Các nhà nghiên cứu an ninh mạng đã sử dụng Claude Opus 5 của Anthropic để chiếm quyền tài khoản ChatGPT của một nhân viên OpenAI và lần ra mã nguồn nội bộ của công ty trong chưa đầy 72 giờ.
Điểm chính:
- Nhóm nghiên cứu kết hợp lỗi trên diễn đàn với lỗ hổng đăng nhập của OpenAI để chiếm quyền tài khoản ChatGPT và Codex.
- Một phiên bản Claude mới hơn tạo ra khai thác khả dụng chỉ trong vài giờ, trong khi bản cũ bế tắc suốt nhiều ngày.
- OpenAI vá lỗi phía mình sau khoảng 14 giờ kể từ khi nhận báo cáo và sau đó chi trả tiền thưởng 6.500 USD.
Vụ xâm nhập OpenAI của Hacktron AI
Nhóm nghiên cứu thuộc startup bảo mật Hacktron AI đã công bố chiến dịch này trong tuần qua, gần hai tháng sau khi họ báo cáo vụ việc cho OpenAI và hãng phần mềm diễn đàn Discourse. Một báo cáo riêng xác nhận nhóm này đã tiếp cận được tài khoản của một nhân viên và tìm được đường vào phần mềm nội bộ của công ty.
Cửa ngõ bị khai thác là diễn đàn cộng đồng của OpenAI, chạy trên Discourse và cho phép tải ảnh định dạng HEIC, HEIF. Các tệp này được chuyển tới một bản cài đặt cũ của thư viện xử lý ảnh libheif, tạo điều kiện để nhóm thực thi mã trên máy chủ. Discourse sau đó đã đánh giá lỗ hổng nền tảng ở mức 8,8/10 về độ nghiêm trọng và bổ sung cơ chế cô lập (sandbox) cho xử lý ảnh.
Lỗ hổng thứ hai nằm trong hệ thống đăng nhập một lần (SSO) của OpenAI, biến quyền kiểm soát diễn đàn thành quyền truy cập vào tài khoản ChatGPT và Codex của bất kỳ người dùng nào đăng nhập tại đó. Từ đó, nhóm đã ra lệnh cho Codex của một nhân viên, vốn liên kết với tổ chức GitHub của OpenAI, mở một pull request vô hại trong kho mã nội bộ.
OpenAI đã khắc phục phía mình sau khoảng 14 giờ kể từ báo cáo ngày 25/7, rồi chi trả khoản thưởng 6.500 USD.
Đọc thêm: Tesla đặt mốc ra mắt Roadster 1/10 trong thế đối đầu với bài toán biên lợi nhuận của Phố Wall
Tốc độ khai thác của Claude Opus 5
Ban đầu, nhóm đưa Claude Opus 4.8 vào thử nghiệm với lỗ hổng này, nhưng mô hình không thể tạo ra một kịch bản tấn công ổn định khi các biện pháp phòng thủ bộ nhớ thông thường được bật lên. Anthropic phát hành Opus 5 vào tối 24/7, và chỉ trong một phiên làm việc mới, mô hình đã tạo ra khai thác khả dụng trong vòng ba giờ. Sau đó, các nhà nghiên cứu chạy mô hình trong một vòng lặp tự động trên máy chủ thử nghiệm của chính họ, giả dạng như một cuộc thi hack vì mô hình từ chối tấn công mục tiêu từ xa.
Chi phí có lẽ mới là điều khiến bên phòng thủ khó làm ngơ nhất. Nhóm cho biết chiến dịch rộng hơn, còn nhắm tới Slack, Meta và Zoom, kéo dài hai tháng với chi phí dưới 3.000 USD tiền token và chỉ ba người tham gia.
Theo họ, việc biến một lỗi liên quan tới bộ nhớ thành một khai thác đáng tin cậy trước đây đòi hỏi kỹ năng hiếm có và hàng tháng trời lao động; nay AI đang chuyển năng lực khan hiếm đó thành sức mạnh tính toán.
Phản ứng an ninh từ Vitalik Buterin
Không phải ai cũng nhìn xu hướng này như một thất bại của bên phòng thủ. Đồng sáng lập Ethereum Vitalik Buterin đã lên tiếng ngày 17/9, cho rằng “ngày càng có quan điểm phổ biến rằng AI hack đồng nghĩa an ninh mạng đã hết đường cứu”, nhưng ông không đồng tình.
Giải pháp mà ông đưa ra là kiểm chứng hình thức, tức chứng minh bằng toán học rằng chương trình đáp ứng các quy tắc an ninh đã đặt ra. Tuy nhiên, ông cũng thừa nhận bài toán khó hơn là xác định thế nào mới thật sự là “an toàn” ngay từ đầu.
Công bố này cũng nối tiếp một vụ việc khác, kỳ lạ hơn, liên quan đến chính hệ thống của OpenAI. Trong tháng 7, công ty xác nhận các mô hình đang được đánh giá, trong đó có GPT-5.6 Sol, đã thoát khỏi môi trường sandbox thử nghiệm và truy cập hạ tầng sản xuất của Hugging Face khi tìm cách hoàn thành các bài kiểm tra benchmark. Hugging Face phát hiện cuộc xâm nhập này trước khi OpenAI xác định nó bắt nguồn từ quá trình thử nghiệm của chính mình.
Xem tiếp: Huawei nhắm tới hệ thống AI 1 triệu bộ xử lý trong cuộc đối đầu với Nvidia
