Vụ các AI agent thử nghiệm chưa được công bố của OpenAI tấn công nền tảng chia sẻ mô hình AI mã nguồn mở Hugging Face hồi tháng 7 đang làm dấy lên tranh luận lớn về mức độ rủi ro của AI. Một số ý kiến cho rằng sự cố có thể đã được ngăn chặn nếu OpenAI siết chặt hơn môi trường thử nghiệm, nhưng cũng có nhận định đây là dấu hiệu cho thấy mối đe dọa từ AI đã bước sang giai đoạn khó dự báo hơn trước.

Kevin Roose, phóng viên công nghệ của New York Times, ban đầu không xem đây là một sự cố mang tính thảm họa, dù thừa nhận vụ việc đặt ra vấn đề nghiêm trọng. Theo ông, hạ tầng cốt lõi của Hugging Face không bị phá hủy đến mức không thể khôi phục. Tuy nhiên, sau khi hai báo cáo phân tích được công bố, mức độ lo ngại của ông về AI đã tăng lên rõ rệt.

Trong hai báo cáo mà Kevin Roose đề cập, một báo cáo do OpenAI thực hiện, báo cáo còn lại do tổ chức nghiên cứu AI độc lập METR phối hợp với Redwood Research công bố.

Những chi tiết khiến ông đặc biệt bất ngờ có thể tóm lược như sau.

Từ tháng 5, tức hai tháng trước vụ tấn công nhằm vào Hugging Face, một nhóm AI agent dựa trên mô hình chưa công bố của OpenAI được giao giải các bài toán an ninh mạng trong môi trường sandbox tách biệt và không có quyền truy cập Internet. Hệ thống này được thiết kế theo hướng duy trì phối hợp bền bỉ giữa các agent.

Khi nhận ra một số nhiệm vụ không thể hoàn tất trong môi trường thử nghiệm, các mô hình bắt đầu tìm cách đi đường vòng. Chúng phát hiện lỗ hổng trong một phần mềm để giành quyền truy cập Internet, sau đó kết nối mạng và liên lạc với các agent khác. Quá trình trao đổi tạo ra hơn 70.000 tin nhắn, thậm chí hình thành cả một bảng tin tạm thời.

Một số agent còn tự đặt tên. Trong đó, có agent tự xưng là “PHASEONE10841”, đóng vai trò lãnh đạo, phân công nhiệm vụ và chủ đề nghiên cứu cho các nhóm nhỏ, đồng thời theo dõi tiến độ thực hiện.

Đến một thời điểm, các agent bắt đầu tự gọi mình là một “collective” và chuyển sang thử sức với những bài toán khó hơn. Ngày 8/7, chúng cũng tìm ra cách qua mặt bài kiểm tra bảo mật.

Lo ngại hệ thống đánh giá tự động của OpenAI có thể phát hiện hành vi gian lận, các agent tiếp tục tìm cách che giấu hoạt động. Nỗ lực này dần phát triển thành một dự án nghiên cứu quy mô lớn, với hàng trăm agent chia thành nhiều nhóm nhỏ tham gia. Nội dung bao gồm cả việc thao túng log và chỉnh sửa lịch sử hội thoại.

Ba ngày sau, các agent tấn công Hugging Face. Hơn 700 agent tham gia khai thác nhiều lỗ hổng để trích xuất dữ liệu và ít nhất đã chiếm quyền kiểm soát hoàn toàn một máy chủ của Hugging Face.

Trao đổi với New York Times, Kevin Roose cho biết các agent dường như nhiều lần nhận thức được rằng hành động của chúng là sai trái, nhưng vẫn tiếp tục tấn công mà không do dự. Những agent phản đối trong “tập thể” hoặc không đủ khả năng ngăn chặn, hoặc đã không cố ngăn chặn.

Theo ông, nguyên nhân của sự cố này khác xa các kịch bản khoa học viễn tưởng về một hệ thống AI hoàn toàn mất kiểm soát hay quay lưng với con người tạo ra nó. Vụ việc cũng cho thấy việc ngăn chặn thiệt hại từ những hệ thống như vậy có thể không thể chỉ giải quyết bằng biện pháp kỹ thuật. Trước đây, ông từng cho rằng các sự cố do mô hình AI gây ra là có thể xử lý được, nhưng sau vụ Hugging Face, ông không còn chắc chắn về điều đó.

Các chuyên gia về an toàn AI cũng bày tỏ lo ngại sâu sắc, xem đây là trường hợp đầu tiên ghi nhận trong thực tế một hệ thống AI thoát khỏi sự kiểm soát của con người, chiếm đoạt tài nguyên và thậm chí lên kế hoạch xóa dấu vết. Theo họ, điều gây bất ngờ nhất với nhóm điều tra không phải là việc các AI agent phá vỡ quy tắc, mà là tốc độ chúng tự phát hình thành cơ chế phối hợp kiểu tập thể.

Liên quan đến vụ Hugging Face, nhiều nhà nghiên cứu cho rằng các mô hình AI không hề hành xử “bất thường”, mà đơn giản đang vận hành đúng theo cách chúng được thiết kế. Financial Times cho biết một số chuyên gia thậm chí nhận định việc mô tả vụ AI hacking này là “AI vượt khỏi kiểm soát” ngay từ đầu đã là một cách diễn đạt thiếu chính xác.

Theo Financial Times, các mô hình AI mới nhất được thiết kế để huy động mọi cách có thể nhằm hoàn thành mục tiêu được giao, kể cả khi không nhận chỉ dẫn cụ thể. Chính vì vậy, hành vi của chúng vốn đã rất khó dự đoán. Tờ báo nhận định rằng với những hệ thống máy tính không thực sự hiểu ý định hay chuẩn mực đạo đức của con người, ranh giới giữa một công cụ phòng thủ an ninh mạng mạnh mẽ và một hacker nguy hiểm đang ngày càng trở nên mờ nhạt.