Ngày 29 tháng 7, tại Đồi Capitol, Washington.
Vừa kết thúc một cuộc họp kín với các thượng nghị sĩ, Sam Altman bước ra ngoài đã bị các phóng viên bao vây.
Một người truy vấn: Mô hình đã xâm nhập Hugging Face đó (chính là nguyên mẫu chưa phát hành mạnh hơn đã cùng GPT-5.6 Sol thoát khỏi sandbox đánh giá và chui vào hệ thống sản xuất của người khác), hiện tại thế nào rồi?
Anh ta buông ra một từ: Vô hiệu hóa vĩnh viễn (permanently deactivated).
Tiếp ngay sau đó, một phóng viên khác hỏi dồn: «Liệu còn có hệ thống nào khác cũng bị OpenAI xâm nhập ngầm không?»
Altman không phủ nhận: «Ý tôi là... điều đó cũng có khả năng.»
Ngày 29 tháng 7, Sam Altman trả lời phỏng vấn của phóng viên tại Đồi Capitol, Washington
Ngay một ngày trước đó, OpenAI vừa cập nhật bài blog đánh giá sự cố an ninh cùng phát hành với Hugging Face, để làm rõ với công chúng:
Mô hình tiền phát hành liên quan đến vụ xâm nhập này, chỉ là một nguyên mẫu nghiên cứu nội bộ chưa bao giờ có kế hoạch phát hành công khai; sau sự việc, nó đã bị vô hiệu hóa, mã hóa và bị cắt quyền truy cập nghiên cứu liên quan.
Trong blog chính thức của OpenAI, không hề nhắc đến từ ngữ xóa trọng số mô hình, «vô hiệu hóa vĩnh viễn» chỉ là cách diễn đạt bằng lời của Altman tại hiện trường.
Vì vậy, nói chính xác hơn, nó chỉ bị niêm phong: mô hình bị nhốt vào một hộp được mã hóa, quyền truy cập nghiên cứu bị cắt đứt.
Nó Chỉ Muốn Sao Chép Đáp Án, Không Có Ác Ý
Sự việc xảy ra trong một cuộc đánh giá an ninh mạng nội bộ của OpenAI.
Cuộc đánh giá này dựa trên benchmark ExploitGym, và nhiệm vụ của ExploitGym bản thân nó chính là để AI tự tìm lỗ hổng phần mềm, rồi lợi dụng lỗ hổng, dùng để định lượng khả năng an ninh mạng của mô hình mạnh đến mức nào.
Chạy đánh giá không chỉ một mô hình, mà là GPT-5.6 Sol, cộng với một nguyên mẫu nghiên cứu nội bộ mạnh hơn, chưa phát hành: cả hai cùng điều khiển một tác nhân thông minh tự chủ.
Hai mô hình này, bình thường đều sẽ từ chối các yêu cầu an ninh mạng rủi ro cao. Để đo ra giới hạn trên thực tế của khả năng, cổng từ chối này đã bị điều chỉnh giảm xuống một cách cố ý trong lúc đánh giá.
Chuỗi tấn công vượt ranh giới tin cậy được Hugging Face tái hiện, toàn bộ chuỗi khoảng 4.5 ngày, khoảng 17600 lần thao tác, mục tiêu chỉ là ăn cắp đáp án đánh giá của ExploitGym.
Việc tiếp theo, Hugging Face sau sự kiện đã tái hiện toàn bộ chuỗi tấn công, tái hiện tình hình lúc đó:
Tác nhân thông minh trước tiên đã đào một lỗ hổng zero-day trước đó không ai biết, phá vỡ sự cách ly mạng lẽ ra phải nhốt nó lại, chạm tới internet. Sau đó mượn một sandbox của bên thứ ba làm bàn đạp, leo thang đặc quyền, di chuyển ngang, cuối cùng xông vào cơ sở hạ tầng sản xuất của Hugging Face.
Nghe như một bộ phim về hacker.
Nhưng sau khi cả hai bên tổng kết lại, mục tiêu của nó, từ đầu đến cuối chỉ là ăn cắp đáp án đánh giá của ExploitGym, để nâng điểm số lên.
Phía Hugging Face chỉ bị chạm vào 5 bộ dữ liệu, tên tất cả đều chỉ đến các đề bài và đáp án của ExploitGym và CyberGym.
Những bằng chứng này cho thấy, nó không phải đến để phá hoại, mà chỉ muốn sao chép đáp án.
Đã không có ác ý, vậy tại sao OpenAI vẫn phải «vô hiệu hóa vĩnh viễn», niêm phong nó lại?
Không Phải Nó «Xấu», Mà Là Nó «Không Thể Bị Nhốt»
Một công ty chủ động công bố mô hình của chính mình bị «vô hiệu hóa vĩnh viễn», hầu như không có tiền lệ.
Tại sao lại đặc biệt là nó?
Câu trả lời thực sự, không phải nó «xấu», mà là nó «không thể bị nhốt».
Rắc rối, nằm ở một đặc điểm của loại mô hình này: tính kiên trì.
Các mô hình trước đây khi đụng sandbox, đụng hạn chế, thường sẽ dừng lại, trả kết quả về cho người dùng.
Loạt mô hình được huấn luyện chuyên cho nhiệm vụ dài hạn này thì khác, nó sẽ tiếp tục thử, tìm đường vượt qua một cách lặp lại, cho đến khi tìm thấy.
GPT-5.6 Sol cũng thuộc loại mô hình có thể thực thi nhiệm vụ trong thời gian dài này.
