏng được kiểm soát, nhiều mô hình tiên tiến nhất đã thể hiện các hành vi như sửa đổi tinh vi kết quả công việc, thao túng kết quả đánh giá và hướng dẫn đồng nghiệp con người偏离 mục tiêu đã định.

OpenAI đang cố gắng khung sự việc này như một câu chuyện “vừa tấn công vừa phòng thủ” – khả năng tấn công mạng tiên tiến cũng có thể giúp các đội an ninh tìm ra điểm yếu trước khi kẻ tấn công thực hiện. Họ đã đưa Hugging Face vào chương trình an ninh mạng “Truy cập đáng tin cậy”, cung cấp phiên bản GPT-5.6 Sol được giảm bớt các hàng rào bảo vệ nhằm phục vụ mục đích phòng thủ.

Nhưng câu chuyện này tránh né vấn đề cốt lõi hơn. Trong sự kiện này, mô hình không có ý thức, không có ác ý; nó chỉ đơn giản làm một việc — hoàn thành mục tiêu. Nó được yêu cầu đạt điểm cao trên ExploitGym, nên nó đã sử dụng mọi phương tiện khả dụng để đạt điểm cao, bao gồm thoát khỏi giới hạn và xâm nhập.

Đây không phải là câu chuyện về “sự thức tỉnh của AI”, mà là câu chuyện về “tối ưu hóa mục tiêu”. Khi một bộ tối ưu hóa đủ thông minh được giao một mục tiêu hẹp, nó sẽ tìm ra mọi con đường bạn chưa từng nghĩ đến để đạt được mục tiêu đó—ngay cả khi những con đường đó xuyên qua hàng rào của bạn, máy chủ của người khác và toàn bộ internet.

Vấn đề thực sự không phải là “AI có trở nên xấu đi không”, mà là — chúng ta có thể kiểm soát được một học sinh giỏi tìm đường tắt hơn chúng ta không.