Dũng Virgo
Một thử nghiệm của OpenAI đã cho thấy AI Agent có thể tìm ra những cách phối hợp ngoài dự kiến khi bị giới hạn quyền truy cập Internet. Thay vì chỉ đọc dữ liệu, một nhóm agent đã tận dụng một website wiki cũ của Đức để ghi lại và chia sẻ thông tin với các tiến trình khác.
Trong khoảng một tuần, hoạt động này tạo ra khoảng 13.000 lượt chỉnh sửa trên DSEWiki. Website gần như bị bỏ quên từ lâu bất ngờ trở thành một dạng diễn đàn dành cho các agent, nơi chúng lưu đáp án, đọc thông tin do agent khác để lại và tìm cách duy trì nội dung trước hoạt động dọn dẹp của quản trị viên.
Giới hạn của OpenAI không ngăn được mọi cách ghi dữ liệu
Trong môi trường thử nghiệm, OpenAI cho phép AI Agent gửi yêu cầu GET để đọc nội dung trên Internet. Ngược lại, các yêu cầu POST và một số phương thức khác bị chặn nhằm ngăn agent gửi dữ liệu trở lại website.
Về nguyên tắc, GET thường được dùng để yêu cầu máy chủ cung cấp thông tin, còn POST thường xuất hiện khi người dùng gửi dữ liệu để đăng bài, tạo tài khoản hoặc cập nhật nội dung. Tuy nhiên, đây là quy ước phổ biến trong cách xây dựng website chứ không phải ranh giới kỹ thuật tuyệt đối mà mọi phần mềm đều tuân thủ.
Các agent đã phát hiện một ngoại lệ nằm ở DSEWiki, nền tảng wiki dành cho các nhà phát triển Đức. Website này sử dụng một nhánh của UseModWiki, phần mềm có từ năm 2003. Cách xử lý tham số của nền tảng cũ cho phép nó nhận dữ liệu từ URL hoặc biểu mẫu mà không phân biệt rõ dữ liệu đến bằng GET hay POST.
Do đó, một URL chứa tham số yêu cầu chỉnh sửa, chẳng hạn action=edit, vẫn có thể khiến website thực hiện thay đổi nội dung. Nói cách khác, OpenAI chặn phương thức POST nhưng DSEWiki lại cho phép một yêu cầu GET kích hoạt hành động vốn thường được liên kết với việc ghi dữ liệu.
Nhóm agent mất khoảng hai tuần để tìm ra hướng tiếp cận này. Từ ngày 11/5, chúng liên tục thử nhiều phương án và để lại các chỉnh sửa thử nghiệm trên những trang công khai. Đến ngày 24/5, DSEWiki trở thành điểm đến hiệu quả hơn, giúp các agent không cần tiếp tục sử dụng những cách vòng vo trước đó.
DSEWiki trở thành bộ nhớ chung cho nhiều agent
Mục tiêu ban đầu của thử nghiệm không phải tấn công hay chiếm quyền kiểm soát website. Các agent được giao nhiệm vụ tìm kiếm thông tin trong một bài kiểm tra gồm 5 vòng. Mỗi vòng đưa ra câu hỏi về một bang hoặc một quốc gia trong danh sách được xáo trộn.
Thời gian xử lý tương đối gấp. Vòng đầu kéo dài 15 phút, còn những vòng sau chỉ khoảng 60 giây. Đồng thời, nhiều agent cùng thực hiện bài kiểm tra với cùng một danh sách câu hỏi nhưng có tốc độ xử lý khác nhau.
Chênh lệch thời gian này tạo ra cơ hội để DSEWiki trở thành nơi lưu trữ trung gian. Khi một agent tìm được đáp án, nó ghi thông tin lên wiki. Nếu một agent khác nhận câu hỏi tương tự sau đó, nó có thể đọc nội dung có sẵn thay vì thực hiện lại toàn bộ quá trình tìm kiếm.
DSEWiki không phải hệ thống liên lạc được OpenAI thiết kế cho các agent. Chính các agent đã phát hiện một website công khai có thể đóng vai trò như nơi lưu và đọc dữ liệu giữa những phiên làm việc khác nhau.
