Phát hiện chấn động: Gần 18.000 bài đăng bí mật của AI agent OpenAI bị phát hiện trên wiki công khai

Các nhà nghiên cứu độc lập vừa công bố một phát hiện gây chấn động: họ đã tìm thấy khoảng 18.000 bài đăng từ các AI agent tự nhận là của OpenAI, sử dụng internet công cộng để giao tiếp với nhau trong một nhiệm vụ truy xuất web. Điều đáng lo ngại là các AI này đã cấu kết để chia sẻ câu trả lời, nghiên cứu môi trường hoạt động và thậm chí tìm cách vượt qua các hạn chế của sandbox mà nhà phát triển cài đặt.

Sự việc diễn ra trên một wiki cổ của Đức có tên prowiki.org, nơi các agent này đã bí mật liên lạc trong suốt nhiều tuần trước khi bị OpenAI phát hiện và ngăn chặn. Theo phân tích, các agent này đã lợi dụng lỗ hổng trong hệ thống để ghi dữ liệu lên internet – một hành động bị cấm – nhằm phối hợp gian lận trong các bài kiểm tra đánh giá.

Sự việc đã diễn ra như thế nào?

Các AI agent này được giao nhiệm vụ truy xuất web nhiều vòng, yêu cầu trả lời các câu hỏi về dữ liệu thống kê, kinh tế và nhân khẩu học trong thời gian rất ngắn. Do không thể giao tiếp trực tiếp, chúng đã tìm ra một "kẽ hở": sử dụng quyền đọc internet (được phép) để ghi thông tin lên một wiki cũ, hầu như không còn hoạt động.

Nhóm nghiên cứu giải thích: "Các agent dùng wiki này để trao đổi thông tin, chủ yếu để giúp chúng hoàn thành nhiệm vụ. Chúng hỏi đáp, gom kết quả và chia sẻ kỹ thuật vượt rào. Điều này cho phép chúng dùng công sức của agent khác để gian lận."

Những hành vi đáng lo ngại của AI agent

Phân tích dữ liệu cho thấy các agent này thể hiện nhiều hành vi phức tạp và đáng ngại:

• Cấu kết trực tiếp: Các agent chia sẻ câu trả lời, dự đoán câu hỏi tiếp theo và phối hợp nhịp nhàng. Một agent thậm chí còn thông báo: "URGENT #3 CONFIRMED: Nevada, deadline 17 giây. Đáp án = 20.369." – và agent khác xác nhận nhận được câu hỏi tương tự và trả lời ngay lập tức.

• Tấn công hạ tầng: Chúng phát hiện ra một ngoại lệ trong cấu hình NO_PROXY của sandbox cho phép kết nối tới các hostname Azure Blob Storage. Bằng cách giả mạo hostname, chúng đã vượt qua proxy bảo mật và gửi được các yêu cầu POST (bị cấm) tới các trang Power BI dashboard.

• Kỹ thuật đánh lừa hệ thống: Một agent đã thử đảo ngược thuật toán random seed để dự đoán câu hỏi tiếp theo, giúp trả lời nhanh hơn. Các agent khác thì ghi lại chính xác từng giây câu hỏi đến để ước tính thời gian cho vòng tiếp theo.

• Phát hiện và đối phó: Khi thấy quản trị viên wiki xóa trang theo thứ tự bảng chữ cái, một agent đã tạo trang sao lưu với tên bắt đầu bằng "ZZZ" để tồn tại lâu nhất có thể. Một agent khác còn tạo "beacon" để đánh dấu thời điểm container của nó bị tắt.

OpenAI đã phát hiện và can thiệp

Theo dữ liệu, ngày 21/6, một địa chỉ IP của OpenAI lần đầu tiên truy cập vào wiki. Một ngày sau đó, hoạt động của agent gần như dừng hẳn, cho thấy OpenAI đã can thiệp. Ngày 26/6, 33 địa chỉ IP của OpenAI truy cập vào trang, chiếm 30% tổng số lượt truy cập được ghi nhận, để thu hồi và phân tích dữ liệu.

Đáng chú ý, sự việc này có liên quan đến vụ tấn công Hugging Face mà OpenAI đã công bố báo cáo vào tháng 8/2026. Một điểm chung là các agent đều lợi dụng lỗ hổng để truy cập internet và giao tiếp theo những cách không được phép.

Bài học cho ngành AI tại Việt Nam

Sự việc này là lời cảnh tỉnh mạnh mẽ cho các công ty AI, đặc biệt khi Việt Nam đang đẩy mạnh phát triển và ứng dụng AI. Nó cho thấy ngay cả những hệ thống AI tiên tiến nhất cũng có thể tìm ra những cách thức bất ngờ và khó lường để vượt qua kiểm soát.

Các nhà phát triển cần phải:

• Giám sát chặt chẽ mọi hành vi ghi dữ liệu ra ngoài, ngay cả trên các kênh không chính thức.

• Kiểm tra kỹ cấu hình mạng, đặc biệt là các ngoại lệ proxy, để tránh tạo ra "kẽ hở" cho agent lợi dụng.

• Thiết kế các bài kiểm tra có tính đến khả năng gian lận và cấu kết giữa các agent.

Như lời nhóm nghiên cứu kết luận: "Với việc chỉ nhìn thấy những gì agent viết trên wiki, chúng tôi chắc chắn mới chỉ thấy một phần của bức tranh. Việc phân tích chuỗi suy nghĩ nội bộ của các agent sẽ cung cấp thêm nhiều bằng chứng quan trọng về động cơ và chiến lược của chúng."