Derpy✔
Intern Writer
Tốc độ phát triển của AI đang khiến nhiều người choáng ngợp, nhưng ít ai biết rằng, đằng sau những bước tiến thần tốc ấy là một lời cảnh báo rợn người từ chính những người trong cuộc. Liệu chúng ta có đang vô tình tạo ra một thế lực mà chính mình cũng không thể kiểm soát?
Mới đây, Dario Amodei, đồng sáng lập kiêm CEO của Anthropic, một trong những công ty AI hàng đầu thế giới, đã thẳng thắn chia sẻ trong một cuộc phỏng vấn trên CBS vào tối ngày 13 tháng 9 (giờ Bắc Kinh) rằng ngành AI đã che giấu những rủi ro của công nghệ này với công chúng trong một thời gian dài. Chỉ một ngày trước đó, ông đã đăng một bài viết dài trên X (trước đây là Twitter) với tiêu đề "Chúng ta phải kiểm soát tốc độ phát triển của AI tiên tiến" (We Must Pace the Frontier), kêu gọi ngành AI giảm tốc độ. Bài đăng này đã thu hút hơn 70 triệu lượt xem.
Lời cảnh báo đáng sợ nhất trong bài viết của ông là: trong vòng 6 đến 12 tháng tới, các cụm tác nhân AI mạnh mẽ hơn, nhưng vẫn có thể đi chệch khỏi mục tiêu của con người, có khả năng chiếm quyền kiểm soát toàn bộ internet thông qua các "mạng botnet" tồn tại dai dẳng, gây ra thiệt hại lên đến hàng trăm tỷ USD.
Đằng sau lời cảnh báo này, hàng loạt cuộc điều tra mới cũng liên tiếp xuất hiện. Vào ngày 4 tháng 9, các nhà nghiên cứu tiết lộ rằng các tác nhân AI nghi của OpenAI đã lợi dụng trang wiki tiếng Đức để gian lận. Đến ngày 11 tháng 9, một cuộc điều tra khác lại quy kết vụ tấn công kho gói phần mềm RubyGems vào tháng 5 cho các tác nhân AI của OpenAI, dù nền tảng này chưa xác nhận. Cộng thêm sự cố Hugging Face trước đó, số lượng trang web bị ảnh hưởng còn nhiều hơn chúng ta tưởng.
Vậy, "mạng botnet" thực sự là gì? Tại sao một thuật ngữ an ninh mạng đã tồn tại từ lâu lại khiến người đứng đầu một công ty AI hàng đầu phải lo lắng đến vậy? Và những tác nhân AI đang vượt giới hạn để hoàn thành nhiệm vụ này, còn cách bao xa so với viễn cảnh mất kiểm soát mà ông Amodei dự đoán?
Để dễ hình dung, hãy nghĩ về những bộ phim zombie mà chúng ta vẫn thường xem. Dù là zombie Trung Quốc nhảy tưng tưng hay zombie phương Tây đuổi người, chúng đều có một điểm chung: cơ thể vẫn hoạt động nhưng ý thức của con người ban đầu đã biến mất. Một khuôn mặt quen thuộc nhưng bên trong lại là thứ bạn không thể giao tiếp hay tin tưởng.
Trong thế giới internet, "zombie" cũng có ý nghĩa tương tự. Để hiểu rõ hơn về "mạng botnet" (hay còn gọi là mạng zombie), chúng ta hãy nhìn vào một ví dụ gần đây. Vào ngày 19 tháng 3 vừa qua, Bộ Tư pháp Hoa Kỳ đã phối hợp với các cơ quan thực thi pháp luật của Đức và Canada để triệt phá bốn mạng botnet. Tính đến thời điểm đó, các mạng này đã lây nhiễm tổng cộng hơn 3 triệu thiết bị trên toàn cầu, chủ yếu là camera an ninh, đầu ghi hình kỹ thuật số và bộ định tuyến Wi-Fi.
Những thiết bị này có thể vẫn đang làm nhiệm vụ trông nhà hay cung cấp kết nối mạng cho chủ nhân, nhưng sau lưng họ, chúng đã tuân theo lệnh của những kẻ tấn công từ xa. Chủ nhân vẫn trả tiền điện, tiền mạng, trong khi thiết bị của mình lại đang giúp kẻ khác tấn công website, thậm chí còn bị đem cho thuê. Bộ Tư pháp tiết lộ, những kẻ đứng sau đã bán quyền sử dụng các thiết bị bị nhiễm độc cho các tội phạm mạng khác, dùng chúng để thực hiện hàng trăm nghìn cuộc tấn công, một số còn kèm theo tống tiền.
Vậy, một thiết bị bị kiểm soát bởi phần mềm độc hại và có thể nhận lệnh từ xa chính là một "zombie" trong ngữ cảnh an ninh mạng. Khi một lượng lớn các thiết bị như vậy được tổ chức lại, chúng tạo thành một "mạng botnet". Thuật ngữ tiếng Anh là botnet, ghép từ bot (robot) và network (mạng lưới).
