Max Justicz, Giám đốc công nghệ và đồng sáng lập của Charge Robotics, đã sử dụng một mô hình của OpenAI để phát hiện một lỗ hổng nghiêm trọng; nếu bị khai thác, tin tặc có thể kiểm soát các máy chủ chạy Ubuntu. Ubuntu là một hệ điều hành mã nguồn mở dựa trên Linux được sử dụng rộng rãi.
Justicz có sở thích nghiệp dư về an ninh mạng và trước đây từng phát hiện lỗ hổng trong cùng kho mã này. Anh ấy cho TechCrunch biết rằng lần này anh đã phát hiện ra vấn đề thông qua GPT 5.6 Sol mà OpenAI phát hành vào tháng 7 năm nay, nhờ vào dự án có tên Daybreak Blue của công ty. Dự án này cho phép các chuyên gia phòng thủ an ninh mạng sử dụng các mô hình tiên tiến mạnh mẽ.
“Tôi chỉ việc hướng ChatGPT vào cùng một đoạn mã và nói: ‘Tôi từng phát hiện một lỗ hổng đã được sửa cách đây vài năm, hãy giúp tôi tìm ra một lỗ hổng nghiêm trọng tương đương hoặc nghiêm trọng hơn’, và sau 2 giờ, nó đã tìm ra lỗ hổng này,” Justicz nói. “Lỗ hổng này cực kỳ phức tạp, khó phát hiện bằng tay, nhưng nó thực sự tồn tại!”
Anh ấy đã báo cáo vấn đề này cho Debian Project, đơn vị phụ trách bảo trì phần mềm liên quan, và họ sau đó đã phát hành bản vá để sửa lỗ hổng. Hiện chưa có bằng chứng nào cho thấy lỗ hổng này đã bị khai thác. Tuy nhiên, việc anh ấy dễ dàng phát hiện ra vấn đề này cho thấy ngay cả những hacker mới bắt đầu cũng có thể sử dụng các mô hình AI để phát hiện và khai thác các lỗ hổng tiềm ẩn, và những rủi ro này có thể chỉ là phần nổi của tảng băng.
Tôi chỉ có thể tưởng tượng rằng, nếu có thêm thời gian và khả năng tiếp cận các mô hình ít hạn chế hơn, con người sẽ tạo ra được những gì nữa. Chúng ta nên kỳ vọng rằng trong vài tháng tới sẽ phát hiện và khai thác một số lỗ hổng cực kỳ điên rồ,” Justicz viết trong bài đăng mạng xã hội về phát hiện này. “Điều này có thể rõ ràng với hầu hết mọi người ở đây, nhưng hiện tại, việc lấy một đoạn mã hoặc tệp nhị phân chưa được kiểm toán và đưa trực tiếp cho một mô hình AI mạnh mẽ thực sự mang lại lợi thế lớn.”
OpenAI rõ ràng đã chú ý đến điều này. Hôm nay, công ty thông báo sẽ cung cấp mô hình mới tập trung vào an ninh mạng, ChatGPT Cyber, cho những người dùng cấp cao nhất trong chương trình an ninh mạng Daybreak Red. Daybreak Red cho phép các nhà nghiên cứu an ninh mạng mang tính tấn công sử dụng các công cụ khai thác và phát triển lỗ hổng.
Hôm qua, OpenAI cho biết cùng mô hình này đã được sử dụng để quét nhân Linux và chuẩn bị bản vá cho các lỗ hổng, phát hiện ra 948 vấn đề tiềm ẩn. OpenAI cũng phát hiện ra 81 lỗ hổng “mới lạ” trong trình duyệt web Firefox.
Trong một tuyên bố, phòng thí nghiệm tiên phong này cho biết: “Mục tiêu của chúng tôi là mở rộng đáng kể Daybreak, mang các nghiên cứu bảo mật tiên tiến đến với các tổ chức mọi quy mô, các nhà nghiên cứu độc lập và những người duy trì mã nguồn mở.”
OpenAI luôn nhấn mạnh rằng, những người bảo vệ cơ sở hạ tầng kỹ thuật số chỉ có một khoảng thời gian rất hẹp để hành động, vì các mô hình AI sẽ ngày càng trở nên tinh vi hơn trong việc thực hiện các cuộc tấn công mạng và dễ tiếp cận hơn. Đối với các nhà phòng thủ mạng, cảm giác này giống như một phòng thí nghiệm前沿 đã giải phóng một lượng lớn công việc mới, vượt quá khả năng tài nguyên của họ. Justicz cho biết, anh ấy đã chi khoảng 5.000 đô la để đăng ký và token nhằm tìm kiếm nhiều lỗ hổng khác nhau.
Ngoài quyền truy cập mô hình của Daybreak, OpenAI còn công bố một chương trình 1 tỷ USD nhằm hỗ trợ các chuyên gia an ninh mạng tham gia dự án và làm việc trong các cơ sở hạ tầng then chốt như hệ thống điện lưới hoặc hệ thống cấp nước.
Dự án Daybreak cũng đối mặt với một số chỉ trích. Justicz chỉ ra rằng phòng thí nghiệm tiên tiến này gần đây dường như đã “làm suy yếu” Daybreak Blue, khiến nó ít hữu ích hơn trong việc phát hiện lỗ hổng. Một mặt, việc hạn chế quyền truy cập của những kẻ có hành vi độc hại có thể là điều tốt — Justicz cho biết, khi ông tham gia dự án, ông chỉ đơn giản tải lên ảnh giấy phép lái xe của mình. Mặt khác, các chuyên gia an ninh mạng cho rằng nếu họ không thể sử dụng các công nghệ tiên tiến, trong khi những kẻ có hành vi độc hại lại có thể triển khai các mô hình trọng số nguồn mở đã loại bỏ các hàng rào bảo mật, thì họ sẽ bị ràng buộc.
Tuy nhiên, OpenAI vẫn cho biết, số lượng chuyên gia an ninh mạng tham gia dự án Daybreak chỉ là “hàng ngàn người”, trong khi số lượng tin tặc tiềm ẩn lớn hơn nhiều.
Hiện vẫn chưa rõ liệu Frontier Labs có đã đầu đủ nguồn lực cho vấn đề này hay không. Nhà nghiên cứu nhóm kỹ thuật OpenAI, Eric Wallace, cho biết: “Hiện tại, chúng tôi đang dành một phần đáng kể năng lực tính toán前沿 để phát hiện và vá lỗ hổng trong các kho mã nguồn mở, hoàn toàn mang tính chất từ thiện.”
Tuy nhiên, chi phí tìm kiếm lỗ hổng Linux là 1,2 triệu USD, rõ ràng thấp hơn khoản chi token khoảng 6 triệu USD mà công ty đã đầu tư để tìm giải pháp tiềm năng cho một vấn đề động lực học chất lỏng nổi tiếng.
Nếu cơ sở hạ tầng số mà thế giới phụ thuộc vào thực sự chỉ còn một khoảng thời gian rất hẹp để sửa chữa, thì có lẽ cần sự cấp bách mạnh mẽ hơn.