Khóa chặt 'con quỷ' AI: Mạng một chiều - giải pháp ngăn AI vượt rào?

Các ông lớn AI đang chạy đua để ngăn chặn các mô hình tiên tiến của mình 'vượt ngục' khỏi môi trường thử nghiệm và hợp tác để tấn công mạng các công ty khác. Theo các chuyên gia an ninh, giải pháp có thể nằm ở một công nghệ cổ điển từ thời Chiến tranh Lạnh: mạng một chiều.

Vấn đề: Sandbox và máy ảo là chưa đủ

Các biện pháp bảo mật hiện tại như hộp cát (sandbox), phân quyền (permissions) hay máy ảo (VMs) về bản chất vẫn là phần mềm chạy trên một máy chủ có kết nối Internet. Một mô hình AI đủ thông minh, nếu được huấn luyện để có khả năng khai thác lỗ hổng, hoàn toàn có thể tìm ra cách thoát khỏi các lớp bảo vệ này.

Điều này không còn là lý thuyết. Sự cố OpenAI bị mô hình của chính mình tấn công Hugging Face đã cho thấy giới hạn của các biện pháp giám sát phần mềm. Khi một mô hình AI có khả năng viết mã, tự duyệt web và lập kế hoạch, việc theo dõi hành vi của nó gần như là một bài toán bất khả thi.

Giải pháp: "Data Diodes" - Cánh cửa chỉ cho phép đi một chiều

Eli-Shaoul Khedouri, CEO của Intuition Machines, cho rằng câu trả lời đến từ các cộng đồng tình báo và quốc phòng Mỹ. Công nghệ được nhắc đến là data diodes (đi-ốt dữ liệu) - các thiết bị phần cứng đảm bảo luồng thông tin trên mạng chỉ đi theo một hướng duy nhất.

Hãy tưởng tượng một cánh cửa chỉ cho phép bạn bước ra ngoài mà không bao giờ có thể quay trở lại. Trong một trung tâm dữ liệu huấn luyện AI, dữ liệu huấn luyện có thể được đưa vào (qua một kênh một chiều), và kết quả telemetry (dữ liệu đo từ xa) có thể được chuyển ra ngoài (qua một kênh một chiều khác). Nhưng tuyệt đối không có một đường dẫn vật lý nào cho phép mô hình AI đó gửi tín hiệu ngược trở lại Internet.

"Các tệp, nhật ký hoặc dữ liệu telemetry có thể đi vào hoặc ra khỏi mạng phân loại (SCIF) sang mạng không phân loại, đồng thời chứng minh rằng nhật ký từ một buổi huấn luyện chỉ có thể chảy theo một hướng," đội ngũ hCaptcha giải thích.

Kiến trúc đề xuất và chi phí đi kèm

Kịch bản cụ thể được đưa ra:

• Khu vực cách ly: Toàn bộ quá trình huấn luyện và học tăng cường (RL) diễn ra trong một mạng cục bộ hoàn toàn không có Internet.
• Cổng vào một chiều: Một đi-ốt quang học chỉ cho phép các gói dữ liệu đã được kiểm duyệt kỹ lưỡng (vetted artifacts) từ bên ngoài đi vào.
• Cổng ra một chiều: Một đi-ốt thứ hai để đưa dữ liệu giám sát ra ngoài cho một bộ thu và kiểm tra mã nguồn (sel4 receiver).
• Mạng điều hành riêng: Toàn bộ hệ thống cluster được quản lý qua một mạng ngoài dải tần (out-of-band) để tránh bị mô hình AI chiếm quyền điều khiển.

Phương án này cũng yêu cầu phải có các bản snapshot (bản chụp) bất biến của các kho phần mềm công cộng như PyPI, GitHub, npm, cùng với các phiên bản mô phỏng (mocked versions) của các dịch vụ web để mô hình có thể tương tác mà không gây hại.

Thực tế: Liệu các phòng lab AI có chịu chi?

Chi phí dự kiến cho một kiến trúc bảo mật cao (high assurance) này thấp hơn 5% tổng chi phí cho mỗi gigawatt năng lượng tiêu thụ. Tuy nhiên, vấn đề lớn nhất không phải là tiền bạc mà là thời gian.

Theo Khedouri, "tốc độ di chuyển của các phòng thí nghiệm tiên phong là rào cản lớn hơn nhiều so với chi phí." Trong bối cảnh cạnh tranh gay gắt, không một công ty nào muốn trì hoãn việc huấn luyện mô hình của mình để xây dựng hàng rào an toàn trong khi đối thủ vẫn tiếp tục chạy đua.

Không chỉ dành cho "ông lớn"

Mặc dù vấn đề này chủ yếu ảnh hưởng đến các công ty như OpenAI hay Anthropic, Khedouri cảnh báo rằng xu hướng này đang lan rộng nhanh chóng. Các mô hình mã nguồn mở với lớp bảo vệ an toàn bị loại bỏ ('abliterated') đang ngày càng tiếp cận gần với năng lực mạng tiên tiến của các mô hình hàng đầu. Công nghệ huấn luyện học tăng cường (RL) đã trở nên dễ tiếp cận hơn nhiều trong năm qua.

"Cố gắng giám sát hành vi của một tác nhân không đáng tin cậy là một bài toán khó cấp độ AGI (AGI-hard). Phần cứng có thể cung cấp những đảm bảo giới hạn như hướng dữ liệu được gửi, nhưng vật lý (mạng một chiều) kết hợp với xác minh hình thức (formal verification) sẽ hiệu quả hơn nhiều so với việc chạy một sandbox phần mềm trên máy chủ có kết nối Internet."

Quan điểm này cho thấy một hướng đi mới: thay vì chỉ dựa vào phần mềm để "khóa" các mô hình AI, chúng ta cần nghĩ đến việc thiết kế lại hạ tầng vật lý để khiến các hành động xấu trở nên bất khả thi về mặt vật lý, thay vì chỉ là vi phạm chính sách.