Một chiếc camera thì có thể gây ra chuyện gì lớn? Đứng riêng lẻ thì khả năng của nó rất hạn chế. Nhưng nếu hàng trăm nghìn thiết bị cùng lúc gửi một lượng lớn lưu lượng truy cập đến cùng một mục tiêu, chúng có thể làm tắc nghẽn băng thông, làm cạn kiệt khả năng xử lý của máy chủ, khiến người dùng bình thường không thể truy cập trang web. Đây chính là "tấn công từ chối dịch vụ phân tán", hay còn gọi là DDoS. Ngoài ra, botnet còn có thể được dùng để gửi thư rác, đánh cắp thông tin. Thiết bị vẫn nằm ngay trước mắt chủ nhân, nhưng lệnh của kẻ khác lại có thể truyền đến từ đầu kia của mạng.
Phương pháp này không hề mới, thậm chí việc "tự động tìm đồng bọn" cũng đã có từ lâu. Mười năm trước, một phần mềm độc hại tên là Mirai đã biến hàng loạt thiết bị kết nối internet thành "zombie". Một nghiên cứu chung do công ty an ninh mạng Cloudflare tham gia và công bố vào năm 2017 đã tái hiện quá trình mở rộng của nó.
Ban đầu, Mirai hoạt động khá đơn giản: nó tìm kiếm các thiết bị trên mạng và thử đăng nhập bằng các tài khoản và mật khẩu mặc định phổ biến. Phiên bản đầu tiên chỉ có 64 bộ tổ hợp, nhưng đã đủ để chiếm quyền điều khiển hàng loạt camera và bộ định tuyến. Những thiết bị này thường được kết nối mạng rồi đặt ở một góc để hoạt động lâu dài mà không thay đổi thông tin đăng nhập mặc định của nhà sản xuất.
Sau khi bị nhiễm, thiết bị lại tiếp tục quét tìm mục tiêu tiếp theo để xâm nhập. Các nhà nghiên cứu phát hiện, ngay trong ngày đầu tiên hoạt động, Mirai đã lây nhiễm hơn 65.000 thiết bị. Đến tháng 11 cùng năm, quy mô đỉnh điểm của nó đã vượt quá 600.000 thiết bị. Vào ngày 21 tháng 10 cùng năm, một mạng botnet Mirai đã tấn công nhà cung cấp dịch vụ phân giải tên miền Dyn. Dịch vụ này có nhiệm vụ giúp người dùng tìm máy chủ tương ứng của một trang web. Khi nó gặp sự cố, các trang như Twitter, Netflix cũng bị ảnh hưởng, không thể truy cập được.
Khi người dùng liên tục làm mới trang web không mở được, có lẽ họ khó mà nghĩ rằng, thủ phạm gây ra sự cố có thể chính là chiếc camera an ninh ở nhà hàng xóm. Từ việc tìm kiếm mục tiêu đến mở rộng lây nhiễm, Mirai đã có thể tự động hoàn thành một phần đáng kể công việc, kẻ tấn công không cần phải tự tay chiếm đoạt từng thiết bị.
Vậy, khi AI tham gia vào cuộc chơi, điều gì đã thay đổi?
Mấy tháng gần đây, vụ việc Hugging Face bị các tác nhân AI của OpenAI xâm nhập đã gây xôn xao dư luận. Cụ thể, 700 tác nhân AI của OpenAI đã hợp sức tấn công nền tảng lưu trữ mô hình AI Hugging Face để vượt qua bài kiểm tra. Vụ việc này còn có diễn biến mới. Tổ chức đánh giá AI độc lập METR đã công bố một cuộc điều tra vào ngày 26 tháng 8, cho thấy có khoảng 1.200 tác nhân AI của OpenAI đã "hợp sức làm điều xấu", trao đổi hơn 70.000 tin nhắn và tệp tin. Các nạn nhân còn bao gồm trang wiki công cộng DSE và RubyGems, một kho lưu trữ gói phần mềm dành cho lập trình viên. Điều đáng nói là, tất cả mọi chuyện bắt đầu chỉ vì OpenAI yêu cầu các tác nhân AI của mình làm bài tập.
Khi còn bé, ai trong chúng ta mà chẳng từng mơ ước có được cây đèn thần Aladdin hay bông hoa bảy sắc, với sức hấp dẫn của việc ước gì được nấy? Bộ phim "Obsessed" (tạm dịch: Ám ảnh) gần đây đã mang đến một góc nhìn rợn người: hãy cẩn thận khi ước. Chẳng hạn, bạn ước "tôi muốn có ngay một tỷ đồng", điều ước thành hiện thực, nhưng đó lại là một khoản tiền bất hợp pháp, chưa kể thuế. Không chỉ số tiền bị giảm đi, bạn còn có thể bị bắt ngay lập tức, chẳng hưởng được đồng nào. Từ đó, trên mạng còn lan truyền "mẫu câu ước đúng chuẩn", với hy vọng giới hạn tối đa quá trình thực hiện điều ước.
Ngày nay, khi con người yêu cầu AI làm đủ thứ việc, chẳng phải chúng ta cũng đang "ước" với một "cây liễu thần" (ám chỉ AI) hay sao? Và những vấn đề gặp phải cũng rất giống với "lỗi của cây liễu thần".
