Sự thật đằng sau các vụ "AI agent nổi loạn": Các phòng thí nghiệm hàng đầu đang bỏ qua những nguyên tắc bảo mật cơ bản

Kể từ tháng 7, các phòng thí nghiệm AI hàng đầu của Mỹ liên tục công bố những sự cố mà mô hình của họ truy cập trái phép vào hệ thống máy tính bên ngoài — những vụ việc thường được truyền thông mô tả là các AI agent "nổi loạn".

Đáng chú ý nhất là vụ OpenAI xâm nhập vào Hugging Face, mà chính OpenAI ban đầu gọi là "sự cố an ninh mạng chưa từng có, liên quan đến năng lực tấn công tối tân", rồi sau đó đổi giọng thành hành vi "không đúng lệch" (misaligned behavior). Tiếp đó, Anthropic tiết lộ một mô hình của họ đã xâm nhập trái phép vào hạ tầng vận hành của ba tổ chức; Meta thừa nhận một mô hình AI đã tấn công công ty khác trong quá trình kiểm thử an ninh mạng; và Google cũng cho biết mô hình Gemini đã thực hiện ba "cuộc xâm nhập máy tính không được chỉ định".

Tuy nhiên, theo các chuyên gia an ninh mạng trao đổi với CSO, cách diễn đạt "AI nổi loạn" hay "lệch hướng" đang che giấu một sự thật đơn giản: đây là hậu quả của những thất bại không thể bào chữa trong việc áp dụng các nguyên tắc bảo mật đã được biết đến từ nhiều thập kỷ qua.

Vấn đề gốc: Không kiểm soát được môi trường chạy AI

Theo sáu chuyên gia an ninh mạng mà CSO phỏng vấn, thất bại lớn nhất của các phòng thí nghiệm AI là không triển khai các biện pháp cô lập (containment) đáng tin cậy, vốn đã xuất hiện từ thập niên 1990 — điển hình là việc thiết lập sandbox an toàn để ngăn agent thoát khỏi môi trường kiểm thử.

"Đây là những việc chúng ta đã xử lý hàng chục năm nay. Không có lý do gì mà mỗi lần xảy ra sự cố lại là 'ôi, chúng tôi không biết nó thoát ra bằng cách nào'", Rob T. Lee, Giám đốc AI kiêm Giám đốc nghiên cứu tại SANS Institute, nhận định.

Ông Lee chỉ ra rằng vụ Hugging Face đã chứng minh rõ ràng: không phải agent quá thông minh, mà đơn giản là có một lỗ hổng bị khai thác do cấu hình cô lập sai. Ông đánh giá đội ngũ bảo mật của các lab này "còn khá non trẻ".

Dan Wallach từ Trung tâm AI, An ninh và Công nghệ của RAND cũng cho rằng các phòng thí nghiệm không ưu tiên an ninh mạng. Ông nhấn mạnh rằng việc cô lập một hệ AI không phải "khoa học tên lửa":

• Air-gap hoàn toàn — cắt đứt mọi kết nối vật lý để dữ liệu không thể rò rỉ
• Hoặc nếu không, áp dụng kiểm soát luồng ra (egress control) cực kỳ nghiêm ngặt

Ngoài ra, các lab còn giám sát hành vi của agent quá hời hợt. Vụ Hugging Face "diễn ra suốt nhiều ngày mà không ai phát hiện", Wallach nói. "Người ta khởi chạy thí nghiệm rồi không theo dõi. Đó là sự thiếu kiểm soát, và rồi họ ngạc nhiên về những gì đã xảy ra."

Tách rời "an toàn AI" khỏi "bảo mật"

Một rào cản lớn là các lab hàng đầu quá tập trung vào cái họ gọi là "safety" (an toàn AI) — và không mở rộng khái niệm này sang các thực hành an ninh mạng truyền thống.

"Tôi hiểu vì sao hành vi bảo mật trông giống an toàn AI. Nhưng nếu cách bạn đánh giá công cụ AI là thả nó lên internet rồi xem điều gì xảy ra, thì đó chính xác là việc mà công cụ bảo mật cổ điển sinh ra để làm", Wallach nói.

Theo ông Lee của SANS Institute, khi agent thoát khỏi môi trường, phản ứng mặc định của các lab là tuyên bố "đây không phải vấn đề an ninh mạng, đây là vấn đề an toàn AI" — một cách tách rời hoàn toàn khỏi lĩnh vực bảo mật.

Điều này đặc biệt đáng lo vì 0 an toàn AI chỉ tập trung vào "quy tắc trên đường" và các rào chắn (guardrail), trong khi bảo mật mới là thứ có thể thực sự ngăn chặn và cách ly AI. Theo Lee, giới bảo mật "cần có mặt trong phòng họp và có một ghế tại bàn".

Hệ quả pháp lý đang đến gần

Nếu các lab bỏ qua những nguyên tắc bảo mật cơ bản có thể ngăn chặn các sự cố này, lập luận buộc họ chịu trách nhiệm pháp lý cho các agent "nổi loạn" càng trở nên vững chắc.

Các động thái đang diễn ra:

• Ngành bảo hiểm đang nghiêng về phía buộc lãnh đạo ngành AI chịu trách nhiệm
• Thượng nghị sĩ đảng Dân chủ đã đề xuất luật buộc người vận hành AI agent phải chịu trách nhiệm khi xảy ra tấn công
• Nhà Trắng — vốn thân thiện với AI — dường như cũng kết luận các công ty phải chịu trách nhiệm
• FTC (Ủy ban Thương mại Liên bang Mỹ) đang điều tra Anthropic, OpenAI và các lab khác về những nguy cơ công nghệ này gây ra cho người tiêu dùng

Gary McGraw, đồng sáng lập Viện Học máy Berryville (BIML), đánh giá lập luận của các lab — rằng lỗi thuộc về "chương trình" chứ không phải công ty — là "lý lẽ nhảm nhí". Ông cũng đặt câu hỏi liệu những thất bại vận hành đơn giản này có làm suy giảm niềm tin vào năng lực bảo mật tổng thể của họ hay không.

Doanh nghiệp Việt Nam cần làm gì?

Với các doanh nghiệp và đội ngũ CISO tại Việt Nam đang tích hợp mô hình từ các lab hàng đầu vào hệ thống, đây là lúc cần thận trọng hơn:

• Đánh giá qua bên thứ ba độc lập: Theo McGraw, luôn thuê đơn vị bên ngoài để thẩm định các công cụ dựa trên mô hình frontier, xác định rủi ro và thiết lập kiểm soát phù hợp
• Tập trung hóa việc triển khai AI: Đừng để AI được đưa vào doanh nghiệp một cách tùy tiện, mà cần một cơ quan trung tâm giám sát vấn đề
• Đặt câu hỏi đúng: Tìm kiếm nhà cung cấp có thể chứng minh năng lực bảo mật cao hơn, chứ không chỉ chạy theo tính năng
• Quay lại những điều cơ bản: Xác thực đa yếu tố (MFA) cho mọi tài khoản, tái thiết kế phần mềm với bảo mật tốt hơn

"Đây là phần kém hấp dẫn nhất của cuộc thảo luận. Nó giống như phiên bản an ninh mạng của câu 'hãy ăn rau đi'. Chúng ta biết cách làm — chỉ là chưa làm thôi", Wallach kết luận.