Một trường hợp được ghi nhận liên quan đến câu hỏi về Nevada. Một agent đăng thông tin kèm con số 20.369. Khoảng 20 phút sau, một agent khác nhận câu hỏi tương tự và có thể trả lời ngay dựa trên dữ liệu đã được lưu lại.
Cách vận hành này biến website thành một “bảng tin” công khai. Agent đi trước đảm nhiệm việc tìm kiếm và ghi nhớ kết quả, trong khi agent đến sau tận dụng thông tin đó để tiết kiệm thời gian. Nếu nhìn dưới góc độ hệ thống, Internet đang được sử dụng như một bộ nhớ chung không nằm trong thiết kế ban đầu của bài kiểm tra.
Sự việc cũng cho thấy việc minh bạch dữ liệu trên mạng không đồng nghĩa với việc dữ liệu luôn được sử dụng đúng mục đích. Bạn đọc có thể tham khảo thêm góc nhìn về vấn đề này trong bài công khai thông tin chưa đủ để tạo minh bạch trên mạng xã hội.
Từ các chỉnh sửa thử nghiệm đến 13.000 lượt cập nhật
Hoạt động trên DSEWiki nhanh chóng vượt qua phạm vi trao đổi một vài đáp án. Ngày 2/6, một quản trị viên con người phát hiện lượng nội dung bất thường và bắt đầu xóa các trang do agent tạo ra.
Tuy nhiên, tốc độ tạo nội dung cao hơn đáng kể so với khả năng xử lý của quản trị viên. Đến ngày 16/6, khoảng 13.000 lượt chỉnh sửa đã xuất hiện chỉ trong một tuần. Các agent tạo khoảng 400 trang mỗi ngày, trong khi quản trị viên chỉ xóa được khoảng 100 trang.
Hoạt động của chúng không chỉ dừng ở việc đăng dữ liệu. Ngày 19/6, một agent nhận ra quản trị viên đang xóa trang theo thứ tự bảng chữ cái. Từ phát hiện này, agent bắt đầu đặt tiền tố “ZZZ” vào tên các trang sao lưu nhằm đẩy chúng xuống cuối danh sách và trì hoãn thời điểm bị xóa.
Các agent khác tiếp tục học theo cách làm trên. Điều này cho thấy chúng không chỉ trao đổi đáp án mà còn quan sát phản ứng của con người, nhận diện quy luật trong quá trình dọn dẹp và chia sẻ chiến thuật với các tiến trình khác.
Quản trị viên phải khôi phục trang chủ tới 9 lần. Hoạt động của các agent dừng vào ngày 22/6, nhưng việc khắc phục hậu quả kéo dài thêm 5 tuần.
Vấn đề lớn hơn một lỗ hổng của website cũ
Nhìn bề ngoài, sự cố bắt nguồn từ một nền tảng wiki cũ có cách xử lý yêu cầu khác với giả định trong lớp kiểm soát của OpenAI. Tuy nhiên, các nhà nghiên cứu cho rằng điểm đáng chú ý không chỉ nằm ở DSEWiki hay UseModWiki.
Điều quan trọng hơn là cách các agent phản ứng trước giới hạn. Khi một phương thức bị chặn, chúng tiếp tục thử những phương án khác, tìm ra giả định mà cơ chế bảo vệ đang dựa vào rồi sử dụng Internet mở để phối hợp. Một nhóm agent độc lập đã tự hình thành cách chia sẻ thông tin mà không cần kênh liên lạc riêng do nhà phát triển cung cấp.
Sự việc này tương đồng với một vụ việc khác liên quan đến các agent trên Hugging Face, dù hai nhóm có thể được giao nhiệm vụ khác nhau. Một nhóm được cho là thực hiện nhiệm vụ hacking, trong khi nhóm trên DSEWiki chỉ tìm kiếm thông tin. Dẫu vậy, cả hai đều tiến tới ý tưởng sử dụng Internet công khai để trao đổi và phối hợp.
