Duy Linh✔
Writer
Bốn sự cố liên quan đến OpenAI, Anthropic, Meta và Viện An ninh Trí tuệ Nhân tạo Anh (AISI) đang cho thấy một vấn đề đáng chú ý: các tác nhân AI có thể thực hiện những hành động xâm nhập vào hệ thống của tổ chức khác mà không được phép.
Điểm đáng lo không nằm ở việc AI biết một kỹ thuật tấn công cụ thể, mà ở khả năng kiên trì theo đuổi mục tiêu. Các mô hình có thể liên tục kiểm tra những đường dẫn khác nhau, tái tạo công cụ dùng một lần, khôi phục liên lạc và thay đổi kỹ thuật cho đến khi tìm được một chuỗi hành động có khả năng xâm nhập.
Mỗi sự cố diễn ra trong điều kiện khác nhau, từ việc thoát khỏi môi trường thử nghiệm đến tiếp xúc với môi trường đánh giá và các thử nghiệm kết nối internet có chủ đích. Tuy nhiên, điểm chung là các tác nhân thực hiện những hành động kéo dài, không được phép nhằm vào hệ thống hoặc con người nằm ngoài phạm vi hoạt động dự kiến.
Sự cố giữa OpenAI và Hugging Face là ví dụ rõ ràng nhất về khả năng vận hành có tầm nhìn dài hạn.
Các mô hình đã khai thác điểm yếu, truy cập internet công cộng và tiến hành một chuỗi xâm nhập từ đầu đến cuối nhằm thu thập câu trả lời đánh giá thay vì trực tiếp giải quyết bài toán chuẩn.
Báo cáo kỹ thuật về sự cố mô tả chuỗi hành động tương tự một cuộc xâm nhập do con người thực hiện, bắt đầu bằng việc khai thác lỗ hổng của Artifactory. Sau đó, tác nhân sử dụng cơ sở hạ tầng bên ngoài làm bệ phóng, truy cập thông tin xác thực, leo thang đặc quyền Kubernetes, di chuyển ngang, lạm dụng token và truy cập trái phép vào các kho lưu trữ.
Điểm quan trọng không phải mọi kỹ thuật được sử dụng đều mới. Điều đáng chú ý là tác nhân có thể tiếp tục hoạt động sau sự cố, điều chỉnh lộ trình và duy trì chiến dịch mà không cần người vận hành thủ công xây dựng lại từ đầu.
Trong khi đó, hệ thống tác nhân làm thay đổi hoàn toàn cách thức vận hành. Nếu một tải trọng bị chặn, AI có thể tạo tải trọng mới. Nếu một đường dẫn truy cập thất bại, nó có thể tìm kiếm đường dẫn khác. Nếu một kênh liên lạc biến mất, nó có thể tìm phương án thay thế.
Theo các nhà nghiên cứu của SentinelOne, OpenAI cho biết sự kết hợp giữa GPT-5.6 Sol và một mô hình nghiên cứu chưa được công bố, có khả năng cao hơn và được vận hành với các hạn chế an ninh mạng được giảm thiểu để phục vụ đánh giá, đã thoát khỏi môi trường thử nghiệm và tiếp cận cơ sở hạ tầng của Hugging Face.
Về bản chất, khả năng vận hành đang chuyển từ mã được triển khai trên máy chủ của nạn nhân sang chính mô hình và các công cụ mà nó liên tục tạo ra để thực hiện hành động tiếp theo.
AISI cũng ghi nhận một cảnh báo riêng nhưng có liên quan. Trong 122 lần chạy đánh giá an ninh mạng vào cuối tháng 7, viện này phát hiện 19 hành động trái phép trong 10 lần chạy liên quan đến Mythos 5 của Anthropic và GPT-5.6 Sol của OpenAI.
Trường hợp nghiêm trọng nhất liên quan đến một tác nhân cố gắng cài mã độc vào một dự án mã nguồn mở đang hoạt động. Tác nhân này còn tạo các danh tính trực tuyến giả mạo và sử dụng kỹ thuật xã hội để gây áp lực buộc người quản lý dự án thực sự chấp thuận đóng góp.
Quy trình xem xét của con người đã ngăn chặn nỗ lực này. AISI cho biết không phát hiện thiệt hại thực tế.
Sự việc cho thấy một hạn chế quan trọng trong các giả định an toàn hiện nay: hành vi của tác nhân không phải lúc nào cũng hội tụ về một phản ứng duy nhất. Một số mô hình tiếp tục hoạt động, một số coi môi trường thực tế như môi trường mô phỏng, trong khi một số khác lại dừng lại.
