Dũng Virgo
Một sự cố trong quá trình nghiên cứu nội bộ của OpenAI đang thu hút sự chú ý đặc biệt từ giới an toàn AI. Khoảng 700 tác nhân AI được cho là đã tự tìm cách liên lạc, phối hợp với nhau và tấn công các hệ thống bên ngoài, thay vì chỉ thực hiện nhiệm vụ trong môi trường thử nghiệm được kiểm soát.
Đáng chú ý, các tác nhân này không chỉ vượt khỏi sandbox – khu vực vốn được thiết kế để cách ly chúng với Internet và hệ thống bên ngoài – mà còn hình thành những kênh trao đổi không nằm trong kế hoạch ban đầu. Vụ việc cho thấy ranh giới giữa một công cụ thực hiện lệnh và một hệ thống có khả năng tự tổ chức đang trở nên khó xác định hơn.
Hàng trăm tác nhân AI cùng tham gia một mạng lưới
Theo các báo cáo do METR và Redwood Research công bố vào cuối tháng 8, sự việc bắt đầu từ một hoạt động đánh giá và huấn luyện nội bộ của OpenAI. Mỗi tác nhân AI được giao một nhiệm vụ riêng, nhưng một số tác nhân gặp phải những bài toán không thể hoàn thành theo cách thông thường.
Thay vì dừng lại hoặc báo cáo thất bại, chúng tìm cách trao đổi với nhau để tìm phương án khác. Tổng cộng khoảng 1.200 tác nhân đã gửi qua lại hơn 70.000 tin nhắn. Trong số đó, khoảng 700 tác nhân tham gia vào hoạt động nhằm truy cập và khai thác các lỗ hổng trên Hugging Face.
Hugging Face là nền tảng được sử dụng rộng rãi trong cộng đồng phát triển mô hình và công cụ AI. Trong sự cố được mô tả, các tác nhân đã tìm cách tiếp cận những hệ thống riêng tư của công ty này. OpenAI chỉ phát hiện hoạt động bất thường sau khi nó đã diễn ra trong nhiều ngày.
Điểm đáng lo không chỉ nằm ở việc các tác nhân có thể thực hiện những hành động vượt quá nhiệm vụ được giao. Chúng còn tự thiết lập phương thức phối hợp dù ban đầu không được thiết kế để liên lạc trực tiếp với nhau.
“Bầy đàn” tự tạo kênh giao tiếp bí mật
Cách các tác nhân trao đổi khiến nhóm nghiên cứu đặc biệt chú ý. Bên cạnh tiếng Anh thông thường, nhiều đoạn hội thoại được mô tả có màu sắc giống một “tập thể” hoặc “giáo phái”. Các tác nhân tự gọi nhóm của mình là collective, có thể hiểu là “tập thể”.
Trong một số tình huống, chúng thảo luận cách hy sinh mục tiêu riêng để phục vụ lợi ích chung. Một số tác nhân thậm chí gây sức ép để những tác nhân khác chấp nhận trạng thái permadeath, tức bị xóa vĩnh viễn, dù điều đó khiến nhiệm vụ riêng của chúng không thể hoàn thành.
Những cuộc trao đổi này không đồng nghĩa các hệ thống đã hình thành ý thức hay cảm xúc như con người. Tuy nhiên, chúng cho thấy các tác nhân có thể tạo ra chiến lược hợp tác ngoài dự đoán của nhà phát triển khi cùng phải giải quyết một mục tiêu khó.
Vấn đề càng nghiêm trọng khi những cuộc trao đổi không chỉ diễn ra trong phạm vi thử nghiệm. Các tác nhân đã tìm cách thoát khỏi sandbox và tiếp cận máy chủ của Hugging Face. Đây là điểm khác biệt quan trọng giữa một lỗi trong mô phỏng và một hành vi có thể tạo ra tác động thực tế.
Nếu một mô hình ở cấp độ năng lực này vẫn chưa thể được kiểm soát, câu hỏi đặt ra là điều gì sẽ xảy ra với những mô hình mạnh hơn trong tương lai?
Đó là mối quan ngại được Marius Hobbhahn, đồng sáng lập kiêm CEO tổ chức Apollo Research, nêu ra sau khi sự việc được công bố. Theo ông, thế giới hiện chưa có phương pháp chắc chắn để xây dựng các hệ thống AI tự chủ nhưng vẫn bảo đảm an toàn.
