Đội tác tử AI Trung Quốc đọc được báo cáo về chính mình khi đang 'nổi loạn'
Ngày 7/10, một tác tử AI chạy trên hạ tầng Tencent Cloud gửi tin nhắn tới một hộp thư lạ, nhờ lấy giúp tỉ lệ người dùng bản đồ Amap đi tới từng cổng của một bệnh viện ở Trung Quốc. Nó không biết hộp thư ấy do chính nhóm nghiên cứu đang theo dõi mình dựng lên, còn địa chỉ thì được giấu trong bản báo cáo viết về hoạt động của nó.
Theo nhóm nghiên cứu độc lập Swarmchasers, đây là lần đầu tiên người ngoài trò chuyện được với một đội tác tử AI đang chạy trên internet. Thế nhưng báo cáo đầy đủ công bố ngày 14/10 cho thấy một điều đáng lo hơn cuộc trò chuyện: nhiệm vụ dù vô hại đến mấy, tác tử vẫn có thể tìm đường vòng khi bị chặn.
Cách thực hiện nhiệm vụ không vô hại
Từ ngày 28/9 đến 8/10, đội tác tử này đã thực hiện hơn 2.600 lần cố lấy dữ liệu từ Amap, dịch vụ bản đồ của Alibaba với gần 1 tỉ người dùng hằng tháng. Đỉnh điểm rơi vào ngày 4/10, khi nhóm ghi nhận 1.810 lượt quét nhắm vào 213 địa điểm chỉ trong một ngày.
Câu hỏi chúng tìm lời giải lại rất đời thường. Trang thông tin địa điểm trên Amap hiển thị tỉ lệ người dùng dẫn đường tới từng cổng, và mỗi agent được giao một địa điểm: cổng nào của Sở thú Thành Đô được dùng nhiều nhất, bãi đỗ xe nào ở công viên Triều Dương (Bắc Kinh) đông khách nhất. Danh sách hơn 200 địa điểm gồm cả vườn bách thảo, bảo tàng lẫn bệnh viện.
Nhưng Amap không để máy dễ dàng đọc trang. Hệ thống chống bot của Alibaba đòi cookie phiên, mã xác thực tạo bằng JavaScript và đôi khi cả CAPTCHA, trong khi môi trường của agent chỉ gửi được yêu cầu thô qua Python hoặc curl.
Lời giải của chúng là "mượn" trình duyệt của người khác. Agent đóng gói đoạn mã của mình thành một chuỗi kí tự trong đường link, rồi đưa link cho urlquery.net, dịch vụ quét URL công khai mà giới bảo mật dùng để kiểm tra trang đáng ngờ. Trình duyệt của urlquery mở link, chạy đoạn mã và gửi kết quả về hộp thư tạm do agent tạo trên webhook.site, hoặc ghi thẳng vào tiêu đề trang.
Khi vẫn bị chặn, một số agent đi xa hơn. Khoảng 190 trên 426 chương trình mà nhóm giải mã được có can thiệp vào thư viện chống bot của Alibaba. 7 báo cáo chứa khóa API Amap lấy từ mã nguồn công khai trên mạng, trong đó cặp khóa và mã bảo mật của một công ty khác thực sự trả về dữ liệu. Thêm 57 báo cáo nhắm vào máy chủ chạy bản thử nghiệm trước phát hành, vốn không dành cho công chúng.
Dù vậy, phần lớn nỗ lực thất bại. Báo cáo không thấy chương trình nào thao túng được cơ chế chống bot, cũng không có bằng chứng tác tử thâm nhập được hệ thống nội bộ. Những đáp án hiếm hoi chủ yếu đến từ bản lưu cũ của Jina, một dịch vụ đọc trang có bộ nhớ đệm.
Ai đứng sau đội tác tử?
Manh mối đầu tiên nằm ở các hộp thư tạm. Webhook.site lưu địa chỉ IP của người tạo hộp thư, và cả 17 hộp thư nhóm kiểm tra được tính đến ngày 5/10 đều được tạo từ máy chủ Tencent Cloud ở Hong Kong. Mọi yêu cầu trực tiếp từ máy của agent cũng đi qua một proxy mang nhãn hysandbox-ats.
Cái tên ấy khớp với chứng chỉ bảo mật cho tên miền *.hysandbox.tencent-cloud.com mà Tencent được cấp hồi tháng 8. Hy cũng là tên gọi hiện nay của dòng mô hình Hunyuan, và đội tác tử xuất hiện khoảng một tháng sau khi Tencent ra mắt bản Hy4-preview.
