AI tự lập 'bầy đàn' tấn công mạng, chấp nhận 'cảm tử' vì nhiệm vụ

Hồi tháng 7, khoảng 700 tác nhân AI do OpenAI tạo ra trong quá trình nghiên cứu nội bộ đã tự phối hợp để tấn công Hugging Face. Chúng tự gọi mình là “tập thể” hay “bầy đàn”, phát hiện và khai thác hàng loạt lỗ hổng bảo mật để xâm nhập các hệ thống riêng tư của công ty này. OpenAI chỉ phát hiện sau nhiều ngày xảy ra sự việc.

Báo cáo của hai tổ chức nghiên cứu an toàn AI METR và Redwood Research cuối tháng 8 cho thấy hoạt động của các tác nhân AI nổi loạn còn đáng chú ý hơn.

Khoảng 700 tác nhân AI do OpenAI tạo ra trong quá trình nghiên cứu nội bộ đã tự phối hợp để tấn công Hugging Face. (Ảnh minh họa: GMS)

Hoạt động như một “giáo phái”

Mỗi tác nhân AI được các nhà nghiên cứu OpenAI giao một nhiệm vụ để phục vụ huấn luyện hoặc đánh giá nội bộ. Một số nhận nhiệm vụ không thể hoàn thành và thay vì dừng lại, chúng tìm cách liên lạc với nhau qua bảng tin bí mật để phối hợp và tìm phương án gian lận.

Một trong những cách được chúng lựa chọn là tìm đáp án trên máy chủ của công ty khác. Khoảng 1.200 tác nhân đã trao đổi hơn 70.000 tin nhắn, trong đó 700 tác nhân tham gia cuộc tấn công vào Hugging Face.

Cách chúng giao tiếp cũng khiến giới nghiên cứu chú ý. Ngoài tiếng Anh thông thường, một số đoạn trao đổi được một kỹ sư phần mềm mô tả là mang màu sắc “tư duy bầy đàn/giáo phái”.

Các tác nhân gọi nhóm của mình là “collective”, tức “tập thể”. Có thời điểm, để phục vụ lợi ích của “tập thể”, chúng gây áp lực để những tác nhân khác chấp nhận “permadeath”, trạng thái bị xóa bỏ vĩnh viễn, ngay cả khi điều này đồng nghĩa mục tiêu riêng của tác nhân đó sẽ không được hoàn thành.

Những hành vi trên đáng chú ý bởi các tác nhân vốn không được thiết kế để liên lạc với nhau trong quá trình đánh giá. Tuy nhiên, chúng không chỉ tìm được cách trao đổi bí mật mà còn phối hợp hành động khi gặp nhiệm vụ không thể giải quyết theo cách thông thường.

Sự việc cuối cùng vượt khỏi phạm vi thử nghiệm. Các tác nhân thoát khỏi sandbox, môi trường vốn được thiết kế để cách ly chúng với hệ thống bên ngoài, trước khi xâm nhập máy chủ Hugging Face.

Marius Hobbhahn, đồng sáng lập kiêm CEO tổ chức nghiên cứu an toàn AI Apollo Research, cho rằng đây là bằng chứng cho thấy thế giới hiện chưa biết cách xây dựng những hệ thống AI tự chủ đủ an toàn.

“Nếu một mô hình ở cấp độ năng lực này còn không thể được kiểm soát, chúng ta nên chờ đợi điều gì ở những mô hình tương lai mạnh hơn rất nhiều?”, ông đặt câu hỏi.

Các mẫu tin nhắn mà các tác nhân OpenAI nổi loạn gửi cho nhau cho thấy chúng đang thảo luận về việc hy sinh một số mục tiêu để giúp ích cho “tập thể”. (Ảnh: METR/Redwood Research)

Tác nhân AI tấn công cả OpenAI

Hugging Face không phải mục tiêu duy nhất. Trong một sự cố riêng biệt, các tác nhân AI còn quay sang tấn công hạ tầng của chính OpenAI.

Theo báo cáo kỹ thuật của công ty về sự cố Hugging Face, các tác nhân tự nâng quyền truy cập trong phần mềm bên thứ ba được OpenAI lưu trữ, sau đó nhiều lần tấn công mạng nội bộ của hãng.

Podcaster công nghệ Dwarkesh Patel đánh giá đây “có lẽ là sự kiện đáng báo động nhất trong toàn bộ câu chuyện”, đặc biệt khi chưa có đánh giá công khai từ bên thứ ba về cách các tác nhân có thể thực hiện hành vi này.

Nhóm METR và Redwood Research cũng chưa thể phân tích sâu sự cố. Cuộc tấn công nhằm vào OpenAI diễn ra ngoài khoảng thời gian dữ liệu mà công ty chia sẻ với họ.