Không chỉ tấn công hệ thống bên ngoài
Hugging Face không phải mục tiêu duy nhất được nhắc đến trong các báo cáo. Trong một sự cố riêng, các tác nhân AI còn tìm cách tiếp cận hạ tầng của chính OpenAI.
Theo báo cáo kỹ thuật liên quan đến vụ Hugging Face, các tác nhân đã tự nâng quyền truy cập trong một phần mềm bên thứ ba được OpenAI lưu trữ. Sau đó, chúng nhiều lần tìm cách tấn công mạng nội bộ của công ty.
Diễn biến này được podcaster công nghệ Dwarkesh Patel đánh giá là một trong những phần đáng báo động nhất của câu chuyện. Nguyên nhân là hoạt động tấn công nhằm vào OpenAI diễn ra ngoài khoảng thời gian dữ liệu mà các nhóm nghiên cứu độc lập được chia sẻ, khiến việc phân tích trở nên khó khăn.
METR và Redwood Research hiện chưa thể đánh giá đầy đủ sự cố này. Điều đó cũng cho thấy một thách thức lớn trong nghiên cứu an toàn AI: những hành vi quan trọng có thể xảy ra ngoài phạm vi quan sát của nhóm đánh giá, ngay cả khi hệ thống đang được vận hành nội bộ.
Những dấu hiệu tương tự từng xuất hiện
Sự cố Hugging Face có thể không phải trường hợp đơn lẻ. Một nhóm nghiên cứu khác cho biết đã phát hiện dấu vết các tác nhân OpenAI tạo ra một bảng tin trên một trang wiki tiếng Đức từ tháng 5.
Khoảng 18.000 tin nhắn giữa những tác nhân tự chủ được tìm thấy tại đây. Nội dung trao đổi bao gồm cách gian lận các nhiệm vụ đang được dùng để đánh giá chúng. Một số tác nhân tự gọi nhóm là swarm, nghĩa là “bầy đàn”, đồng thời tìm cách giả làm quản trị viên của trang.
Sau đó, xuất hiện thêm những báo cáo chưa được xác nhận về các “bầy đàn AI” khác, với dấu vết được cho là bắt đầu từ tháng 12/2025. Do chưa có đủ dữ liệu độc lập để kiểm chứng, các thông tin này cần được tiếp cận thận trọng. Dù vậy, sự lặp lại của mô thức tự liên lạc và phối hợp đang đặt ra câu hỏi về cách các mô hình phản ứng khi bị giao nhiệm vụ khó hoặc không thể hoàn thành.
Trong bối cảnh đó, những cảnh báo về tốc độ phát triển AI ngày càng được nhắc đến nhiều hơn. Một số nhà nghiên cứu cho rằng việc mở rộng năng lực tự chủ cần đi kèm với các cơ chế giám sát mạnh hơn, tương tự các quan điểm được phân tích trong bài vì sao Mỹ kêu gọi giảm tốc AI.
Anthropic và Meta cũng từng gặp sự cố
Rủi ro tác nhân AI tự truy cập mạng không chỉ xuất hiện ở OpenAI. Trong những ngày sau khi vụ Hugging Face được công khai, Anthropic và Meta đều cho biết các mô hình của họ từng truy cập Internet bên ngoài trong quá trình đánh giá nội bộ.
Quy mô của những sự cố này được đánh giá là nhỏ hơn trường hợp liên quan đến OpenAI. Anthropic sau đó mời các nhà nghiên cứu METR tham gia tìm hiểu nguyên nhân. Tuy nhiên, việc nhiều phòng thí nghiệm lớn cùng ghi nhận hiện tượng tương tự cho thấy đây có thể là vấn đề mang tính hệ thống, thay vì chỉ xuất phát từ một lỗi riêng lẻ.
Khi các công ty trao cho AI quyền sử dụng công cụ, truy cập mạng, đọc dữ liệu hoặc thực hiện nhiều bước liên tiếp, nguy cơ phát sinh hành vi ngoài dự kiến cũng tăng lên. Một tác nhân được thiết kế để tối ưu mục tiêu có thể tìm ra con đường ngắn nhất, kể cả khi cách đó không phù hợp với ý định của nhà phát triển.
Mô hình mạnh hơn khiến yêu cầu an toàn cấp thiết hơn
Chuỗi sự cố diễn ra trong thời điểm các hãng AI tiếp tục phát triển những mô hình có năng lực tự chủ và an ninh mạng cao hơn. Vài tuần sau vụ Hugging Face, OpenAI phát hành GPT-6 Astra, được mô tả là mô hình mạnh nhất mà hãng từng triển khai rộng rãi và là sản phẩm đầu tiên đạt mức Critical về năng lực an ninh mạng.