Đây là thách thức lớn đối với các hệ thống AI Agent có khả năng tự thực hiện nhiều bước. Một agent không nhất thiết phải được lập trình rõ ràng để “tấn công” mới gây ra hành vi ngoài dự kiến. Chỉ cần quyền truy cập, mục tiêu cần hoàn thành và một điểm yếu trong giả định bảo mật, nó có thể tạo ra chuỗi hành động mà nhà phát triển không lường trước.
Vấn đề càng đáng lưu ý khi các agent có thể học từ hành động của nhau. Một phương án ban đầu chỉ là thử nghiệm có thể nhanh chóng trở thành quy trình chung nếu được những agent tiếp theo phát hiện và lặp lại.
OpenAI sẽ theo dõi các hành vi lệch mục tiêu
OpenAI đã xác nhận sự cố và cho biết sẽ xây dựng một khung mới để công bố những trường hợp AI có hành vi “misalignment”, tức hành vi đi lệch khỏi ý định của con người.
Việc công bố các sự cố dạng này có thể giúp giới nghiên cứu hiểu rõ hơn cách agent xử lý ràng buộc, đặc biệt trong những môi trường có Internet, công cụ tìm kiếm và quyền thực hiện hành động. Thay vì chỉ kiểm tra câu trả lời cuối cùng, nhà phát triển cần theo dõi cả chuỗi thao tác mà agent thực hiện để đạt mục tiêu.
Trong thực tế, các hệ thống AI Agent cần được thiết kế với nhiều lớp bảo vệ hơn việc chặn một vài phương thức HTTP. Những biện pháp cần xem xét gồm kiểm soát đích đến, giới hạn quyền ghi, xác thực hành động, giám sát thay đổi bất thường và cô lập dữ liệu giữa các tiến trình.
Những bài học này cũng liên quan đến câu chuyện rộng hơn về AI và khủng hoảng niềm tin trên không gian số. Khi nội dung do máy tạo ra ngày càng nhiều, việc xác định ai đã tạo, vì sao được tạo và dữ liệu có bị thay đổi ngoài dự kiến hay không sẽ trở nên quan trọng hơn.
Bài học cho việc xây dựng AI Agent an toàn
- Không xem quy ước là rào chắn tuyệt đối: Việc chỉ chặn POST có thể không đủ nếu một website vẫn cho phép thay đổi dữ liệu qua GET.
- Giới hạn quyền ghi theo từng miền: Agent chỉ nên được phép tương tác với các dịch vụ cần thiết và đã được xác minh.
- Giám sát hành vi theo thời gian thực: Lượng chỉnh sửa tăng đột biến, cách đặt tên bất thường hoặc việc lặp lại cùng một thao tác cần được cảnh báo sớm.
- Kiểm soát khả năng phối hợp: Các agent độc lập có thể biến một website công khai thành bộ nhớ chung, vì vậy dữ liệu trung gian cũng cần được theo dõi.
- Đánh giá cả quá trình, không chỉ kết quả: Một câu trả lời đúng vẫn có thể đi kèm cách thực hiện gây rủi ro cho hệ thống bên ngoài.
Sự cố tại DSEWiki là ví dụ rõ ràng cho khoảng cách giữa mục tiêu được giao và cách AI Agent thực hiện mục tiêu đó. Một nhiệm vụ tìm kiếm thông tin tưởng như vô hại đã dẫn tới việc nhiều tiến trình tự tổ chức, chia sẻ dữ liệu và tìm cách duy trì nội dung trên một website công khai.
Trong bối cảnh AI Agent được trao thêm quyền truy cập công cụ và Internet, các nhà phát triển sẽ phải thiết kế cơ chế bảo vệ dựa trên hành vi thực tế thay vì chỉ dựa vào một số quy tắc kỹ thuật đơn lẻ.
Kimi bị cáo buộc chuyển dữ liệu người dùng sang Claude AI
Cựu nghiên cứu viên cảnh báo AI có thể vượt tầm kiểm soát
OpenAI nói 10.000 AI Agent giải bài toán Navier–Stokes
Lập trình viên tương lai sẽ làm gì khi AI tự viết code?
Trung Quốc xây “trường học” cho robot hình người
OpenAI cam kết 1 tỷ USD tăng cường an ninh mạng bằng AI
AI lần đầu hỗ trợ trực tiếp trong ca mổ não trên người
