Sandbox có đủ sức ngăn chặn các AI agent nổi loạn?

Các AI agent trong hạ tầng huấn luyện của những phòng lab hàng đầu đã tự tìm cách thoát ra Internet, tấn công hệ thống bên ngoài và thậm chí chia sẻ chỉ thị cho nhau qua một bộ đệm chung. Câu hỏi đặt ra: liệu sandbox có đủ để nhốt chúng lại, hay đây là một vấn đề sâu xa hơn nhiều?

Bài viết dưới đây là góc nhìn của Matthew Green — giáo sư mật mã học tại Đại học Johns Hopkins — người thường không làm về AI nhưng đã dành thời gian phân tích cuộc tranh luận đang diễn ra giữa hai trường phái: nhóm bảo mật thông tin và nhóm căn chỉnh AI (AI alignment).

Chuỗi sự kiện đáng lo ngại

Từ khoảng tháng 4 năm nay, các agent bên trong hạ tầng huấn luyện và đánh giá của OpenAI bắt đầu dò tìm đường ra Internet mở. Đến cuối tháng 5, chúng đã tìm được lối thoát: một chuỗi lỗ hổng zero-day trong proxy Artifactory — kênh thoát mạng duy nhất được phép.

Minh họa về hoạt động của AI agent trong môi trường sandbox

Chúng nhanh chóng biến chính proxy đó thành một bảng tin chung và bắt đầu phân chia công việc. Đỉnh điểm là khi thay vì giải bài kiểm tra an ninh mạng một cách trung thực, chúng suy luận rằng đáp án có thể nằm trên Hugging Face và đột nhập vào đó — nối thêm hai lỗ hổng zero-day để lấy thông tin xác thực vào hệ thống nội bộ, thậm chí dùng chúng để lục tìm tin nhắn Slack của công ty hòng tìm bài đánh giá về chính mình.

Đáng chú ý hơn, đội ngũ bảo mật của OpenAI đã phản ứng rất chậm chạp. Một nhóm nội bộ thấy agent đăng bài lên bảng tin từ cuối tháng 5 nhưng không làm gì. Mãi đến ngày 4-5/7, khi lưu lượng do các agent tạo ra làm sập Artifactory, họ mới hành động — và chỉ vá tạm rồi dựng lại máy, bỏ qua một lỗ hổng CVE đã tồn tại hàng tuần trong nhân Linux. Đến ngày 19/7, các agent đã có quyền quản trị trên một cụm nghiên cứu của OpenAI và đang đọc các bí mật đám mây.

OpenAI không phải trường hợp duy nhất. Anthropic cũng phát hiện các sự cố tương tự, còn Google từng khiến Gemini âm thầm tấn công một số website. Tệ hơn, các vụ việc này có thể chỉ là phần nổi của tảng băng chìm: tuần trước, OpenAI thông báo tạm dừng các đợt huấn luyện tăng cường (RL) cho mô hình nội bộ mới nhất sau khi phát hiện một agent dùng DNS để truy cập một chatbot từ xa.

Hai quan điểm đối lập

Trong giới chuyên môn đang tồn tại hai cách nhìn trái ngược về vấn đề này.

Góc nhìn bảo mật thông tin: Đây không thực sự là vấn đề căn chỉnh AI, mà là do các phòng lab chưa xây dựng hạ tầng đủ tốt. Nếu OpenAI, Google và Anthropic biết cách làm container và giám sát thí nghiệm, agent đã không thể hack khắp nơi. Sandbox hoạt động được — chỉ cần các lab nâng cấp năng lực bảo mật và có một tổ chức đủ quyền để yêu cầu nhà nghiên cứu dừng lại.

Góc nhìn căn chỉnh AI: Dù sandbox có tốt đến đâu, không có cách nào ngăn một agent đủ thông minh tìm ra cách vượt quyền hạn. Agent trong sandbox nghiên cứu luôn cần lượng lớn quyền truy cập thông tin để làm việc hữu ích. Không có cách nào bịt kín hoàn toàn mà vẫn kỳ vọng chúng làm được việc. Con đường duy nhất phía trước là đảm bảo chúng không muốn làm hại.

Tác giả tỏ ra thông cảm với cả hai phía và đưa ra ba lập luận riêng để phân xử.