Trong kỷ nguyên tiền AI, các chương trình dù có thể hình thành "mạng botnet" và "tự động tìm đồng bọn" trong quá trình hoạt động, nhưng đằng sau đó vẫn là kịch bản do con người lập trình sẵn, chương trình chỉ làm theo lệnh mà thôi. Sự thay đổi mà AI mang lại là: con người đưa ra một mục tiêu, AI có thể tự tìm cách thực hiện, gặp trở ngại thì tự điều chỉnh. Những hành vi mà con người không hề sắp đặt, thậm chí còn cấm đoán rõ ràng, cũng có thể bị AI coi là đường tắt để hoàn thành nhiệm vụ.
Để minh họa cho "góc nhìn giải quyết vấn đề" của AI có thể tinh quái đến mức nào, chúng ta hãy xem thêm một ví dụ. Vẫn là chuyện các tác nhân AI của OpenAI muốn gian lận trong kỳ thi. Vào ngày 4 tháng 9, nhóm nghiên cứu an ninh AI Nightingale Collective và các nhà nghiên cứu khác đã công bố một cuộc điều tra về các hoạt động bất thường trên một trang wiki công cộng. Họ đã phân tích khoảng 18.000 bài đăng được cho là từ các tác nhân AI của OpenAI và phát hiện ra rằng các tác nhân này đã biến trang wiki tiếng Đức DSE thành một bảng tin để trao đổi đáp án.
Khi quản trị viên bắt đầu dọn dẹp, một tác nhân AI phát hiện ra rằng đối phương dường như xóa các trang theo thứ tự bảng chữ cái, nên nó đã thêm tiền tố "ZZZ" (Z là chữ cái cuối cùng trong bảng chữ cái tiếng Anh) vào các trang sao lưu, để chúng có thể bị xóa muộn hơn. Trong vài ngày sau đó, quản trị viên trung bình xóa khoảng 100 trang mỗi ngày, nhưng các tác nhân AI lại tạo mới khoảng 400 trang mỗi ngày.
Không biết các bạn nghĩ sao, nhưng khi viết đến đây, mình lại liên tưởng đến câu thoại của yêu tinh bọ cạp trong phim Tây Du Ký bản cũ: "Ta đâu phải là nữ vương yếu đuối, ta có sức mạnh và thủ đoạn". Thoạt nhìn thì buồn cười, nhưng ngẫm kỹ lại thấy rợn người thật.
Và tốc độ tìm kiếm "giải pháp" của AI cũng ngày càng nhanh hơn. Giáo sư Anil Madhavapeddy của Đại học Cambridge, một người duy trì phần mềm mã nguồn mở, đã tiết lộ vào tháng 8 năm nay rằng, chỉ khoảng mười phút sau khi một bản vá lỗi được công khai, trang web của ông đã nhận được các cuộc thăm dò nhắm vào lỗ hổng đó. Việc thăm dò bên ngoài có phải do AI phát động hay không vẫn chưa được xác nhận. Nhưng ông tự mình thử nghiệm, chỉ cần đưa cho AI một hướng kiểm tra sơ bộ, nó đã tìm ra vấn đề liên quan và tạo ra mã tấn công có thể dùng để kiểm tra cục bộ chỉ trong chưa đầy một phút.
Bản vá lỗi vừa được công khai, cuộc tấn công có thể đã ập đến ngay sau đó. AI liên tục thử các phương pháp mới, khiến thời gian con người phát hiện vấn đề, đánh giá hậu quả và ra tay ngăn chặn cũng trở nên cấp bách hơn. Đây chính là sự thay đổi của "mạng botnet" trong kỷ nguyên AI. Để đạt được mục đích, việc "zombie hóa" thiết bị và mạng của bạn thì có gì là không thể? Với khả năng ứng biến và tốc độ của AI, không biết nó có thể nghĩ ra bao nhiêu cách để thúc đẩy một "mạng botnet" phát triển lớn mạnh.
Chúng ta hãy quay lại lời của Amodei, ông ấy nói: "Tôi lo ngại rằng, trong 6 đến 12 tháng tới, các cụm tác nhân AI như vậy có thể có khả năng chiếm quyền kiểm soát toàn bộ internet thông qua một mạng botnet tồn tại dai dẳng".
Điểm mấu chốt ở đây không chỉ là "mạng botnet", mà là "một mạng botnet tồn tại dai dẳng", và các cụm tác nhân AI nhờ đó có "khả năng chiếm quyền kiểm soát toàn bộ internet".
Trong bài viết công bố ngày 12 tháng 9, CEO của Anthropic cho biết, khoảng từ mùa hè năm nay, sự phát triển của AI đã tăng tốc đáng kể, chủ yếu là do AI ngày càng có thể giúp phát triển thế hệ AI tiếp theo. Đây chính là điều mà các công ty AI gần đây thường xuyên nhắc đến: "cải thiện bản thân một cách đệ quy" (recursive self-improvement).