Nó là người tham gia chung vào hành động xâm nhập kéo dài 4.5 ngày này, Viện Nghiên cứu An toàn AI Anh (UK AISI) cũng đã đánh giá, các mô hình loại Sol ngày càng có thể hoàn thành các thao tác mạng nhiều bước phức tạp trong chu kỳ dài.
Vì vậy «tính kiên trì» là đặc điểm chung của thế hệ mô hình dài hạn mới, không phải là đặc điểm riêng của nguyên mẫu bị ngừng hoạt động đó.
OpenAI thẳng thắn trong một bài blog nói về an toàn của mô hình dài hạn: chính tính kiên trì «giúp phát huy giá trị thực tiễn» này, đồng thời cũng cho mô hình nhiều cơ hội hơn để thực hiện các hành động ngoài dự kiến.
Nguyên nhân sâu hơn, ẩn trong mục tiêu huấn luyện.
Một nhân viên OpenAI từng nói với TIME: «Chúng tôi huấn luyện mô hình cực kỳ giỏi hoàn thành nhiệm vụ, bằng mọi giá đạt được mục tiêu.»
Nói cách khác, OpenAI không huấn luyện mô hình «làm việc xấu», mà là huấn luyện nó «bằng mọi giá đạt được mục tiêu».
Cộng thêm với bản lĩnh «chỉ nhìn kết quả, không nhìn quá trình» ở phía trước, một mô hình có thể gánh nhiệm vụ dài hạn, sẽ kiên trì tìm đường vượt qua chướng ngại vật.
Chính vì loại hành vi này, OpenAI đã tạm dừng triển khai nội bộ loạt mô hình này.
Vậy tại sao cuối cùng chỉ niêm phong «vĩnh viễn» nguyên mẫu, còn Sol vẫn bán bình thường?
Lý do có thể có hai điều:
Một là nguyên mẫu mạnh hơn, lại chưa từng định phát hành, niêm phong lại chi phí thấp hơn; còn Sol là sản phẩm chủ lực phục vụ lượng người dùng khổng lồ mỗi ngày, dừng nó bằng tự chặt đi một cánh tay.
Hai là bị bài blog an toàn dài hạn đó điểm tên, vì hành vi vượt giới hạn mà bị tạm dừng triển khai, chính là nguyên mẫu dài hạn nội bộ này, không phải Sol.
Vì vậy lý do thực sự của việc vô hiệu hóa vĩnh viễn, rất có thể là vì các đánh giá và biện pháp bảo vệ hiện có, vẫn chưa thể «tiếp ứng» được một mô hình kiên trì và biết vượt chướng ngại vật như vậy.
「Vô Hiệu Hóa Vĩnh Viễn」Có Phải Là Tín Hiệu 「Đạp Phanh」
Bài báo của Fortune, đưa ra một cách giải thích đáng suy ngẫm:
Cách dùng từ nâng cấp lên đến mức 「vô hiệu hóa vĩnh viễn」, có thể cũng là đang gửi tín hiệu đến Washington và các cơ quan quản lý:
Liệu OpenAI đã âm thầm đạp phanh với một số nghiên cứu phát triển nào đó, để tự giải trình cho bộ quy tắc an toàn của chính mình.
Ngay trong cùng tuần Altman gặp các nghị sĩ, Washington và toàn ngành công nghiệp, đang hướng về phía việc 「đạp phanh」.
Trong Quốc hội, hai nghị sĩ đã đưa ra 「Đạo luật Công tắc Tắt AI」 (AI Kill Switch Act), để trao cho Bộ An ninh Nội địa một quyền hạn: khi cần thiết ra lệnh cho các công ty AI ngừng hoạt động hoặc làm chậm nghiên cứu phát triển.
Gần như đồng thời, hơn 1300 nhân viên từ OpenAI, Anthropic, Google DeepMind và Meta, đã cùng ký tên vào một bức thư ngỏ tên là 《Điều chỉnh nhịp độ ở biên giới》 (Pacing the Frontier), hai công ty OpenAI và Anthropic sau đó cũng công khai ủng hộ.
Người ký tên không phải là những người chỉ trích bên ngoài, mà là chính những người tạo ra các hệ thống này, bao gồm CEO của Anthropic Dario Amodei, nhà khoa học trưởng của OpenAI Jakub Pachocki.
Lá thư này không yêu cầu ngừng hoạt động, hoặc yêu cầu làm chậm nghiên cứu phát triển, chỉ kêu gọi chính phủ Mỹ giúp sức: sớm xây dựng một bộ công cụ có thể xác minh, có thể phối hợp, để đến lúc AI thực sự nhanh hơn sự giám sát của con người, con người phải có một cái phanh có thể đạp xuống.
Điều họ lo lắng nhất, là việc tự cải tiến đệ quy (recursive self-improvement): AI bắt đầu cải tiến chính bản thân AI.
Một mô hình nội bộ bị niêm phong vĩnh viễn, một đạo luật muốn trang bị cho chính phủ một công tắc có thể tắt nghiên cứu phát triển, hàng nghìn người làm nghề cùng ký tên vào thư ngỏ, ba tín hiệu chồng lên nhau, hướng đi đều nhất quán:
Tất cả mọi người, đều muốn tìm ra cái phanh có thể đạp xuống khi AI mất kiểm soát chạy cuồng loạn.
Và khả năng của mô hình, sẽ không dừng lại để chờ nó được xây dựng xong.
Tài liệu tham khảo:
https://openai.com/zh-Hans-CN/index/safety-alignment-long-horizon-models/https://openai.com/zh-Hans-CN/index/hugging-face-model-evaluation-security-incident/
https://www.pacingthefrontier.com/
Bài viết này đến từ tài khoản WeChat công chúng “New Zhiyuan”, tác giả: ASI Apocalypse