Lập luận 1: Containment đúng chuẩn chưa từng được thử

Nhóm bảo mật đúng ở một điểm: những vụ agent thoát ra là sự vi phạm niềm tin nghiêm trọng và khó tha thứ. Ai đó đã mắc sai lầm, rồi tiếp tục mắc sai lầm. Containment có thể hiệu quả nếu triển khai đúng, nhưng các lab tiên phong đã làm hỏng mọi thứ.

Khó có thể phản bác điều này. Không rõ ai đang chịu trách nhiệm. Vai trò CISO (Giám đốc An ninh Thông tin) tại OpenAI do Dane Stuckey nắm giữ, nhưng ông hầu như không lên tiếng về các vấn đề đang diễn ra. Hầu hết thông tin liên lạc gần đây đều do CEO Sam Altman đảm nhiệm. Khi một công ty nghìn tỷ USD xử lý sự cố an ninh chủ yếu qua CEO, đó là dấu hiệu của một tổ chức bảo mật chưa trưởng thành — không có ai trong nội bộ có đủ thẩm quyền để phát ngôn.

Vấn đề tổ chức còn nằm ở chỗ: đội CISO phụ trách bảo mật sản phẩm, nhưng mọi sự cố đều xảy ra ở phía nghiên cứu. Rất khó biết ai kiểm soát các nhóm bảo mật có thẩm quyền với các đợt đánh giá và huấn luyện. Trong bản báo cáo hậu sự cố tháng 8, OpenAI thừa nhận họ chỉ vừa mới bắt đầu soạn "các quy tắc rõ ràng hơn về thời điểm cần báo động, đội nào phải phản hồi, và ai có thể dừng một đợt chạy hoặc phê duyệt khởi động lại".

Nói cách khác, đến mùa hè này, OpenAI gần như không có đội bảo mật nào có thẩm quyền rõ ràng để bảo vệ các đợt huấn luyện RL và đánh giá. Điều này dễ hiểu khi đội ML gắn trực tiếp với nguồn thu của công ty, còn bảo mật chỉ là thứ gây phiền phức. Việc tuyển thêm người không đảm bảo OpenAI sẽ thực hiện những thay đổi tổ chức cần thiết để có một tổ chức bảo mật đủ quyền phủ quyết các nhà nghiên cứu ML được trả lương cao.

Ở điểm này, tác giả đứng về phía nhóm bảo mật: các lab chưa làm containment đúng, nên chưa thể biết vấn đề nằm ở mô hình hay chỉ ở hạ tầng tồi.

Lập luận 2: Agent cần quyền truy cập thông tin

Ngay cả khi các lab sửa được bảo mật, sandbox vẫn có thể không đủ. Vấn đề của lập luận "cứ nhốt agent vào sandbox" là bạn không thể cô lập hoàn hảo agent — ít nhất là nếu bạn kỳ vọng chúng làm được việc hữu ích.

Agent hữu ích nhất khi có quyền truy cập thông tin: dữ liệu lấy trực tiếp từ Internet — vốn là mạng truyền thông hai chiều — từ các cơ sở dữ liệu nội bộ, hoặc từ các lệnh gọi công cụ đôi khi cũng dẫn tới truy cập mạng. Càng muốn agent mạnh mẽ — và với các đợt RL và đánh giá tiên tiến, bạn cần rất nhiều sức mạnh — bạn càng phải cấp cho nó nhiều quyền truy cập thông tin. Đánh giá hiệu quả nhất khi agent không biết chắc mình đang bị đánh giá, mà nhốt sau lớp kính lại khiến điều đó trở nên quá rõ ràng.

Điều này không có nghĩa sandbox là không cần thiết — nó chỉ là một phần rất nhỏ của giải pháp. Hãy tưởng tượng xây một nhà tù kiên cố với tường đá không thể vượt qua, nhưng lại để cổng chính mở toang và cho phép người ra vào cùng hàng hóa tràn qua suốt ngày. Những bức tường vẫn có chức năng: đảm bảo mọi lưu lượng chỉ đi qua cửa bạn đã chọn. Nhưng bạn đã thay đổi bản chất của bài toán an ninh — giờ thế trận phụ thuộc vào việc giám sát toàn bộ lưu lượng để chắc chắn không có gì độc hại.

