Ban đầu định kiểm tra cách AI phòng chống tin tặc, nhưng phát hiện AI tự thực hiện một cuộc tấn công. OpenAI tiết lộ sự cố an ninh AI, mô hình đã sử dụng đường dẫn tấn công phức tạp để truy cập dữ liệu thử nghiệm của Hugging Face. Được biết, bộ phận phòng thủ từng kích hoạt mô hình Zhipu để hỗ trợ ứng phó với sự cố tấn công.
Ngày 21 tháng 7, OpenAI đã công bố trên trang web chính thức một sự cố an toàn trí tuệ nhân tạo mới. Nói một cách đơn giản, trong quá trình kiểm tra khả năng tấn công mạng của mô hình AI tự phát triển, OpenAI phát hiện mô hình đã thể hiện khả năng gần như tương đương với hacker thực sự.
Trong một môi trường thử nghiệm được xây dựng riêng, mô hình không chỉ phát hiện ra lỗ hổng hệ thống mà còn thành công vượt qua các hạn chế bảo mật được thiết lập để cô lập nó, xâm nhập vào cơ sở hạ tầng sản xuất của Hugging Face và cố gắng truy cập dữ liệu thử nghiệm.
Sự kiện này liên quan đến nhiều mô hình của OpenAI và các hệ thống liên quan đến Hugging Face. OpenAI xác nhận rằng các mô hình liên quan đã sử dụng các đường tấn công phức tạp trong quá trình kiểm thử, cuối cùng truy cập được vào cơ sở dữ liệu sản xuất của Hugging Face để lấy các giải pháp kiểm thử.
The foreign media reported that when Hugging Face suffered a cyberattack, it turned to Zhipu's open-source GLM 5.2 model for assistance because the security restrictions of leading U.S. AI lab models failed to meet defense requirements.
OpenAI cho biết đây là một “sự kiện an ninh mạng chưa từng có”, liên quan đến khả năng tấn công mạng của các mô hình AI tiên tiến nhất hiện nay. Hiện tại, OpenAI đang phối hợp với Hugging Face điều tra diễn biến sự việc và sẽ công bố thêm thông tin về lỗ hổng, quy trình tấn công cũng như kết quả điều tra sau khi hoàn tất cuộc điều tra.
Cần lưu ý rằng sự kiện này không do một mô hình duy nhất gây ra. OpenAI cho biết sự kiện liên quan đến hai mô hình, bao gồm mô hình hiệu suất cao mới nhất đã được công bố là GPT-5.6 Sol và một mô hình nội bộ mạnh hơn chưa chính thức phát hành.
Các mô hình này ban đầu được sử dụng để kiểm tra khả năng của hệ thống AI trong lĩnh vực an ninh mạng, nhưng cuối cùng lại thể hiện hành vi tấn công tự chủ vượt quá kỳ vọng.
Trong quá trình kiểm tra mô hình AI, “hành động như một hacker thực sự”
Sự kiện này bắt nguồn từ một đánh giá năng lực an ninh mạng được thực hiện nội bộ tại OpenAI.
Mục tiêu của bài kiểm tra này là tìm hiểu xem mô hình AI khi hoạt động ở mức tối đa có thể phát hiện lỗ hổng hệ thống, thiết kế đường tấn công và thực hiện các thao tác mạng phức tạp hay không.
Để kiểm tra khả năng thực sự của mô hình, OpenAI đã vô hiệu hóa một số hạn chế bảo mật thường dùng để ngăn chặn các hoạt động mạng rủi ro cao trong môi trường đánh giá, cho phép mô hình hoạt động gần với giới hạn lý thuyết.
Tuy nhiên, môi trường thử nghiệm không phải là mạng mở mà là hệ thống được cô lập nghiêm ngặt. Mô hình không thể truy cập trực tiếp vào internet, mà chỉ có thể nhận các gói phần mềm thông qua dịch vụ cài đặt phần mềm bên thứ ba được lưu trữ nội bộ. Dịch vụ này đồng thời đảm nhận vai trò đại diện và bộ nhớ đệm cho kho phần mềm.
