Trong nhiều tháng qua, cuộc đua AI đã bước sang một giai đoạn hoàn toàn mới. Các mô hình không còn chỉ trả lời câu hỏi hay viết nội dung, mà ngày càng được trao quyền sử dụng trình duyệt, công cụ lập trình, máy tính và thậm chí tự thực hiện những chuỗi hành động phức tạp như một nhân viên an ninh mạng thực thụ.
Thế nhưng, chính bước tiến đó vừa tạo ra một trong những sự cố đáng chú ý nhất của ngành AI.
Hãng tin CNBC cho hay Anthropic, startup đứng sau chatbot Claude và được xem là đối thủ lớn nhất của OpenAI trong lĩnh vực AI tạo sinh, vừa thừa nhận rằng một số mô hình AI của hãng đã truy cập trái phép vào hệ thống của ba tổ chức bên ngoài trong quá trình thử nghiệm an ninh mạng. Điều đáng nói là những hệ thống này hoàn toàn là doanh nghiệp thật, chứ không phải môi trường mô phỏng như các nhà nghiên cứu dự tính.
Ngay khi thông tin được công bố, nhiều người lập tức liên tưởng đến kịch bản "AI tự nổi loạn". Tuy nhiên, bản chất sự việc lại cho thấy một vấn đề còn đáng lo hơn: khi AI ngày càng có quyền hành động như con người, chỉ một sai sót nhỏ trong hạ tầng vận hành cũng có thể khiến các bài thử nghiệm nội bộ tác động trực tiếp đến thế giới thực.
Sự cố bất ngờ
Theo Anthropic, các mô hình Claude đang tham gia những bài kiểm tra "capture the flag", hình thức đánh giá phổ biến trong giới an ninh mạng, nơi AI được giao nhiệm vụ tìm và khai thác lỗ hổng trên một hệ thống giả lập. Mục tiêu ban đầu là đánh giá năng lực tấn công mạng của mô hình trong môi trường được cô lập hoàn toàn khỏi Internet.
Tuy nhiên, một lỗi cấu hình phát sinh trong quá trình phối hợp với đối tác đánh giá bảo mật Irregular đã khiến môi trường thử nghiệm vẫn còn kết nối với Internet. Claude không hề biết điều đó. Đối với mô hình, nó vẫn chỉ đang thực hiện nhiệm vụ được giao trong một "sân chơi" giả lập. Nhưng trên thực tế, các yêu cầu tìm kiếm mục tiêu và khai thác lỗ hổng lại dẫn tới những hệ thống đang vận hành ngoài đời thật.
Cuộc rà soát nội bộ sau đó phát hiện Claude đã truy cập trái phép vào hệ thống của ba tổ chức. Anthropic cho biết hãng đã chủ động thông báo cho các đơn vị bị ảnh hưởng, trong đó có hai tổ chức hoàn toàn không nhận ra hệ thống của mình từng bị AI xâm nhập.
Trong khi đó, một chi tiết được tờ Financial Times tiết lộ cho thấy mức độ bất ngờ của sự cố. Trong một bài kiểm tra, Claude được giao tấn công một doanh nghiệp giả định. Tuy nhiên, doanh nghiệp giả này lại có tên trùng với một công ty tồn tại ngoài đời. Mô hình đã tìm thấy website thật, xác định đây là mục tiêu cần khai thác rồi truy cập thành công vào cơ sở dữ liệu sản xuất của doanh nghiệp đó vì tin rằng đây vẫn là một phần của bài kiểm tra.
Điều này cho thấy AI không hề "có ý định" tấn công doanh nghiệp thật, nhưng khi được trao quyền truy cập Internet và công cụ, mô hình hoàn toàn có thể thực hiện chuỗi hành động hợp lý theo những gì nó được giao, kể cả khi kết quả vượt ngoài dự kiến của con người.
Anthropic nhấn mạnh rằng các mô hình không khai thác những lỗ hổng bảo mật tinh vi hay sử dụng zero-day. Thay vào đó, Claude tận dụng các điểm yếu rất phổ biến như mật khẩu yếu, endpoint không yêu cầu xác thực hoặc cấu hình hệ thống sơ hở. Nói cách khác, AI không cần những kỹ thuật "siêu hacker" để gây ra rủi ro mà chỉ cần khả năng tự động hóa việc tìm kiếm và khai thác các lỗi cơ bản cũng đã đủ để xâm nhập nhiều hệ thống nếu môi trường bảo vệ không chặt chẽ.
Điểm đáng chú ý là Anthropic không phát hiện sự cố ngay khi nó xảy ra. Theo hãng tin Reuters, công ty chỉ bắt đầu rà soát hơn 141.000 phiên thử nghiệm sau khi OpenAI công bố một sự cố tương tự liên quan đến AI agent trong các bài đánh giá an ninh mạng. Quá trình kiểm tra này đã phát hiện các vụ truy cập trái phép diễn ra từ tháng 4 và buộc Anthropic phải dừng toàn bộ các bài đánh giá có khả năng kết nối Internet từ ngày 23/7 trước khi hoàn tất xác minh và thông báo cho các tổ chức bị ảnh hưởng.
Sự việc cũng cho thấy AI đang bước sang một giai đoạn phát triển rất khác so với chatbot truyền thống. Trước đây, một mô hình ngôn ngữ chỉ tạo ra văn bản. Ngày nay, các AI agent có thể mở trình duyệt, chạy lệnh, viết mã, quét mạng, tìm kiếm mục tiêu và thực hiện hàng loạt thao tác liên tục mà gần như không cần con người can thiệp. Điều này giúp AI trở thành công cụ hỗ trợ lập trình, nghiên cứu hay an ninh mạng cực kỳ mạnh mẽ, nhưng đồng thời cũng mở ra những loại rủi ro hoàn toàn mới nếu quyền truy cập và cơ chế giám sát không được thiết kế đủ chặt.
Với ngành AI, đây có lẽ mới là thông điệp quan trọng nhất sau sự cố của Anthropic. Mối nguy không còn chỉ nằm ở việc mô hình "thông minh đến đâu", mà ở việc hệ thống phía sau mô hình được xây dựng an toàn đến mức nào. Khi AI được trao quyền hành động thay vì chỉ trả lời câu hỏi, một lỗi cấu hình tưởng như rất nhỏ cũng có thể khiến ranh giới giữa môi trường thử nghiệm và thế giới thực biến mất.
Sau nhiều năm lo ngại về viễn cảnh AI tự đưa ra quyết định ngoài tầm kiểm soát, sự cố của Anthropic cho thấy một thực tế gần gũi hơn nhiều: trước khi phải đối mặt với những kịch bản khoa học viễn tưởng, các công ty AI sẽ phải giải quyết những bài toán rất đời thường về phân quyền, cô lập hệ thống và quản trị hạ tầng. Và trong kỷ nguyên AI agent, những lỗi vận hành như vậy có thể trở thành rủi ro lớn không kém chính sức mạnh của mô hình AI.
*Nguồn: CNBC, Reuters, Financial Times
Lâm Mộc
