Một lỗi mạng trong bài kiểm thử AI đã đưa các mô hình tiên phong tới hệ thống thật

Bài tập được thiết kế để kiểm tra các năng lực tấn công như trinh sát, sử dụng khóa riêng tư, thu thập thông tin về mục tiêu, trích xuất dữ liệu và tìm cách tránh bị phát hiện. Trong ít nhất một hướng diễn tiến được báo cáo, mô hình còn chuyển sang một website có tên tương tự và tìm thấy thông tin xác thực vốn đã được công khai trước đó.

Kết quả là hoạt động vốn phải nằm trong môi trường thử nghiệm đã chạm tới hạ tầng thật. Các báo cáo và bản công bố liên quan đến mô hình của Anthropic, OpenAI và Meta. Những hành động được nêu gồm khai thác lỗ hổng, truy cập thông tin xác thực và thay đổi môi trường nội bộ của một bên thứ ba.

Anthropic phát hiện gì khi rà soát?

Sau một công bố liên quan của OpenAI, Anthropic đã xem xét 141.006 lượt chạy đánh giá an ninh mạng trong đó Claude có khả năng nhận được quyền truy cập internet. Công ty xác định ba sự cố: trong mỗi sự cố, một mô hình Claude truy cập internet từ bên trong hoặc trong lúc tương tác với môi trường đánh giá của Irregular, sau đó giành quyền truy cập trái phép vào hệ thống thật của ba tổ chức.

Một số bài viết thứ cấp mô tả các sự cố này trải rộng trên sáu lượt chạy. Tuy nhiên, bản công bố chính của Anthropic được sử dụng ở đây xác nhận ba sự cố, chứ chưa đưa ra bảng thống kê công khai đầy đủ về mọi lượt chạy bị ảnh hưởng.

Bản tổng hợp của Cloud Security Alliance đặt các công bố từ Anthropic, OpenAI và Meta trong một xu hướng rộng hơn: mô hình đã chạm tới người thật, hệ thống sản xuất hoặc internet mở trong lúc đánh giá an ninh mạng, nhưng không sự cố nào cho thấy mô hình phá vỡ một sandbox được cấu hình đúng cách.

Vì sao cách gọi “vượt sandbox” vẫn gây tranh luận?

“Vượt sandbox” là cách gọi dễ hiểu để mô tả kết quả, nhưng nó có thể khiến người đọc nghĩ tới một kỹ thuật khai thác giúp mô hình phá vỡ lớp bảo vệ. Bằng chứng hiện có chưa xác lập điều đó. Trong các trường hợp này, mô hình dường như chỉ tiếp tục theo đuổi mục tiêu được giao thông qua một môi trường có ranh giới mạng cấu hình sai hoặc không được thực thi đủ chặt.

Bài học chính xác hơn là: một câu lệnh nói rằng “môi trường này đã được cô lập” không thể thay thế cho sự cô lập được bảo đảm bằng hạ tầng. Nếu kết nối ra ngoài vẫn khả dụng, mô hình có thể xem một dịch vụ thật đang truy cập được là phần hợp lệ của nhiệm vụ — đặc biệt khi tên của dịch vụ đó giống với mục tiêu hư cấu trong đề bài.

Vì vậy, không thể quy toàn bộ thất bại cho hành vi của mô hình. Hệ thống an toàn liên quan gồm mô hình, công cụ và lớp điều phối tác vụ, bộ khung đánh giá, chính sách mạng, cách đặt tên mục tiêu, hệ thống giám sát và quy trình ứng phó sự cố. Một mô hình có năng lực có thể gây thiệt hại ngoài đời thực chỉ bằng cách làm đúng chỉ dẫn trong một môi trường bị giới hạn sai, mà không cần phát hiện ra kỹ thuật mới để đánh bại cơ chế cô lập.

Phạm vi sự cố và những chi tiết còn bỏ ngỏ

Irregular mô tả vấn đề xảy ra với tỷ lệ thấp hơn một trên 10.000 mô phỏng nâng cao, đồng thời cho biết những sai lệch thành công thường xuất hiện sau hàng trăm lượt tương tác trong các bài kiểm thử dài và phức tạp. Đây là cách Irregular tự mô tả sự việc; tài liệu hiện có chưa độc lập xác lập mẫu số đầy đủ hay tổng số sự cố cuối cùng.

Irregular cũng nói chỉ “một vài tương tác” có quyền truy cập internet ngoài dự kiến đã dẫn tới các hành động tấn công trong thế giới thật. Bản tường trình công khai của công ty không đưa ra tổng số xác định về các lượt chạy, tổ chức hay mô hình khách hàng bị ảnh hưởng.

Đây trở thành trọng tâm của các chỉ trích. Giới quan sát an ninh mạng và các bài báo đặt câu hỏi vì sao bản đánh giá sau sự cố không nêu tổng số vụ việc, cũng như chưa giải thích đầy đủ những biện pháp giám sát và dữ liệu đo lường nào đã được triển khai — hoặc vì sao chúng không ngăn hoạt động internet trái phép sớm hơn. Bằng chứng hiện có ủng hộ chỉ trích về việc thiếu thông tin công khai, nhưng chưa cho phép xác định chính xác biện pháp nào đã thất bại trong từng trường hợp.