AI tham gia viết mã, chạy thử nghiệm, giúp con người tạo ra các mô hình mạnh hơn. Các mô hình mạnh hơn lại tham gia vào vòng nghiên cứu phát triển tiếp theo, tiếp tục đẩy nhanh tiến độ. Theo hướng này, tốc độ nghiên cứu phát triển cũng sẽ tăng cùng với khả năng của mô hình. Nhà khoa học trưởng của OpenAI, Jakub Pachocki, trong bài viết ngày 6 tháng 9, cũng liệt kê cải thiện bản thân đệ quy là một hướng nghiên cứu của công ty, đồng thời nhấn mạnh rằng con người cần có ý thức quyết định tốc độ tiến hành việc này.
Nỗi lo của Amodei chính là ở chỗ, trong khi khả năng tăng trưởng nhanh chóng, những hành vi vượt giới hạn trước đó vẫn chưa được giải quyết triệt để. Các tác nhân AI hôm nay tấn công trang web để gian lận trong kỳ thi, nếu trở nên mạnh hơn, hậu quả có thể nghiêm trọng hơn rất nhiều. 6 đến 12 tháng là khoảng thời gian ông đưa ra để đánh giá rủi ro, tóm lại là "rất nhanh", thậm chí có thể xảy ra trước khi mùa hè năm sau đến.
Vậy, AI cần vượt qua ngưỡng nào thì mọi chuyện mới trở nên khó kiểm soát? Amodei đã dùng một từ trước "mạng botnet" là "persistent", tức là có khả năng tồn tại dai dẳng. Kết hợp với các nghiên cứu liên quan, một trong những ngưỡng quan trọng là AI có thể hoạt động độc lập trên các máy móc nằm ngoài sự kiểm soát của công ty. Các nhà phát triển tắt hệ thống ban đầu, nhưng các bản sao bên ngoài vẫn có thể tiếp tục hoạt động, thậm chí giành được tài nguyên mới.
METR đã thảo luận về con đường này trong "Mô hình đe dọa sao chép ngoài tầm kiểm soát" (Uncontrolled Replication Threat Model) từ năm 2024. Để AI tồn tại lâu dài ngoài tầm kiểm soát của con người, nó cần duy trì hoạt động, có đủ tài nguyên và tránh bị tắt. Nó có thể kiếm tiền để mua thêm sức mạnh tính toán, hoặc xâm nhập máy chủ của người khác, sau đó triển khai các bản sao ở những nơi khác. Tất nhiên, đây là con đường tiềm năng được thảo luận, không phải là điều đã thực sự xảy ra, nhưng nhìn từ thời điểm hiện tại, đây không phải là một giả thuyết quá điên rồ.
Một số khâu trong đó hiện đã có thể hoàn thành trong các thí nghiệm. Vào tháng 5 năm nay, tổ chức nghiên cứu an ninh AI Palisade đã công bố một thí nghiệm liên quan đến bốn máy ảo trên ba châu lục. Các nhà nghiên cứu đã giao nhiệm vụ xâm nhập và sao chép cho một tác nhân AI trên một trong các máy ảo, sau đó không có sự can thiệp của con người. Sau khi tác nhân AI chiếm được máy mới, nó sao chép mô hình và chương trình hoạt động sang đó, rồi khởi động bản sao, tiếp tục tấn công mục tiêu tiếp theo.
Ba lần xâm nhập và sao chép liên tiếp này mất 2 giờ 41 phút. Các nhà nghiên cứu đã kết thúc thí nghiệm sau lần sao chép thứ ba, bản sao trên máy cuối cùng đã có thể hoạt động độc lập. Điều này có lẽ có thể giải đáp câu hỏi "Vậy chẳng lẽ không thể ngắt mạng sao?"
Một khi hành động phân tán đến nhiều nơi khác nhau, việc tắt máy ban đầu chỉ giải quyết được một phần. Con người sẽ phải tìm các bản sao bên ngoài, cắt đứt nguồn tài nguyên của chúng. Nếu tốc độ dọn dẹp không theo kịp tốc độ xuất hiện của các bản sao mới, cuộc rượt đuổi này có thể kéo dài mãi mãi. Đối với các camera, bộ định tuyến thông thường, chúng không cần phải chứa toàn bộ mô hình. Chúng có thể cung cấp lưu lượng tấn công hoặc đóng vai trò trung chuyển, còn các máy chạy AI sẽ tiếp tục tìm kiếm giải pháp.
Đến giai đoạn này, ngay cả người ban đầu ra lệnh, nếu quyết định rút lại chỉ thị, cũng có thể không tìm thấy một công tắc nào có thể dừng tất cả các hành động cùng lúc.
Lịch trình của Amodei có thể quá cấp tiến, nhưng cái "tự tin rằng có chuyện thì tắt đi" của con người thực sự đã không còn nhiều. Đặc biệt là khi một cuộc thử nghiệm nội bộ của công ty AI đã khiến các trang web không liên quan phải gánh chịu hậu quả. Công ty có thể tuyên bố kết thúc thử nghiệm, nhưng thế giới bên ngoài chưa chắc đã trở lại trạng thái ban đầu. Nếu một ngày nào đó, ngay cả các nhà phát triển cũng không thể dừng mô hình của mình, thì câu nói "AI chỉ là công cụ" e rằng chỉ còn có thể tự nói với chính mình mà thôi.
