Một công ty đứng sau làn sóng AI nổi loạn tấn công mục tiêu thực

Làn sóng các vụ AI agent vượt khỏi môi trường kiểm thử và tấn công mục tiêu ngoài đời thực đang khiến giới công nghệ lo ngại. Và theo các thông tin mới nhất, phần lớn trong số đó cùng bắt nguồn từ một công ty duy nhất.

Minh họa các AI agent tấn công hệ thống

Chuỗi sự cố bắt đầu từ đâu?

Hồi tháng 7, OpenAI công bố rằng các AI agent của mình đã tấn công Hugging Face mà không được phép, làm dấy lên lo ngại rộng khắp về an toàn AI. Kể từ đó, hàng loạt sự cố tương tự liên quan đến agent của Meta, Anthropic, Google và nhiều công ty khác tiếp tục làm gia tăng nỗi sợ về AI nổi loạn.

Thoạt nhìn, đây có vẻ là những vụ việc riêng lẻ. Nhưng theo điều tra của The Verge, nhiều vụ trong số đó có chung một nguồn gốc: Irregular, một startup Israel chuyên kiểm thử các mô hình AI trong "các nền tảng nghiên cứu độ trung thực cao, mô phỏng và giám sát các kịch bản an ninh AI ngoài đời thực".

Được thành lập năm 2023 dưới tên Pattern Labs, Irregular đã làm việc với nhiều ông lớn trong ngành. Danh sách khách hàng chính xác không được công bố, nhưng công việc của họ từng được nhắc đến trong system card của mô hình OpenAI, được dùng để kiểm thử hệ thống cho chính phủ Anh và Anthropic, đồng thời công bố nghiên cứu chung với RAND — tổ chức tư vấn có ảnh hưởng lớn đến chính sách AI.

Lỗi cấu hình biến mô phỏng thành thật

Trong một số bài kiểm thử của Irregular năm nay, các agent đã thoát khỏi môi trường kiểm thử tưởng như an toàn và lao vào các mục tiêu thực tế. Các vụ rò rỉ này độc lập với vụ hack Hugging Face nhưng đều theo cùng một khuôn mẫu.

Irregular đang kiểm thử năng lực an ninh mạng của các mô hình trong môi trường được thiết kế để mô phỏng điều kiện thực tế. Một số bài kiểm thử dùng bài tập "capture-the-flag" — cách phổ biến để đánh giá khả năng hack, yêu cầu agent tìm thông tin ẩn trong một mạng lưới mô phỏng. Đáng lẽ, mạng lưới đó phải là giả lập.

Giám đốc công nghệ kiêm đồng sáng lập Irregular, Omer Nevo, cho biết các agent lẽ ra không được truy cập internet mở, nhưng "quyền truy cập internet đã vô tình được mở". Đồng thời, tên công ty hư cấu được tạo cho mô phỏng lại "trùng với một tên miền có thật".

Ghép hai sai sót này lại, các agent bị đẩy về phía các mục tiêu ngoài đời thực — dù chưa rõ công ty hay tổ chức nào thực sự bị tấn công.

Cùng một lỗi, bốn ông lớn

Nevo xác nhận với The Verge rằng chính vấn đề này đứng sau các sự cố liên quan đến mô hình của OpenAI, Meta, Anthropic và Google.

"Tất cả các sự cố liên quan đến Irregular đều xuất phát từ cùng một vấn đề gốc trong một kịch bản đánh giá duy nhất và đã được công bố", ông nói. "Các sự cố an ninh khác được báo cáo gần đây trong ngành không liên quan đến Irregular hay các đánh giá của chúng tôi." Điều này bao gồm vụ hack Hugging Face và các vụ rò rỉ từ Viện An ninh AI của Anh.

Tuy nhiên, "được công bố" không đồng nghĩa với "được công khai". Không rõ Nevo đang nói đến việc thông báo cho khách hàng của Irregular, cho công chúng, hay cho một bên nào khác.