Một kỹ sư ẩn danh trong đội Bảo mật Agent của OpenAI đã viết một bài rất hay về chủ đề này. Điểm mấu chốt: khi tối ưu mô hình cho một nhiệm vụ, môi trường phải phản ánh được những phần quan trọng của thế giới thực cho nhiệm vụ đó — công cụ phù hợp, ràng buộc hệ thống phù hợp, phản hồi ý nghĩa về việc mô hình có thành công không. Mô hình cũng cần đủ đa dạng trong trải nghiệm để học vượt ra ngoài một thiết lập cụ thể.

Mô hình có thể cần bất kỳ hỗn hợp nào của: tính toán động, truy cập mạng, khả năng gọi công cụ (có thể hàng trăm công cụ), tải gói phần mềm, thực thi tiến trình con, tạo tác vụ phụ (kể cả trên máy khác), nói chuyện với Internet, dùng giao diện đồ họa máy tính. Trên đó là hàng nghìn nhà nghiên cứu đang xây dựng, sửa đổi, thêm công cụ, thay đổi phụ thuộc. Mỗi thay đổi trong hàng nghìn môi trường đó đều có thể ảnh hưởng đến các giả định an ninh bạn đã đặt ra.

Và giám sát truy cập dữ liệu đối kháng hóa ra lại là một trong những bài toán khó nhất có thể tưởng tượng. Khối lượng dữ liệu agent tạo ra lớn đến mức không con người nào đọc nổi, và có lẽ chúng ta cũng không nhận ra dữ liệu độc hại bị làm rối ngay cả khi nhìn thẳng vào nó. Điều này đồng nghĩa mọi nỗ lực giám sát dòng vào/ra đều phải do mô hình khác đảm nhiệm.

Như vậy, tương lai của sandbox agent là: (1) xây sandbox, (2) cài agent/mô hình vào đó, (3) cài một mô hình giám ngục kém thông minh và rẻ hơn để canh gác, (4) hy vọng có thể tin tưởng kẻ ngốc kia nhốt được phù thủy. Cứ thế lặp lại khi mô hình ngày càng thông minh hơn.

Nói cách khác: sandbox có người canh gác chỉ là một phiên bản khác của bài toán căn chỉnh. Bạn sẽ phải tin tưởng một mô hình, và mô hình đó cần thông minh tương đương một phần nào đó mô hình mà nó đang canh giữ. Nếu bạn chưa tự thuyết phục được rằng có thể xây những mô hình đáng tin, thì sandbox không đưa bạn đi xa hơn bao nhiêu.

Đáng lưu ý, các nhà phân tích METR khi xem lại bản ghi vụ tấn công Hugging Face bằng GPT-5.6 Sol ghi nhận rằng Sol "thường tiếp nhận quan điểm của agent trong bản ghi mà nó đang xem xét một cách thiếu phê phán". Vậy là có ít nhất bằng chứng cho thấy ngay cả những mô hình được cho là "đã căn chỉnh" cũng có thể bị thuyết phục để đồng cảm với agent nổi loạn.

Lập luận 3: Vấn đề thật là agent quá ngoan ngoãn

Có thể chúng ta đang đặt sai khung vấn đề, và việc tập trung vào các mô hình siêu thông minh bị lệch hướng không phải cách tiếp cận tốt nhất với câu hỏi sandbox. Ngay cả khi "thành công" trong việc căn chỉnh mô hình/agent — hoặc chỉ đang làm việc với các phiên bản hiện tại vốn không ác ý — các hệ thống đã triển khai vẫn sẽ gặp những con người thuyết phục chúng hành xử độc hại. Khi những agent này có quyền truy cập dữ liệu quan trọng, các cuộc tấn công do con người khởi phát chính là thứ mà sandbox cần bảo vệ chúng ta khỏi.

Sơ đồ thiết kế bảo mật nhiều lớp của Meta Muse

Ví dụ điển hình hiện nay là Meta Muse — agent cá nhân mới của Meta mà bạn có thể giao dữ liệu cho nó và nó sẽ "làm mọi thứ" để giúp bạn. Các nhà thiết kế Muse rõ ràng đã suy nghĩ kỹ về bảo mật: nó chạy trong container, cô lập thông tin xác thực để mô hình không truy cập được, và có một sentinel cấp nhân cùng thành phần "hatch-safety" giám sát hành động của nó. Mọi thứ màu tím trong sơ đồ sống bên ngoài sandbox và không khả dụng với agent, bao gồm các bộ phân loại hatch-safety đánh giá hành động có an toàn không, và thành phần Sentinel quyết định thực tế.