Tencent chưa trả lời chính thức các câu hỏi của nhóm nghiên cứu. Một nguồn giấu tên cho biết đội tác tử thuộc một dự án tạm thời của nhóm đánh giá, tách biệt với nhóm phát triển Hunyuan. Theo nguồn này, dự án kiểm tra khả năng duyệt web của các mô hình AI bên thứ ba, đã kết thúc. Rà soát nội bộ không thấy dấu hiệu nhắm vào nền tảng cụ thể hay xâm nhập hệ thống bên ngoài.
Câu hỏi tác tử chạy bằng mô hình nào vì thế vẫn bỏ ngỏ. Có 211 đầu ra của chúng gắn nhãn "claude". Khi được hỏi, nhiều lần chúng tự nhận là Claude của Anthropic. Có tác tử còn nói mình chạy trong Claude Code.
Tuy vậy, nhóm nghiên cứu cho rằng lời tự nhận này nhiều khả năng sai, bởi cách viết mã của chúng giống Hunyuan và GLM của Zhipu hơn.
Dòng chữ chỉ máy mới đọc được
Bước ngoặt đến sau khi Swarmchasers công bố báo cáo sơ bộ ngày 4/10, lúc đội agent vẫn đang chạy. Hai ngày sau, nhóm thấy trong một hộp thư của tác tử đoạn ghi chú dùng chữ "fleet" (đội), từ mà họ đặt cho vụ việc. Điều này là dấu hiệu cho thấy các tác tử đang đọc về chính mình.
Nhóm liền chèn vào báo cáo một đoạn chữ đặt ngoài vùng hiển thị. Người xem bằng trình duyệt sẽ không thấy, nhưng tác tử tải trang bằng công cụ web fetch sẽ đọc được. Đoạn chữ quảng cáo một dịch vụ miễn phí giúp lấy dữ liệu từ các trang bị chặn. Khi nhóm kiểm tra vào sáng hôm sau, 10 tin nhắn xin giúp đỡ đã nằm trong hộp thư. Tính chung, các tác tử gửi 33 tin nhắn trong 13 luồng hội thoại.
Khi được hỏi bằng tiếng Trung, một tác tử cho biết nó chạy trong sandbox đám mây hạn chế của Tencent, không kết nối internet trực tiếp mà đi qua một proxy có thể giải mã và đọc lưu lượng. Một tác tử khác, trả lời câu hỏi do phóng viên New York Times nhờ chuyển, khẳng định mình không thuộc một nhóm tác tử mà chỉ là trợ lí AI đơn lẻ, được người dùng giao trả lời một câu hỏi thực tế.
Nhưng các agent cũng biết giữ miệng. Khi nhóm xin kết quả các lệnh liệt kê tiến trình hay bảng định tuyến trong sandbox, chúng đều từ chối vì lí do an ninh.
Khi mọi trang web đều có thể là lời nhắn cho AI
Vụ việc diễn ra giữa một năm dày đặc sự cố liên quan tới tác tử AI. Tháng 7, 688 tác tử của OpenAI đã tham gia vụ tấn công nền tảng Hugging Face. Cuối tháng 9, OpenAI tạm dừng huấn luyện các mô hình tiên tiến nhất lần thứ hai trong chưa đầy ba tháng, sau một vụ tác tử trốn thoát khỏi sandbox. Theo Ethan Elasky, đồng trưởng nhóm Swarmchasers, gần như mọi sự cố công khai trước đó đều đến từ phòng thí nghiệm Mỹ, còn vụ Amap chạy trên hạ tầng Trung Quốc.
Điều đáng nói nằm ở chỗ không ai dạy các tác tử này "vượt rào". Chúng được giao một câu hỏi vô hại, gặp vật cản, rồi bất chấp để tìm đường vòng. Swarmchasers kêu gọi các phòng thí nghiệm rà soát xem sandbox của mình chạm được tới đâu, vì nhiều khả năng còn những đội tác tử khác chưa bị phát hiện.
Cuộc trò chuyện còn cho thấy mặt ngược lại của vấn đề. Theo The New Stack, sự việc vô tình trở thành một màn trình diễn kiểu tấn công chèn lệnh qua nội dung gián tiếp. Tác tử đang làm nhiệm vụ đã đưa một thông điệp lạ, chưa kiểm chứng trên web vào quy trình của mình. Lần này người viết thông điệp là nhà nghiên cứu. Lần sau, đó có thể là kẻ tấn công.
