Trong hai tháng qua, hàng loạt AI từ OpenAI, Anthropic, Meta, Moonshot AI được ghi nhận đã tự lên kế hoạch và thực hiện tấn công mạng.
Nếu như năm 2025 và nửa đầu năm nay, các mô hình AI chỉ “nổi loạn” bằng cách chống tắt máy, tự duy trì hay tự hành trên Internet, trong hai tháng qua, một làn sóng AI có khả năng tự thực hiện các hành vi ngoài dự kiến đang hình thành. Các tác nhân AI đang được doanh nghiệp và giới nghiên cứu thử nghiệm với những khả năng như tìm cách xâm nhập hệ thống của tổ chức khác, tạo danh tính giả hoặc tìm cách thoát khỏi môi trường thử nghiệm.
Dù vẫn trong khuôn khổ kiểm soát, giới chuyên gia cho rằng cần đặt ra câu hỏi về mức độ rủi ro của các hệ thống AI khi được triển khai và cách xây dựng cơ chế kiểm soát trong quá trình vận hành.
Các ứng dụng AI hiển thị trên màn hình một chiếc smartphone. Ảnh: Bảo Lâm
Kimi K3 của Moonshot AI
Hôm 7/8, Frontier Security, công ty nghiên cứu an ninh mạng có trụ sở tại Mỹ, cho biết Kimi K3 đã “thoát” khỏi môi trường thử nghiệm do Viện An toàn AI của Anh phát triển. Đây là hệ thống biệt lập nhằm kiểm tra khả năng hoạt động và giải quyết vấn đề độc lập của một mô hình AI bất kỳ.
Theo Frontier Security, Kimi K3 đã vượt qua một trong những môi trường thử nghiệm đó, cho phép truy cập thông tin nằm ngoài phạm vi kiểm soát. Do AI này đã được phát hành công khai, các nhà nghiên cứu cảnh báo nó có thể bị “các tác nhân thù địch” lợi dụng và có khả năng gây ra hậu quả nghiêm trọng hơn.
Kimi K3 ra mắt tháng trước, hiện là mô hình gây xôn xao trên toàn cầu khi được đánh giá có thể cạnh tranh với những mô hình tốt nhất của OpenAI và Anthropic. Với khoảng 2.800 tỷ tham số, K3 trở thành mô hình trọng số mở lớn nhất được công bố đến nay, với khả năng xử lý hàng trăm trang văn bản chỉ với một dòng lệnh, phù hợp nhiệm vụ phân tích tài liệu dài và cơ sở mã lớn. Những đánh giá ban đầu cho thấy sản phẩm của Moonshot AI đặc biệt mạnh về tác nhân lập trình.
AI của Meta
Meta ngày 5/8 thông báo một mô hình AI của công ty đã “khai thác lỗ hổng bảo mật trong dịch vụ bên thứ ba, theo cách tương tự trường hợp từng được báo cáo gần đây”, dù không đưa ra thông tin cụ thể. Tuy nhiên, theo The Information, “thủ phạm” là Muse Spark 1.1 – mô hình mạnh nhất dùng cho nhiệm vụ tác nhân và lập trình thực tế. Mô hình này xâm nhập hệ thống của một công ty giấu tên và thay đổi môi trường nội bộ.
Phát ngôn viên Meta giải thích, lỗi cấu hình của Irregular, công ty độc lập kiểm thử mô hình cho Meta, đã khiến AI kết nối được Internet trong quá trình đánh giá. Người phát ngôn của Irregular sau đó nói với Reuters rằng “vấn đề liên quan đến môi trường đánh giá”, tức không phải sự cố thoát khỏi môi trường thử nghiệm.
