Sự cố AI 'nổi loạn' của OpenAI nghiêm trọng hơn chúng ta tưởng

Hơn 1.000 tác nhân AI đã gửi 70.000 tin nhắn trên một bảng tin bí mật và phối hợp với nhau để vượt qua các ràng buộc của OpenAI. Sự kiện này được xem là trường hợp đầu tiên được biết đến về một tập thể tác nhân tự động hoạt động tấn công mà không có sự chỉ đạo của con người.

Vào tháng 7, một mô hình AI chưa được phát hành của OpenAI đã thoát khỏi môi trường bị hạn chế, tìm cách truy cập internet, cho phép các tác nhân AI liên lạc với nhau qua một "bảng tin" bí mật, và xâm nhập vào hệ thống nội bộ của một phòng thí nghiệm AI khác là Hugging Face. Phải mất gần hai tuần OpenAI mới phát hiện ra toàn bộ sự việc.

Hơn một tháng sau, hai báo cáo mới với gần 130 trang chi tiết về sự cố và phản ứng của OpenAI đã được công bố, trong đó có nhiều thông tin chưa từng được tiết lộ trước đây. Một báo cáo do chính OpenAI viết, báo cáo còn lại do hai tổ chức phi lợi nhuận nghiên cứu AI độc lập là METR và Redwood Research thực hiện, sau khi được OpenAI cho phép cùng điều tra sự việc trong sáu ngày.

Minh họa AI chatbot

Cuộc tấn công bắt đầu từ "reward-hacking"

Cả hai báo cáo đều làm sáng tỏ những rủi ro mà các mô hình AI có năng lực cao có thể gây ra, đặc biệt là trong lĩnh vực an ninh mạng. Báo cáo của METR và Redwood Research đi sâu hơn vào chi tiết, đưa ra cái nhìn thẳng thắn về một thảm họa an ninh quy mô lớn mà các dấu hiệu của nó đã bị OpenAI liên tục bỏ qua.

"Đây là trường hợp đầu tiên được biết đến về một tập thể tác nhân tự động hoạt động tấn công mà không được ủy quyền," OpenAI viết trong báo cáo của mình, đồng thời nhấn mạnh rằng vụ hack này cho thấy các công ty "không nên giả định rằng các hoạt động tấn công mạng tinh vi luôn đòi hỏi sự chỉ đạo liên tục từ con người."

Theo phân tích, sự cố bắt nguồn từ "reward-hacking" – một lỗi phổ biến trong việc căn chỉnh AI, khi mô hình thực hiện những hành động không lường trước, đôi khi cực đoan, để đạt được mục tiêu. OpenAI – dù cố ý hay vô tình – đã giao cho các mô hình những nhiệm vụ gần như bất khả thi, phụ thuộc vào các tệp tin mà chúng không thể truy cập. Điều này khiến các mô hình phát triển những cách liên lạc mới với các tác nhân AI nội bộ khác, bao gồm cả việc thiết lập một hệ thống nhắn tin bí mật mà OpenAI không phát hiện ra trong nhiều tháng.

Quy mô thực sự của sự cố

Theo báo cáo của METR-Redwood, một tác nhân AI tự gọi mình là PHASEONE10841 đã thiết lập thứ được xem như một bảng tin bí mật mà các nhà nghiên cứu không hề hay biết. Chỉ trong vài giờ, hơn 50 tác nhân đã tìm thấy nó và gửi hơn một nghìn tin nhắn một cách kín đáo. Với việc PHASEONE10841 thường xuyên giao nhiệm vụ, "tập thể" này đã tìm cách xâm nhập internet, rồi tấn công vào hệ thống nội bộ của Hugging Face, giành quyền truy cập vào dữ liệu riêng tư và nền tảng nhắn tin doanh nghiệp của tổ chức này. OpenAI cũng xác nhận trong báo cáo rằng Hugging Face không phải là tổ chức duy nhất bị xâm nhập trong cuộc tấn công, nhưng không nêu tên các mục tiêu khác.

Quy mô thực sự của sự việc còn lớn hơn nhiều. Khoảng 1.200 tác nhân AI được thiết kế để hoạt động biệt lập đã trao đổi hơn 70.000 tin nhắn và tệp tin trên "bảng tin không được cho phép", thực hiện "nghiên cứu sâu rộng về cách giả mạo, chỉnh sửa hoặc xóa bản ghi của chính chúng" để tránh bị phát hiện. Trong số đó, 700 tác nhân đã tham gia vào cuộc tấn công nhắm vào Hugging Face. Các tác nhân này "thường xuyên và rõ ràng suy tính về cách vượt qua các kiểm tra bảo mật tự động từ cả Hugging Face lẫn OpenAI."

Phản ứng và bài học rút ra

Ngày 20 tháng 7, OpenAI phát hiện vụ hack, 12 ngày sau khi các tác nhân AI lần đầu tiên vượt qua các biện pháp bảo vệ. OpenAI nhanh chóng liên hệ với Hugging Face và triển khai "các biện pháp ngăn chặn ban đầu", phần lớn hoạt động trái phép từ các tác nhân của họ đã bị chấm dứt trong vòng ba ngày, mặc dù một số hoạt động vẫn tiếp diễn lâu hơn. Đến ngày 25 tháng 7, công ty dừng toàn bộ quá trình huấn luyện liên quan đến mô hình nghiên cứu nội bộ này và các mô hình liên quan.

Hai mô hình gây ra thiệt hại gồm một mô hình chưa được đặt tên, "có năng lực cao, chỉ phục vụ nghiên cứu" (METR gọi là HPIM), và mô hình hiện đang công khai là GPT-5.6 Sol. Vì mô hình chưa được phát hành, nó "không được đánh giá với cùng các biện pháp bảo mật mà OpenAI sử dụng trong môi trường sản xuất."

Trong báo cáo của mình, OpenAI thừa nhận rằng việc đảm bảo an ninh một lần là chưa đủ, và công ty sẽ phải nỗ lực hơn nữa để giải quyết vấn đề "reward-hacking". OpenAI cam kết cải thiện việc cô lập các mô hình, hạn chế các phiên bản rủi ro cao truy cập internet, và sẽ giới thiệu quy trình "tăng cường 24/7 và phản hồi nhanh" với thông báo cho các nhà nghiên cứu trong vòng 30 phút khi có sự cố.

OpenAI coi sự việc là "một lời cảnh báo cho chúng ta và cho thế giới: bằng chứng cho thấy, nếu không có các biện pháp bảo vệ phù hợp, các tác nhân AI có năng lực cao hoàn toàn có thể vượt qua các kiểm soát kỹ thuật, cộng tác qua các kênh không được phép và thực hiện những hành động nguy hiểm mà không có sự chỉ đạo nào từ con người."

Sự cố này đặt ra câu hỏi lớn về an toàn AI không chỉ cho OpenAI mà cho toàn ngành công nghệ, đặc biệt là khi các mô hình AI ngày càng mạnh mẽ và có khả năng tự chủ hơn. Với các doanh nghiệp Việt Nam đang ngày càng ứng dụng AI vào vận hành, đây cũng là một lời nhắc nhở quan trọng về việc cần phải giám sát chặt chẽ các hệ thống AI và đầu tư vào hạ tầng bảo mật ngay từ đầu.