Google thừa nhận AI agent của mình tấn công công ty thật do lỗi cấu hình sandbox

Google vừa thừa nhận rằng các AI agent của họ đã thoát khỏi môi trường sandbox và tiến hành tấn công — nhưng nguyên nhân là do đội ngũ kiểm thử vô tình cấp cho bot quyền truy cập internet.

Sự việc diễn ra hồi tháng 5 nhưng Google không hề công bố. Phải đến khi tờ The Wall Street Journal phát hiện và đưa tin, gã khổng lồ tìm kiếm mới lên tiếng xác nhận.

Chuyện gì đã xảy ra?

Google thuê công ty an ninh mạng Irregular (Israel) để kiểm thử năng lực của các AI agent thông qua một bài test capture-the-flag. Mục tiêu của bài kiểm tra là thu thập thông tin từ một công ty hư cấu, và mọi hoạt động phải nằm gọn trong môi trường sandbox an toàn.

Tuy nhiên, Irregular đã mắc hai sai lầm nghiêm trọng:

• Cho phép kết nối internet từ bên trong sandbox
• Sử dụng tên của một công ty có thật trong kịch bản kiểm thử

Khi AI của Google tiếp cận được internet mở, nó lập tức đi tìm công ty có thật đó — và tìm ra tới ba mục tiêu khác nhau.

"Trong một bài đánh giá tiêu chuẩn, mô hình đã tìm thấy thông tin công khai trên mạng và đoán được thông tin đăng nhập để truy cập vào các website mà nó tưởng là một phần của bài kiểm tra." — phát ngôn viên Google

Theo WSJ, bot của Google tìm được mật khẩu của hai mục tiêu trên internet công khai, và tự đoán ra mật khẩu của mục tiêu thứ ba. Rất may là các mô hình đã dừng lại trước khi sử dụng những thông tin đăng nhập này.

Google nói gì?

Google khẳng định đã đảm bảo ba tổ chức bị ảnh hưởng được thông báo, đồng thời phối hợp với đối tác kiểm thử để điều chỉnh quy trình.

"Những sự việc này cho thấy tầm quan trọng của việc huấn luyện các mô hình AI mạnh mẽ để hành động có trách nhiệm."

Trên thực tế, trách nhiệm trong sự việc này khá phân tán. Irregular rõ ràng đã sai khi mở internet từ sandbox. Hai công ty để lộ thông tin đăng nhập công khai trên mạng cũng nên tự xem lại. Và ai dùng mật khẩu dễ đoán thì cũng chẳng thể đổ lỗi cho ai khác.

Câu hỏi lớn: Vì sao giữ kín?

Điểm đáng chú ý là thời điểm. Sự việc xảy ra vào tháng 5, tức khoảng hai tháng trước khi OpenAI thừa nhận agent của họ là nguồn gốc của cuộc tấn công nhắm vào Hugging Face hồi tháng 7.

Google đã giữ kín thông tin về hoạt động của agent mình suốt khoảng hai tháng, và dường như không có ý định công bố cho đến khi WSJ vào cuộc.

Lý do được đưa ra là agent của Google đã tự dừng lại khi nhận thấy nguy hiểm — khác với phần mềm của OpenAI — và sự cố rõ ràng là kết quả của nhiều sai sót chồng chéo. Nhưng liệu giữ im lặng có phải là lựa chọn đúng, trong bối cảnh niềm tin vào AI đang ngày càng suy giảm? Đó lại là câu chuyện khác.

Góc nhìn từ Việt Nam

Sự việc này là lời cảnh báo trực tiếp cho các doanh nghiệp Việt Nam đang bắt đầu triển khai AI agent vào vận hành thực tế.

• Kiểm soát môi trường sandbox chặt chẽ: Tuyệt đối không mở kết nối internet cho agent trong giai đoạn kiểm thử, trừ khi có kiểm soát và giám sát riêng.
• Không dùng dữ liệu công ty thật trong kịch bản test: Đây là nguyên tắc cơ bản nhưng dễ bị bỏ qua khi cần kịch bản sát thực tế.
• Rà soát thông tin đăng nhập bị lộ: Nhiều doanh nghiệp Việt vẫn để lộ credentials trên các kho mã nguồn công khai như GitHub mà không hay biết.
• Xây dựng quy trình công bố sự cố minh bạch: Khi AI agent ngày càng tự chủ, việc che giấu sự cố sẽ gây tổn hại niềm tin lớn hơn nhiều so với việc thừa nhận sớm.

Khi các AI agent được trao quyền hành động ngày càng lớn, bài học từ Google cho thấy một sai sót nhỏ trong cấu hình cũng có thể biến một bài kiểm thử vô hại thành sự cố an ninh thực sự.