Ba nhà nghiên cứu dùng Claude của Anthropic để xâm nhập vào OpenAI chỉ trong 72 giờ

Trong một diễn biến gây chấn động giới bảo mật, một nhóm chỉ gồm ba nhà nghiên cứu độc lập đã chứng minh rằng các mô hình AI tiên tiến có thể trở thành vũ khí tấn công cực kỳ hiệu quả. Theo báo cáo từ Wall Street Journal, nhóm nghiên cứu tại Hacktron tuyên bố chỉ mất chưa đầy 72 giờ để xâm nhập vào tài khoản nhân viên của OpenAI, sử dụng các mô hình Claude Opus 4.8 và 5 của Anthropic.

Minh họa về AI và an ninh mạng

Khi AI trở thành công cụ tấn công

Điểm đáng chú ý nhất của vụ việc nằm ở tốc độ và chi phí. Hacktron cho biết họ bắt đầu sử dụng Claude Opus 5 vào tối ngày 24 tháng 7, và đến 10 giờ sáng hôm sau đã đạt được RCE (thực thi mã từ xa) trên Discourse Cloud, từ đó truy cập vào hệ thống của OpenAI. Toàn bộ dự án mang tên "HEIF Heist" này chỉ tốn dưới 3.000 USD tiền token AI.

"Tôi không nghĩ chúng tôi mạnh như các nhóm tấn công có nhà nước đứng sau... Chúng tôi chỉ là ba người với gói đăng ký Claude và Codex." — Mohan Pedhapati, CTO của Hacktron, chia sẻ với WSJ.

Điều này đặt ra câu hỏi lớn về rào cản gia nhập trong lĩnh vực an ninh mạng: khi một nhóm nhỏ với ngân sách khiêm tốn có thể gây ra mối đe dọa nghiêm trọng, ranh giới giữa tin tặc tầm thường và các nhóm tấn công tinh vi ngày càng mờ nhạt.

Lỗ hổng nằm ở đâu?

Con đường xâm nhập của Hacktron không đi qua cửa chính. Họ khai thác một lỗ hổng trong Discourse — dịch vụ bên thứ ba vận hành diễn đàn cộng đồng của OpenAI — cụ thể là vấn đề trong hệ thống xử lý ảnh HEIF. Bằng cách sử dụng một tệp ảnh bị hỏng (corrupted image file), nhóm đã chiếm được quyền thực thi mã trên hạ tầng đám mây của Discourse.

Từ đó, họ tiếp cận được Monorepo, kho lưu trữ GitHub của OpenAI, nơi được cho là chứa "các bí mật thuật toán" của công ty. Dù nhóm nghiên cứu dừng lại trước khi truy cập sâu vào mã nội bộ, họ đã gửi một pull request từ tài khoản Codex của một nhân viên để chứng minh mình đã có quyền truy cập.

Đáng lo ngại hơn, Hacktron tiết lộ họ chỉ mất "một hoặc hai ngày" để điều chỉnh phương pháp này nhắm vào các mục tiêu khác, bao gồm Slack, Meta, GitHub Enterprise, Rails, Next.js và ImageMagick. Trong số đó, theo hiểu biết của họ, chỉ Shopify là phát hiện được cuộc tấn công.

Phản hồi từ các bên liên quan

Các lỗ hổng mà Hacktron báo cáo cho Discourse và OpenAI đều đã được vá. OpenAI đã trả cho nhóm nghiên cứu 6.500 USD như một khoản thưởng tìm lỗi (bug bounty) — một con số khá khiêm tốn so với mức độ nghiêm trọng của sự việc.

Minh họa về xâm nhập hệ thống

Ý nghĩa với cộng đồng công nghệ Việt Nam

Câu chuyện này mang đến nhiều bài học cho các doanh nghiệp công nghệ và startup tại Việt Nam:

• Không nên đánh giá thấp chuỗi cung ứng bên thứ ba. Lỗ hổng không nằm ở OpenAI mà ở Discourse — một dịch vụ tưởng chừng vô hại. Các công ty Việt Nam thuê ngoài dịch vụ diễn đàn, lưu trữ hay thanh toán cần đặc biệt lưu ý điểm này.
• AI đang hạ thấp rào cản tấn công. Nếu ba người với ngân sách vài nghìn USD có thể làm được điều này, các nhóm tấn công nhỏ cũng vậy.
• Cần có chính sách bug bounty nghiêm túc. Mức thưởng thấp có thể khiến các nhà nghiên cứu chuyển sang bán lỗ hổng trên thị trường đen.

Việc các mô hình AI như Claude có thể hỗ trợ đắc lực cho quá trình trinh sát, phân tích mã nguồn và khai thác lỗ hổng cho thấy cuộc đua giữa tấn công và phòng thủ trong không gian mạng sẽ ngày càng do AI dẫn dắt.

Trong khi đó, vụ việc cũng làm dấy lên lo ngại về mặt đạo đức: liệu Anthropic có nên chịu trách nhiệm khi mô hình của mình bị sử dụng cho mục đích xâm nhập trái phép? Và liệu OpenAI có cần siết chặt bảo mật nội bộ sau khi bị chính đối thủ cạnh tranh trong lĩnh vực AI "gõ cửa"? Câu trả lời có lẽ vẫn còn ở phía trước.