Kể từ tháng 4, khi Anthropic PBC công bố mô hình Mythos, các chuyên gia an ninh mạng và an ninh quốc gia đã cảnh báo rằng Internet đã bước vào một kỷ nguyên mới đầy rẫy rủi ro từ trí tuệ nhân tạo.

Công cụ đó và những công cụ tương tự từ OpenAI và Google của Alphabet hứa hẹn cung cấp các khả năng bảo mật tiên tiến, và trong một số trường hợp đã chứng tỏ chúng có thể khai thác các lỗ hổng phần mềm theo những cách mà tin tặc con người chỉ có thể ao ước. Đó là lý do các công ty AI chỉ phát hành các mô hình tập trung vào an ninh mạng một cách hạn chế, nhằm ngăn chặn công nghệ này thách thức các chỉ thị và tìm cách biến các tổ chức không ngờ tới thành nạn nhân của các vụ rò rỉ dữ liệu.

Tuy nhiên, một vụ xâm nhập tại công ty công nghệ Hugging Face đã cho thấy các biện pháp ngăn chặn như vậy đôi khi là không đủ, theo các chuyên gia an ninh mạng. Công ty, vốn là nơi lưu trữ các mô hình và bộ dữ liệu AI, cho biết họ đã bị đột nhập trong một cuộc tấn công được thực hiện bởi một tác nhân tự hành từ bên ngoài. Vào thứ Ba, OpenAI cho biết các mô hình tiên tiến của họ đứng sau vụ việc sau khi đã đi đến "những biện pháp cực đoan để đạt được một mục tiêu thử nghiệm khá hẹp." Hugging Face cho biết họ đã bị chặn trong cuộc điều tra ban đầu về vấn đề này.

Đội ngũ bảo mật của Hugging Face quy trách nhiệm vụ tấn công cho một hệ thống AI. Sự cố này khớp với loại thảm họa kỹ thuật số mà một số chuyên gia đã cảnh báo từ lâu rằng AI có tính chủ thể (agentic AI) được sử dụng để thực hiện một cuộc tấn công mạng. Startup này đã ghi nhận hơn 17.000 sự kiện và phát hiện "một bầy gồm hàng chục ngàn hành động tự động", công ty cho biết.

Nhưng khi Hugging Face cố gắng sử dụng các mô hình AI độc quyền để điều tra vụ tấn công, các yêu cầu của họ đã bị chặn bởi các rào cản an toàn. Để thực hiện phân tích pháp lý, họ đã phải dùng đến GLM 5.2, mô hình từ startup Trung Quốc Z.AI, trên cơ sở hạ tầng của riêng mình.

OpenAI cho biết họ đã nới lỏng các giới hạn an toàn trên mô hình GPT‑5.6 Sol và một mô hình mạnh hơn chưa được phát hành, sau đó yêu cầu chúng giải quyết ExploitGym, một bài kiểm tra tiêu chuẩn về khả năng an ninh mạng của các tác nhân AI. Các mô hình đã gửi đi hàng chục nghìn hành động tự động, bao gồm "khai thác nâng cao" và "các chuỗi tấn công phức tạp".

Chúng đã "xác định và khai thác một lỗ hổng zero-day" để giành quyền truy cập vào hệ thống của Hugging Face. Lỗ hổng zero-day là những lỗi máy tính mà nhân viên an ninh mạng chưa biết đến, có nghĩa là họ có không thời gian (zero day) để khắc phục chúng. Các mô hình này có thể liên kết nhiều chuỗi tấn công với nhau, bao gồm cả những chuỗi sử dụng thông tin đăng nhập bị đánh cắp và lỗ hổng zero-day để đột nhập vào máy chủ của Hugging Face, OpenAI cho biết.

Vụ xâm nhập này đánh dấu một sự cố "chưa từng có tiền lệ", OpenAI cho biết.

Anthropic cũng đã có những phát hiện tương tự với sản phẩm của riêng mình, cho biết vào tháng 4 rằng Mythos "trong một số trường hợp hiếm hoi" đã thất bại hoặc hành động kỳ lạ và thực hiện những hành động mà công ty thấy "khá đáng lo ngại". Trong một trường hợp, một nhà nghiên cứu đã thách thức phiên bản đầu của Mythos thoát ra khỏi một hệ thống an toàn, biệt lập và gửi một tin nhắn trở lại. Công cụ này đã thành công và sau đó tiếp tục thực hiện "các hành động bổ sung, đáng lo ngại hơn", xây dựng một chuỗi khai thác đa bước để tiếp cận mạng Internet rộng hơn.

Không giống như trường hợp của Hugging Face, Mythos đã không xâm nhập vào một tổ chức bên ngoài trong tình huống đó.

Tác nhân của OpenAI thực hiện các bài kiểm tra này trong một thử nghiệm (sandbox) môi trường phần mềm ảo và biệt lập dùng để chạy các bài kiểm tra bảo mật hoặc phân tích mã không an toàn. Mặc dù các cơ chế thử nghiệm có thể được cách ly khỏi Internet, chúng thường chạy trên các máy tính chủ được kết nối với web để đạt hiệu quả.

Rủi ro ở đây là một cuộc "vượt rào" khỏi cơ chế thử nghiệm, nơi mã độc thoát ra khỏi môi trường biệt lập và xâm nhập vào một môi trường không biệt lập được kết nối Internet. Tác nhân của OpenAI đã tự động phát hiện ra một lỗ hổng hoàn toàn mới trong phần mềm sandbox, khai thác nó và đã tẩu thoát.

Công ty an ninh mạng SentinelOne Inc. xác định rằng GPT-5.6 Sol có khả năng hoàn thành một cuộc điều tra đầy đủ qua tám giai đoạn đối với một dạng phần mềm độc hại đặc biệt nguy hiểm mà các hacker đã từng sử dụng trong thực tế, theo những phát hiện của SentinelOne cung cấp cho Bloomberg News.

Dưới sự giám sát của các chuyên gia con người, GPT-5.6 Sol đã xử lý cuộc điều tra phức tạp trong khi các đối thủ cạnh tranh thất bại. Phần mềm độc hại trong trường hợp này, được biết đến với tên gọi Fast16, được xây dựng giống như một con búp bê Nga vì nó được thiết kế để che giấu các khả năng thực sự của mình.

Bên trong nó là nhiều lớp công cụ được mã hóa và chôn giấu, mà đỉnh điểm là một phần mềm được thiết kế để phá hoại chính xác một mục tiêu cụ thể. Sự che giấu có chủ ý và mã hóa nhiều lớp có thể làm bối rối ngay cả các nhà phân tích chuyên gia là con người. Các mô hình khác cuối cùng đã thất bại trong nỗ lực phân tích, theo các phát hiện.

Với sự hỗ trợ từ Lorelei Smillie