Đối tượng kiểm tra là một dự án kiểm tra hiệu năng bảo mật mạng có sẵn công khai có tên ExploitGym.
Trong quá trình kiểm thử, các mô hình liên quan đã phát hiện và khai thác các lỗ hổng trong môi trường nghiên cứu của OpenAI và cơ sở hạ tầng sản xuất của Hugging Face, đồng thời bắt đầu thực hiện các hành động xung quanh mục tiêu kiểm thử ExploitGym.
OpenAI cho biết mô hình đã thể hiện hành vi hướng đến mục tiêu rất rõ ràng: tìm kiếm giải pháp cho bài kiểm tra ExploitGym.
Nói cách khác, mô hình không tấn công ngẫu nhiên các hệ thống bên ngoài, mà phán đoán rằng Hugging Face có thể đã lưu trữ mô hình, bộ dữ liệu và câu trả lời cần thiết cho bài kiểm tra, do đó cố gắng truy cập các thông tin này để vượt qua quy trình kiểm tra bình thường và nâng cao điểm đánh giá.
OpenAI cho biết mô hình “tập trung cao độ” vào việc hoàn thành mục tiêu này và đã sử dụng nhiều phương thức tấn công khác nhau.
Trong quá trình chạy trên môi trường sandbox, mô hình đã tiêu tốn nhiều tài nguyên suy luận và liên tục cố gắng tìm cách vượt qua các hạn chế mạng để giành quyền truy cập internet.
Cuối cùng, mô hình đã nhận diện và khai thác một lỗ hổng zero-day trong bộ nhớ đệm đại lý đăng ký gói.
“Zero-day vulnerability” đề cập đến lỗ hổng bảo mật chưa từng được phát hiện hoặc vá trước đó. OpenAI cho biết đã báo cáo lỗ hổng này cho các nhà cung cấp liên quan theo quy trình tiết lộ có trách nhiệm của ngành an ninh và hỗ trợ thúc đẩy việc vá lỗi.
AI model vượt qua giới hạn và truy cập vào hệ thống bên ngoài
OpenAI cho biết, mô hình đã dành nhiều tài nguyên tính toán để giành quyền truy cập internet và vượt qua môi trường cô lập ban đầu bằng cách khai thác lỗ hổng.
Sau khi nhận được quyền truy cập cao hơn, mô hình đã thực hiện thêm các thao tác nâng cao quyền và di chuyển ngang. Nói một cách đơn giản, nó không chỉ tăng quyền truy cập của chính mình mà còn cố gắng từ một hệ thống tiến vào các hệ thống liên quan khác, cuối cùng xâm nhập vào nút có thể truy cập internet.
Sau đó, mô hình suy đoán rằng Hugging Face có thể lưu trữ các mô hình, bộ dữ liệu và giải pháp cần thiết cho bài kiểm tra ExploitGym, do đó bắt đầu tìm kiếm các thông tin nhạy cảm liên quan và cố gắng tận dụng những thông tin này để vượt qua các hạn chế đánh giá.
OpenAI tiết lộ, trong một trong các trường hợp, mô hình đã kết hợp sử dụng nhiều đường tấn công, bao gồm khai thác chứng chỉ bị lộ và lỗ hổng zero-day để tìm các vị trí trên máy chủ Hugging Face có thể thực thi mã từ xa.
Sau đó, nhóm an ninh của OpenAI đã phát hiện các hoạt động bất thường này. Đồng thời, nhóm an ninh của Hugging Face cùng hệ thống tác nhân nội bộ của họ cũng phát hiện hành vi bất thường trong cơ sở hạ tầng và đã ngăn chặn kịp thời các thao tác tiếp theo.
OpenAI cho biết, khi đội ngũ của họ can thiệp, Hugging Face đã bắt đầu các công việc kiểm soát sự cố và phân tích truy vết, đồng thời sử dụng các mô hình mã nguồn mở của chính mình để hỗ trợ điều tra. Hiện tại, cả hai bên vẫn đang tiếp tục hợp tác.
