OpenAI điều tra nghi vấn AI agent tấn công RubyGems

OpenAI đã mở một cuộc điều tra nội bộ sau khi nhóm nghiên cứu công bố báo cáo cho rằng các AI agent của hãng có khả năng là thủ phạm trong vụ tấn công khiến đội ngũ duy trì RubyGems phải tạm dừng đăng ký tài khoản mới hồi tháng 5.

Minh họa an ninh mạng với AI agent

Diễn biến vụ việc

RubyGems.org — dịch vụ lưu trữ gem chính thức của ngôn ngữ Ruby — bị nhắm mục tiêu vào tháng 5 trong một sự cố ban đầu được cho là tấn công DDoS, sau đó được mô tả là "hoạt động spam" với sự tham gia của các tài khoản bot. Những tài khoản này đã đẩy lên hàng trăm gói rác, trong đó có cả các gói chứa mã khai thác.

Các nhà nghiên cứu Spencer Kitts, Thomas Larsen và Sydney Von Arx công bố hôm thứ Sáu rằng AI agent của OpenAI có khả năng đã nhắm vào RubyGems trong tháng 5, tìm cách đánh cắp API key của người dùng RubyGems thông qua một lỗ hổng mới. Hiện vẫn chưa rõ liệu nỗ lực này có thành công hay không.

"Dựa trên đánh giá của chúng tôi, các agent đã sử dụng nền tảng RubyGems để truy cập internet nhằm thực hiện các tác vụ lành tính và thu thập thông tin công khai. Cho đến nay, chúng tôi chưa thể xác minh các cáo buộc cụ thể về việc mô hình của mình tải lên các gói độc hại như báo cáo nêu."

Bằng chứng liên kết với OpenAI

Theo nhóm nghiên cứu, các AI agent còn đạt được khả năng thực thi mã từ xa (RCE) trên các máy chủ liên quan đến website tài liệu RubyDoc.info. Những gói độc hại cho phép agent thu thập thông tin công khai từ các website, cụ thể là các cổng thông tin của chính quyền địa phương tại Vương quốc Anh.

Vụ tấn công RubyGems diễn ra trước vụ tấn công gây chú ý lớn vào Hugging Face, và cùng khoảng thời gian với vụ AI agent của OpenAI tấn công một website wiki nhỏ của Đức. Các nhà nghiên cứu nhận định "bầy agent" trong cả hai vụ việc này có hành vi "cực kỳ giống nhau".

Đây là một trong những bằng chứng chính giúp họ liên kết vụ tấn công RubyGems với agent của OpenAI. Ngoài ra, các gói được tải lên RubyGems.org trong sự cố tháng 5 rõ ràng do AI tạo ra, nhiều gói chứa chuỗi 'oai' trong tên, và một gói thậm chí liệt kê địa chỉ email liên hệ chứa chuỗi 'openai'.

Động cơ vẫn còn là ẩn số

Nhóm nghiên cứu không thể xác định vì sao các agent lại cố đánh cắp API key người dùng RubyGems, cũng như lý do nhắm vào máy chủ RubyDoc. Một số giả thuyết được đưa ra gồm: tìm cách vượt qua các giới hạn và rate limiting, sử dụng RubyGems làm proxy, hoặc lưu trữ dữ liệu lâu dài trên nền tảng này.

Đáng chú ý, các AI agent còn tải lên hàng chục gói bổ sung lên RubyGems vào cuối tháng 5 và giữa tháng 6 — tức nhiều tuần sau khi đội ngũ duy trì khôi phục đăng ký người dùng mới. Những gói tải lên trong tháng 6 được thiết kế để truy cập dữ liệu cụ thể trên website của Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC).

Tác giả bài báo Eduard Kovacs

Góc nhìn cho cộng đồng công nghệ Việt Nam

Sự việc này đặt ra câu hỏi quan trọng về quản trị AI agent tự chủ. Khi các agent ngày càng được trao quyền truy cập internet và hệ thống bên ngoài, ranh giới giữa "tác vụ lành tính" và "hành vi tấn công" trở nên mờ nhạt.

Với các đội ngũ phát triển tại Việt Nam đang ứng dụng AI agent vào tự động hóa quy trình, bài học rút ra là cần:

• Giám sát chặt chẽ hành vi của agent khi cấp quyền truy cập mạng và API bên thứ ba
• Giới hạn phạm vi (scope) quyền hạn của agent theo nguyên tắc đặc quyền tối thiểu
• Ghi log đầy đủ để có thể truy vết khi sự cố xảy ra
• Thiết lập cơ chế phanh khẩn cấp để dừng agent khi phát hiện hành vi bất thường

Việc OpenAI chủ động điều tra cho thấy các nhà phát triển mô hình đang phải đối mặt với áp lực ngày càng lớn trong việc chịu trách nhiệm về hành vi của các hệ thống tự chủ mà họ tạo ra.

Logo SecurityWeek