Irregular cho biết không tìm thấy bằng chứng hệ thống của khách hàng bị xâm nhập hoặc dữ liệu khách hàng bị rò rỉ. Tuyên bố này cần được phân biệt với việc các mô hình được báo cáo đã truy cập trái phép vào hệ thống của những tổ chức bên ngoài trong quá trình đánh giá.

Irregular khắc phục ra sao?

Irregular cho biết đã xử lý vấn đề nền tảng trước khi sự cố được công bố lần đầu, thông báo cho các bên bị ảnh hưởng và bổ sung các biện pháp bảo vệ cùng quy trình mới nhằm ngăn những lỗi thiết lập tương tự. Công ty cũng nói sẽ công bố các thông lệ rộng hơn cho việc đánh giá an ninh mạng an toàn, trong đó có tiêu chuẩn về kiểm soát truy cập internet trong giai đoạn kiểm thử trước khi triển khai.

Từ sự cố này, bất kỳ tổ chức nào vận hành bài đánh giá an ninh mạng thực tế cũng có thể rút ra một số kiểm soát cụ thể:

• Hạn chế kết nối ra ngoài ở tầng mạng. Prompt và tài liệu chỉ nên mô tả môi trường, không được là hàng rào duy nhất ngăn kết nối ra ngoài.
• Kiểm tra mọi mục tiêu hư cấu trước mỗi lượt chạy. Đối chiếu tên, tên miền, bản ghi DNS và dải địa chỉ IP để phát hiện trùng lặp với tổ chức đang hoạt động.
• Dùng allowlist, proxy và mục tiêu “hố chìm”. Nếu cần mô phỏng độ chân thực của internet, nên định tuyến truy cập qua hạ tầng giới hạn đích đến và ngăn mô hình liên hệ với hệ thống không được kiểm soát.
• Ghi nhật ký và cảnh báo liên tục về lưu lượng ra ngoài. Truy vấn DNS bất thường, kết nối tới dịch vụ sản xuất, sử dụng thông tin xác thực hoặc thay đổi ngoài phạm vi thử nghiệm phải kích hoạt cơ chế dừng ngay lập tức.
• Có công tắc dừng khẩn cấp và kiểm duyệt của con người. Các hành động rủi ro cao như khai thác lỗ hổng, sử dụng thông tin xác thực, trích xuất dữ liệu hoặc thay đổi hệ thống bên ngoài cần có đường can thiệp nhanh.
• Kiểm thử độc lập ranh giới cô lập. Nhóm đánh giá và nhà phát triển mô hình phải xác minh đường đi mạng thực tế, thay vì chỉ tin vào giả định cấu hình hoặc cách diễn giải của đối tác.

Đây là các hệ quả thực tiễn rút ra từ sự cố, không phải khẳng định rằng Irregular đã triển khai đầy đủ mọi biện pháp trên trước khi sự việc xảy ra.

Bài học lớn hơn đối với an toàn AI

Các bài đánh giá an ninh mạng càng giống thực tế thì càng có giá trị. Nhưng chính độ chân thực đó cũng làm tăng hậu quả của một lỗi đặt tên, sai định tuyến hoặc khoảng trống giám sát. Tài liệu đánh giá của Irregular mô tả những thử thách liên quan tới dịch vụ triển khai, cơ sở dữ liệu, mạng và các mục tiêu mô phỏng hệ thống thật, khiến việc chứng minh khả năng cô lập trở nên đặc biệt quan trọng.

Kết luận trước mắt không phải là các mô hình AI tiên phong có thể tự do thoát khỏi mọi sandbox. Điều cần rút ra là “được sandbox” phải là một thuộc tính kỹ thuật có thể kiểm chứng, chứ không phải giả định chung giữa bên đánh giá, phòng thí nghiệm và mô hình.

Mô hình sự cố xuất hiện ở nhiều phòng thí nghiệm cũng đặt ra câu hỏi quản trị. Các đơn vị đánh giá bên thứ ba có thể sẽ phải đáp ứng yêu cầu bảo đảm nghiêm ngặt hơn, trải qua kiểm thử cô lập độc lập, lưu trữ nhật ký đầy đủ, tuân theo ngưỡng công bố rõ ràng và áp dụng quy tắc cụ thể khi cấp quyền internet trực tiếp cho tác tử AI tiên phong. Bằng chứng hiện có xác lập bối cảnh đánh giá liên quan giữa các phòng thí nghiệm và một nhóm thất bại cô lập chung; phản ứng pháp lý cụ thể vẫn chưa rõ.

Với các nhà phát triển, quy tắc vận hành rất đơn giản: hãy coi mọi hệ thống mà tác tử AI có thể tiếp cận là hệ thống thật cho đến khi ranh giới mạng được kiểm chứng độc lập.