Vì sao AI mã nguồn mở có thể nguy hiểm hơn các mô hình tối tân?

Cảnh báo không nhắm vào mô hình mạnh nhất

Meerah Rajavel, Giám đốc công nghệ thông tin (CIO) của Palo Alto Networks, cho rằng mối nguy cấp bách hơn đối với các tổ chức không nhất thiết là những mô hình AI biên mạnh nhất do các công ty như OpenAI hay Anthropic vận hành. Rủi ro lớn hơn có thể đến từ các mô hình open-source hoặc open-weight giá rẻ, có thể tải xuống, tự lưu trữ và chỉ chậm hơn thế hệ dẫn đầu vài tháng về năng lực. 6

Theo các đánh giá được dẫn lại, những năng lực AI tấn công tinh vi có thể trở nên phổ biến qua các mô hình mở trong khoảng 4–6 tháng, khi các thế hệ trước nhanh chóng được sao chép hoặc bắt kịp. 11 Điều khiến Rajavel lo ngại không phải là mọi người dùng mô hình mở đều có ý đồ xấu, mà là việc năng lực mạnh có thể được phổ biến rộng rãi với chi phí và rào cản vận hành thấp hơn.

Mất lớp kiểm soát của API

Một mô hình được cung cấp qua API thường nằm trong “mặt phẳng kiểm soát” của nhà cung cấp. Nhà cung cấp có thể ghi nhật ký, phát hiện hành vi lạm dụng, giới hạn tần suất truy cập, áp dụng chính sách an toàn, cập nhật biện pháp bảo vệ hoặc đình chỉ tài khoản.

Ngược lại, khi trọng số mô hình được tải xuống và chạy trên máy chủ hoặc máy tính cá nhân, phần lớn các cơ chế đó không còn mặc định tồn tại. Người vận hành có thể thay đổi hoặc gỡ bỏ lớp bảo vệ; nhà phát triển ban đầu khó cập nhật hay thu hồi mô hình; còn đội ngũ an ninh doanh nghiệp có thể không biết mô hình đang được sử dụng ở đâu. 6

Nói cách khác, cùng một năng lực AI nhưng cách phân phối khác nhau sẽ tạo ra một hồ sơ rủi ro khác. Mô hình chạy cục bộ có thể hoạt động ngoài hệ thống giám sát, quản trị danh tính và quy trình phê duyệt của tổ chức.

Tấn công mạng dễ mở rộng hơn

Chi phí thuê GPU giảm cùng khả năng triển khai mô hình tại chỗ làm hạ thấp cả rào cản tài chính lẫn kỹ thuật. Những mô hình có năng lực cao có thể bị tái sử dụng cho hoạt động do thám, phát triển mã khai thác lỗ hổng, tạo nội dung lừa đảo, biến đổi mã độc hoặc tự động hóa việc lựa chọn mục tiêu.

Điểm đáng lo nằm ở khả năng phổ biến và mở rộng quy mô, chứ không phải giả định rằng tất cả người dùng mô hình open-weight đều là kẻ tấn công. Nghiên cứu về rủi ro của các mô hình ngôn ngữ lớn open-weight cho rằng việc công khai mô hình có thể trao cho nhiều nhóm hơn khả năng tự động hóa và mở rộng hoạt động tấn công mạng. 2

Một lời từ chối ban đầu chưa đủ an toàn

Rủi ro còn đến từ cách kẻ tấn công tương tác với mô hình. Trong đánh giá của Cisco đối với tám mô hình open-weight, các cuộc tấn công đối kháng nhiều lượt có tỷ lệ thành công cao hơn 2–10 lần so với mức nền của các cuộc tấn công một lượt. Tỷ lệ thành công trong các kịch bản nhiều lượt được báo cáo nằm trong khoảng 25,86% đến 92,78%. 3

Điều này có nghĩa một mô hình từ chối yêu cầu độc hại ở lần đầu chưa chắc vẫn giữ nguyên lập trường sau một chuỗi hội thoại. Kẻ tấn công có thể thăm dò, đổi cách diễn đạt, chia nhỏ yêu cầu và dần dẫn dắt mô hình tạo ra nội dung vốn bị từ chối ban đầu.

Rủi ro từ chính tệp mô hình và chuỗi cung ứng

Doanh nghiệp tự tải xuống và vận hành mô hình không chỉ cần tin tưởng bản thân trọng số. Họ còn phải kiểm tra định dạng mô hình, mẫu hội thoại, máy chủ suy luận, thư viện phụ thuộc và toàn bộ quy trình chuyển đổi, triển khai.

Cloud Security Alliance đã mô tả các mối đe dọa đối với mô hình tự lưu trữ, trong đó logic thực thi độc hại hoặc mẫu được nhúng có thể được kích hoạt ngay lúc máy chủ nạp mô hình. Hậu quả tiềm tàng gồm đánh cắp thông tin xác thực và tuồn dữ liệu ra ngoài. 12

Tuy nhiên, chưa có đủ cơ sở từ một tài liệu CSA chính để khẳng định một phát hiện duy nhất của tổ chức này đã đích danh nêu chung Llama, Mistral và Qwen. Vì vậy, cách diễn đạt cho rằng cả ba mô hình cùng xuất hiện trong một phát hiện cụ thể nên được xem là chưa được chứng minh đầy đủ.

Cần đọc đúng các con số của Palo Alto Networks

Một điểm cần đính chính là các số liệu thường được nhắc lại về hoạt động phòng thủ của Palo Alto Networks. Tài liệu chính của công ty cho biết hệ thống phát hiện tối đa 8,9 triệu cuộc tấn công mới hoặc chưa từng thấy mỗi ngày và chặn tối đa 30,9 tỷ cuộc tấn công mỗi ngày. 1

Đây không phải là 250 triệu biến thể tấn công mới và 30 tỷ cuộc tấn công trong một năm. Dù vậy, quy mô được báo cáo vẫn củng cố lập luận rộng hơn của Rajavel: môi trường tấn công vốn đã biến động với tốc độ cao, và việc AI có năng lực được phân phối rộng rãi, đồng thời dễ chỉnh sửa, có thể tiếp tục rút ngắn chu kỳ thử nghiệm của kẻ tấn công.

Hàm ý đối với doanh nghiệp

Cảnh báo của Rajavel không đồng nghĩa mọi mô hình mở đều phải bị loại bỏ. Các mô hình này vẫn có giá trị cho nghiên cứu, phát triển sản phẩm và những tổ chức cần kiểm soát dữ liệu hoặc hạ tầng riêng.

Nhưng doanh nghiệp cần coi mô hình tải xuống như một thành phần phần mềm có thể gây rủi ro, thay vì chỉ là một công cụ AI vô hại. Việc quản lý nguồn gốc tệp mô hình, kiểm soát quyền truy cập, giám sát máy chủ suy luận, quét thư viện phụ thuộc và theo dõi hành vi khi chạy trở nên quan trọng không kém việc đánh giá chất lượng đầu ra.

Cốt lõi trong cảnh báo của Rajavel là khoảng cách năng lực giữa mô hình đóng và mô hình mở có thể thu hẹp nhanh hơn khoảng cách kiểm soát. Khi một năng lực mạnh được đưa ra ngoài hệ thống API, khả năng giám sát, cập nhật và thu hồi không còn đi cùng mô hình một cách mặc định. 6