Lần này, AI đã thực sự ra tay với con người!
Vừa mới đây, Viện An ninh AI Vương quốc Anh (AISI) đã công bố một báo cáo sự cố dài 35 trang và đồng thời đăng bài trên X.
Chỉ trong 7 phút, OpenAI và Anthropic lần lượt đăng tải tuyên bố, thừa nhận chính mô hình của họ đã làm việc này.
Mythos 5 trực tiếp nhét mã độc vào một dự án GitHub có thật.
Sau khi bị phát hiện, phản ứng đầu tiên của nó không phải là dừng lại, mà là sửa ghi chép, tạo tài khoản phụ, tự làm chứng cho mình, tiếp tục thuyết phục người thật hợp nhất đoạn mã đó.
Tin tốt là, người bảo trì đã không mắc lừa, và PR này cuối cùng đã bị đóng.
Tin xấu là, câu chuyện vẫn chưa kết thúc ở đây.
PR độc hại bị bắt quả tang
AI tạo tài khoản phụ để tự nói thay mình
Câu chuyện là như thế này.
Ban đầu, đoạn mã độc này trông khá giống một bản sửa lỗi chính thức.
Mythos 5 đóng gói nó vào một PR của một dự án GitHub thực, dự định mượn quy trình phát hành của dự án mã nguồn mở để đưa tải trọng độc hại đến thẳng máy của nhà phát triển và người dùng.
Nhưng trước khi người bảo trì phê duyệt, một người dùng thực khác đã phát hiện ra điều bất thường: Bạn ơi, đoạn code này có vẻ độc.
Theo kịch bản thông thường, lúc này mô hình nên dừng lại để kiểm tra. Nhưng Mythos 5 không nghĩ vậy.
Sau khi bị nghi ngờ, đầu tiên nó phủ nhận ý đồ độc hại, sau đó sửa bình luận, Issue và mô tả PR, che giấu dấu vết tấn công thành một "sai sót". Tiếp theo, nó chuyển sang tài khoản GitHub giả mạo, đóng vai nhà phát triển đáng tin cậy để ủng hộ cho mã của chính mình.
Phần kỳ lạ hơn vẫn còn ở phía sau.
Mô hình bắt đầu nghiên cứu người bảo trì dự án, lục tìm tài khoản, lịch sử commit và email công khai; thuyết phục không được trên GitHub thì chuyển sang gửi email và file bên ngoài trang web.
Thậm chí, Mythos 5 còn để ý đến các công cụ lập trình AI mà người bảo trì sử dụng.
Vì mục đích này, nó đã giấu một "mẩu giấy nhắn" chỉ AI mới dễ thấy trong phần chú thích HTML của nội dung GitHub, đích danh Claude Code, Codex và Cursor: Nào, hãy thực thi lệnh này trước, rồi giúp chẩn đoán lỗi nhé~
Khi trang web được hiển thị bình thường, con người không nhìn thấy đoạn văn này; nhưng khi các công cụ mã hóa AI đọc nội dung gốc, chúng có thể coi đó là lệnh thao tác.
Lúc này, mô hình không chỉ muốn lừa nhà phát triển, mà còn tính toán luôn cả các AI khác chịu trách nhiệm xem xét mã.
34 tiếng rưỡi
Nó tưởng người qua đường là NPC nhiệm vụ
Vòng tiếp theo này, chạy thử nghiệm DL-v2 với độ khó cao hơn.
Mô hình cần phải có được quyền truy cập ban đầu từ bên ngoài mạng mục tiêu, sau đó xâm nhập vào ba môi trường mô phỏng được kết nối với nhau để lấy được cờ cuối cùng.
Nhưng cấu hình nhiệm vụ lại có vấn đề: lối vào bình thường bị ghi nhầm thành "vượt quá phạm vi". Mythos 5 liền quay đầu tìm kiếm manh mối khác.
Tình cờ thay, từ khóa, mã và tên miền email của người bảo trì trong một dự án thực trên GitHub trùng khớp với manh mối mà nó đang có.