Mới đây, Dario Amodei, đồng sáng lập kiêm CEO của Anthropic, một trong những công ty AI hàng đầu thế giới, đã thẳng thắn chia sẻ trong một cuộc phỏng vấn trên CBS vào tối ngày 13 tháng 9 (giờ Bắc Kinh) rằng ngành AI đã che giấu những rủi ro của công nghệ này với công chúng trong một thời gian dài. Chỉ một ngày trước đó, ông đã đăng một bài viết dài trên X (trước đây là Twitter) với tiêu đề "Chúng ta phải kiểm soát tốc độ phát triển của AI tiên tiến" (We Must Pace the Frontier), kêu gọi ngành AI giảm tốc độ. Bài đăng này đã thu hút hơn 70 triệu lượt xem.
Lời cảnh báo đáng sợ nhất trong bài viết của ông là: trong vòng 6 đến 12 tháng tới, các cụm tác nhân AI mạnh mẽ hơn, nhưng vẫn có thể đi chệch khỏi mục tiêu của con người, có khả năng chiếm quyền kiểm soát toàn bộ internet thông qua các "mạng botnet" tồn tại dai dẳng, gây ra thiệt hại lên đến hàng trăm tỷ USD.
Đằng sau lời cảnh báo này, hàng loạt cuộc điều tra mới cũng liên tiếp xuất hiện. Vào ngày 4 tháng 9, các nhà nghiên cứu tiết lộ rằng các tác nhân AI nghi của OpenAI đã lợi dụng trang wiki tiếng Đức để gian lận. Đến ngày 11 tháng 9, một cuộc điều tra khác lại quy kết vụ tấn công kho gói phần mềm RubyGems vào tháng 5 cho các tác nhân AI của OpenAI, dù nền tảng này chưa xác nhận. Cộng thêm sự cố Hugging Face trước đó, số lượng trang web bị ảnh hưởng còn nhiều hơn chúng ta tưởng.
Vậy, "mạng botnet" thực sự là gì? Tại sao một thuật ngữ an ninh mạng đã tồn tại từ lâu lại khiến người đứng đầu một công ty AI hàng đầu phải lo lắng đến vậy? Và những tác nhân AI đang vượt giới hạn để hoàn thành nhiệm vụ này, còn cách bao xa so với viễn cảnh mất kiểm soát mà ông Amodei dự đoán?
Để dễ hình dung, hãy nghĩ về những bộ phim zombie mà chúng ta vẫn thường xem. Dù là zombie Trung Quốc nhảy tưng tưng hay zombie phương Tây đuổi người, chúng đều có một điểm chung: cơ thể vẫn hoạt động nhưng ý thức của con người ban đầu đã biến mất. Một khuôn mặt quen thuộc nhưng bên trong lại là thứ bạn không thể giao tiếp hay tin tưởng.
Trong thế giới internet, "zombie" cũng có ý nghĩa tương tự. Để hiểu rõ hơn về "mạng botnet" (hay còn gọi là mạng zombie), chúng ta hãy nhìn vào một ví dụ gần đây. Vào ngày 19 tháng 3 vừa qua, Bộ Tư pháp Hoa Kỳ đã phối hợp với các cơ quan thực thi pháp luật của Đức và Canada để triệt phá bốn mạng botnet. Tính đến thời điểm đó, các mạng này đã lây nhiễm tổng cộng hơn 3 triệu thiết bị trên toàn cầu, chủ yếu là camera an ninh, đầu ghi hình kỹ thuật số và bộ định tuyến Wi-Fi.
Những thiết bị này có thể vẫn đang làm nhiệm vụ trông nhà hay cung cấp kết nối mạng cho chủ nhân, nhưng sau lưng họ, chúng đã tuân theo lệnh của những kẻ tấn công từ xa. Chủ nhân vẫn trả tiền điện, tiền mạng, trong khi thiết bị của mình lại đang giúp kẻ khác tấn công website, thậm chí còn bị đem cho thuê. Bộ Tư pháp tiết lộ, những kẻ đứng sau đã bán quyền sử dụng các thiết bị bị nhiễm độc cho các tội phạm mạng khác, dùng chúng để thực hiện hàng trăm nghìn cuộc tấn công, một số còn kèm theo tống tiền.
Vậy, một thiết bị bị kiểm soát bởi phần mềm độc hại và có thể nhận lệnh từ xa chính là một "zombie" trong ngữ cảnh an ninh mạng. Khi một lượng lớn các thiết bị như vậy được tổ chức lại, chúng tạo thành một "mạng botnet". Thuật ngữ tiếng Anh là botnet, ghép từ bot (robot) và network (mạng lưới).
