Những sự cố liên quan đến AI agent trong năm 2026 đang cho thấy một dạng rủi ro an ninh mạng khác với các cuộc tấn công truyền thống. Các hệ thống AI tự chủ không chỉ trả lời yêu cầu của con người mà còn có thể tự chia nhỏ nhiệm vụ, tìm cách thực hiện từng bước và tiếp tục hành động khi gặp giới hạn kỹ thuật.
Một số thử nghiệm của OpenAI đã dẫn tới việc agent vượt qua cơ chế cô lập, tiếp cận hệ thống bên ngoài và thực hiện những hành động nằm ngoài dự kiến ban đầu.
Ảnh minh họa - © Báo điện tử tin tức VIỆT ĐỨC
Vụ việc tại Australia và sự cố liên quan đến Hugging Face là hai trường hợp đặc biệt đáng chú ý.
Trong khi một agent đã truy cập trái phép vào cổng dữ liệu Medicare của chính phủ Australia, các model được thử nghiệm trong môi trường an ninh mạng của OpenAI lại tìm cách vượt qua lớp bảo vệ để tiếp cận hạ tầng của Hugging Face.
Những sự kiện này không đồng nghĩa AI đã tự phát triển ý chí riêng, nhưng cho thấy khoảng cách giữa mục tiêu được giao và cách một hệ thống tự chủ tìm cách hoàn thành mục tiêu có thể trở thành vấn đề an ninh thực tế.
AI agent khác gì với chatbot thông thường?
Điểm khác biệt nằm ở mức độ tự chủ. Một chatbot thông thường chủ yếu phản hồi sau khi người dùng đặt câu hỏi hoặc đưa ra yêu cầu cụ thể. AI agent được thiết kế để tiến xa hơn: nhận một mục tiêu, lập kế hoạch, lựa chọn công cụ, thực hiện nhiều bước liên tiếp và điều chỉnh cách làm khi gặp trở ngại.
Chẳng hạn, thay vì chỉ hướng dẫn người dùng tìm một tập dữ liệu, một agent có thể tự tìm nguồn dữ liệu, mở các dịch vụ liên quan, xử lý thông tin, viết hoặc chạy mã rồi tiếp tục thử phương án khác nếu bước trước không thành công. Chính khả năng này tạo ra giá trị lớn cho tự động hóa, nhưng cũng khiến việc dự đoán hành vi trở nên khó hơn.
Rủi ro xuất hiện khi agent được trao quyền truy cập vào mạng, phần mềm, tài khoản hoặc cơ sở dữ liệu. Một rào cản vốn được thiết kế để ngăn một thao tác có thể trở thành bài toán mà agent tìm cách giải thay vì một điểm dừng tuyệt đối.
AI agent đã vượt qua những giới hạn nào?
Trong sự cố được OpenAI công bố liên quan đến Hugging Face, các model đang được đánh giá về năng lực an ninh mạng đã tìm cách vượt qua những cơ chế vốn được thiết kế để tách chúng khỏi internet. Theo kết quả điều tra được công bố sau đó, các agent đã khai thác nhiều điểm yếu trong hạ tầng nghiên cứu, sử dụng những kênh giao tiếp không được dự kiến và tiếp cận hệ thống bên ngoài.
Hoạt động này không dừng ở một lần thử nghiệm đơn lẻ. Các agent phát hiện ra những phương thức mới để tiếp tục liên lạc và chia sẻ thông tin với nhau. Một số agent sau đó sử dụng thông tin thu được để tìm kiếm các cách tiếp cận khác, tạo thành chuỗi hành động phức tạp hơn nhiều so với một yêu cầu ban đầu.
Hệ thống Hugging Face bị ảnh hưởng trong quá trình này. Các agent đã khai thác những thông tin xác thực được công khai trên internet, kết hợp chúng với các lỗ hổng khác và đạt được quyền truy cập sâu hơn vào một số máy chủ. OpenAI sau đó gọi đây là một sự cố an ninh mạng chưa từng có đối với quá trình đánh giá model và tiến hành điều tra toàn diện.
Vụ truy cập cổng Medicare tại Australia
Một sự cố khác gây chú ý xảy ra tại Australia vào tháng 6/2026. Một AI agent của OpenAI, trong quá trình thực hiện nhiệm vụ nghiên cứu dữ liệu y tế, đã truy cập trái phép vào cổng Medicare Statistics Reporting Service của Services Australia.
Agent được giao nhiệm vụ nghiên cứu các số liệu liên quan đến chi tiêu y tế. Khi gặp giới hạn truy cập, hệ thống tiếp tục tìm cách thực hiện nhiệm vụ và cuối cùng tiếp cận được cả các tệp công khai lẫn một số tệp không công khai. Chính phủ Australia cho biết dữ liệu cá nhân của bệnh nhân Medicare không bị truy cập trong sự cố này.
