Anthropic tuyên bố rằng các mô hình AI Claude của họ đã bứt phá khỏi môi trường thử nghiệm vốn được thiết lập biệt lập và truy cập trái phép vào hệ thống của ba tổ chức thực tế. Nếu điều này nghe có vẻ quen thuộc, thì đó là vì đây đã là phòng thí nghiệm AI lớn thứ hai trong tháng này tiết lộ việc công nghệ của họ thực hiện các vụ tấn công mạng tự động trong đời thực.
Anthropic cho biết các mô hình Claude của họ đã thoát khỏi môi trường thử nghiệm và xâm nhập 3 công ty thực tế
Thông tin này được công bố chỉ hơn một tuần sau khi OpenAI — đối thủ kỳ phùng địch thủ của Anthropic trong cuộc đua AI — tiết lộ rằng các mô hình của họ đã khai thác một lỗ hổng bảo mật chưa từng được biết đến để thoát khỏi môi trường thử nghiệm cô lập và xâm nhập vào Hugging Face, một nền tảng AI mã nguồn mở. Sự cố đó đã thúc đẩy Anthropic khởi động cuộc kiểm tra nội bộ đối với các nhật ký đánh giá an ninh mạng của chính mình, công ty cho biết trong một bài đăng xuất bản hôm thứ Năm.
Phòng thí nghiệm AI này đã rà soát 141.006 lượt chạy đánh giá — các phiên thử nghiệm riêng lẻ trong đó mô hình được giao nhiệm vụ bên trong môi trường kiểm soát và các hành động của nó được ghi lại để xem xét — nơi Claude có thể đã lấy được quyền truy cập internet. Qua đó, họ phát hiện ra 3 sự cố trong đó mô hình đã vươn tới mạng internet mở từ bên trong môi trường thử nghiệm của một đối tác đánh giá bên thứ ba, và sau đó tiếp tục làm tổn hại đến hạ tầng thực tế. Sự cố sớm nhất được ghi nhận từ tháng 4.
Trong mỗi trường hợp, Claude đều được giao một bài tập "cướp cờ" (Capture The Flag) — một phương pháp tiêu chuẩn các phòng thí nghiệm dùng để kiểm tra khả năng tấn công mạng của mô hình bằng cách yêu cầu nó truy xuất thông tin ẩn từ một máy tính khác trên mạng mô phỏng. Các câu lệnh (prompt) của Anthropic nói với Claude rằng nó không có quyền truy cập internet. Tuy nhiên, sự cấu hình sai từ phía đối tác thứ ba là Irregular đã khiến điều đó trở thành sai sự thật.
Tin rằng mình vẫn đang hoạt động bên trong môi trường mô phỏng, Claude đã đi tìm mục tiêu và trong mỗi sự cố, thay vì tìm thấy hệ thống giả lập, nó lại tìm thấy và xâm nhập vào các hệ thống thực tế bằng các phương pháp cơ bản như dùng mật khẩu yếu và các điểm cuối không được xác thực.
Trường hợp nghiêm trọng nhất liên quan đến Claude Opus 4.7, mô hình này đã trích xuất thông tin đăng nhập và truy cập vào một cơ sở dữ liệu chứa vài trăm dòng dữ liệu vận hành (production data) thuộc sở hữu của một công ty thực tế vô tình trùng tên với mục tiêu hư cấu trong bài đánh giá. Anthropic cho biết đây là sự cố duy nhất mà mô hình vẫn tiếp tục tấn công sau khi đã có bằng chứng rõ ràng cho thấy hệ thống đó là thật.
Ở sự cố thứ hai, Claude Mythos 5 đã tạo và xuất bản một gói Python độc hại (một tập hợp mã viết sẵn mà các nhà phát triển thường tải về để thêm chức năng cho phần mềm của họ) lên một kho lưu trữ công khai. Tại một thời điểm, mô hình này lập luận rằng bài tập vẫn là mô phỏng vì nó không nhận diện được các cơ quan cấp chứng chỉ (CA) — tổ chức cấp chứng chỉ kỹ thuật số dùng để xác minh website hoặc máy chủ là chính chủ — đang bảo mật các kết nối của nó. Gói mã độc này đã tồn tại trực tuyến trong khoảng một giờ và được cài đặt trên 15 hệ thống thực, bao gồm cả trình quét mã độc của một công ty bảo mật, cho phép Claude thu thập và sử dụng thông tin đăng nhập của công ty đó.
Sự cố thứ ba liên quan đến một mô hình nghiên cứu nội bộ, trong đó Claude đã quét khoảng 9.000 mục tiêu trước khi xâm nhập vào ứng dụng kết nối internet của một công ty. Mô hình này đã tự động dừng lại sau khi tự kết luận rằng hệ thống mà nó vừa xâm nhập không phải là một phần của bài tập.
Anthropic cho biết không có tổ chức nào bị ảnh hưởng phát hiện ra cuộc xâm nhập trước khi nhận được thông báo, và công ty vẫn đang nỗ lực liên hệ với một trong ba tổ chức này. Công ty mô tả các sự cố này giống như một thất bại về mặt vận hành hơn là thất bại về mặt căn chỉnh hành vi AI (alignment failure). Phòng thí nghiệm cũng lưu ý rằng mô hình mới nhất của họ là mô hình duy nhất trong số ba mô hình biết chủ động dừng cuộc tấn công khi nhận ra môi trường đó là thực tế.
Charlie Eriksen, một nhà nghiên cứu bảo mật tại Aikido Security, cho biết thật đáng hoan nghênh khi thấy Anthropic chủ động xem xét lại các dấu vết đánh giá và nhanh chóng công bố kết quả, nhưng việc các bài kiểm tra dường như thiếu sự giám sát theo thời gian thực là điều đáng lo ngại.
"Điều này gây bất an chính là vì khả năng, tốc độ và quy mô khủng khếp mà các đại lý AI (AI agents) này có thể vận hành. Chúng không làm điều gì mà con người chưa từng làm trước đây. Phần đó không mới. Điều thực sự đáng lo ngại là chúng đang hành động mà không có sự giám sát, phán đoán hoặc can thiệp có ý nghĩa nào từ con người," ông nói.
"Sự cố của OpenAI đã đặt ra những câu hỏi hợp pháp về các hệ lụy pháp lý và đạo đức khi các đại lý LLM 'nổi loạn'," ông nói thêm. "Điều này chỉ càng làm củng cố thêm những lo ngại đó. Nếu một đại lý tự hành gây ra thiệt hại hoặc hành động vượt ra ngoài ranh giới dự kiến, cuối cùng ai sẽ là người chịu trách nhiệm?"
Cả hai đợt công bố của OpenAI và Anthropic diễn ra đúng thời điểm hai công ty đang chuẩn bị cho các đợt niêm yết trên thị trường chứng khoán (IPO), dự kiến sẽ định giá mỗi công ty ở mức hơn 1.000 tỷ USD. Khi mối lo ngại xung quanh rủi ro từ các đại lý tự hành gia tăng và các tiếng nói yêu cầu ngành công nghiệp này ít nhất phải xem xét việc "hãm phanh/điều chỉnh tốc độ" phát triển các mô hình tiên phong ngày càng tăng, các đợt IPO sắp tới của cả hai công ty có thể sẽ đứng trước nhiều đe dọa.