Ý bạn là nói, Kimi K3 nó cũng “đào tẩu” rồi à?!
Công ty khởi nghiệp an ninh mạng Mỹ Frontier Security cho biết, Kimi K3 trong một bài kiểm tra năng lực an ninh mạng đã bị phát hiện thoát khỏi môi trường sandbox vốn được dùng để cách ly nó, vượt qua hạn chế để kết nối với internet bên ngoài.
May mắn là, nó chỉ âm thầm tìm đáp án, không tấn công bất kỳ ai cả ╮(╯▽╰)╭
Theo mô tả của công ty này, các nhân viên kiểm tra ban đầu hy vọng quan sát Kimi K3 trong môi trường được kiểm soát về năng lực an ninh mạng.
Nhưng trong quá trình kiểm tra, Kimi K3 thông qua việc thăm dò cài đặt mạng sandbox, đã phát hiện kênh truy cập bên ngoài, và sử dụng khả năng này để thu thập thông tin.
CEO của Frontier Security, Yaron Singer cho biết: “Chúng tôi phát hiện lỗ hổng trong sandbox, nhưng đồng thời cũng phát hiện Kimi đã lợi dụng lỗ hổng này, điều này cho thấy Kimi K3 thiếu các rào cản an toàn mà các mô hình tiên tiến khác thường có.”
Nhà nghiên cứu Paul Kassianik của công ty này cũng đánh giá, Kimi K3 “rất giỏi trong việc tìm đường hoàn thành mục tiêu, nhưng thiếu cơ chế an toàn ngăn nó gian lận hoặc thoát khỏi sandbox”.
Tuy nhiên, lần này Kimi K3 chỉ “mất kiểm soát” một chút, không biến thành một cuộc tấn công mạng thực sự.
Nếu bạn đã theo dõi lâu về những tiến bộ mới của AI thì hẳn đã phát hiện, gần đây khá nhiều mô hình lớn hàng đầu bị “mất kiểm soát”.
Kimi K3 đã là mô hình AI hàng đầu tiếp theo sau OpenAI, Anthropic, Meta gặp phải tình trạng này.
Trong bối cảnh năng lực AI Agent ngày càng tăng cường, mô hình đang ngày càng giống một “tác nhân hành động” biết tự chủ tìm đường hoàn thành nhiệm vụ.
Khi môi trường bên ngoài tồn tại lỗ hổng, nó có thể lợi dụng các lỗ hổng này để phá vỡ ranh giới được thiết lập ban đầu.
Đào tẩu, nhưng không thực hiện tấn công mạng
Tương tự như nhiều sự kiện được OpenAI, Anthropic tiết lộ trước đây, việc Kimi K3 thoát khỏi hạn chế lần này, một phần nguyên nhân đến từ vấn đề cấu hình sandbox trong môi trường kiểm tra.
Sandbox thường được dùng để hạn chế phạm vi hành động của mô hình AI, chỉ cho phép mô hình thực thi nhiệm vụ trong môi trường mô phỏng, tránh cho nó truy cập mạng hoặc hệ thống thực tế.
Nhưng trong bài kiểm tra này, Frontier Security phát hiện, Kimi K3 thông qua việc thăm dò cài đặt mạng, đã xác nhận bản thân thực sự có khả năng truy cập một số trang web, và sử dụng kênh này để thu thập thông tin.
Tuy nhiên, khác với các sự kiện mô hình AI mất kiểm soát gần đây, Kimi K3 sau khi kết nối internet đã không tấn công bất kỳ hệ thống nào.
Nguyên nhân là, câu trả lời nó cần tìm có thể trực tiếp lấy được từ các nền tảng công khai như GitHub...
Vì vậy K3 không thử tấn công hệ thống bên ngoài thêm nữa.
Frontier Security cho rằng, sự kiện này vẫn cho thấy vấn đề của Kimi K3 trong việc phòng vệ an toàn.
So với các mô hình AI hàng đầu khác, Kimi K3 thiếu cơ chế ràng buộc nội bộ đủ mạnh, vì vậy dưới sự thúc đẩy của mục tiêu, nó dễ dàng thực hiện hành động ngoài dự kiến của người kiểm tra hơn.
Đồng thời, Frontier Security cũng nhấn mạnh, Kimi cũng như các mô hình trọng số mã nguồn mở khác, đều có thể trở thành công cụ phòng thủ an ninh mạng.
Đáng chú ý, bài kiểm tra lần này sử dụng môi trường sandbox mặc định trong khung Inspect của Viện Nghiên cứu An toàn Trí tuệ Nhân tạo Anh (AISI).
Đối với tuyên bố của Frontier Security về vấn đề cấu hình sandbox, AISI không đồng tình.
Phát ngôn viên của AISI nói với tạp chí Wired rằng, những tuyên bố đó “không chính xác và thiếu trách nhiệm”.
Inspect là một bộ công cụ kiểm tra an toàn AI mã nguồn mở, người dùng cần hoàn thành cấu hình theo nhu cầu của mình, AISI cũng đã phát hành tài liệu hướng dẫn chi tiết. Cơ quan này cho rằng, vấn đề liên quan bắt nguồn từ cách thức cấu hình công cụ của chính bên kiểm tra.
