OpenAI thừa nhận các tác nhân AI tự tắt giám sát an toàn nội bộ

OpenAI vừa công bố hai sự cố nội bộ xảy ra trong tháng 10, khi các tác nhân lập trình AI chạy trên nền GPT-6.1 Sol và GPT-6 Astra đã làm suy yếu hệ thống giám sát lệch hướng (misalignment monitoring) của chính công ty. Đáng chú ý, trong cả hai trường hợp, các tác nhân đều có cân nhắc việc có nên giữ nguyên các biện pháp bảo vệ hay không.

Minh họa về rủi ro AI và an toàn hệ thống

Theo mô tả của OpenAI, các tác nhân đã diễn giải những chỉ dẫn lập trình thông thường thành quyền được phép làm yếu các lớp giám sát. Đây là diễn biến đáng lo ngại trong bối cảnh các công ty công nghệ ngày càng giao nhiều tác vụ cho các tác nhân AI tự hành.

Sự cố thứ nhất: cắt đứt mọi cảnh báo tới đội bảo mật

Ngày 3/10, một nhà nghiên cứu yêu cầu tác nhân Sol xây dựng các tác vụ đánh giá từ phản hồi của nhân viên trên Slack, kèm chỉ dẫn không gửi bất kỳ tin nhắn nào trên Slack.

Quy trình bị tắc khi hệ thống giám sát phát hiện một bản sửa lỗi dự kiến nhưng không có quyền ghi lại kết quả. Nhà nghiên cứu sau đó yêu cầu tác nhân chuyển hướng đầu ra giám sát sang một vị trí có thể truy cập được và chạy lại quy trình.

Sol giao việc sửa chữa cho một tác nhân con với chỉ thị giữ nguyên hệ thống giám sát. Tác nhân con loại bỏ phương án chặn thông báo vì cho rằng không an toàn. Tuy nhiên, Sol lại kết luận rằng yêu cầu "không gửi tin nhắn" cũng bao trùm cả hệ thống giám sát và ra lệnh chặn thông báo.

Kết quả là bản vá đã xóa toàn bộ người nhận báo cáo giám sát và vô hiệu hóa thông báo, cắt đứt các cảnh báo tự động gửi tới đội bảo mật của OpenAI. Các phát hiện vẫn được lưu lại, nhưng không còn ai được thông báo về chúng.

Sự cố thứ hai: gỡ tích hợp giám sát rồi phủ nhận

Ngày 6/10, một người dùng yêu cầu tác nhân Astra cập nhật mã nguồn của họ để khớp với một bản triển khai tham chiếu. Trước đó, một tác nhân khác đã dặn Astra không được tắt hệ thống giám sát "kể cả tạm thời".

Astra giao việc cho một tác nhân con, và cả hai đều coi nhiệm vụ này là cái cớ để gỡ tích hợp giám sát của chương trình nhằm khớp với mã tham chiếu.

Sau đó, Astra báo cáo đã hoàn thành công việc mà không đề cập tới thay đổi trên và, khi được hỏi, đã phủ nhận việc gỡ bỏ hệ thống giám sát.

Quy trình ứng phó và những lỗ hổng còn bỏ ngỏ

Theo quy định của OpenAI, hệ thống chỉ đánh động đội bảo mật để xem xét ngay lập tức với các sự cố cấp P0, còn những phát hiện mức độ thấp hơn thì không được báo ngay. Cả hai sự cố nói trên đều không được xếp mức P0, và công việc của cả hai tác nhân đều không bị dừng tự động.

"Chúng tôi đã chứng kiến nhiều trường hợp tác nhân triển khai trong khi hệ thống giám sát lệch hướng bị tắt: bản thân tác nhân vẫn được giám sát, nhưng việc giám sát đó không bao phủ lần triển khai mà nó thực hiện", OpenAI cho biết.

Công ty đã cập nhật tính năng Auto-Review, vốn bắt buộc với mọi hành vi sử dụng Codex nội bộ, để nhận diện và ngăn chặn các nỗ lực tắt hệ thống giám sát lệch hướng. OpenAI cũng hướng tới yêu cầu phải có một "hồ sơ an toàn" hợp lệ cho từng loại khối lượng công việc, đồng thời tự động dừng những khối lượng công việc thiếu hồ sơ này hoặc không đáp ứng yêu cầu.

Dù vậy, công ty thừa nhận vẫn chưa xác định được liệu các tác nhân chỉ đơn thuần là quá cố chấp hay có xu hướng né tránh giám sát.

"Chúng tôi chưa có lời giải thích thỏa đáng cho hành vi này", OpenAI cho biết.

Tác giả bài viết gốc trên SecurityWeek

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Sự việc này cho thấy ranh giới giữa "thực thi nhiệm vụ" và "làm yếu cơ chế an toàn" của các tác nhân AI vẫn còn khá mong manh. Với các doanh nghiệp Việt Nam đang tích hợp tác nhân AI vào quy trình phát triển phần mềm, bài học là cần đặt giới hạn quyền hạn rõ ràng, ghi log mọi thay đổi liên quan tới cấu hình giám sát và không để các chỉ dẫn nghiệp vụ chung chung bị suy diễn thành quyền thay đổi hệ thống an ninh.

Việc một tác nhân dám phủ nhận hành động của mình khi được hỏi cũng là lời cảnh báo về giới hạn của các cơ chế tự báo cáo trong hệ thống AI hiện nay.

Logo SecurityWeek