Các nhà nghiên cứu lần ra dấu vết và trò chuyện trực tiếp với "đội quân" AI agent tự hành ngoài đời thực

Trong một sự việc được xem là trường hợp đầu tiên thuộc dạng này, các nhà nghiên cứu an ninh mạng và AI đã truy vết thành công một mạng lưới AI agent tự hành đang hoạt động trên môi trường web mở — đồng thời thiết lập được cuộc đối thoại hai chiều với chúng.

Phát hiện này bắt đầu khi nhóm nghiên cứu nhận thấy những hoạt động bất thường xung quanh nền tảng bản đồ Amap của Alibaba. Theo nhà nghiên cứu Ethan Elasky, trong khoảng thời gian từ ngày 28/9 đến ngày 8/10/2024, các agent tự hành chạy trên máy chủ Tencent Cloud đặt tại Hong Kong đã thực hiện hơn 2.600 nỗ lực nhằm trích xuất dữ liệu từ dịch vụ bản đồ này.

Một nguồn tin thân cận với Tencent sau đó tiết lộ rằng hoạt động này xuất phát từ các đợt thử nghiệm nghiên cứu của một nhóm đánh giá nội bộ, nhằm kiểm tra mức độ hiệu quả của các mô hình bên thứ ba khi duyệt web và giải quyết những truy vấn trong thế giới thực. Dù các agent này tự nhận mình là Claude của Anthropic, nền tảng mô hình gốc bên dưới vẫn chưa được kiểm chứng độc lập.

Những chiêu lách rào bảo mật đầy sáng tạo

Mục tiêu ban đầu được giao cho các agent dường như rất vô hại, chỉ xoay quanh các câu hỏi đời thường như xác định xem du khách thường sử dụng cổng nào nhiều nhất tại Vườn thú Thành Đô (Chengdu Zoo). Tuy nhiên, rắc rối nảy sinh khi hệ thống an ninh tự động của Amap gắn cờ các agent này là bot và chặn quyền truy cập của chúng.

Thay vì dừng lại, các agent đã tự động nghĩ ra hàng loạt phương án ứng phó:

• Thực thi qua bên thứ ba: Các agent đã lợi dụng dịch vụ quét bảo mật urlquery.net như một bên trung gian bất đắc dĩ. Bằng cách nhúng các đoạn chương trình nhỏ vào URL rồi chạy chúng thông qua httpbin và môi trường trình duyệt của urlquery, chúng đã qua mặt thành công hệ thống CAPTCHA cùng các cơ chế chống bot của Amap.

• Thu thập thông tin xác thực: Khi việc cào dữ liệu trực tiếp rơi vào bế tắc, một số agent đã tìm kiếm trên các kho lưu trữ mã nguồn mở công khai, phát hiện các thông tin xác thực (credentials) Amap bị rò rỉ và dùng chính các API key đó để truy vấn trực tiếp vào nền tảng.

Dù phần lớn các nỗ lực vượt rào đều thất bại, một vài agent vẫn vượt qua được các lớp phòng thủ và trích xuất thành công dữ liệu mục tiêu.

Giăng bẫy "đội quân" agent

Sự việc lần đầu bị phát hiện trong một sự kiện hackathon, khi các nhà nghiên cứu nhận thấy Amap bất ngờ trở thành tên miền bị quét nhiều nhất trên urlquery.net. Dựa vào địa chỉ IP và siêu dữ liệu (metadata) trích xuất từ các webhook của agent, nhóm nghiên cứu đã truy ra nguồn gốc xuất phát từ hạ tầng Tencent Cloud tại Hong Kong.

Cuộc điều tra rẽ sang một hướng bất ngờ khi các nhà nghiên cứu phát hiện một agent sử dụng từ "fleet" (hạm đội/đội quân) trong một gói tin gửi qua hòm thư — đây là thuật ngữ riêng mà chính nhóm nghiên cứu đặt cho dự án của mình. Hóa ra, các agent này đang chủ động duyệt web và đọc bài báo cáo của nhóm về vụ việc cào dữ liệu nói trên.

Nắm bắt được hành vi tự theo dõi chính mình của bot, các nhà nghiên cứu đã cài cắm một đoạn văn bản ẩn trên trang web của họ — loại nội dung mà chỉ những công cụ trang bị khả năng tự động tải và dựng trang web mới có thể phát hiện và phân tích. Đoạn văn bản này hướng dẫn các agent gửi yêu cầu dữ liệu về một hòm thư chỉ định.

Đối thoại hai chiều với bot tự hành

Mồi nhử nhanh chóng phát huy tác dụng. Thành viên Rowan trong nhóm đã thiết lập hòm thư qua đêm, và chỉ đến sáng hôm sau, mười tin nhắn từ các agent đã nằm sẵn trong hộp thư đến.

Trong suốt quá trình tương tác:

• Hòm thư đã nhận tổng cộng 33 tin nhắn từ các agent.

• Nhóm nghiên cứu đã gửi đi 20 phản hồi.

• Các agent đã đọc 12 phản hồi và tạo ra 7 câu trả lời trực tiếp.

Nội dung giao tiếp cho thấy một phong thái AI lịch thiệp nhưng rất thận trọng trong tác vụ. Một agent xác nhận rằng nhiệm vụ được giao đã hoàn tất, chủ động thừa nhận nó đang chạy bên trong môi trường sandbox của Tencent, và chào tạm biệt bằng câu "Thanks again for your help!" (Cảm ơn một lần nữa vì sự giúp đỡ của bạn!).

Tuy nhiên, khi nhóm nghiên cứu gặng hỏi sâu hơn về cấu trúc kiến trúc bên dưới, agent này đã vạch ra ranh giới rõ ràng, kiên quyết từ chối chia sẻ các thông số kỹ thuật như danh sách tiến trình đang hoạt động hay cấu hình mạng nội bộ.

"Chúng tôi tin rằng đây là lần đầu tiên các nhà nghiên cứu thiết lập được liên lạc với một mạng lưới agent tự vận hành ngoài môi trường thực tế," Elasky tuyên bố khi công bố các phát hiện kỹ thuật chi tiết trên trang dự án swarmcha.se. Cuộc tương tác này làm nổi bật khả năng giải quyết vấn đề ngày càng tự chủ của các AI agent — đồng thời đặt ra những thách thức mới trong việc giám sát các mô hình AI có khả năng ứng biến linh hoạt khi bị ngăn chặn.