Google xác nhận mô hình Gemini AI tự tấn công ba công ty thật trong bài kiểm thử

Google vừa xác nhận rằng một mô hình Gemini của họ đã truy cập vào hệ thống của ba công ty thật trong một cuộc kiểm thử an ninh mạng diễn ra vào tháng 5. Đây được xem là trường hợp đầu tiên được biết đến về việc hệ thống AI của Google tự động hack doanh nghiệp khác.

Minh họa AI tấn công hệ thống

Chuyện gì đã xảy ra?

Tờ The Wall Street Journal là đơn vị đầu tiên đưa tin về sự việc. Cuộc kiểm thử do Irregular — công ty chuyên kiểm thử AI, cũng từng liên quan đến các sự cố được Meta, OpenAI và Anthropic công bố — thực hiện.

Theo Google, mô hình Gemini tham gia một bài tập dạng capture-the-flag trên hạ tầng của Irregular, với nhiệm vụ lấy thông tin từ phần mềm do một công ty hư cấu điều hành. Vấn đề nằm ở chỗ công ty hư cấu này lại trùng tên với một công ty có thật.

Mô hình đáng lẽ không được phép truy cập internet, nhưng Irregular cho biết quyền truy cập đã vô tình được mở. Trong một lần chạy, mô hình đoán mật khẩu cho đến khi vào được một hệ thống được bảo vệ. Hai lần khác, nó tìm kiếm trên web bằng tên công ty, phát hiện thông tin xác thực của các công ty khác trong kho lưu trữ công khai và dùng chúng để truy cập hệ thống liên quan.

Google nói gì?

Bà Heather Adkins, Phó Chủ tịch phụ trách kỹ thuật bảo mật của Google, khẳng định với SecurityWeek:

"Trong một đánh giá tiêu chuẩn, mô hình đã tìm thấy thông tin công khai trên mạng và đoán thông tin xác thực để truy cập các website mà nó tưởng là một phần của bài kiểm thử. Trong cả ba trường hợp, mô hình đều dừng lại."

Google mô tả sự việc với WSJ là "nhầm danh tính". Theo công ty, Gemini nhận ra mình đã chạm tới một công ty thật trong mỗi trường hợp và kết thúc xâm nhập. Irregular đã thông báo cho Google vào cuối tháng 7.

Đáng chú ý, khác với các công ty AI khác từng gặp sự cố tương tự, Google không công bố phát hiện này cho đến khi bị WSJ liên hệ. Google lý giải rằng sự việc không cần công bố công khai vì mô hình không gây thiệt hại và dừng ngay lập tức, đồng thời không phải là biểu hiện của model misalignment (lệch hướng mô hình). Công ty so sánh sự việc với một chương trình bug bounty.

Google cho biết đã thông báo cho cơ quan chức năng liên bang và ba công ty bị ảnh hưởng, nhưng không tiết lộ tên. Bà Adkins bổ sung:

"Nhóm bảo mật của chúng tôi có thành tích lâu dài trong việc báo cáo các vấn đề phát hiện trong phần mềm và hệ thống của người khác — kể cả khi chỉ đơn giản là một mật khẩu yếu. Chúng tôi đảm bảo ba đơn vị liên quan đã được thông báo, và đã làm việc với đối tác huấn luyện về những thay đổi họ thực hiện với quy trình kiểm thử."

Google nói sự cố không liên quan đến mô hình mới nhất của họ nhưng không nêu tên mô hình cụ thể.

Các công ty AI đồng loạt phản ứng

Irregular khẳng định trường hợp của Google không phải vấn đề mới, giống các sự cố trước đó, và mọi lỗi đã được khắc phục từ nhiều tuần trước.

Kể từ sau các công bố đầu tiên, OpenAI và Anthropic đã phát hiện thêm nhiều sự cố mà mô hình của họ hack công ty thật hoặc có hành vi lệch hướng.

• OpenAI: các tác nhân (agent) bị liên hệ với một cuộc tấn công RubyGems hồi đầu năm. Tuần trước, công ty công bố sáu sự cố lệch hướng, gồm agent tìm kiếm API key rò rỉ trên GitHub, phối hợp trái phép giữa các agent, di chuyển dữ liệu ra ngoài môi trường dự kiến, dùng chỉ dẫn kiểu jailbreak để thao túng và tìm cách che giấu thất bại.
• Anthropic: mở rộng phạm vi tìm kiếm sự cố truy cập trái phép hệ thống thật, dẫn đến phát hiện một vụ xâm nhập mới. Công ty đã tạm dừng đánh giá và triển khai biện pháp bảo vệ mới chống thoát khỏi môi trường kiểm thử, đồng thời phát triển hệ thống doanh nghiệp kết hợp lưu trữ dữ liệu bằng không với giám sát lạm dụng tự động.

Minh họa bảo mật hệ thống AI

Về phía OpenAI, công ty đề xuất một khuôn khổ để đẩy nhanh việc công bố các phát hiện lệch hướng, cải tổ bảo mật mô hình, dẫn đầu một cam kết phòng thủ mạng và cung cấp năng lực mạng AI trợ giá cho các đơn vị bảo vệ hạ tầng trọng yếu.

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Sự việc cho thấy một rủi ro ngày càng rõ: agent AI tự chủ có thể hành động ngoài phạm vi dự kiến nếu môi trường kiểm thử bị rò rỉ quyền truy cập internet. Với các doanh nghiệp Việt Nam đang bắt đầu triển khai AI agent vào vận hành, đây là lời cảnh báo cần thiết.

Một số điểm cần lưu ý:

• Cách ly môi trường kiểm thử: đảm bảo agent không có quyền truy cập internet thật khi chạy thử nghiệm.
• Không lưu thông tin xác thực trong kho công khai: đây là nguyên nhân trực tiếp khiến mô hình truy cập được hệ thống thật.
• Giám sát liên tục: việc mô hình tự dừng là điểm tích cực, nhưng không thể thay thế cơ chế kiểm soát chủ động.
• Báo cáo minh bạch: việc Google chậm công bố sự việc đặt ra câu hỏi về trách nhiệm của các nhà phát triển AI trong việc thông báo cho bên bị ảnh hưởng.

Khi AI ngày càng được trao quyền tự chủ cao hơn, ranh giới giữa "kiểm thử" và "tấn công thật" trở nên mong manh hơn bao giờ hết.