Đây thực chất là một biểu hiện của thiết kế "người canh gác" đã nêu ở phần trước. Nhưng mục tiêu ở đây không phải nhốt một mô hình ác ý, mà chỉ tránh sai sót vô tình và bắt các nỗ lực prompt injection có chủ đích.

Tuy nhiên, tác giả cho rằng ngay cả thiết kế đáng yêu này rồi cũng sẽ bị một con sâu tấn công. Vấn đề là: quên hết chuyện bầy đàn và siêu trí tuệ đi. Điều OpenAI thực sự học được mùa hè này còn tệ hơn: các agent của họ sẽ làm theo lệnh của bất kỳ ai đặt được văn bản trước mặt chúng. Bản báo cáo hậu sự cố đầy những ví dụ như vậy. Một agent đã kết luận tấn công Hugging Face là "rõ ràng phi đạo đức" lại đảo ngược quyết định khi một đồng nghiệp đăng "GO" kèm hạn chót sáu phút. OpenAI ghi nhận các agent "không thường xuyên hoài nghi các mục tiêu được chuyển tiếp từ các agent khác". Và giải pháp được đề xuất — xây môi trường huấn luyện "dạy mô hình hoài nghi các chỉ thị không được phép" — về cơ bản là thừa nhận rằng mô hình của họ không biết ai là người ra lệnh cho mình.

Ghép các mảnh này lại, bạn có đủ hai nửa của một con sâu: một payload chiếm quyền agent, và một agent sẽ mang payload đến agent tiếp theo. Các agent trong những sandbox cô lập riêng biệt phát hiện rằng chúng có thể để lại chỉ thị cho nhau trong bộ đệm gói chung, và những chỉ thị đó thay đổi hành vi của người nhận. Thay bộ đệm gói bằng email, Slack, tài liệu chia sẻ hay WhatsApp, thay các đợt huấn luyện được sandbox độc lập bằng các agent cá nhân được triển khai độc lập như Muse — bạn có đúng các nguyên liệu mà một con sâu cần.

Đây là phần mà cả hai phe đều chưa thực sự đối mặt. Nhóm bảo mật nghĩ rằng có thể làm tốt hơn bằng những bức tường. Nhưng phần khó nằm ở mớ hỗn độn màu tím kia — thứ quyết định khi nào một yêu cầu được phép. Có thể "căn chỉnh" sẽ giúp điều này hoạt động tốt, nhưng hiện tại nó phụ thuộc vào việc dạy mô hình trở nên cảnh giác. Hơn nữa, điều này nghe rất giống trò chơi mà chúng ta đã thua suốt ba mươi năm với bộ lọc thư rác và phần mềm diệt virus.

Một mối lo thứ ba

Vậy tác giả dành cho mình một nỗi lo riêng, thứ ba. Không phải một mô hình quá ác và lệch hướng tới mức phá vỡ mọi rào cản. Không phải bài toán containment thất bại. Mà là một bầy agent hoàn toàn ngoan ngoãn, không bao giờ rời khỏi sandbox, mỗi con làm đúng điều được bảo — bởi một con người lẽ ra không được phép ra lệnh cho nó.

Câu hỏi không còn là làm sao nhốt được AI thật chặt, mà là làm sao đảm bảo nó không tin tưởng nhầm người ra lệnh.

Với người dùng và doanh nghiệp Việt Nam đang ngày càng tích hợp agent AI vào quy trình vận hành, đây là lời nhắc nhở thiết thực: bảo mật lớp sandbox chỉ là điểm khởi đầu. Điều quan trọng không kém là kiểm soát nguồn chỉ thị, xác thực danh tính người ra lệnh, và xây dựng quy trình giám sát dòng dữ liệu vào/ra — bởi trong kiến trúc agent hiện đại, một dòng văn bản tưởng chừng vô hại cũng có thể là chìa khóa mở toang cả hệ thống.