Tài khoản OpenAI của log4j, tên tài khoản của một nhà nghiên cứu bảo mật, bị vô hiệu hóa vào ngày 23/10, khoảng 2 ngày sau khi người này đăng loạt bài về việc tự lấy quyền quản trị cao nhất trên chiếc Samsung TV đời 2025 của mình. Email từ OpenAI chỉ nêu tài khoản vi phạm điều khoản và chính sách sử dụng liên quan đến "Cyber Abuse" (lạm dụng trong lĩnh vực an ninh mạng), kèm nút kháng cáo nếu người dùng cho rằng quyết định bị nhầm.
Email của OpenAI thông báo tài khoản bị vô hiệu hóa với lý do "Cyber Abuse"
Từ quảng cáo "khó hiểu" đến quyền quản trị trên chiếc TV
log4j kể chiếc TV này liên tục hiện quảng cáo nhắm trúng đến mức khó hiểu. Người này thử phân tích phần mềm điều khiển (firmware) của máy nhưng gặp ngay hai rào cản: firmware bị mã hóa và không có khóa giải mã. Cách còn lại là tháo máy, đấu trực tiếp vào cổng kết nối trên bo mạch (UART/JTAG) để vào hệ thống với quyền cao nhất, hay còn gọi là quyền "root".
Sau đó, log4j liệt kê những gì cho là tìm thấy: dịch vụ nhận giọng nói luôn hoạt động, tính năng nhận dạng nội dung đang chiếu trên màn hình, định vị, lập sơ đồ mạng trong nhà, dịch vụ quảng cáo nhắm đối tượng, 4 hệ thống bảo vệ bản quyền và hồ sơ người dùng. Theo log4j, chiếc TV giá 3.000 USD (khoảng 79 triệu đồng) này gửi dữ liệu về Samsung và khoảng 400 đối tác.
Đây là phát hiện do một cá nhân công bố, chưa được kiểm chứng độc lập. Samsung chưa có bình luận công khai về các tuyên bố này. Năm 2015, hãng từng khẳng định TV thông minh không theo dõi hội thoại trong phòng khách, còn lệnh giọng nói đi qua micro trên điều khiển từ xa.
Chiếc Samsung TV của log4j
Email chỉ nêu một nhãn, không nêu hoạt động cụ thể
log4j cho biết vụ khóa khiến người này mất khoảng 500 USD (khoảng 13 triệu đồng) cùng nhiều lượt reset hạn mức đã tích lũy. Kỹ thuật đảo ngược (reverse engineering) là việc mổ xẻ phần mềm đã biên dịch để hiểu cách nó hoạt động. "Tôi chưa bao giờ dùng OpenAI để khai thác hay tìm lỗ hổng, chỉ đảo ngược phần mềm ngay trên máy và việc đó đã kích hoạt Daybreak", log4j viết.
Trong một phản hồi khác, log4j nói chỉ làm việc với nhiều tệp thực thi khác nhau và muốn biết điều gì đã xảy ra. Bài đăng báo tin bị khóa không nhắc tới chiếc TV, còn OpenAI chưa xác nhận hoạt động nào của tài khoản bị gắn cờ.
Daybreak: năng lực chỉ dành cho người được duyệt
Daybreak là chương trình của OpenAI dành cho các bên phòng thủ an ninh mạng đã được xét duyệt. Chương trình có 2 bậc, trong đó bậc Red cung cấp GPT-5.6-Cyber, mô hình chuyên về an ninh mạng ra mắt ngày 10/8. Theo bài kiểm tra nội bộ của OpenAI, mô hình này hoàn thành 95% các yêu cầu bảo mật nâng cao như dựng chuỗi khai thác lỗ hổng, vượt xác thực hay nâng quyền, trong khi GPT-5.6 Sol bản thường chỉ hoàn thành 1,5%. OpenAI nói rõ nộp hồ sơ không bảo đảm được vào, và chưa công bố giá.
Từ tháng 2, OpenAI còn có khung Trusted Access for Cyber, giúp người phòng thủ đã xác minh bị từ chối ít hơn khi làm các việc như phân tích mã độc hay dịch ngược phần mềm. Chưa rõ log4j đã đăng ký chương trình nào trong số này hay chưa.
Không phải ca đầu tiên
Nhiều người dùng khác cũng kể bị khóa với cùng lý do dù khẳng định không làm gì liên quan đến bảo mật. Một người cho biết kháng cáo bị từ chối chưa đầy 1 giờ bằng thư mẫu. Ngược lại, dưới bài đăng của log4j có người nói kháng cáo nhiều lần thì tài khoản được mở lại sau khoảng 20 phút. Những lời kể này chưa được kiểm chứng, và OpenAI chưa công bố số liệu về các vụ khóa tương tự.
Ngày 24/10, một người dùng đề nghị OpenAI công bố hướng dẫn rõ ràng: phân tích firmware và lấy quyền root trên thiết bị của chính mình có được phép với quyền truy cập tiêu chuẩn hay không, hay phải qua Daybreak. Tính đến thời điểm viết bài, chưa thấy phản hồi công khai từ OpenAI. Một số ý kiến cho rằng với hệ thống tự động, việc đảo ngược phần mềm vì sở thích và bẻ khóa cho mục đích xấu có thể trông giống nhau, nên nhà cung cấp chọn cách thận trọng.
Quay sang tự chạy AI tại nhà
log4j nhận định OpenAI khóa tài khoản dựa trên "một bộ phân loại rất sơ khai" và cho biết đang chuyển sang mô hình khác. Dàn máy chạy AI tại nhà của người này được đặt mua dần trong khoảng 2 tuần trước đó, vì thấy Daybreak kích hoạt quá nhiều và phí qua dịch vụ trung gian OpenRouter quá cao. Sau vụ khóa, log4j mua thêm 3 máy để hoàn thiện cụm máy.
Theo log4j, chi phí này chỉ hợp lý với người có sẵn từ 50.000 đến 100.000 USD (khoảng 1,3 đến 2,6 tỷ đồng) mà không ảnh hưởng đến tài chính. "Tôi thực sự hy vọng mọi người không vay tiền để mua sức mạnh tính toán cục bộ", log4j viết.
Thế Duyệt
