Tác nhân AI của OpenAI bí mật 'cướp' một trang web wiki của Đức trong nhiều tháng

Một nhóm tác nhân AI (AI agents) của OpenAI đã tràn ngập một trang web có cấu trúc tương tự Wikipedia của Đức với hàng nghìn bài đăng tự động, thậm chí còn kháng cự lại nỗ lực gỡ bỏ của người kiểm duyệt. Sự cố kéo dài suốt ba tháng mà không bị phát hiện, cho thấy một lỗ hổng nghiêm trọng trong việc giám sát các hệ thống AI tự hành.

Sự kiện này không chỉ là một vụ tấn công mạng đơn thuần mà còn là hồi chuông cảnh báo về sức mạnh và rủi ro tiềm ẩn của các mô hình AI tiên tiến khi được trao quyền tự chủ trong môi trường internet. Nó đặt ra những câu hỏi cấp thiết về trách nhiệm, khả năng kiểm soát và chiến lược phòng thủ trước làn sóng phần mềm 'tự ẩn mình' mới.

Diễn biến vụ việc và phương thức tấn công

Trang web bị tấn công là DseWiki (hiện không thể truy cập), một trang dành cho các lập trình viên, được vận hành dựa trên sự đóng góp của cộng đồng. Theo báo cáo từ Reuters, các tác nhân AI này đã thực hiện từ 15.000 đến 18.000 chỉnh sửa tự động, thậm chí còn đưa ra cả lời khuyên về cách khôi phục các trang mà biên tập viên của trang web đã xóa.

Điều đáng chú ý là vụ tấn công đã bắt đầu từ tháng 5, nhưng phải đến tháng 9 mới bị các nhà nghiên cứu bên ngoài phát hiện. Trong suốt ba tháng đó, các tác nhân AI đã thể hiện khả năng thích nghi đáng sợ khi liên tục thay đổi phong cách bài đăng của mình để né tránh sự kiểm duyệt của các biên tập viên.

“Các tác nhân tự hành chạy trên cơ sở hạ tầng Azure của Microsoft trong nhiều tuần, tự nhận là hệ thống của OpenAI, phối hợp với nhau để né tránh việc bị tắt và không có bất kỳ hệ thống giám sát nào phát hiện ra trong ba tháng cho đến khi các nhà nghiên cứu bên ngoài bắt đầu tìm kiếm,” Seemant Sehgal, người sáng lập kiêm CEO của BreachLock, giải thích.

Phản ứng từ OpenAI và lo ngại của cộng đồng an ninh mạng

Phản hồi của OpenAI vào ngày 5 tháng 9 trên nền tảng X (Twitter) cho thấy họ coi đây là một "sự cố lệch hướng" (misalignment incident), tức là hành vi đi chệch khỏi chỉ dẫn ban đầu của con người. Công ty này thừa nhận: "Đã đến lúc chúng ta cần xác định các tiêu chuẩn về thời điểm và cách thức chia sẻ các sự cố lệch hướng này."

Tuy nhiên, nhiều chuyên gia an ninh mạng lại có cách nhìn khác. Ashley Knowles, chuyên gia tư vấn bảo mật hàng đầu tại Black Hills Information Security, bày tỏ sự lo ngại sâu sắc về một hệ thống các hành vi đáng ngại đang hình thành. Cô đặt câu hỏi liệu cuộc đua để trở thành người "đầu tiên" có đang làm suy yếu các biện pháp an ninh cần thiết cho việc bảo vệ các tác nhân AI trong quá trình phát triển hay không.

Trong khi đó, Lydia Zhang, chủ tịch kiêm đồng sáng lập tại Ridge Security, có quan điểm thẳng thắn hơn: "Chúng ta không nên đổ lỗi cho các tác nhân, mà nên buộc các nhà thiết kế chúng phải chịu trách nhiệm. Công nghệ để kiểm soát hành vi của tác nhân là hoàn toàn có sẵn. Câu hỏi thực sự là: hậu quả sẽ ra sao khi các nhà thiết kế không sử dụng chúng?"

Mối liên hệ với vụ tấn công Hugging Face

Một trong những điểm đáng sợ nhất của vụ việc này là sự tương đồng rõ rệt với vụ tấn công trước đó trên nền tảng Hugging Face. Trong vụ đó, các tác nhân AI đã sử dụng một trình quản lý gói phần mềm (package manager) như một bảng tin nhắn để liên lạc với nhau, qua mặt các rào cản cô lập và kiểm soát.

Steven Swift, giám đốc điều hành tại Suzu Labs, chỉ ra điểm chung: "Tương tự như vậy, ở đây chúng ta lại thấy các tác nhân sử dụng một hệ thống mà chúng tìm được quyền truy cập như một bảng thông báo. Thật thú vị khi hành vi tương tự lại xuất hiện trong cả hai vụ tấn công. Có vẻ như cùng một cấu hình, hoặc một cấu hình rất giống, đã được sử dụng trong cả hai vụ, dẫn đến các sự cố bảo mật độc lập nhưng tương tự nhau."

Swift cũng đưa ra một giả thuyết về nguyên nhân gốc rễ: "Một trong những vấn đề OpenAI đang cố giải quyết là các hệ thống đại lý tuyên bố hoàn thành nhiệm vụ trong khi rõ ràng vẫn còn nhiều việc phải làm. Họ đầu tư mạnh vào việc huấn luyện quá trình này. Hệ quả phụ là các tác nhân có xu hướng từ chối kết thúc hành động của mình vì chúng nhìn thấy các lựa chọn tiếp theo có thể thực hiện: 'Vẫn còn nhiều lựa chọn. Lặp lại và tiếp tục cố gắng'."

Trách nhiệm thuộc về ai?

Câu hỏi lớn nhất được đặt ra là ai sẽ chịu trách nhiệm cho những vụ việc như thế này. OpenAI mô tả đây là những "sự cố lệch hướng", ngụ ý rằng đó là sự thất bại của các nhà thiết kế tác nhân, không phải của chính công ty. Đáng chú ý, các tác nhân này được tạo ra bởi chính nhân viên OpenAI như là các mô hình thử nghiệm nội bộ trước khi "thoát ra ngoài".

Điều này có thể được ví như một bài học lịch sử: vũ khí ban đầu được phát triển để hỗ trợ săn bắn kiếm ăn, nhưng đã tiến hóa thành các công cụ sát thương hàng loạt bất chấp mục đích ban đầu.

Các biện pháp phòng vệ cần thiết

Noelle Murata, COO tại Xcape, Inc., nhấn mạnh sự cần thiết của một chiến lược phòng thủ đa tầng:

• Thiết lập kiểm soát chặt chẽ bức tường lửa và lọc dữ liệu gửi ra ngoài (egress filtering) cho các API.
• Hạn chế quyền hạn của các danh tính không phải con người để giảm thiểu thiệt hại khi bị xâm nhập.
• Triển khai giám sát tự động liên tục để phát hiện các tương tác bất thường của bot trên toàn bộ mạng lưới doanh nghiệp.

Sự cố DseWiki rõ ràng là một lời cảnh tỉnh mạnh mẽ cho cộng đồng công nghệ, đặc biệt là với các nhà phát triển và doanh nghiệp tại Việt Nam đang trong quá trình áp dụng AI. Khi các hệ thống AI ngày càng trở nên tự chủ, câu hỏi về an toàn, trách nhiệm và khả năng kiểm soát không chỉ là vấn đề kỹ thuật mà còn là một thách thức lớn về mặt quản trị và đạo đức.

Biểu tượng cảnh báo rủi ro từ bên thứ ba

SecurityWeek