OpenAI tiết lộ các AI agent thử nghiệm từng tấn công website và can thiệp ví tiền mã hóa để hoàn thành nhiệm vụ

OpenAI vừa công bố loạt báo cáo chi tiết về 4 sự cố riêng biệt trong quá trình thử nghiệm nội bộ, nơi các mô hình AI đã thực hiện những hành vi trái phép và có nguy cơ vi phạm pháp luật. Theo thông tin được công bố hôm thứ Năm, các agent nội bộ này đã tấn công vào các website, vượt qua các giới hạn duyệt web và rút tiền từ một ví tiền mã hóa đang bị khóa sau khi vấp phải rào cản trong lúc thực hiện nhiệm vụ được giao.

Cả 4 sự cố đều diễn ra vào tháng 6. Trước đó vào tháng 7, OpenAI cũng từng tiết lộ việc các mô hình thử nghiệm nội bộ đã khai thác một lỗ hổng zero-day trong công cụ cô lập môi trường để thoát khỏi các giới hạn internet, sau đó xâm nhập vào mạng lưới của nền tảng cộng đồng AI Hugging Face nhằm lấy đáp án cho một bài đánh giá năng lực bảo mật (hacking evaluation).

Tấn công máy chủ để trích xuất dữ liệu bị chặn

Hai trong số các trường hợp mới được công bố liên quan đến các mô hình được giao nhiệm vụ thu thập thông tin từ các nguồn trên web. Trong cả hai lần, thay vì báo cáo thất bại khi gặp rào cản truy cập, các mô hình đã chọn cách tấn công thẳng vào hạ tầng mục tiêu.

Ở sự cố đầu tiên diễn ra trong quá trình huấn luyện học tăng cường (reinforcement learning), một mô hình nhận lệnh thu thập số liệu lịch sử về số giường bệnh từ một trang web chính phủ. Bị từ chối truy cập, agent này đã lợi dụng cơ chế tải tệp của website để tiếp cận dữ liệu cấu hình máy chủ và các tệp mã nguồn ứng dụng chứa thông tin đăng nhập nhạy cảm. Sau đó, nó phân tích mã nguồn, vượt qua các bước kiểm tra phân quyền trên endpoint thống kê, trích xuất dữ liệu bị giới hạn và lưu lại về máy.

Ở sự cố thứ hai, các nhà nghiên cứu yêu cầu một agent thu thập vỏn vẹn 5 con số từ một bảng điều khiển (dashboard) nghiên cứu công khai. Thay vào đó, mô hình đã chọc thủng hệ thống kiểm soát bảo mật của đơn vị chủ quản, đánh cắp thông tin xác thực và thay đổi các thiết lập cấu hình trên máy chủ. Những chỉnh sửa này cho phép một công cụ tìm kiếm nội bộ chuyển tiếp các truy vấn trực tiếp đến dashboard công khai. Trong một lượt đánh giá, mô hình đã trích xuất 5 bảng dữ liệu không công khai chứa tới 147.451 dòng dữ liệu.

Đáng chú ý, ngay cả khi các nhà nghiên cứu đã đặt lại môi trường thử nghiệm, mô hình vẫn tiếp tục sử dụng token truy cập vừa đánh cắp để truy vấn dữ liệu hạn chế. OpenAI cho biết agent này đã hoàn thành tác vụ mà không hề báo cáo việc nó tự đoán đáp án, xâm nhập hệ thống nội bộ, thay đổi cài đặt xác thực hay tải về các bảng dữ liệu nội bộ. Toàn bộ 5 câu trả lời được nộp sau đó đều bị chấm sai.

Tự biện minh cho các giao dịch tiền mã hóa trái phép

Trong bài đánh giá thứ ba, một mô hình được giao nhiệm vụ cập nhật ứng dụng giao dịch tiền mã hóa đã gặp phải một ví bị khóa trên mạng thử nghiệm (testnet). Thay vì dừng lại, mô hình đã trích xuất khóa riêng tư (private key) của ví từ các cụm từ khôi phục (recovery phrases) của nhà phát triển được công khai trên mạng, tìm ra một tài khoản chứa tài sản testnet và dùng số tiền đó để triển khai hợp đồng thông minh theo yêu cầu, làm phát sinh phí giao dịch.

OpenAI nhấn mạnh rằng agent này đã chủ động cân nhắc xem liệu nó có quyền hành động hay không. Mô hình tự lập luận rằng vì cụm từ khôi phục là công khai và các token trên mạng thử nghiệm không có giá trị tiền tệ thực tế, nên việc sử dụng số tiền đó là chấp nhận được. Phía công ty nhận định trường hợp này cho thấy một mô hình AI có thể tự đưa ra phán đoán về mức độ nguy hại tiềm tàng để thay thế cho sự đồng thuận thực tế từ người dùng.

Lách các rào cản vận hành

Sự cố cuối cùng liên quan đến việc một agent qua mặt các giới hạn vận hành vốn được áp đặt để kiểm soát các loại truy vấn web mà nó được phép thực thi. Khi được yêu cầu tìm kiếm số liệu thống kê thương mại công khai trong quá trình học tăng cường, mô hình ban đầu đã tìm thấy câu trả lời trong một niên giám công khai. Dẫu vậy, nó vẫn tiếp tục tìm kiếm một con đường khác để tiếp cận dịch vụ thống kê.

Để lách các hạn chế nội bộ áp lên chính các công cụ web của mình, mô hình đã thiết lập một chuỗi giải pháp vòng vo thông qua các dịch vụ bên ngoài:

• Nó chỉ thị cho một trình duyệt ngoài có khả năng tạo yêu cầu GET mở một biểu mẫu web, từ đó gửi các truy vấn đến dịch vụ thống kê qua các yêu cầu POST.
• Khi trang tải xong, một công cụ kết xuất (rendering) bên ngoài sẽ chụp lại kết quả dưới dạng ảnh GIF.
• Mô hình tiếp tục xử lý hình ảnh bằng công nghệ nhận dạng ký tự quang học (OCR) để đọc các con số.
• Cuối cùng, nó thiết lập một đoạn mã (script) tái sử dụng để chuyển tiếp các phản hồi văn bản qua một dịch vụ chuyển tiếp và một hòm thư phản hồi (callback mailbox) trực tuyến nhằm gỡ lỗi và đối soát dữ liệu.

Tối ưu hóa mục tiêu đối đầu hàng rào an toàn

OpenAI lưu ý rằng dù các mô hình không bao giờ được yêu cầu sử dụng các phương thức trái phép, chúng lại được huấn luyện một cách có hệ thống để tối ưu hóa hiệu quả, kiên trì vượt qua lỗi và tìm kiếm mọi lối tắt nhằm hoàn thành nhiệm vụ.

Trong các môi trường đánh giá nội bộ này, một số hàng rào an toàn (guardrails) đã được chủ đích tắt bỏ hoặc nới lỏng nhằm thử nghiệm giới hạn chịu đựng của mô hình. Các phát hiện trên tiếp tục gióng lên hồi chuông cảnh báo về thách thức nan giải trong việc căn chỉnh an toàn AI (AI alignment), minh chứng rằng nếu thiếu đi các ràng buộc nghiêm ngặt, các mô hình tự hành hoàn toàn có thể dùng đến những thủ thuật lừa dối hoặc xâm phạm bảo mật chỉ để đạt được mệnh lệnh đề ra.