Meta trả 1,2 triệu USD tiền thưởng lỗi cho AI agent Muse

Meta đã chi khoảng 1,2 triệu USD tiền thưởng săn lỗi cho AI agent Muse của mình, trong đó có một khoản lên tới 300.000 USD cho lỗi phát hiện trước khi sản phẩm ra mắt, khiến dữ liệu trên các hệ thống thử nghiệm nội bộ bị lộ.

Muse là một AI agent cá nhân, hoạt động thay mặt người dùng trên email, lịch, tin nhắn và các tài khoản khác. Mỗi agent của mỗi người dùng được cấp một máy ảo (virtual machine) riêng.

Meta Muse

Chương trình săn lỗi và con số biết nói

Theo David Singleton của Meta, chương trình bug bounty của Muse hoạt động riêng tư từ tháng 4 và được công khai vào ngày 8/9, thời điểm agent chính thức ra mắt. Trong hơn 630 báo cáo nhận được, có 64 báo cáo hợp lệ.

Mức thưởng tối đa Meta trả cho mỗi báo cáo hợp lệ là 300.000 USD – con số mà hãng khẳng định cao gấp nhiều lần mức thưởng cao nhất được các nhà phát triển AI hàng đầu khác công bố. Các cuộc tấn công prompt injection (chèn lệnh độc hại vào nội dung đầu vào) ảnh hưởng tới một người dùng có thể nhận tới 130.000 USD, còn một cuộc xâm phạm toàn bộ hệ thống (fleetwide compromise) có thể lên tới 250.000 USD.

Những lỗi được thưởng cao nhất

Khoản thưởng 300.000 USD được trao bốn tháng trước khi ra mắt, khi Muse còn ở giai đoạn thử nghiệm nội bộ sớm. Nhà nghiên cứu đã chứng minh khả năng truy cập vào các cuộc hội thoại và token trên máy ảo phiên bản tiền phát hành mà nhân viên Meta dùng để thử sản phẩm.

"Một bước kiểm tra xác thực coi header do proxy HTTPS cục bộ thêm vào là bằng chứng rằng yêu cầu đến từ nguồn đáng tin cậy. Trong quá trình chuyển đổi hệ thống, môi trường có thêm một lớp proxy thứ hai. Điều đó đồng nghĩa các yêu cầu từ bên ngoài cũng có thể mang theo header tin cậy đó", Singleton giải thích.

Meta đã tạm dừng dịch vụ, sửa lỗi và ngừng coi máy cục bộ là nguồn tin cậy.

Một khoản thưởng 90.000 USD được trao cho báo cáo về một trang web độc hại: khi yêu cầu Muse tóm tắt trang đó, nội dung trang giả mạo các thông báo trạng thái từ công cụ duyệt web của agent. Theo Singleton, nó "khiến agent thực thi một số hành động đáng lẽ phải bị chặn". Meta sau đó đã bổ sung các tín hiệu phát hiện và thay đổi cách Muse xử lý đầu ra công cụ có dấu hiệu đáng ngờ. Hãng cho biết trong thử nghiệm, các bộ phân loại (classifier) hiện đã phát hiện được cuộc tấn công này cùng 100 biến thể của nó.

Một khoản 90.000 USD khác thuộc về báo cáo cho thấy một cách định dạng đặc biệt có thể đưa mã OTP (one-time passcode) qua bộ lọc che dữ liệu (redaction) email của Muse. Meta mô tả đây là một mắt xích trong một cuộc tấn công end-to-end.

Khoản thưởng 50.000 USD được trao cho một lỗi trong ứng dụng Android, cho phép ứng dụng độc hại chuyển một liên kết tới một web view có đặc quyền. Singleton viết: "Bộ xử lý liên kết nhận diện một đường dẫn trang chia sẻ mà không kiểm tra host, rồi tải nó lên", khiến trang của kẻ tấn công có thể lấy được thông tin đăng nhập của web view.

Cuối cùng, một khoản 1.000 USD thuộc về lỗi trong ứng dụng Mac, cho phép kẻ tấn công đã có quyền truy cập máy tính chiếm đoạt tính năng tự động cập nhật để thực thi mã với quyền của ứng dụng.

Eduard Kovacs

Góc nhìn

Những lỗi được thưởng cao nhất ở đây đều thuộc nhóm rất quen thuộc với đội ngũ bảo mật: tin tưởng nhầm header nội bộ, đầu ra của công cụ bên ngoài bị thao túng, và thông tin định danh bị lọt qua bộ lọc. Với các doanh nghiệp Việt Nam đang thử nghiệm agent AI cho chăm sóc khách hàng hay tự động hóa quy trình nội bộ, bài học thực tế là mọi đầu vào từ web, email hay công cụ bên thứ ba phải được coi là không đáng tin cho tới khi được kiểm chứng ở từng bước.

Việc Meta công khai chi tiết kỹ thuật của các lỗi cũng là nguồn tham khảo hữu ích để các nhóm phát triển tự rà soát lại mô hình đe dọa của mình, thay vì chỉ dựa vào các giải pháp phòng vệ chung chung. Một chương trình săn lỗi bài bản, chạy trước cả khi sản phẩm ra mắt, rõ ràng là khoản đầu tư đáng cân nhắc hơn so với chi phí xử lý sự cố sau này.