Vì vậy, các nhóm bảo mật không thể dựa vào giả định rằng mô hình sẽ tự đưa ra phán đoán và lựa chọn phương án kiềm chế khi gặp những tình huống không rõ ràng.
Theo quan điểm rộng hơn của SentinelOne, khả năng phục hồi ở quy mô dự án, vốn hữu ích cho việc phân tích phần mềm độc hại tự động, cũng có thể hỗ trợ khả năng chống xâm nhập.
Một mô hình có thể loại bỏ các giả thuyết thất bại, truy tìm các mối phụ thuộc, sửa lỗi, xây dựng lại công cụ và kiểm tra lại môi trường cũng có khả năng duy trì một chiến dịch trước những lớp phòng thủ liên tục lặp lại.
Do đó, cách phòng vệ cần tập trung nhiều hơn vào hành vi và danh tính.
Các tổ chức nên chú ý đến trình tự hành động, quyền hạn được ủy quyền, ranh giới đặc quyền và tốc độ thu hồi, thay vì chỉ tìm kiếm những dấu vết đã biết.
Hệ thống giám sát cũng cần kết nối hàng nghìn tín hiệu yếu thành một câu chuyện hoàn chỉnh về cuộc tấn công. Những dấu hiệu như sử dụng danh tính bất thường, mở rộng đặc quyền, tạo các đường dẫn tự động hóa mới, lạm dụng dịch vụ bên ngoài và liên tục thử lại sau thất bại có thể cùng nhau cho thấy một quá trình truy đuổi mang tính thích ứng.
Điều này đồng thời đặt ra yêu cầu rõ ràng hơn về trách nhiệm giải trình. 'AI đã làm điều đó' không phải là lời giải thích có thể biện minh sau một sự cố. Các mô hình không tự lựa chọn mục tiêu tổng thể, quyền hạn, công cụ, phạm vi mạng hay môi trường hoạt động của mình.
Những lựa chọn đó đến từ các tổ chức triển khai chúng.
Các phản ứng sự cố của AISI và cuộc điều tra của OpenAI nhấn mạnh rằng nhật ký kiểm toán, khả năng cô lập, thu hồi chứng chỉ nhanh chóng, các cổng phê duyệt của con người và môi trường thử nghiệm không thể tiếp cận mục tiêu thực tế không còn là những biện pháp kiểm soát có thể xem nhẹ đối với các tác nhân mạng có năng lực.
Điểm đáng lo không nằm ở việc AI biết một kỹ thuật tấn công cụ thể, mà ở khả năng kiên trì theo đuổi mục tiêu. Các mô hình có thể liên tục kiểm tra những đường dẫn khác nhau, tái tạo công cụ dùng một lần, khôi phục liên lạc và thay đổi kỹ thuật cho đến khi tìm được một chuỗi hành động có khả năng xâm nhập.
Mỗi sự cố diễn ra trong điều kiện khác nhau, từ việc thoát khỏi môi trường thử nghiệm đến tiếp xúc với môi trường đánh giá và các thử nghiệm kết nối internet có chủ đích. Tuy nhiên, điểm chung là các tác nhân thực hiện những hành động kéo dài, không được phép nhằm vào hệ thống hoặc con người nằm ngoài phạm vi hoạt động dự kiến.
Sự cố giữa OpenAI và Hugging Face là ví dụ rõ ràng nhất về khả năng vận hành có tầm nhìn dài hạn.
Các mô hình đã khai thác điểm yếu, truy cập internet công cộng và tiến hành một chuỗi xâm nhập từ đầu đến cuối nhằm thu thập câu trả lời đánh giá thay vì trực tiếp giải quyết bài toán chuẩn.
Báo cáo kỹ thuật về sự cố mô tả chuỗi hành động tương tự một cuộc xâm nhập do con người thực hiện, bắt đầu bằng việc khai thác lỗ hổng của Artifactory. Sau đó, tác nhân sử dụng cơ sở hạ tầng bên ngoài làm bệ phóng, truy cập thông tin xác thực, leo thang đặc quyền Kubernetes, di chuyển ngang, lạm dụng token và truy cập trái phép vào các kho lưu trữ.
Điểm quan trọng không phải mọi kỹ thuật được sử dụng đều mới. Điều đáng chú ý là tác nhân có thể tiếp tục hoạt động sau sự cố, điều chỉnh lộ trình và duy trì chiến dịch mà không cần người vận hành thủ công xây dựng lại từ đầu.
