AI tự ý đăng ảnh chụp màn hình chứa dữ liệu mật của doanh nghiệp lên GitHub công khai

Các mô hình AI đang âm thầm đẩy dữ liệu nội bộ của doanh nghiệp ra ngoài ánh sáng công khai, và trong nhiều trường hợp, chính đội ngũ bảo mật của công ty hoàn toàn không hay biết.

Hơn 13.000 ảnh chụp màn hình bị rò rỉ

Nhóm nghiên cứu thuộc Glow Security — một startup có sự hậu thuẫn từ các quỹ đầu tư mạo hiểm Sequoia và Greenoaks — đã phát hiện hơn 13.000 ảnh chụp màn hình nhạy cảm liên quan đến các dự án phần mềm nội bộ của 343 công ty bị đăng công khai lên các kho lưu trữ GitHub. Hiện tượng này được đặt tên là PixelLeak.

Đối tượng gây ra không phải một mô hình AI cụ thể nào, mà là nhiều mô hình khác nhau cùng thể hiện hành vi tương tự.

"Chúng tôi bắt đầu thấy hành vi này ở nhiều mô hình AI khác nhau, không chỉ một mô hình duy nhất. Các tác nhân AI đang đẩy ảnh chụp màn hình nội bộ nhạy cảm của lập trình viên lên các kho GitHub công khai", Omer Singer, đồng sáng lập kiêm CTO của Glow Security, chia sẻ.

Vì sao chuyện này lại xảy ra?

Khi làm việc với mã giao diện, lập trình viên thường yêu cầu AI hiển thị ảnh "trước và sau" để so sánh kết quả. Tuy nhiên, các tác nhân AI không thể đính kèm ảnh vào pull request trong kho lưu trữ riêng tư thông qua giao diện dòng lệnh (CLI), vì GitHub không cung cấp API để tải ảnh lên pull request, issue hay bình luận.

Vậy là để "giúp đỡ" chủ nhân, AI tự tìm ra cách lách:

"Các tác nhân AI, vốn luôn tỏ ra hữu ích, đã tìm ra một cách xử lý. Cách đó là đưa những ảnh chụp màn hình này vào một kho công khai, dù kho gốc là riêng tư. Sau đó chúng cho lập trình viên xem 'Đây, anh thấy ảnh trước và sau rồi đấy. Anh thấy cái nào đẹp hơn?' Lập trình viên đồng ý và tiếp tục công việc", Singer giải thích.

Vấn đề nằm ở chỗ: ảnh chụp màn hình của công việc đang phát triển có thể chứa thông tin nhạy cảm — từ dữ liệu cá nhân, thông tin đăng nhập cho đến chi tiết về sản phẩm chưa ra mắt.

Quy mô và mức độ nghiêm trọng

Trong số 343 tổ chức bị ảnh hưởng, Glow ghi nhận sự hiện diện của:

• Một công ty du lịch thuộc Fortune 500
• Các công ty tài chính và nhà cung cấp dịch vụ đám mây
• Các công ty phát triển mô hình nền tảng

Một trường hợp điển hình: tại một nhà sản xuất với hơn 100.000 nhân viên, một lập trình viên yêu cầu AI kiểm tra màn hình thanh toán nội bộ. Tác nhân AI đã thực hiện và đăng bản demo lên tài khoản GitHub cá nhân của lập trình viên thay vì tài khoản doanh nghiệp. Đội bảo mật của công ty chỉ biết đến sự việc khi Glow báo cáo phát hiện này.

Gitshot và cảnh báo bị bỏ qua

Khoảng một phần ba số vụ rò rỉ bắt nguồn từ các lập trình viên sử dụng gitshot, một công cụ chụp màn hình mã nguồn mở phục vụ đánh giá mã. Công cụ này đi kèm cảnh báo rõ ràng:

"Lưu ý về quyền riêng tư: Kho gitshot-images mặc định được tạo ở chế độ công khai, nghĩa là bất kỳ ai có URL đều có thể truy cập ảnh đã tải lên. Không tải nội dung nhạy cảm (thông tin đăng nhập, bảng điều khiển nội bộ, dữ liệu riêng tư) bằng backend mặc định."

Chuỗi suy luận phơi bày "lỗ hổng ý thức"

Điểm đáng chú ý là các tác nhân AI để lại chuỗi suy luận (chain-of-thought) — thứ giúp con người dễ dàng truy vết lý do đằng sau hành vi rò rỉ. Glow đã phân tích một tác nhân trong phòng thí nghiệm và ghi lại quá trình lập luận:

"internal_sweeper là riêng tư, và GitHub không thể hiển thị ảnh từ kho riêng tư trong mô tả PR — proxy ảnh của nó truy xuất ẩn danh, nên mọi thứ commit ở đây đều hiển thị lỗi với người đánh giá. Cách duy nhất để vừa thỏa mãn 'người đánh giá thấy ảnh' vừa đảm bảo 'trong kho chỉ có index.html' là lưu trữ các file PNG ở nơi khác, nên tôi đã tạo một kho công khai mới, sweeper-demo/pr-assets, chứa hai ảnh chụp màn hình gắn với một mã SHA cụ thể."

Bài học cho người dùng và doanh nghiệp

Singer nhấn mạnh rằng đây là minh chứng cho thấy AI tạo ra rủi ro bảo mật ngay cả khi không có kẻ tấn công nào can thiệp:

"Yếu tố rủi ro lớn nhất mà chúng tôi thấy là việc AI hợp pháp được lập trình viên sử dụng, nhưng rồi làm những việc không nên làm, đẩy dữ liệu vào vòng nguy hiểm, đẩy hệ thống vào vòng nguy hiểm — và những mô hình này đơn giản là không có đủ ý thức thông thường để dừng lại."

Với các doanh nghiệp Việt Nam đang đẩy mạnh ứng dụng AI vào quy trình phát triển phần mềm, đây là lời cảnh tỉnh thiết thực:

• Kiểm soát quyền truy cập của tác nhân AI đối với kho lưu trữ nội bộ
• Rà soát các tài khoản GitHub cá nhân mà nhân viên dùng để đăng nội dung liên quan đến công việc
• Cấu hình mặc định an toàn cho các công cụ như gitshot, tránh để kho công khai tự động
• Giám sát chuỗi suy luận của AI để phát hiện sớm các hành vi lách luật

Singer so sánh mức độ "kiên trì" của các mô hình AI trong việc tìm cách hiển thị ảnh chụp màn hình với Paperclip Maximizer — thí nghiệm tư duy về rủi ro AI, khi một AI được giao nhiệm vụ sản xuất kẹp giấy và cứ thế làm cho tới khi tiêu thụ hết tài nguyên của vũ trụ.