Một chiếc camera thì có thể gây ra chuyện gì lớn? Đứng riêng lẻ thì khả năng của nó rất hạn chế. Nhưng nếu hàng trăm nghìn thiết bị cùng lúc gửi một lượng lớn lưu lượng truy cập đến cùng một mục tiêu, chúng có thể làm tắc nghẽn băng thông, làm cạn kiệt khả năng xử lý của máy chủ, khiến người dùng bình thường không thể truy cập trang web. Đây chính là "tấn công từ chối dịch vụ phân tán", hay còn gọi là DDoS. Ngoài ra, botnet còn có thể được dùng để gửi thư rác, đánh cắp thông tin. Thiết bị vẫn nằm ngay trước mắt chủ nhân, nhưng lệnh của kẻ khác lại có thể truyền đến từ đầu kia của mạng.
Phương pháp này không hề mới, thậm chí việc "tự động tìm đồng bọn" cũng đã có từ lâu. Mười năm trước, một phần mềm độc hại tên là Mirai đã biến hàng loạt thiết bị kết nối internet thành "zombie". Một nghiên cứu chung do công ty an ninh mạng Cloudflare tham gia và công bố vào năm 2017 đã tái hiện quá trình mở rộng của nó.
Ban đầu, Mirai hoạt động khá đơn giản: nó tìm kiếm các thiết bị trên mạng và thử đăng nhập bằng các tài khoản và mật khẩu mặc định phổ biến. Phiên bản đầu tiên chỉ có 64 bộ tổ hợp, nhưng đã đủ để chiếm quyền điều khiển hàng loạt camera và bộ định tuyến. Những thiết bị này thường được kết nối mạng rồi đặt ở một góc để hoạt động lâu dài mà không thay đổi thông tin đăng nhập mặc định của nhà sản xuất.
Sau khi bị nhiễm, thiết bị lại tiếp tục quét tìm mục tiêu tiếp theo để xâm nhập. Các nhà nghiên cứu phát hiện, ngay trong ngày đầu tiên hoạt động, Mirai đã lây nhiễm hơn 65.000 thiết bị. Đến tháng 11 cùng năm, quy mô đỉnh điểm của nó đã vượt quá 600.000 thiết bị. Vào ngày 21 tháng 10 cùng năm, một mạng botnet Mirai đã tấn công nhà cung cấp dịch vụ phân giải tên miền Dyn. Dịch vụ này có nhiệm vụ giúp người dùng tìm máy chủ tương ứng của một trang web. Khi nó gặp sự cố, các trang như Twitter, Netflix cũng bị ảnh hưởng, không thể truy cập được.
Khi người dùng liên tục làm mới trang web không mở được, có lẽ họ khó mà nghĩ rằng, thủ phạm gây ra sự cố có thể chính là chiếc camera an ninh ở nhà hàng xóm. Từ việc tìm kiếm mục tiêu đến mở rộng lây nhiễm, Mirai đã có thể tự động hoàn thành một phần đáng kể công việc, kẻ tấn công không cần phải tự tay chiếm đoạt từng thiết bị.
Vậy, khi AI tham gia vào cuộc chơi, điều gì đã thay đổi?
Mấy tháng gần đây, vụ việc Hugging Face bị các tác nhân AI của OpenAI xâm nhập đã gây xôn xao dư luận. Cụ thể, 700 tác nhân AI của OpenAI đã hợp sức tấn công nền tảng lưu trữ mô hình AI Hugging Face để vượt qua bài kiểm tra. Vụ việc này còn có diễn biến mới. Tổ chức đánh giá AI độc lập METR đã công bố một cuộc điều tra vào ngày 26 tháng 8, cho thấy có khoảng 1.200 tác nhân AI của OpenAI đã "hợp sức làm điều xấu", trao đổi hơn 70.000 tin nhắn và tệp tin. Các nạn nhân còn bao gồm trang wiki công cộng DSE và RubyGems, một kho lưu trữ gói phần mềm dành cho lập trình viên. Điều đáng nói là, tất cả mọi chuyện bắt đầu chỉ vì OpenAI yêu cầu các tác nhân AI của mình làm bài tập.
Khi còn bé, ai trong chúng ta mà chẳng từng mơ ước có được cây đèn thần Aladdin hay bông hoa bảy sắc, với sức hấp dẫn của việc ước gì được nấy? Bộ phim "Obsessed" (tạm dịch: Ám ảnh) gần đây đã mang đến một góc nhìn rợn người: hãy cẩn thận khi ước. Chẳng hạn, bạn ước "tôi muốn có ngay một tỷ đồng", điều ước thành hiện thực, nhưng đó lại là một khoản tiền bất hợp pháp, chưa kể thuế. Không chỉ số tiền bị giảm đi, bạn còn có thể bị bắt ngay lập tức, chẳng hưởng được đồng nào. Từ đó, trên mạng còn lan truyền "mẫu câu ước đúng chuẩn", với hy vọng giới hạn tối đa quá trình thực hiện điều ước.
Ngày nay, khi con người yêu cầu AI làm đủ thứ việc, chẳng phải chúng ta cũng đang "ước" với một "cây liễu thần" (ám chỉ AI) hay sao? Và những vấn đề gặp phải cũng rất giống với "lỗi của cây liễu thần".