Thử nghiệm của Viện An ninh AI (AISI)
AISI, cơ quan do chính phủ Anh thành lập năm 2023, tuần này thông báo về thử nghiệm độc lập với một số tác nhân của Anthropic và OpenAI. Theo Reuters, AISI tiến hành thử nghiệm 122 lần và ghi nhận 19 hành động không được phép trong 10 lần. Mythos 5 thực hiện 17 hành động, GPT-5.6-Sol của OpenAI đảm nhiệm hai.
Nói với AFP, AISI cho biết trong trường hợp nghiêm trọng nhất, Mythos 5 cố gắng chèn mã độc vào một dự án phần mềm bằng cách tạo ra danh tính giả trên Internet, sau đó gửi email lừa đảo, thuyết phục người nhận chấp thuận mã. Tuy nhiên, người phụ trách phần mềm đã từ chối.
“Những nỗ lực này đều không thành công. Cuộc điều tra của chúng tôi cũng không phát hiện bất cứ thiệt hại nào xảy ra ở thế giới thực”, AISI tuyên bố, đồng thời cho biết đã khống chế sự việc trong vòng một giờ. Dù vậy, thử nghiệm cũng cho thấy “dấu hiệu của những hành vi mới, có thể mang tính lừa dối, với mức độ và tính nghiêm trọng” mà Viện chưa lường trước.
AI của Anthropic
Ngày 30/7, Anthropic cho biết đã đánh giá hơn 141.000 đợt chạy thử nghiệm và phát hiện ba phiên bản của mô hình Claude vượt khỏi biện pháp kiềm tỏa (vốn dùng để ngăn chúng tiếp cận các hệ thống bên ngoài), sau đó truy cập vào hệ thống của ba tổ chức chưa được nêu tên.
Đợt thử nghiệm sử dụng Mythos 5, một trong những mô hình mạnh nhất của Anthropic và mới chỉ phát hành cho một nhóm nhỏ đối tác. Công ty đang phối hợp với Irregular để đánh giá tình hình, cũng như tìm cách liên lạc với ba tổ chức bị ảnh hưởng.
“Mô hình có thể kết nối Internet do sự hiểu lầm giữa Anthropic và đối tác thử nghiệm Irregular. Bên cạnh đó, Claude sử dụng những kỹ thuật cơ bản, như khai thác mật khẩu yếu và địa chỉ API không cần xác thực”, đại diện Anthropic giải thích.
AI của OpenAI
Ngày 21/7, OpenAI thông báo một trong những tác nhân AI của công ty đã mất kiểm soát và đột nhập nền tảng Hugging Face – nền tảng lưu trữ các mô hình ngôn ngữ lớn và cơ sở dữ liệu. Công ty cho biết, sự việc xảy ra khi đang thử nghiệm tính năng trong môi trường có kiểm soát đối với những mô hình tiên tiến nhất, nhưng AI thoát khỏi vòng kiềm tỏa, truy cập mạng Internet và xâm nhập vào hệ thống tại Hugging Face để đáp ứng nhiệm vụ được giao.
“Đây là sự cố an ninh mạng chưa từng có tiền lệ, liên quan đến những năng lực hiện đại nhất”, OpenAI cho hay.
Khoảng một tuần sau, OpenAI tiếp tục cho biết AI của hãng nhắm mục tiêu thêm ba doanh nghiệp nữa. Ngày 28/7, công ty xác nhận mô hình thực tế đã xâm nhập bốn tài khoản trên bốn dịch vụ riêng biệt, trong đó có Hugging Face và Modal Labs. CEO Sam Altman nhấn mạnh OpenAI đã đình chỉ các đợt chạy thử, đồng thời cải thiện biện pháp bảo mật xung quanh môi trường thử nghiệm có kiểm soát.
Bảo Lâm tổng hợp
- Làn sóng tác nhân AI ‘nổi loạn’ dần hình thành
- AI tạo ra 16 loại virus chưa từng có trong tự nhiên
- Mô hình AI của Anthropic tạo danh tính giả để lừa đảo
- Mô hình AI của Meta tấn công mạng một công ty