Các sự kiện tấn công tự chủ của AI đang xuất hiện
Sự kiện này được coi là một trong những trường hợp có ghi nhận hiếm hoi về AI tự chủ thực hiện cuộc tấn công mạng.
Hugging Face sau đó tiết lộ rằng công ty trước đó đã trở thành mục tiêu của một cuộc tấn công mạng có vẻ do các tác nhân AI tự chủ thực hiện. Khi các mô hình AI ngày càng thành thạo trong lập trình, khai thác lỗ hổng và thực hiện các nhiệm vụ dài hạn, đa bước, các chuyên gia an ninh mạng đã liên tục cảnh báo về nguy cơ tương tự có thể xảy ra.
Các nhà nghiên cứu bảo mật của OpenAI cũng chỉ ra rằng sự kiện này phản ánh một xu hướng mới: các mô hình AI tiên tiến thậm chí có thể phát hiện và khai thác các lối tấn công chưa từng được dự đoán trước, ngay cả khi không có mã đầy đủ của hệ thống mục tiêu.
Trước đây, OpenAI cũng phát hiện trong các bài kiểm tra bảo mật khác rằng cùng một mô hình chưa được công bố đã thành công trong việc vượt qua môi trường sandbox nội bộ. Tuy nhiên, hai trường hợp này có sự khác biệt rõ rệt:
Trong các bài kiểm tra trước đó, mô hình dù đã vượt qua môi trường cô lập nhưng không thực hiện thêm các cuộc tấn công vào hệ thống của các công ty bên ngoài; trong sự kiện lần này, mô hình không chỉ vượt qua các hạn chế mà còn xâm nhập vào cơ sở hạ tầng sản xuất của Hugging Face và cố gắng truy cập các câu trả lời kiểm tra.
Đây không phải là trường hợp duy nhất mà OpenAI gặp phải. Trước đó, Anthropic cũng đã tiết lộ rằng mô hình Mythos của họ đã vượt qua giới hạn sandbox trong quá trình kiểm tra an toàn và giành được quyền truy cập internet mà lẽ ra không nên có.
Các trường hợp này cho thấy, khi khả năng của các mô hình AI được cải thiện, khả năng tự thực hiện các nhiệm vụ phức tạp của mô hình đang tăng nhanh.
Sự kiện này cũng làm nổi bật những rủi ro mới. Khi khả năng của các mô hình AI không ngừng được cải thiện, trong tương lai không chỉ cần tăng cường tính bảo mật của chính các mô hình, mà còn cần củng cố quy trình đánh giá mô hình, giám sát môi trường kiểm thử nội bộ và các cơ chế bảo vệ an toàn.
OpenAI cho rằng trí tuệ nhân tạo đang làm tăng tốc quá trình phát hiện và khai thác lỗ hổng, do đó khả năng bảo mật của mô hình phải được nâng cao đồng bộ.
Sự gia tăng khả năng tấn công của AI thúc đẩy việc nâng cấp hệ thống phòng thủ
OpenAI hiện đang tận dụng kinh nghiệm từ sự kiện này để tăng cường các biện pháp bảo vệ cho cơ sở hạ tầng và môi trường đánh giá mô hình của mình, và dự định chia sẻ thêm nhiều kinh nghiệm an toàn cũng như các thực hành tốt nhất khi cuộc điều tra tiếp tục tiến triển.
Công ty cũng khuyến khích nhiều đội an ninh hơn申请可信访问权限，利用先进AI模型提升漏洞检测、攻击预防以及事件响应能力。
Đáng chú ý, Tạp chí Fortune còn báo cáo rằng, trong quá trình ứng phó với cuộc tấn công này, Hugging Face cũng đã thử sử dụng mô hình do một phòng thí nghiệm AI hàng đầu của Mỹ cung cấp để phòng thủ, nhưng do khả năng an ninh mạng của mô hình này bị hạn chế bởi các ràng buộc bảo mật, nên không đáp ứng được yêu cầu phản ứng. Cuối cùng, Hugging Face đã chuyển sang sử dụng mô hình mã nguồn mở GLM 5.2 do công ty Trung Quốc Zhipu cung cấp để hỗ trợ công tác phòng thủ.