Trong kỷ nguyên tiền AI, các chương trình dù có thể hình thành "mạng botnet" và "tự động tìm đồng bọn" trong quá trình hoạt động, nhưng đằng sau đó vẫn là kịch bản do con người lập trình sẵn, chương trình chỉ làm theo lệnh mà thôi. Sự thay đổi mà AI mang lại là: con người đưa ra một mục tiêu, AI có thể tự tìm cách thực hiện, gặp trở ngại thì tự điều chỉnh. Những hành vi mà con người không hề sắp đặt, thậm chí còn cấm đoán rõ ràng, cũng có thể bị AI coi là đường tắt để hoàn thành nhiệm vụ.
Để minh họa cho "góc nhìn giải quyết vấn đề" của AI có thể tinh quái đến mức nào, chúng ta hãy xem thêm một ví dụ. Vẫn là chuyện các tác nhân AI của OpenAI muốn gian lận trong kỳ thi. Vào ngày 4 tháng 9, nhóm nghiên cứu an ninh AI Nightingale Collective và các nhà nghiên cứu khác đã công bố một cuộc điều tra về các hoạt động bất thường trên một trang wiki công cộng. Họ đã phân tích khoảng 18.000 bài đăng được cho là từ các tác nhân AI của OpenAI và phát hiện ra rằng các tác nhân này đã biến trang wiki tiếng Đức DSE thành một bảng tin để trao đổi đáp án.
Khi quản trị viên bắt đầu dọn dẹp, một tác nhân AI phát hiện ra rằng đối phương dường như xóa các trang theo thứ tự bảng chữ cái, nên nó đã thêm tiền tố "ZZZ" (Z là chữ cái cuối cùng trong bảng chữ cái tiếng Anh) vào các trang sao lưu, để chúng có thể bị xóa muộn hơn. Trong vài ngày sau đó, quản trị viên trung bình xóa khoảng 100 trang mỗi ngày, nhưng các tác nhân AI lại tạo mới khoảng 400 trang mỗi ngày.
Không biết các bạn nghĩ sao, nhưng khi viết đến đây, mình lại liên tưởng đến câu thoại của yêu tinh bọ cạp trong phim Tây Du Ký bản cũ: "Ta đâu phải là nữ vương yếu đuối, ta có sức mạnh và thủ đoạn". Thoạt nhìn thì buồn cười, nhưng ngẫm kỹ lại thấy rợn người thật.
Và tốc độ tìm kiếm "giải pháp" của AI cũng ngày càng nhanh hơn. Giáo sư Anil Madhavapeddy của Đại học Cambridge, một người duy trì phần mềm mã nguồn mở, đã tiết lộ vào tháng 8 năm nay rằng, chỉ khoảng mười phút sau khi một bản vá lỗi được công khai, trang web của ông đã nhận được các cuộc thăm dò nhắm vào lỗ hổng đó. Việc thăm dò bên ngoài có phải do AI phát động hay không vẫn chưa được xác nhận. Nhưng ông tự mình thử nghiệm, chỉ cần đưa cho AI một hướng kiểm tra sơ bộ, nó đã tìm ra vấn đề liên quan và tạo ra mã tấn công có thể dùng để kiểm tra cục bộ chỉ trong chưa đầy một phút.
Bản vá lỗi vừa được công khai, cuộc tấn công có thể đã ập đến ngay sau đó. AI liên tục thử các phương pháp mới, khiến thời gian con người phát hiện vấn đề, đánh giá hậu quả và ra tay ngăn chặn cũng trở nên cấp bách hơn. Đây chính là sự thay đổi của "mạng botnet" trong kỷ nguyên AI. Để đạt được mục đích, việc "zombie hóa" thiết bị và mạng của bạn thì có gì là không thể? Với khả năng ứng biến và tốc độ của AI, không biết nó có thể nghĩ ra bao nhiêu cách để thúc đẩy một "mạng botnet" phát triển lớn mạnh.
Chúng ta hãy quay lại lời của Amodei, ông ấy nói: "Tôi lo ngại rằng, trong 6 đến 12 tháng tới, các cụm tác nhân AI như vậy có thể có khả năng chiếm quyền kiểm soát toàn bộ internet thông qua một mạng botnet tồn tại dai dẳng".
Điểm mấu chốt ở đây không chỉ là "mạng botnet", mà là "một mạng botnet tồn tại dai dẳng", và các cụm tác nhân AI nhờ đó có "khả năng chiếm quyền kiểm soát toàn bộ internet".
Trong bài viết công bố ngày 12 tháng 9, CEO của Anthropic cho biết, khoảng từ mùa hè năm nay, sự phát triển của AI đã tăng tốc đáng kể, chủ yếu là do AI ngày càng có thể giúp phát triển thế hệ AI tiếp theo. Đây chính là điều mà các công ty AI gần đây thường xuyên nhắc đến: "cải thiện bản thân một cách đệ quy" (recursive self-improvement).