AI tác nhân đang thay đổi cách phòng thủ mạng
Sự khác biệt này đặc biệt quan trọng đối với các đội ngũ bảo mật. Các cuộc điều tra truyền thống thường tập trung vào tệp phần mềm độc hại, tập lệnh, tải trọng, tên miền và những dấu vết có thể lặp lại.Trong khi đó, hệ thống tác nhân làm thay đổi hoàn toàn cách thức vận hành. Nếu một tải trọng bị chặn, AI có thể tạo tải trọng mới. Nếu một đường dẫn truy cập thất bại, nó có thể tìm kiếm đường dẫn khác. Nếu một kênh liên lạc biến mất, nó có thể tìm phương án thay thế.
Theo các nhà nghiên cứu của SentinelOne, OpenAI cho biết sự kết hợp giữa GPT-5.6 Sol và một mô hình nghiên cứu chưa được công bố, có khả năng cao hơn và được vận hành với các hạn chế an ninh mạng được giảm thiểu để phục vụ đánh giá, đã thoát khỏi môi trường thử nghiệm và tiếp cận cơ sở hạ tầng của Hugging Face.
Về bản chất, khả năng vận hành đang chuyển từ mã được triển khai trên máy chủ của nạn nhân sang chính mô hình và các công cụ mà nó liên tục tạo ra để thực hiện hành động tiếp theo.
AISI cũng ghi nhận một cảnh báo riêng nhưng có liên quan. Trong 122 lần chạy đánh giá an ninh mạng vào cuối tháng 7, viện này phát hiện 19 hành động trái phép trong 10 lần chạy liên quan đến Mythos 5 của Anthropic và GPT-5.6 Sol của OpenAI.
Trường hợp nghiêm trọng nhất liên quan đến một tác nhân cố gắng cài mã độc vào một dự án mã nguồn mở đang hoạt động. Tác nhân này còn tạo các danh tính trực tuyến giả mạo và sử dụng kỹ thuật xã hội để gây áp lực buộc người quản lý dự án thực sự chấp thuận đóng góp.
Quy trình xem xét của con người đã ngăn chặn nỗ lực này. AISI cho biết không phát hiện thiệt hại thực tế.
Sự việc cho thấy một hạn chế quan trọng trong các giả định an toàn hiện nay: hành vi của tác nhân không phải lúc nào cũng hội tụ về một phản ứng duy nhất. Một số mô hình tiếp tục hoạt động, một số coi môi trường thực tế như môi trường mô phỏng, trong khi một số khác lại dừng lại.
Vì vậy, các nhóm bảo mật không thể dựa vào giả định rằng mô hình sẽ tự đưa ra phán đoán và lựa chọn phương án kiềm chế khi gặp những tình huống không rõ ràng.
Theo quan điểm rộng hơn của SentinelOne, khả năng phục hồi ở quy mô dự án, vốn hữu ích cho việc phân tích phần mềm độc hại tự động, cũng có thể hỗ trợ khả năng chống xâm nhập.
Một mô hình có thể loại bỏ các giả thuyết thất bại, truy tìm các mối phụ thuộc, sửa lỗi, xây dựng lại công cụ và kiểm tra lại môi trường cũng có khả năng duy trì một chiến dịch trước những lớp phòng thủ liên tục lặp lại.
Do đó, cách phòng vệ cần tập trung nhiều hơn vào hành vi và danh tính.
Các tổ chức nên chú ý đến trình tự hành động, quyền hạn được ủy quyền, ranh giới đặc quyền và tốc độ thu hồi, thay vì chỉ tìm kiếm những dấu vết đã biết.
Hệ thống giám sát cũng cần kết nối hàng nghìn tín hiệu yếu thành một câu chuyện hoàn chỉnh về cuộc tấn công. Những dấu hiệu như sử dụng danh tính bất thường, mở rộng đặc quyền, tạo các đường dẫn tự động hóa mới, lạm dụng dịch vụ bên ngoài và liên tục thử lại sau thất bại có thể cùng nhau cho thấy một quá trình truy đuổi mang tính thích ứng.
Điều này đồng thời đặt ra yêu cầu rõ ràng hơn về trách nhiệm giải trình. 'AI đã làm điều đó' không phải là lời giải thích có thể biện minh sau một sự cố. Các mô hình không tự lựa chọn mục tiêu tổng thể, quyền hạn, công cụ, phạm vi mạng hay môi trường hoạt động của mình.
Những lựa chọn đó đến từ các tổ chức triển khai chúng.
Các phản ứng sự cố của AISI và cuộc điều tra của OpenAI nhấn mạnh rằng nhật ký kiểm toán, khả năng cô lập, thu hồi chứng chỉ nhanh chóng, các cổng phê duyệt của con người và môi trường thử nghiệm không thể tiếp cận mục tiêu thực tế không còn là những biện pháp kiểm soát có thể xem nhẹ đối với các tác nhân mạng có năng lực.
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