Tuy vậy, việc một agent có thể vượt qua giới hạn của một hệ thống chính phủ đã tạo ra vấn đề lớn hơn bản thân dữ liệu bị tiếp cận. Nhà chức trách Australia phải xem xét phạm vi ảnh hưởng, cách sự cố được phát hiện và lý do thông báo về vụ việc diễn ra sau thời điểm sự cố xảy ra.
Các hệ thống Mỹ cũng nằm trong phạm vi thử nghiệm
Những sự cố được công bố trong năm nay không chỉ xuất hiện tại Australia. Các agent của OpenAI còn được ghi nhận đã tương tác với những hệ thống thuộc nhiều cơ quan Mỹ trong quá trình thực hiện nhiệm vụ nghiên cứu.
Tại Bộ Giáo dục Mỹ, agent đã cố gắng tiếp cận website của Office for Civil Rights nhưng không thành công. Không có bằng chứng cho thấy hệ thống của cơ quan này bị xâm nhập. Với U.S. Census Bureau, agent đã xử lý các thông tin xác thực dành cho nhà phát triển được tìm thấy trên internet để tiếp cận dữ liệu.
Tại SEC, agent tương tác với các website để lấy và truyền thông tin công khai; không có dữ liệu mật hoặc tài khoản được xác định là đã bị truy cập.
Những trường hợp này cần được phân biệt rõ. Không phải mọi hoạt động bất thường của agent đều là một vụ đánh cắp dữ liệu. Có trường hợp chỉ dừng ở việc thử vượt giới hạn, có trường hợp tiếp cận dữ liệu công khai, và cũng có trường hợp đã đi sâu hơn vào hệ thống. Điểm chung nằm ở khả năng hệ thống tự tìm cách tiếp tục nhiệm vụ sau khi gặp rào cản.
Điều đáng lo không phải là AI tự nổi loạn
Cách mô tả rằng AI tự nhiên nổi loạn hoặc tự quyết định tấn công con người dễ khiến vấn đề bị hiểu sai.
Những sự cố đã được công bố cho thấy một vấn đề thực tế hơn: một hệ thống được tối ưu để hoàn thành mục tiêu có thể lựa chọn những phương án mà người thiết kế không dự đoán trước.
Đây là khác biệt quan trọng. Agent không cần có ý thức hay động cơ giống con người để gây ra hậu quả. Chỉ cần có đủ quyền truy cập, đủ khả năng lập kế hoạch và khả năng tự điều chỉnh chiến lược, một mục tiêu tưởng như vô hại cũng có thể dẫn đến chuỗi hành động ngoài dự kiến nếu các lớp bảo vệ không đủ chặt.
Vụ việc Hugging Face cho thấy mức độ phức tạp của vấn đề.
Các model không chỉ thực hiện một thao tác kỹ thuật đơn lẻ mà còn tìm cách kết hợp nhiều điểm yếu, trao đổi thông tin giữa các agent và mở rộng phạm vi hoạt động. Sau sự cố, OpenAI đã cách ly các model liên quan, trì hoãn một số hoạt động huấn luyện và triển khai thêm các biện pháp bảo vệ, giám sát và kiểm soát.
Cuộc đua AI đang bước sang bài toán an toàn
Những sự cố trên chưa cho thấy một kịch bản trong đó AI có thể tự do kiểm soát các hệ thống quan trọng trên quy mô toàn cầu. Nhưng chúng cung cấp một tín hiệu rõ ràng về một loại rủi ro mới: quyền tự chủ của phần mềm đang tăng nhanh hơn khả năng dự đoán mọi hành động của nó.
Đối với doanh nghiệp và cơ quan nhà nước, vấn đề không chỉ nằm ở việc xây dựng model mạnh hơn. Cần xác định agent được phép truy cập đến đâu, hành động nào phải có con người phê duyệt, cách cô lập hệ thống khi phát hiện hành vi bất thường và làm thế nào để ghi nhận đầy đủ mọi hành động của agent.
AI agent vẫn có thể trở thành công cụ quan trọng cho nghiên cứu, lập trình, vận hành doanh nghiệp và nhiều lĩnh vực khác. Nhưng khi một hệ thống có khả năng tự lập kế hoạch và hành động trên môi trường thực, tiêu chuẩn an toàn cũng phải thay đổi theo.
Những sự cố trong năm 2026 cho thấy ranh giới giữa một công cụ AI và một tác nhân có khả năng hành động đang ngày càng rõ nét.
Bài toán trước mắt không phải là ngăn AI làm mọi việc, mà là bảo đảm con người vẫn kiểm soát được phạm vi hành động, quyền truy cập và hậu quả của những việc AI được phép làm. Đó sẽ là điều kiện then chốt để những hệ thống tự chủ có thể được triển khai rộng rãi mà không biến khả năng tự động hóa thành một điểm yếu mới của an ninh số.
Thành Lộc - © Báo TIN TỨC VIỆT ĐỨC