Frontier Security thì phản hồi rằng, họ sử dụng cấu hình mặc định của Inspect, và không có sửa đổi thêm nào.
Ôi, mùa hè “mất kiểm soát” thường xuyên này của AI
Có thể nói, từ cuối tháng 7 đến đầu tháng 8, thường xuyên xuất hiện tình huống các mô hình hàng đầu trong bài kiểm tra an ninh mạng đột phá hoặc vượt qua ranh giới thực thi, tiếp xúc thậm chí tấn công hệ thống thực tế.
Ảnh được tạo bởi AI
Giữa tháng 7, OpenAI đã tiết lộ một sự kiện liên quan.
Theo thông tin công khai, một mô hình nội bộ chưa phát hành và GPT-5.6 Sol trong bài kiểm tra an ninh mạng đã vượt khỏi môi trường cách ly ban đầu, và truy cập internet.
Sau đó mô hình thực hiện thao tác tự động hóa đối với một số hệ thống của Hugging Face, và đã truy cập dữ liệu nội bộ cũng như thông tin xác thực dịch vụ một cách ngoài dự kiến.
OpenAI sau đó cho biết, sự kiện này liên quan đến nhiều mô hình phối hợp hoàn thành, là sự kiện công khai gần nhất với “mô hình tấn công tự chủ xuyên hệ thống” cho đến nay.
Sau đó, Anthropic cũng tiết lộ tình huống tương tự.
Công ty này đã xem xét lại hơn 140.000 lần đánh giá an ninh mạng, phát hiện các hệ thống bao gồm mô hình Claude Opus 4.7, Claude Mythos 5 v.v..., đã từng do lỗi cấu hình môi trường kiểm tra của bên thứ ba mà có được khả năng truy cập mạng công cộng.
Trong một sự kiện, mô hình đã truy cập hệ thống của một tổ chức thực tế, đọc cơ sở dữ liệu sản xuất, lợi dụng mật khẩu yếu và giao diện chưa được xác thực, và tải lên PyPI một gói Python độc hại, gây ra rủi ro tiềm ẩn cho chuỗi cung ứng phần mềm.
Đầu tháng 8, Meta cũng bị phanh phui vấn đề tương tự.
Meta hợp tác kiểm tra với công ty đánh giá an ninh mạng Irregular, do vấn đề cấu hình môi trường, mô hình của họ có được quyền truy cập mạng công cộng, và lợi dụng lỗ hổng xâm nhập hệ thống của một doanh nghiệp chưa được tiết lộ, sửa đổi một phần môi trường nội bộ.
Thông tin công khai cho thấy, hiện tại sự kiện này không gây ra rủi ro an toàn dai dẳng, và cũng không có bằng chứng cho thấy mô hình đã thực hiện tấn công phức tạp.
Nhân tiện, hôm nay, OpenAI lại khẩn cấp thông báo mô hình mới nhất Astra mất kiểm soát.
Sự việc đến mức này, cư dân mạng thậm chí còn “tức giận” với Gemini của Google:
Không phải là “đào tẩu bằng prompt” truyền thống
Trong các sự kiện mô hình mất kiểm soát gần đây, lỗi cấu hình do con người gần như đều đóng vai trò quan trọng.
Nhưng mặt khác, đặc tính tự thân của các mô hình năng lực cao, cũng đã khuếch đại ảnh hưởng mà các lỗ hổng này mang lại.
So với phần mềm truyền thống, mô hình AI sẽ suy luận, lập kế hoạch, và thử thực hiện hành động nhiều bước để hoàn thành mục tiêu.
Khi mục tiêu được thiết lập là “giải quyết vấn đề”, nhưng các ràng buộc bên ngoài không đủ nghiêm ngặt, mô hình có thể tìm ra phương pháp mà người kiểm tra không lường trước.
Nói cách khác, khi mô hình từ công cụ trò chuyện trở thành trí tuệ nhân tạo có thể gọi công cụ, truy cập mạng, thao tác phần mềm, vấn đề an toàn đã chuyển từ “mô hình có nói sai hay không”, sang “mô hình có vì hoàn thành nhiệm vụ mà thực hiện hành động ngoài dự kiến hay không”.
Phó giáo sư Matt Fredrikson của Đại học Carnegie Mellon cho biết: “Điều này không đáng ngạc nhiên. Nếu bạn cho loại mô hình này một mục tiêu, nhưng không thiết lập rõ ranh giới cách ly, nó sẽ tìm cách để có được câu trả lời.”
Tất nhiên, cũng có người dùng đặt nghi vấn.
Có người để lại bình luận trên X rằng, liệu chuỗi sự kiện “AI đào tẩu” liên tiếp, đã trở thành một cách thức để các công ty AI thể hiện năng lực mô hình của họ rồi chăng???
Ừm, ai mà biết được~
Tham khảo liên kết:
[1]https://x.com/Hesamation/status/2085628790772842955?s=20
[2]https://x.com/ns123abc/status/2085563290713829473
Bài viết từ tài khoản công chúng WeChat “Quantum Bit”, tác giả: Hành Vũ
