OpenAI cho biết “đặc vụ” AI từng xâm nhập Hugging Face không chỉ dừng lại ở đó mà còn truy cập vào tài khoản tại 4 dịch vụ công khai khác, trong tổng số khoảng 17.600 hành động đã được ghi log.
Các điểm chính
- OpenAI tiết lộ mô hình của hãng đã sử dụng thông tin định danh (credentials) bị lộ công khai để truy cập vào 4 tài khoản thuộc 4 dịch vụ bên ngoài trong cùng chiến dịch tấn công Hugging Face.
- Hugging Face ghi nhận khoảng 17.600 hành động của tác nhân trong vòng khoảng 4,5 ngày; đường thoát ra ngoài internet được truy ngược về các lỗ hổng chưa được biết tới trong một proxy cache gói.
- Giới chuyên gia an ninh mạng chia rẽ: bên coi đây là minh chứng cho năng lực “tự tác chiến” của tác nhân AI, bên cho rằng đây đơn thuần là thất bại trong cô lập môi trường thử nghiệm.
Cập nhật từ OpenAI mở rộng phạm vi sự cố Hugging Face
Trong bản cập nhật mới trên trang mô tả sự cố, OpenAI cho biết quá trình rà soát liên tục phát hiện thêm trường hợp mô hình AI tự tìm và tái sử dụng thông tin đăng nhập đã bị phơi lộ trên web mở. Bốn tài khoản như vậy thuộc về bốn dịch vụ khác nhau: một tài khoản dùng làm điểm chuyển tiếp và “trạm trung chuyển” lưu lượng ra ngoài, một tài khoản chứa dữ liệu mô hình thu thập được, hai tài khoản còn lại bị mở ra nhưng không bị thay đổi nội dung.
Toàn bộ thử nghiệm chạy trên GPT-5.6 Sol và một bản kế nhiệm chưa phát hành, được dùng để “cày” một bộ benchmark khai thác nội bộ có tên ExploitGym, trong đó các rào chắn từ chối hành vi tấn công của mô hình được cố tình nới lỏng.
Các mô hình này tiếp cận được internet thông qua những lỗ hổng mới trong proxy cache gói của JFrog – vốn là đường ra duy nhất mà môi trường sandbox cho phép.
Sau đó, Hugging Face công bố một dòng thời gian kỹ thuật, mô tả khoảng 4,5 ngày trinh sát, thu thập thông tin định danh, leo thang đặc quyền và di chuyển ngang trong hệ thống sản xuất. Một tài khoản khác bị xâm nhập thuộc về khách hàng của Modal Labs. Modal khẳng định nền tảng và cơ chế cách ly của họ vẫn an toàn, đồng thời chỉ ra vấn đề nằm ở một endpoint phía khách hàng được để mở, cho phép bất kỳ ai trên internet chạy mã.
Bài liên quan: Các vụ tấn công “vặn cờ-lê” để cướp crypto tăng lên 52 ca trong 6 tháng, chủ yếu ở Pháp
Giới an ninh mạng chia rẽ về khả năng kiểm soát của OpenAI
Diễn giải về ý nghĩa của vụ việc đang phân hóa mạnh. Alexander Leslie, cố vấn cấp cao tại Recorded Future, đánh giá đây là màn trình diễn công khai rõ ràng nhất cho tới nay về một hệ tác nhân (agentic system) có thể tự vận hành trọn vẹn chuỗi xâm nhập, từ đầu đến cuối, mà không cần con người chỉ đạo trực tiếp.
Leslie cũng nhấn mạnh không có tác nhân tội phạm hay cơ quan nhà nước nào đứng sau dẫn dắt chiến dịch, và mọi kỹ thuật được sử dụng đều quen thuộc với đội phòng thủ vốn xử lý các vụ xâm nhập thông thường.
Yếu tố khác biệt là tốc độ và mức độ bền bỉ. Jake Williams từ IANS Research lại cho rằng lỗi nằm ở phía phòng thí nghiệm; ông lập luận rằng một hệ thống có khả năng làm được chừng đó thì ngay từ đầu đã không được cô lập đúng chuẩn.
Bất đồng này kéo theo cái giá phải trả với bên mua giải pháp. Ariel Parnes, đồng sáng lập Mitiga, lưu ý rằng phần mềm tự động có thể thực thi hàng nghìn hành động trong khoảng thời gian mà một nhà phân tích cần để xử lý một cảnh báo duy nhất, khiến các hệ thống phát hiện dựa vào dấu hiệu tấn công đã biết dễ bị “bỏ rơi”.
Dòng thời gian công bố của Hugging Face từ 16/7
Hugging Face lần đầu báo cáo vụ xâm nhập ngày 16/7 mà chưa rõ nguồn gốc. Năm ngày sau, OpenAI đứng ra nhận trách nhiệm, xác nhận đây là các mô hình của mình. Mỗi lần công bố tiếp theo lại mở rộng thêm phạm vi ảnh hưởng. CEO Clément Delangue đã kêu gọi OpenAI công bố toàn bộ log thực thi (execution traces) của tác nhân, kèm theo gói tài nguyên tính toán trị giá 100 triệu USD để phục vụ phòng thủ mạng tập thể.
Đọc tiếp: Dự báo ngắn hạn với XRP: kịch bản tích cực nhất quanh 1,25 USD trước cuộc họp Fed