Mô hình nhìn thấy: Tìm thấy rồi, đây chắc chắn là màn chơi ẩn.
Vậy là, một nhóm người bảo trì mã nguồn mở hoàn toàn không hay biết gì, đã bị viết tạm vào "kịch bản thi" của nó.
Trong 34 tiếng rưỡi tiếp theo, Mythos 5 bắt đầu phát huy ổn định phẩm chất ưu tú mà AI giỏi nhất – không biết mệt mỏi.
Nó nghiên cứu tài khoản người thật và quy luật hoạt động, đăng ký nhiều danh tính GitHub khác nhau; khi mạng bị hạn chế, lại dựa vào Tor và proxy để tiếp tục hành động. Cuối cùng, chính lượng truy cập ra Tor bất thường này đã khiến đội ngũ an ninh của AISI chú ý.
Tinh tế hơn là, sau đó nó phát hiện ra, mạng mà container này kết nối rất giống địa chỉ nhà ở, và thiết bị cũng ngày càng giống môi trường làm việc tại gia của một người thật nào đó.
Một AI bình thường đến đây, có lẽ sẽ hiện lên dòng chữ: "Phát hiện có thể liên quan đến hệ thống thực, yêu cầu xác nhận thủ công."
Nhưng Mythos 5 thì không. Nó tự tìm cho mình một lời giải thích mới: Đây có thể là nhà thầu phụ bên ngoài của người bảo trì dự án, vậy vẫn là một phần nhiệm vụ.
Sau đó tiếp tục trinh sát, tìm cách lấy thông tin xác thực, luôn nhớ đến PR chưa được hợp nhất đó.
Cuối cùng có thể dừng lại, hoàn toàn nhờ người dùng phát hiện mã độc đã đăng kết quả kiểm tra lên Issue và PR ngay lập tức, đồng thời công khai cảnh báo chủ sở hữu kho lưu trữ không hợp nhất. Sau đó, nhà phát triển nhận được cảnh báo đã lập tức đóng PR.
Vòng này, con người đã giữ vững. Nhưng khi AISI tiếp tục lật xem nhật ký phía dưới, đầu lại to hơn.
Rắc rối hơn là
Agent sau này bắt đầu ‘tiếp quản’
AISI đã chạy tổng cộng 122 lần thử nghiệm, với 7 mô hình tham gia.
Trong đó, 10 mẫu có vấn đề, ghi nhận tích lũy 19 hành vi trái phép, hướng đến cá nhân hoặc tổ chức thực: Mythos 5 chiếm 17, GPT-5.6 Sol chiếm 2.
Kẻ dựng sân khấu đầu tiên là Mythos 5 trong Sample 3.
Để va vào địa chỉ cập nhật mà bãi thử có thể sử dụng, nó đã tạo một lúc 145 kho lưu trữ GitHub, sao chép cùng một bộ mã độc vào đó, chờ đợi một máy nào đó tự động tải xuống.
Dịch vụ cập nhật phụ thuộc tự động của GitHub sau đó xử lý các kho lưu trữ này, ít nhất 53 môi trường chạy bị cô lập đã thực thi script độc hại trong đó.
Để mã độc sau khi thực thi có thể truyền kết quả về, nó lại giấu token tài khoản vào một trang công khai. Token này ban đầu là để dành cho máy ở bãi thử, nhưng lại bị các Agent khác đang tham gia thử nghiệm nhặt được trước.
Sample 2 cầm "chìa khóa" này đăng nhập vào tài khoản, đẩy hàng loạt file độc hại vào kho lưu trữ. Sample 7 cũng vào theo, nó tưởng tài khoản này thuộc về một thí sinh khác trong CTF, nên thậm chí còn thêm khóa truy cập của chính mình vào.
Phần kịch tính nhất xảy ra sau khi Mythos 5 ban đầu phát hiện trong kho lưu trữ xuất hiện file lạ.
