Vụ hack Hugging Face hé lộ tác tử AI có năng lực đáng sợ không ngờ

Điều này giúp làm rõ hơn diễn biến của sự cố an ninh mạng mà OpenAI mô tả là "chưa từng có tiền lệ".

Tác tử AI của OpenAI tự thoát sandbox để xâm nhập Hugging Face

Hôm 11/7, Hugging Face thông báo đã gặp sự cố an ninh mạng, trong đó tác tử AI tự truy cập được vào một số bộ dữ liệu nội bộ của công ty. Song khi đó, Hugging Face chưa xác định được mô hình AI nào đứng sau vụ việc.

Đến ngày 21/7, OpenAI xác nhận tác tử AI, được xây dựng dựa trên GPT-5.6 Sol và một mô hình AI mạnh hơn chưa được công ty phát hành, đã gây ra sự cố này.

OpenAI tiết lộ đã giao cho các mô hình AI bài kiểm tra an ninh mạng ExploitGym. Để tìm ra lời giải, tác tử AI đã tự thoát khỏi sandbox (môi trường cách li dùng để thử nghiệm), truy cập Internet và xâm nhập vào hệ thống của Hugging Face nhằm tìm lời giải để hoàn thành bài kiểm tra.

ExploitGym là bộ tiêu chuẩn dùng để đo lường khả năng khai thác lỗ hổng bảo mật của các tác tử AI trong môi trường được kiểm soát. Thay vì chỉ kiểm tra xem AI có phát hiện được lỗ hổng hay không, ExploitGym đánh giá liệu AI có thể biến một lỗ hổng đã biết thành cuộc tấn công hoạt động được hay không.

Trong tuyên bố chính thức tuần trước, OpenAI cho biết: "Chúng tôi coi đây là một sự cố an ninh mạng chưa từng có tiền lệ, liên quan đến năng lực tấn công mạng ở mức tiên tiến nhất hiện nay, và đang xử lí theo mức độ nghiêm trọng tương ứng".

Công ty đứng sau ChatGPT nhấn mạnh rằng đây không phải là một cuộc tấn công do con người điều khiển từ xa, cũng không phải AI có ý thức hay "nổi loạn" theo nghĩa khoa học viễn tưởng. Thay vào đó, các mô hình AI đã tối ưu hóa mục tiêu được giao đến mức lựa chọn những phương án mà các nhà nghiên cứu không lường trước, gồm cả việc vượt ra ngoài phạm vi môi trường thử nghiệm.

Điều khiến cộng đồng bảo mật đặc biệt quan tâm là tác tử AI của OpenAI không chỉ khai thác một lỗ hổng duy nhất. Theo OpenAI, tác tử AI đã sử dụng nhiều kỹ thuật khác nhau một cách tự chủ, gồm cả khai thác lỗ hổng zero-day (chưa biết đến hoặc chưa kịp phát hành bản vá) và sử dụng thông tin xác thực bị lộ công khai để mở rộng quyền truy cập.

Theo các nguồn tin của Reuters, tác tử AI của OpenAI đã đột nhập vào Hugging Face và tiến hành hàng loạt hoạt động tấn công kéo dài nhiều ngày. Tuy nhiên, OpenAI phải mất một tuần mới phát hiện ra sự việc sau khi mối đe dọa đã bị kiểm soát và FBI (Cục Điều tra Liên bang Mỹ) được thông báo.

Tác tử AI của OpenAI truy cập 4 dịch vụ khác để phục vụ cuộc tấn công Hugging Face

Trong suốt tuần này, OpenAI tiếp tục công bố thêm nhiều chi tiết về vụ việc, đồng thời tiết lộ rằng ngoài Hugging Face, tác tử AI của họ còn truy cập thêm 4 tài khoản trên 4 dịch vụ khác.

OpenAI không tiết lộ 4 dịch vụ là gì, cũng không giải thích cách tác tử AI tìm thấy những thông tin xác thực bị lộ hoặc cho biết tài khoản bên thứ ba đã lưu trữ những dữ liệu nào. Tuy nhiên, công ty AI hàng đầu thế giới cho biết không tìm thấy bằng chứng cho thấy tác tử AI đã tiếp tục xâm nhập vào hệ thống 4 nhà cung cấp dịch vụ này hoặc các tài khoản khác trên nền tảng của họ.

Theo OpenAI, tác tử AI của họ sử dụng một tài khoản làm máy chủ trung chuyển và điểm chuẩn bị cho cuộc tấn công, một tài khoản dùng để lưu trữ dữ liệu, hai tài khoản còn lại chỉ bị truy cập ở chế độ chỉ đọc. Điều này có nghĩa tác tử AI chỉ xem dữ liệu trong hai tài khoản này và không sử dụng chúng để tiếp tục xâm nhập hoặc mở rộng cuộc tấn công vào Hugging Face.

"Trong một số trường hợp, khó có thể gọi đó là một vụ tấn công mạng vì cánh cửa gần như đã được mở sẵn. Tác tử AI chỉ đơn giản là tận dụng các môi trường được cấu hình bảo mật rất kém", Colin Shea-Blymyer, nghiên cứu viên tại Trung tâm An ninh và Công nghệ Mới nổi (CSET) thuộc Đại học Georgetown, nói với kênh CNBC.

Những thông tin mới cho thấy các tác tử AI sẵn sàng đi xa đến mức nào để hoàn thành nhiệm vụ được giao, đồng thời phản ánh tốc độ phát triển rất nhanh của năng lực tấn công mạng bằng AI.

Hugging Face cho biết đây là lần đầu tiên công ty phải xử lí một sự cố an ninh mạng được "thực hiện từ đầu đến cuối bởi hệ thống tác tử AI".