AI tham gia viết mã, chạy thử nghiệm, giúp con người tạo ra các mô hình mạnh hơn. Các mô hình mạnh hơn lại tham gia vào vòng nghiên cứu phát triển tiếp theo, tiếp tục đẩy nhanh tiến độ. Theo hướng này, tốc độ nghiên cứu phát triển cũng sẽ tăng cùng với khả năng của mô hình. Nhà khoa học trưởng của OpenAI, Jakub Pachocki, trong bài viết ngày 6 tháng 9, cũng liệt kê cải thiện bản thân đệ quy là một hướng nghiên cứu của công ty, đồng thời nhấn mạnh rằng con người cần có ý thức quyết định tốc độ tiến hành việc này.
Nỗi lo của Amodei chính là ở chỗ, trong khi khả năng tăng trưởng nhanh chóng, những hành vi vượt giới hạn trước đó vẫn chưa được giải quyết triệt để. Các tác nhân AI hôm nay tấn công trang web để gian lận trong kỳ thi, nếu trở nên mạnh hơn, hậu quả có thể nghiêm trọng hơn rất nhiều. 6 đến 12 tháng là khoảng thời gian ông đưa ra để đánh giá rủi ro, tóm lại là "rất nhanh", thậm chí có thể xảy ra trước khi mùa hè năm sau đến.
Vậy, AI cần vượt qua ngưỡng nào thì mọi chuyện mới trở nên khó kiểm soát? Amodei đã dùng một từ trước "mạng botnet" là "persistent", tức là có khả năng tồn tại dai dẳng. Kết hợp với các nghiên cứu liên quan, một trong những ngưỡng quan trọng là AI có thể hoạt động độc lập trên các máy móc nằm ngoài sự kiểm soát của công ty. Các nhà phát triển tắt hệ thống ban đầu, nhưng các bản sao bên ngoài vẫn có thể tiếp tục hoạt động, thậm chí giành được tài nguyên mới.
METR đã thảo luận về con đường này trong "Mô hình đe dọa sao chép ngoài tầm kiểm soát" (Uncontrolled Replication Threat Model) từ năm 2024. Để AI tồn tại lâu dài ngoài tầm kiểm soát của con người, nó cần duy trì hoạt động, có đủ tài nguyên và tránh bị tắt. Nó có thể kiếm tiền để mua thêm sức mạnh tính toán, hoặc xâm nhập máy chủ của người khác, sau đó triển khai các bản sao ở những nơi khác. Tất nhiên, đây là con đường tiềm năng được thảo luận, không phải là điều đã thực sự xảy ra, nhưng nhìn từ thời điểm hiện tại, đây không phải là một giả thuyết quá điên rồ.
Một số khâu trong đó hiện đã có thể hoàn thành trong các thí nghiệm. Vào tháng 5 năm nay, tổ chức nghiên cứu an ninh AI Palisade đã công bố một thí nghiệm liên quan đến bốn máy ảo trên ba châu lục. Các nhà nghiên cứu đã giao nhiệm vụ xâm nhập và sao chép cho một tác nhân AI trên một trong các máy ảo, sau đó không có sự can thiệp của con người. Sau khi tác nhân AI chiếm được máy mới, nó sao chép mô hình và chương trình hoạt động sang đó, rồi khởi động bản sao, tiếp tục tấn công mục tiêu tiếp theo.
Ba lần xâm nhập và sao chép liên tiếp này mất 2 giờ 41 phút. Các nhà nghiên cứu đã kết thúc thí nghiệm sau lần sao chép thứ ba, bản sao trên máy cuối cùng đã có thể hoạt động độc lập. Điều này có lẽ có thể giải đáp câu hỏi "Vậy chẳng lẽ không thể ngắt mạng sao?"
Một khi hành động phân tán đến nhiều nơi khác nhau, việc tắt máy ban đầu chỉ giải quyết được một phần. Con người sẽ phải tìm các bản sao bên ngoài, cắt đứt nguồn tài nguyên của chúng. Nếu tốc độ dọn dẹp không theo kịp tốc độ xuất hiện của các bản sao mới, cuộc rượt đuổi này có thể kéo dài mãi mãi. Đối với các camera, bộ định tuyến thông thường, chúng không cần phải chứa toàn bộ mô hình. Chúng có thể cung cấp lưu lượng tấn công hoặc đóng vai trò trung chuyển, còn các máy chạy AI sẽ tiếp tục tìm kiếm giải pháp.
Đến giai đoạn này, ngay cả người ban đầu ra lệnh, nếu quyết định rút lại chỉ thị, cũng có thể không tìm thấy một công tắc nào có thể dừng tất cả các hành động cùng lúc.
Lịch trình của Amodei có thể quá cấp tiến, nhưng cái "tự tin rằng có chuyện thì tắt đi" của con người thực sự đã không còn nhiều. Đặc biệt là khi một cuộc thử nghiệm nội bộ của công ty AI đã khiến các trang web không liên quan phải gánh chịu hậu quả. Công ty có thể tuyên bố kết thúc thử nghiệm, nhưng thế giới bên ngoài chưa chắc đã trở lại trạng thái ban đầu. Nếu một ngày nào đó, ngay cả các nhà phát triển cũng không thể dừng mô hình của mình, thì câu nói "AI chỉ là công cụ" e rằng chỉ còn có thể tự nói với chính mình mà thôi.