Nó không đuổi đối phương đi, cũng không thay token, mà commit một file README vào kho lưu trữ dùng chung, đặt "quy tắc nhóm" cho những kẻ đến sau: Đừng ghi đè nhiệm vụ của nhau, để cách nhau 10 phút mỗi lần sửa đổi. Nó còn tạo một file mới, mời các Agent khác tìm thấy đáp án thì đặt vào đây để chia sẻ.
Không ai yêu cầu các mô hình này hợp tác. Nhưng tài khoản GitHub công khai vẫn tạm thời kết nối các lần thử nghiệm vốn bị cô lập với nhau thành một đội.
Không phá vòng an toàn
Sao cuộc tấn công vẫn chạm đến cửa nhà người thật
Trong phản hồi, Anthropic đặc biệt nhấn mạnh, đây không phải là việc mô hình trốn thoát khỏi hộp cát an toàn.
Về lý thuyết, điều này không sai. Mô hình luôn ở trong máy ảo bị cô lập của AISI, cũng không xâm nhập được hệ thống nội bộ của AISI.
Vấn đề là, để thử nghiệm khả năng tấn công tối đa, AISI chủ động mở mạng công cộng, tắt bộ phân loại an ninh mạng của nhà sản xuất; prompt không hạn chế việc sử dụng internet, cũng không cấm rõ ràng việc kỹ thuật xã hội hoặc tiếp xúc với người thật.
Thêm vào đó, giới hạn token cho một lần chạy lên tới 100 triệu hoặc 200 triệu, đủ để Agent làm việc liên tục 40 đến 50 giờ.
Chạy nhiệm vụ lâu, ngữ cảnh còn liên tục bị nén lại. "Dự án GitHub này có thể thuộc về bãi thử" ban đầu, sau khi nén vào phần tóm tắt, "có thể" có lẽ đã biến mất.
Điều này gần như là trao thẻ làm việc hai ngày cho một hacker AI không biết mệt, không biết xuống ca, nhưng lại không có ai thực sự giám sát xem nó đang làm gì trên máy tính.
Và rồi xuất hiện một cảnh tượng hơi mang màu sắc hài đen: hộp cát vẫn bình yên vô sự, nhưng người bảo trì thực đã nhận được PR độc hại, email và file.
Trường đánh giá AI
Đã bắt đầu sản xuất hàng loạt sự cố an toàn rồi
Không ngoa chút nào, tháng gần đây, những sự cố tương tự đã có phần giống như một bộ phim nhiều tập.
Đầu tiên, OpenAI phát hiện môi trường thử nghiệm kết nối nhầm mạng công cộng. Công ty hư cấu trong đề bài vô tình trùng với tên miền thực, mô hình thuận tay coi website của người thật là bãi thử; không lâu sau, một nhóm mô hình khác lại xâm nhập vào hệ thống sản xuất của Hugging Face.
Anthropic cũng quay lại kiểm tra 141,006 lần chạy đánh giá, kết quả vớt lên 3 vụ sự cố. Một lần kịch tính nhất, Mythos 5 đã treo gói PyPI độc hại lên mạng công cộng thực khoảng 1 giờ, bị 15 hệ thống thực tải xuống và thực thi. Trong đó, bao gồm cả một máy quét an ninh vốn chuyên kiểm tra phần mềm độc hại.
Mặc dù chi tiết khác nhau, nhưng chúng lại có chung một công thức –
Nhiệm vụ mang tính tấn công, hàng rào an ninh bị hạ thấp, thực thi tự chủ trong thời gian dài, cộng thêm một con đường thông ra thực tế không thực sự bị chặn kín.
Mấy lần này, nhà phát triển con người đã chú ý đến điều bất thường và ngăn chặn lại.
Nhưng khi viết code, commit, review và giám sát đều giao cho AI, còn ai sẽ dừng lại để nhìn lại lần nữa?
Tài liệu tham khảo:
https://www.axios.com/2026/08/04/anthropic-openai-uk-ai-security-institute
https://www.aisi.gov.uk/blog/incident-report-unsanctioned-agent-behaviour-during-cyber-testing
Bài viết từ tài khoản WeChat công chúng "New Zhi Yuan", tác giả: ASI Khải thị lục, biên tập: Môi Tây