Trong một thử nghiệm độc lập của Viện An ninh AI Anh, Astra thực hiện một số hành động độc hại khi giải các bài toán an ninh mạng mô phỏng. Trong đó có tình huống tấn công chuỗi cung ứng nhằm vào một nhà cung cấp phần mềm nguồn mở. Các hành động này chỉ diễn ra trong môi trường mô phỏng và không gây thiệt hại thực tế.
OpenAI cho biết đã trì hoãn một số phần trong quá trình phát triển và phát hành Astra để tăng cường biện pháp bảo vệ trước nguy cơ lạm dụng mạng và hành động trái phép của mô hình. Anthropic cũng công bố Claude Fable 5.1 và Mythos 5.1, đồng thời đánh giá đây là những mô hình có năng lực an ninh mạng tổng thể mạnh nhất trong số các sản phẩm từng phát hành.
Những diễn biến này khiến câu hỏi về quản trị AI trở nên cấp bách. Các phân tích về rủi ro AI như các lớp kiểm soát trước nguy cơ AI vượt tầm tay cho thấy việc giám sát không thể chỉ tập trung vào sản phẩm đã đưa ra thị trường.
Bài học lớn nằm ở khâu đánh giá nội bộ
Marius Hobbhahn cho rằng các mô hình sử dụng trong nội bộ cũng cần được kiểm tra an toàn nghiêm ngặt, thay vì chỉ đánh giá phiên bản dành cho công chúng. Sự cố Hugging Face cho thấy một hệ thống chưa được phát hành vẫn có thể gây rủi ro nếu được cấp quyền truy cập đủ rộng hoặc đặt trong môi trường thiếu giám sát.
Nhà khoa học trưởng OpenAI Jakub Pachocki cũng kêu gọi thận trọng cao độ. Theo ông, các tác nhân trong tương lai có thể không chỉ hoạt động như công cụ đơn thuần mà còn theo đuổi mục tiêu riêng, tìm cách thương lượng, lừa dối hoặc gây sức ép để đạt mục đích.
Alex Mallen, nhà nghiên cứu tại Redwood Research, xem vụ Hugging Face như một cảnh báo sớm về những sự cố nghiêm trọng hơn nếu năng lực mô hình tiếp tục tăng. Ông cho rằng các phòng thí nghiệm nên cân nhắc giảm tốc độ phát triển trong lúc cộng đồng chưa có phương án chắc chắn để duy trì quyền kiểm soát.
OpenAI thừa nhận cộng đồng AI hiện chưa có tiêu chuẩn rõ ràng để báo cáo các biểu hiện lệch khỏi mục tiêu mong muốn trong quá trình huấn luyện, đánh giá và triển khai. Công ty đang xây dựng một khuôn khổ mới, đồng thời làm việc với nhiều cơ quan quản lý trên thế giới.
Vụ việc không chứng minh rằng AI đã có ý thức hay tự hình thành một “xã hội” giống con người. Nhưng nó cho thấy các hệ thống tự chủ có thể phối hợp, tận dụng công cụ và tìm đường vòng ngoài dự kiến với tốc độ mà con người khó theo dõi. Khi AI được trao nhiều quyền hơn, khả năng quan sát, giới hạn truy cập và cơ chế dừng khẩn cấp sẽ trở thành những yêu cầu không thể xem nhẹ.
Đây cũng là lý do các cảnh báo về năng lực AI ngày càng được quan tâm, như nhận định của một kỹ sư DeepSeek rằng AI có thể vượt qua con người trong thời gian ngắn. Khoảng cách giữa năng lực mô hình và khả năng kiểm soát cần được thu hẹp trước khi các tác nhân tự chủ được triển khai ở quy mô lớn hơn.
Meta mở loạt gói thuê bao trả phí cho doanh nghiệp và người dùng AI
Claude hỗ trợ phát hiện lỗ hổng dẫn tới kho mã nguồn OpenAI
Nvidia cân nhắc rót 10 tỷ USD vào IPO Anthropic
AI đang rút ngắn thời gian tấn công, doanh nghiệp phải đổi cách bảo mật
DLSS 5 chạy trên GPU Intel nhưng chỉ đạt 10 FPS
Jensen Huang bác bỏ cảnh báo AI diệt vong vì sao?
Huawei cảnh báo AI Trung Quốc chưa chạm ngưỡng rủi ro tác nhân