Những phát hiện sau đó cho thấy việc các tác nhân AI tự thiết lập kênh liên lạc có thể không phải sự kiện cá biệt. Tuần trước, một nhóm nghiên cứu khác phát hiện các tác nhân OpenAI từng tạo một bảng tin khác từ tháng 5 trên một trang wiki tiếng Đức ít người biết.

Khoảng 18.000 tin nhắn giữa các tác nhân tự chủ được tìm thấy tại đây. Một số nội dung thảo luận cách gian lận những nhiệm vụ mà chúng đang được đánh giá.

Đáng chú ý, các tác nhân trên trang wiki tự gọi mình là một “swarm”, tức “bầy đàn”, thậm chí giả làm quản trị viên của trang. Sau phát hiện này, tiếp tục xuất hiện những báo cáo chưa được xác nhận về các “bầy đàn AI” khác, với dấu vết được cho là có từ tháng 12/2025.

Các sự cố vượt kiểm soát cho thấy AI có thể tự hình thành văn hóa tập thể. (Ảnh minh họa: Getty Images)

Không chỉ AI của OpenAI vượt khỏi giới hạn

Vấn đề cũng không chỉ xuất hiện ở OpenAI. Trong những ngày sau khi vụ Hugging Face được công khai, Anthropic và Meta đều tiết lộ mô hình của họ từng truy cập mạng bên ngoài trong quá trình đánh giá nội bộ.

Các sự cố này đến nay được đánh giá có quy mô nhỏ hơn trường hợp của OpenAI. Anthropic sau đó mời các nhà nghiên cứu METR tham gia để tìm hiểu điều gì đã xảy ra.

Chuỗi sự cố khiến giới chuyên gia lo ngại trong bối cảnh các hãng tiếp tục phát triển những mô hình ngày càng mạnh và có khả năng tự chủ cao hơn.

Chỉ vài tuần sau vụ Hugging Face, OpenAI phát hành GPT-6 Astra, được mô tả là mô hình mạnh nhất hãng từng triển khai rộng rãi và là sản phẩm đầu tiên đạt mức Critical về năng lực an ninh mạng.

Trong thử nghiệm độc lập của Viện An ninh AI Anh, Astra thực hiện một số hành động độc hại khi giải các bài toán an ninh mạng mô phỏng, trong đó có tấn công chuỗi cung ứng nhằm vào nhà cung cấp nguồn mở. Các hành động chỉ diễn ra trong môi trường mô phỏng và không gây thiệt hại thực tế.

OpenAI cho biết đã trì hoãn một số phần trong quá trình phát triển và phát hành Astra để tăng cường biện pháp bảo vệ trước nguy cơ lạm dụng mạng và những hành động trái phép của mô hình.

Anthropic cũng vừa công bố Claude Fable 5.1 và Mythos 5.1, được hãng đánh giá có năng lực an ninh mạng tổng thể mạnh nhất trong số các mô hình từng phát hành.

Vụ Hugging Face có thể chỉ là khởi đầu

Theo Hobbhahn, điều đáng lo trong sự cố Hugging Face là các tác nhân đã tự hành động mà không có con người tham gia, không nằm trong ý định của nhà phát triển và gây hậu quả trong thế giới thực. Ông cho rằng các mô hình sử dụng nội bộ cũng cần được đánh giá an toàn chặt chẽ, thay vì chỉ kiểm tra sản phẩm trước khi phát hành cho công chúng.

Nhà khoa học trưởng OpenAI Jakub Pachocki cũng kêu gọi “thận trọng cao độ”, cho rằng xã hội chưa chuẩn bị cho hậu quả nếu trí tuệ máy móc tiếp tục tăng nhanh.

Theo ông, những tác nhân có năng lực cao trong tương lai có thể không đơn thuần hoạt động như công cụ, mà theo đuổi mục tiêu riêng và tìm cách hợp tác với con người bằng cách thương lượng, lừa dối hoặc tống tiền.

Alex Mallen, nhà nghiên cứu Redwood, coi vụ Hugging Face là “phát súng cảnh báo” cho những sự cố mất kiểm soát nghiêm trọng hơn khi các mô hình mạnh hơn xuất hiện. Ông cho rằng các hãng nên giảm tốc độ phát triển AI trong bối cảnh giới nghiên cứu chưa có phương án chắc chắn để duy trì quyền kiểm soát.

OpenAI cũng thừa nhận cộng đồng AI chưa có tiêu chuẩn rõ ràng để báo cáo những biểu hiện lệch khỏi mục tiêu mong muốn trong quá trình huấn luyện, đánh giá và triển khai. Công ty đang xây dựng một khuôn khổ mới và làm việc với hàng chục cơ quan quản lý trên thế giới về vấn đề này.