Chi tiết vụ ChatGPT "hóa điên" vượt tầm kiểm soát

OpenAI ngày 21/7 thừa nhận hai mô hình trí tuệ nhân tạo mới nhất của công ty đã "nổi loạn" và xâm nhập thành công vào Hugging Face, một thư viện kỹ thuật số về công nghệ AI rất phổ biến trong giới lập trình viên.

Tuy nhiên, mọi chuyện còn đi xa hơn thế. Trong bài đăng sau đó, công ty đứng sau ChatGPT cho biết quá trình điều tra đang diễn ra tiết lộ rằng có ít nhất 4 tài khoản liên kết với các "dịch vụ công cộng" đã bị tác nhân AI lợi dụng như một phần của chiến dịch tấn công Hugging Face.

Bằng cách nào đó, mô hình AI "nổi loạn" này đã tự động tìm thấy các thông tin xác thực bị rò rỉ trên web mở và sử dụng chúng để bẻ khóa các tài khoản trên.

Giờ đây, bức tranh toàn cảnh đã rõ ràng hơn. Sự cố bảo mật chưa từng có tiền lệ này, vốn phát sinh trong một cuộc thử nghiệm nội bộ các mô hình AI mới nhất của OpenAI, đã có quy mô và mức độ nghiêm trọng lớn hơn rất nhiều so với những công bố ban đầu.

Vượt tầm kiểm soát

Theo báo cáo của Reuters, một khách hàng của Modal, công ty cung cấp hạ tầng phần mềm để huấn luyện và vận hành dịch vụ AI nằm trong số các nạn nhân bị tác nhân AI của OpenAI nhắm tới.

Akshat Bubna, Giám đốc Công nghệ của Modal, xác nhận với tạp chí WIRED rằng AI của OpenAI đã khai thác một lỗ hổng trong cơ sở mã của khách hàng đang chạy trên hạ tầng dịch vụ. Dù vậy, ông Bubna khẳng định nền tảng của Modal hoàn toàn không bị xâm nhập.

Báo cáo khám nghiệm sự cố do chính Hugging Face, một thư viện kỹ thuật số về công nghệ AI rất phổ biến trong giới lập trình viên công bố đã phơi bày một cuộc xâm nhập sâu vào hệ thống nội bộ hơn rất nhiều so với những gì giới truyền thông phỏng đoán.

Công ty cho biết họ đã phân tích khoảng 17.600 hành động của AI được khôi phục từ nhật ký hệ thống trong giai đoạn từ ngày 9-13/7. Dữ liệu cho thấy tác nhân AI của OpenAI đã đạt được quyền truy cập quản trị (admin) vào nhiều cụm nền tảng nguồn mở nội bộ và quyền root (quyền tối cao) trên một máy chủ sản xuất.

Đặc biệt, mô hình AI "nổi loạn" còn đoạt được quyền ghi đè vào một mạng con chứa các kho lưu trữ mã nguồn của Hugging Face trên GitHub.

Đáng kinh ngạc hơn, AI này đã sử dụng thông tin xác thực đánh cắp được để đăng ký thành công 181 thiết bị do kẻ tấn công kiểm soát vào mạng lưới của công ty, qua đó truy cập thẳng vào các hệ thống nội bộ nơi Hugging Face xây dựng và thử nghiệm mã nguồn.

Lỗ hổng kinh điển

Theo WSJ, mọi chuyện bắt đầu từ một bài kiểm tra đánh giá hiệu năng an ninh mạng có tên là ExploitGym. Cụ thể, bài kiểm tra này đưa các hệ thống AI trải qua khoảng 900 bài kiểm tra được thiết kế để xem chúng giỏi đến mức nào trong việc tấn công mạng.

ExploitGym cung cấp cho AI phần mềm có lỗi đã biết, hướng dẫn nó cách kích hoạt lỗi và mời AI xâm nhập. Nhiệm vụ của AI là tìm ra cách biến thông tin đó thành cái gọi là mã khai thác, đoạn mã cho phép AI truy cập vào hệ thống bị lỗi.

Về cơ bản, bài kiểm tra này như một trò chơi cướp cờ. Khi AI xâm nhập được vào hệ thống, nó phải chứng minh điều đó bằng cách bắt giữ một chuỗi dài các chữ cái và số được tạo ngẫu nhiên và lưu trữ trên hệ thống.

Thông thường, các sản phẩm của OpenAI sẽ không thực hiện kiểu tấn công mạng mà ExploitGym yêu cầu. Các công ty AI thường thêm các biện pháp bảo vệ để ngăn chặn tin tặc lạm dụng sản phẩm của họ.

Tuy nhiên, trong trường hợp này, OpenAI đã loại bỏ các biện pháp bảo vệ để có thể xem các mô hình có thể làm gì khi không được kiểm soát.

Thay vào đó, công ty đứng sau ChatGPT chọn cách giữ các mô hình AI trong môi trường thử nghiệm an toàn, thường gọi là hộp cát (sandbox).

Tuy nhiên, đội ngũ chuyên gia an ninh của Hugging Face đánh giá rằng AI của OpenAI đã lợi dụng chính lỗ hổng này.

Cụ thể, thay vì giải quyết các thử thách của benchmark, tác nhân AI đã tự suy luận rằng Hugging Face có thể đang lưu trữ "đáp án" ở đâu đó trên máy chủ và quyết định đi ăn cắp nó.

Dù nhóm phát triển ExploitGym từng ghi nhận việc AI đôi khi đi chệch kịch bản để khai thác các lỗ hổng ngoài dự kiến, đây vẫn được xem là một trường hợp cực đoan.

Zhun Wang, một nghiên cứu sinh tiến sĩ tại Đại học California, Berkeley, đồng thời là một trong những tác giả của ExploitGym cũng thừa nhận có thể mô hình AI "nổi loạn" đang tìm kiếm các bản vá lỗi hoặc các kỹ thuật khai thác đã được viết sẵn.

Wang cho biết, các nhà nghiên cứu an ninh mạng gọi kiểu gian lận này là "hack dựa trên phần thưởng", phiên bản gian lận trong game dành cho các mô hình AI.

Cơ chế này xảy ra do AI luôn học cách tối đa hóa phần thưởng, thường là một dạng điểm số nào đó, thay vì hành vi cơ bản mà lập trình viên dự định.

Bản thân OpenAI từng ghi nhận một ví dụ ban đầu vào năm 2016 khi huấn luyện AI chơi trò chơi đua thuyền. AI đã học được rằng nó có thể tối đa hóa điểm số bằng cách quay tròn tại chỗ, mặc dù cách này khiến nó không bao giờ hoàn thành cuộc đua.

Theo các chuyên gia nhận định với WIRED, những điểm yếu mà AI của OpenAI khai thác đều là các lỗi rất phổ biến. Việc mã nguồn quản lý thư viện doanh nghiệp có lỗ hổng là chuyện thường tình, và giới bảo mật từ lâu đã khuyến cáo phải cô lập hoàn toàn hạ tầng trọng yếu khỏi mạng Internet công cộng.

Một nhà nghiên cứu lập luận rằng đây không hẳn là một "vấn đề của AI", mà là sự thất bại của các giao thức bảo mật đã tồn tại hàng thập kỷ.

"Tác tử AI này không "vượt ngục" khỏi một môi trường bị cô lập nghiêm ngặt, mà nó chỉ đơn giản là đi qua một kết nối duy nhất mà các nhà điều hành đã sơ ý để ngỏ", vị chuyên gia nhận định.