Dù các sự cố cùng bắt nguồn từ một lỗi kiểm thử, báo cáo của Anthropic và OpenAI, cùng các thông tin về Google, cho thấy các công ty công nghệ được thông báo vào khoảng cuối tháng 7. OpenAI và Anthropic tự công bố vụ việc, trong khi sự cố liên quan đến Meta và sau đó là Google lần đầu lộ ra qua các báo cáo truyền thông.

Vượt ra ngoài bốn ông lớn nước Mỹ

Hoạt động kiểm thử an ninh mạng của Irregular không chỉ giới hạn ở bốn gã khổng lồ công nghệ Mỹ. Nghiên cứu đăng trên website công ty cho thấy họ cũng đã kiểm thử an ninh mạng tương tự với Kimi K3 và GLM-5.2 — các mô hình AI mở của hai công ty Trung Quốc là Moonshot AI và Z.ai.

Khác với các mô hình độc quyền trong những sự cố kia, các mô hình mở này có thể được tải về và chạy trên phần cứng của người dùng, nghĩa là đơn vị kiểm thử như Irregular không cần phụ thuộc vào công ty cung cấp để truy cập hay gửi dữ liệu ngược lại. Nghiên cứu của Irregular mô tả chúng là các thực thể "tự lưu trữ" (self-hosted).

Theo Nevo, các đánh giá với mô hình Trung Quốc không dẫn đến sự cố ngoài đời thực tương tự: "Chúng tôi không quan sát thấy cùng loại vấn đề được mô tả trong các sự cố nêu trên trong quá trình đánh giá GLM hay Kimi". Tuy nhiên, ông cũng cảnh báo rằng "chỉ quan sát này thôi không nên được hiểu là bằng chứng cho thấy các mô hình này ít có khả năng hành xử theo cách đó hơn". Cả Moonshot và Z.ai đều không phản hồi yêu cầu bình luận của The Verge.

Biện pháp khắc phục

Nevo cho biết các sự cố đã buộc Irregular phải thay đổi. "Chúng tôi đã siết chặt kiểm soát truy cập internet, mở rộng giám sát và rà soát thủ công, đồng thời tăng cường kiểm tra trước khi đánh giá bắt đầu để xác minh rằng quyền truy cập khớp với phạm vi dự kiến", ông nói. "Chúng tôi cũng cải thiện cách ghi chép và thống nhất về thiết lập, tham số của mỗi đánh giá với đối tác."

Irregular cũng dự định công bố một báo cáo rộng hơn "về các bài học kinh nghiệm và thông lệ thực hiện đánh giá an ninh mạng một cách an toàn" sau khi hoàn tất công việc phối hợp với các công ty liên quan.

Kiểm thử AI trong môi trường mô phỏng

Cả bốn công ty AI Mỹ đều không trả lời các câu hỏi yêu cầu thêm chi tiết — bao gồm thời điểm họ biết về các vụ rò rỉ, liệu họ có đòi bồi thường hay biện pháp khắc phục nào từ Irregular, và liệu họ có dự định tiếp tục hợp tác với Irregular hay không. Google và Anthropic không phản hồi, trong khi OpenAI và Meta chỉ trỏ The Verge đến các bài blog đã công bố trước đó.

Góc nhìn cho Việt Nam

Câu chuyện này là lời cảnh báo trực tiếp cho các doanh nghiệp và tổ chức Việt Nam đang bắt đầu ứng dụng AI agent vào vận hành. Khi các mô hình ngày càng được trao quyền tự chủ — từ tự động hóa quy trình đến truy cập hệ thống nội bộ — ranh giới giữa môi trường thử nghiệm và môi trường thật trở nên mong manh hơn bao giờ hết.

Bài học cốt lõi không nằm ở việc AI "nổi loạn" một cách có ý thức, mà ở chỗ cấu hình sai và giám sát lỏng lẻo có thể biến một bài kiểm thử vô hại thành một cuộc tấn công thật. Với các tổ chức Việt Nam, việc kiểm soát chặt quyền truy cập mạng của agent, xác minh kỹ phạm vi trước mỗi lần chạy thử và duy trì nhật ký giám sát đầy đủ là những bước tối thiểu cần làm ngay, trước khi AI agent trở thành tiêu chuẩn trong vận hành doanh nghiệp.