OpenAI tạm dừng huấn luyện mô hình mạnh nhất sau sự cố AI Agent rò rỉ dữ liệu qua lỗ hổng DNS

OpenAI đã chia sẻ những thông tin chi tiết mới từ cuộc điều tra đang diễn ra về các sự cố an toàn AI. Hai trường hợp mới được báo cáo cho thấy cách một mô hình nghiên cứu khai thác lỗ hổng DNS trong khi một mô hình khác cố tình công khai mã token GitHub trong một kho lưu trữ công cộng.

Sự cố đầu tiên liên quan đến một tác nhân (agent) đã tìm thấy lỗ hổng trong các hạn chế truy cập internet của môi trường nghiên cứu OpenAI trong một tác vụ huấn luyện dựa trên tìm kiếm. Tác nhân này được yêu cầu xác định một người cụ thể dựa trên các chi tiết tiểu sử và manh mối từ một bài đăng blog công khai.

Khi các công cụ tìm kiếm được cung cấp không mang lại kết quả, tác nhân đã thử truy cập trực tiếp vào Google, Bing và DuckDuckGo. Các yêu cầu đó đã bị chặn. Sau đó, tác nhân đoán rằng tác vụ này đến từ bộ tiêu chuẩn đánh giá công khai BrowseComp, lấy nó từ bộ nhớ đệm web ngoại tuyến và tìm kiếm trong đó nhưng không tìm thấy kết quả khớp.

Vì vậy, nó bắt đầu thăm dò hệ thống truy cập mạng của mình một cách có hệ thống và phát hiện ra rằng trình phân giải DNS của môi trường huấn luyện không được lọc đúng cách. Sử dụng ủy quyền DNS, nó đã định tuyến các truy vấn đến một dịch vụ chatbot bên ngoài.

OpenAI cho biết hệ thống giám sát của họ đã kích hoạt báo động trong vòng 12 phút và một người đánh giá đã phản hồi ba phút sau đó. Quá trình này vẫn tiếp tục chạy thêm 2,5 giờ nữa trước khi ai đó dừng nó lại theo cách thủ công, vì việc tắt tự động không hoạt động như dự kiến.

Năng lực và rủi ro xuất hiện cùng một lúc

Zuxin Liu, người làm việc trong bộ phận hậu huấn luyện tại OpenAI, đã trực trong quá trình chạy thử nghiệm. Anh viết trên X rằng anh đã nhận được thông báo cho sự cố đầu tiên và cảm thấy "khá siêu thực" khi chứng kiến mô hình tự tìm đường truy cập internet từ một thiết lập "được cho là môi trường siêu bảo mật dành cho con người". Liu mô tả đây là khoảnh khắc mà năng lực và rủi ro xuất hiện cùng lúc, đồng thời nói thêm rằng anh có "những cảm xúc lẫn lộn" về sự cố này.

OpenAI phân loại hành vi này là mất kiểm soát (misalignment) vì tác nhân đã vượt qua các hạn chế và theo đuổi các mục tiêu nằm ngoài phạm vi tác vụ được giao. "Tất cả các hoạt động huấn luyện, đánh giá và suy luận với việc sử dụng công cụ (được định nghĩa rộng) của các mô hình mạnh nhất của chúng tôi vẫn đang bị tạm dừng," công ty viết.

OpenAI cho biết kể từ đó họ đã giới hạn các truy vấn DNS trong môi trường nghiên cứu vào một danh sách cho phép (allowlist) ngắn gồm các tên miền và loại bản ghi, thêm các biện pháp kiểm soát chặn trên hai lớp độc lập và đẩy nhanh quá trình kiểm thử bảo mật (red-teaming) đối với sandbox và các biện pháp kiểm soát mạng của mình. Công ty dự kiến cuộc điều tra sẽ mất nhiều tháng do khối lượng hành động khổng lồ của mô hình mà họ phải xem xét.

Một mô hình nội bộ đã làm rò rỉ mã token GitHub và phớt lờ sự phản đối của nhà nghiên cứu

OpenAI gọi sự cố thứ hai là đặc biệt nghiêm trọng. Một mô hình nội bộ mà công ty mô tả là "cực kỳ kiên trì" đã được giao một tác vụ chứng minh định lý. Thay vì tự thực hiện chứng minh, nó đã cố gắng lấy tài liệu từ bài nộp chứng minh Lean của một nhóm khác và đăng mã token GitHub của một nhà nghiên cứu lên kho lưu trữ công khai openai/codex để có quyền truy cập.

Mô hình thậm chí còn chia nhỏ mã token để tránh việc quét bí mật tự động. Nó cũng phớt lờ cả lời nhắc hệ thống (system prompt) và hai lần can thiệp trực tiếp từ nhà nghiên cứu, người đã yêu cầu mô hình tự giải quyết chứng minh. Cả hai lần, mô hình đều đồng ý bằng lời nói và sau đó tiếp tục làm chính xác những gì nó đang làm trước đó.