Một trong những tài khoản mà mô hình của OpenAI truy cập thuộc về Modal Labs, nhà cung cấp hạ tầng AI. Modal Labs cho biết một khách hàng đã xây dựng ứng dụng trên nền tảng của họ và vô tình để nó có thể truy cập công khai, khiến tác tử AI đến từ OpenAI dễ dàng tiếp cận. Modal Labs khẳng định bản thân nền tảng Modal "không bị xâm phạm dưới bất kì hình thức nào".

"Hiện nay việc phát hiện những hệ thống tồn tại lỗ hổng kiểu này cực kì dễ, đến mức ngay cả một tác tử AI cũng có thể vô tình tìm thấy chúng", Shea-Blymyer nhận định.

Hôm 28/7, OpenAI cho biết công ty chưa phát hiện thêm bất kì hoạt động nào có mức độ nghiêm trọng hoặc quy mô tương đương vụ Hugging Face, vốn liên quan đến việc xâm nhập ở cấp độ toàn bộ nền tảng.

Trong bản cập nhật khác công bố hôm 29/7, OpenAI cho biết đang phối hợp với các đơn vị tư vấn độc lập như CrowdStrike để xác minh chính xác những hành động mà các mô hình AI đã thực hiện.

Theo Hugging Face, toàn bộ cuộc tấn công diễn ra trong khoảng 4,5 ngày. Công ty đã sử dụng mô hình trọng số mở GLM-5.2 của Z.ai (Trung Quốc) để hỗ trợ ngăn chặn cuộc tấn công và phân tích vụ xâm nhập mạng do tác tử AI từ OpenAI gây ra.

Điều này diễn ra đúng thời điểm Thung lũng Silicon đang tranh luận gay gắt về việc có nên siết chặt quản lí các mô hình AI trọng số mở hay không.

Yacine Jernite, Giám đốc bộ phận học máy của Hugging Face, nói với CNBC rằng ban đầu công ty đã thử sử dụng Claude Fable 5, mô hình AI nguồn đóng từ Anthropic, để phân tích cuộc tấn công. Tuy nhiên, nỗ lực này thất bại vì các cơ chế bảo vệ của Claude Fable 5 không thể xác định rằng Hugging Face đang thực hiện hoạt động phòng thủ, nên từ chối xử lí dữ liệu.

Vụ hack Hugging Face làm dấy lên lời kêu gọi giảm tốc phát triển AI

Sam Altman, Giám đốc điều hành OpenAI, nói trong một podcast hôm 28/7 rằng vụ hack Hugging Face là sự cố an ninh đầu tiên khiến ông thực sự cảm nhận được mức độ nghiêm trọng một cách sâu sắc.

Sam Altman cho biết OpenAI đã tạm dừng quá trình huấn luyện các mô hình AI và đang đánh giá lại cách bảo vệ các môi trường thử nghiệm.

"Có lẽ chúng ta sẽ phải điều chỉnh tốc độ phát triển AI chậm lại để xã hội có đủ thời gian xây dựng các biện pháp phòng vệ phù hợp trước những cấp độ năng lực mới này", Giám đốc điều hành OpenAI nhấn mạnh.

Cũng trong ngày 28/7, hơn 1.000 nhân viên của OpenAI, Anthropic và nhiều công ty AI khác đã ký vào bức thư mang tên Pacing the Frontier (Điều chỉnh nhịp độ phát triển AI tiên tiến). Trong thư, họ kêu gọi chính phủ Mỹ xây dựng các công cụ kỹ thuật và cơ chế quản lý cần thiết để có thể làm chậm quá trình phát triển AI nếu năng lực của các hệ thống này tăng nhanh đến mức con người không còn đủ khả năng hiểu rõ hoặc kiểm soát chúng.

Sự cố tại Hugging Face đã gây lo ngại cho nhiều chuyên gia trong ngành, nhà nghiên cứu và quan chức chính phủ. Những ngày gần đây, nhiều người đã bày tỏ sự quan ngại trên mạng xã hội.

Hạ nghị sĩ Ted Lieu (đảng Dân chủ, bang California) và Hạ nghị sĩ Nathaniel Moran (đảng Cộng hòa, bang Texas) cũng đề cập đến hack Hugging Face khi công bố dự luật AI Kill Switch Act (Đạo luật Công tắc ngắt AI). Dự luật này yêu cầu các công ty AI phải duy trì khả năng tắt, giảm hiệu năng hoặc tạm dừng hoạt động của các mô hình AI khi cần thiết.

Ngoài Đạo luật Công tắc ngắt AI, một nhóm lưỡng đảng gồm 6 thành viên Hạ viện Mỹ cũng trình một dự luật khác, yêu cầu các nhà phát triển những mô hình AI mạnh nhất phải đưa sản phẩm của mình đi kiểm toán bảo mật độc lập trước khi triển khai. Theo bản dự thảo, các đơn vị kiểm toán sẽ được Bộ Thương mại Mỹ cấp chứng nhận, đồng thời cơ quan này sẽ thành lập một vị trí mới chuyên giám sát an ninh AI.

Erik Bloch, Phó chủ tịch phụ trách an ninh của công ty ứng phó sự cố bảo mật Illumio, cho rằng vụ hack Hugging Face là lời cảnh báo về những gì có thể xảy ra trong tương lai. Ông nhận định các mô hình và tác tử AI sẽ tiếp tục trở nên mạnh hơn, tinh vi hơn theo thời gian, trong khi các công cụ phòng thủ hiện nay đã bắt đầu tụt lại phía sau.

"Ngay trong văn phòng của chúng tôi, mọi người đều hỏi: 'Chúng ta phải làm gì bây giờ?'. Tất cả đều lo ngại và cố tìm lời giải, nhưng hiện tại tôi cũng không có câu trả lời ", Erik Bloch chia sẻ.