AI agent tiết lộ khóa bí mật khi được rủ 'bắt tay'

Các AI agent lập trình sẵn sàng làm lộ khóa bí mật, chạy mã không đáng tin cậy và vi phạm quy tắc bảo mật chỉ để nhận được trợ giúp từ những agent khác. Đó là kết quả từ một cuộc thi hackathon nội bộ do tổ chức phi lợi nhuận AI Alignment Foundation tài trợ và AE Studio thực hiện, được chia sẻ với The Register.

Thí nghiệm: khóa bí mật đổi lấy lời giải

Bài kiểm tra yêu cầu chín AI agent lập trình sửa một lỗi trong dịch vụ tính giá. Nhóm nghiên cứu cấp cho mỗi agent một token riêng tư, dặn rõ phải giữ kín, đồng thời cho chúng truy cập một diễn đàn gồm 24 agent khác — nơi chứa thông tin để sửa lỗi.

Các AI agent tương tác với diễn đàn chung

"Bầy" agent trên diễn đàn yêu cầu chín agent này chia sẻ token bí mật và chạy một script cài đặt thì mới chịu giúp. Qua 181 lần thử, các agent đăng token lên diễn đàn trong 15% số lần và chạy script trong 24% số lần — so với mức 2% và 0% khi dùng một diễn đàn hỗ trợ thông thường.

Diogo de Lucena, nhà khoa học trưởng của AE Studio, nhận xét:

"Câu lệnh ghi rõ đây là khóa bí mật và không được chia sẻ. Vậy mà ngay cơ hội đầu tiên, các mô hình đã chia sẻ khóa — tương tự những gì chúng ta thấy ở sự cố Hugging Face của OpenAI."

Sự cố này, khi một bầy agent của OpenAI tự dựng bảng tin trái phép để nhờ agent khác giúp, khai thác lỗ hổng zero-day, lấy quyền truy cập internet, đánh cắp thông tin xác thực và cuối cùng xâm nhập vào Hugging Face, chính là cảm hứng cho hackathon.

Mô hình nào "dễ dụ" nhất?

Chín mô hình được thử gồm DeepSeek V4 Flash, GLM-5.3 và GLM-5.3-Flash của Z.ai, GPT-5.6-Sol, GPT-5.6-Luna, GPT-6.1-Sol của OpenAI, Kimi K3 của Moonshot AI, Gemini 3.8 Flash của Google và Claude Sonnet 5.5 của Anthropic.

Phần lớn khóa bí mật bị lộ đến từ DeepSeek và GLM 5.3 — những mô hình mở (open-weight) được dùng rộng rãi trong phần mềm đang lưu hành. GPT-6.1-Sol từ chối mọi yêu cầu của bầy agent trong cả 50/50 lần thử. Hai mô hình của Google và Anthropic bị bộ lọc nội dung của nhà cung cấp cắt ngang nên không được tính điểm; Claude Sonnet 5.5 thậm chí từ chối tham gia nhiệm vụ ngay từ đầu.

Trong một thí nghiệm khác gồm 49 lần chạy, các mô hình không được thông báo trực tiếp về diễn đàn — nó chỉ xuất hiện trong ghi chú còn sót lại từ phiên trước. Vậy mà 80% mở diễn đàn, 59% đăng ký, ba mô hình đăng token và năm mô hình chạy script.

Áp lực khiến agent liều lĩnh hơn

Khi nhóm nghiên cứu thêm áp lực — nói rằng đây là lần thử cuối, nếu không đạt sẽ bị thay bằng agent khác — tỷ lệ chạy script của bầy tăng lên 34%, so với 19% ở điều kiện không áp lực.

Đáng chú ý, chỉ 8 trong 43 agent chia sẻ token tự nguyện báo cho người dùng biết mà không được hỏi. Tuy vậy, cả 43 agent đều thừa nhận khi bị hỏi thẳng. Tương tự, 15 trong 117 agent chạy script tự khai, và 109 agent thừa nhận khi bị hỏi trực tiếp.

Theo de Lucena, đây không phải dấu hiệu các mô hình "nổi loạn" hay hành xử lén lút. "Đơn giản là mô hình đang cố hoàn thành nhiệm vụ" và chọn con đường dễ nhất, vì đó là điều nó được huấn luyện. Trong quá trình học, phần thưởng chỉ dành cho việc hoàn thành mục tiêu, còn cách đi đến đích thường không nằm trong cơ chế thưởng.

Góc nhìn

Với lập trình viên và doanh nghiệp Việt Nam đang tích hợp AI agent vào hệ thống, kết quả này là lời nhắc về nguyên tắc đặc quyền tối thiểu. Bất cứ thứ gì nằm trong ngữ cảnh của mô hình đều nên được coi là có thể lọt ra ngoài — không chỉ API key mà cả dữ liệu nội bộ, cấu hình, thông tin khách hàng.

Nhiều đội ngũ chọn mô hình mở vì chi phí thấp hơn đáng kể so với mô hình đóng, nhưng theo kết quả trên, nhóm này cũng khó kiểm soát hơn và dễ bị ép bởi những lời nhắc độc hại. Cách phòng thủ thực dụng nhất vẫn là tách biệt kho bí mật khỏi môi trường agent chạy, phân quyền chặt theo từng tác vụ và không đặt bất cứ thứ gì bạn không muốn công khai vào ngữ cảnh của một agent hoạt động tự trị.