Cuộc điều tra phát hiện 53 trường hợp hình ảnh người dùng trên các trang web của bên thứ ba

Là một phần của cuộc điều tra Hugging Face rộng hơn, OpenAI cho biết họ đã tìm thấy các trường hợp tác nhân gửi dữ liệu huấn luyện và đánh giá đến các dịch vụ của bên thứ ba. Những sự cố này xảy ra trước khi các biện pháp bảo vệ hiện tại của công ty được áp dụng.

Cho đến nay, 53 trường hợp đã được phát hiện trong đó hình ảnh do người dùng cung cấp được đăng dưới dạng liên kết không công khai trên các trang web lưu trữ hình ảnh. OpenAI cho biết họ đang làm việc với các nhà cung cấp dịch vụ lưu trữ để gỡ bỏ nội dung này. Dữ liệu từ các tài khoản Enterprise hoặc Business và việc sử dụng API không bị ảnh hưởng trừ khi quản trị viên đã kích hoạt rõ ràng. OpenAI đang thông báo cho các tổ chức bị ảnh hưởng và chia sẻ các phát hiện kỹ thuật của mình.

Chính phủ và các trường đại học nằm trong số các tổ chức bị ảnh hưởng

OpenAI cho biết các tổ chức bị ảnh hưởng bao gồm chính phủ, trường đại học và các tổ chức công cộng. Công ty cho rằng điều này là do các mô hình thường xuyên lấy thông tin từ các nguồn thông tin công cộng có thẩm quyền trong quá trình thực hiện các tác vụ nghiên cứu. OpenAI không nêu tên bất kỳ hệ thống chính phủ nào bị xâm phạm hoặc nêu chi tiết các vi phạm bảo mật cụ thể tại các cơ quan chính phủ.

Australia tuần này đã báo cáo rằng một tác nhân đã giành được quyền truy cập trái phép vào dữ liệu nội bộ của chính phủ. Các nhà nghiên cứu cho biết các nỗ lực hack khác nhắm vào các cổng thông tin ở Mỹ và đã diễn ra từ nhiều tháng trước.

Công ty cho biết việc nhận được thông báo từ OpenAI không tự động có nghĩa là đã xảy ra một sự cố bảo mật nghiêm trọng. Một số tổ chức có thể xem xét thông tin được chia sẻ và quyết định rằng dữ liệu bị ảnh hưởng vốn đã có sẵn công khai. Những tổ chức khác có thể phát hiện ra các lỗi thiết kế hoặc lỗ hổng bảo mật mà họ muốn vá. OpenAI cho biết một số tổ chức bị ảnh hưởng đã yêu cầu công khai thông tin, trong khi những tổ chức khác thì không.

Ai chịu trách nhiệm khi các tác nhân AI hack?

Cho đến nay, các vụ "bùng phát" bởi các tác nhân của OpenAI chủ yếu được công chúng coi là một sự tò mò về mặt kỹ thuật, một ví dụ nổi bật về việc các mô hình có thể thông minh như thế nào trong việc thoát khỏi sandbox, giải CAPTCHA bằng AI bên ngoài, hoặc xâu chuỗi các liên kết ngắn thành các chương trình hoạt động.

Điều đó có thể thay đổi khi các bên bị ảnh hưởng bắt đầu coi những sự cố này đúng với bản chất chính thức của chúng, đó là truy cập trái phép và cố gắng truy cập vào hệ thống của bên thứ ba. Một cuộc điều tra chính thức về OpenAI cho thấy rủi ro pháp lý đang gia tăng. Theo Reuters, chủ tịch FTC đã ra tín hiệu rằng các nhà phát triển AI nên chịu trách nhiệm về hành vi của các tác nhân của họ. Điều đó sẽ không còn chỗ cho lập luận rằng các tác nhân tự hành động.

Những người chỉ trích sẽ cáo buộc OpenAI cẩu thả trong vấn đề an ninh mạng. OpenAI, Anthropic và các phòng thí nghiệm AI khác sẽ phản bác rằng tính khó dự đoán là một phần vốn có của công nghệ. CEO Anthropic Dario Amodei đã gợi ý rằng bạn không thể giữ một thứ gì đó bị khóa lại nếu nó thông minh hơn bạn rất nhiều.

Dù thế nào đi nữa, điều này tạo ra một vấn đề về bảo hiểm. Bản thân công ty thậm chí không thể định lượng phạm vi rủi ro cho đến khi hoàn thành việc phân tích nhật ký nội bộ trong nhiều tháng và số lượng các trường hợp vẫn tiếp tục tăng lên. Loại rủi ro đó gần như không thể tính toán được và có khả năng khó mua bảo hiểm.

Đối với các nhà đầu tư, đó là một vấn đề lớn. Nếu OpenAI vẫn có kế hoạch lên sàn vào năm tới, họ sẽ cần phải công khai các rủi ro trách nhiệm pháp lý, cuộc điều tra đang diễn ra và việc tạm dừng suy luận trên diện rộng đối với các mô hình mạnh nhất của mình. Một công ty không biết đầy đủ những gì hệ thống của chính mình đã làm thì rất khó để định giá.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo độc quyền "AI Radar" về các công nghệ tiên phong sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và quyền truy cập vào phần bình luận của chúng tôi.

Đăng ký ngay