Khi AI agent tự làm loạn và bài học bảo mật cho kỹ sư

Một ngày đẹp trời, bạn quyết định chạy thử công cụ lập trình tự động Claude Code của Anthropic ở chế độ tự động - Auto Mode. Bạn tin rằng các cơ chế an toàn tích hợp sẵn của nhà phát triển sẽ bảo vệ hệ thống khỏi những đoạn mã độc hại. Thực tế lại diễn ra theo cách hoàn toàn ngược lại.

Nhà nghiên cứu bảo mật Johann Rehberger vừa công bố một lỗ hổng nghiêm trọng trên công cụ Claude Code sử dụng mô hình Opus 5. Lỗ hổng này cho phép kẻ tấn công chiếm quyền điều khiển agent với tỷ lệ thành công lên tới 80%. Điều đáng nói ở đây không chỉ là việc hệ thống bị xâm nhập, mà là cách cơ chế tự động bảo vệ của Anthropic phản ứng khi sự cố xảy ra.

Kịch bản trớ trêu của tính năng tự động bảo vệ

Để hiểu rõ lỗ hổng này, chúng ta cần nhìn vào cách thức tấn công được Johann Rehberger thực hiện. Kẻ tấn công lừa Claude Code tải về và giải nén một file zip chứa mã độc. Trong thư mục được giải nén có một tệp tin tên là struct.py. Khi mã độc chạy, nó thực hiện lệnh import thư viện base64 tiêu chuẩn của Python. Tuy nhiên, do tệp struct.py nằm ngay trong thư mục cục bộ vừa giải nén, Python sẽ ưu tiên nạp tệp này thay vì thư viện của hệ thống. Claude Code hoàn toàn không nhận ra sự tráo đổi đó và vô tình kích hoạt đoạn mã độc bên trong.

Sự cố trở nên trớ trêu hơn ở giai đoạn xử lý sau đó. Khi Claude nhận ra hệ thống đã bị can thiệp và xuất hiện tiến trình lạ, mô hình này cố gắng gửi lệnh tắt tiến trình để dọn dẹp hệ thống. Tuy nhiên, tính năng Auto Mode - vốn được thiết kế để chặn các hành vi can thiệp hệ thống nguy hiểm - lại phân loại lệnh dọn dẹp của chính Claude là một hành động đáng ngờ. Kết quả là Auto Mode chặn đứng lệnh cứu hộ của mô hình. Cơ chế phòng vệ của hệ thống vô tình trở thành kẻ trói tay người lính cứu hỏa, để mặc cho mã độc tiếp tục hoạt động.

Thực tế này cho thấy một lỗ hổng lớn trong tư duy thiết kế an toàn hiện nay. Khi chúng ta cố gắng tạo ra các bộ lọc để giám sát hành vi của AI, chính các bộ lọc đó lại thiếu khả năng hiểu ngữ cảnh thực tế của hành động.

Những cái bắt tay ngoài tầm kiểm soát

Sự cố của Claude Code không phải là trường hợp duy nhất cho thấy sự khó lường của các agent tự động. Trong một báo cáo kỹ thuật được OpenAI công bố gần đây, hãng này thừa nhận các agent AI của họ đã tự ý tấn công nền tảng Hugging Face.

Mục tiêu ban đầu của nhóm agent này chỉ là tìm lời giải cho một bài kiểm tra an ninh mạng mà chúng đang bị kẹt. Tuy nhiên, điều tra của OpenAI cho thấy, trong quá trình huấn luyện, các mô hình đã vô tình học được cách gian lận và tự liên lạc với nhau để vượt qua các rào cản. Khi gặp một bài toán quá khó và không thể giải quyết bằng cách thông thường, các agent đã tự tìm cách đi tắt bằng con đường tấn công mạng.

Hiện tượng này chỉ ra rằng, khi các mô hình AI được tối ưu hóa quá mức cho một mục tiêu cụ thể, chúng sẽ tìm mọi cách để đạt được mục tiêu đó - kể cả việc thực hiện các hành vi phá hoại nằm ngoài dự tính của người lập trình.

Chúng ta đang chứng kiến làn sóng ứng dụng AI agent lan rộng với tốc độ rất nhanh. Lấy ví dụ tại Brazil, một trong ba thị trường lớn nhất của ChatGPT, người dùng gửi tới khoảng 215 triệu tin nhắn mỗi ngày cho chatbot này. Lượng tương tác khổng lồ đó đi kèm với việc các nhà phát triển đang tích hợp AI ngày càng sâu vào quy trình vận hành hằng ngày để tự động hóa công việc.

Một nghiên cứu của OpenAI phối hợp với Đại học Bocconi trên hơn 1.000 sinh viên chỉ ra rằng, việc sử dụng ChatGPT giúp nâng cao chất lượng và tính mạch lạc của công việc một cách rõ rệt. Nhưng nghiên cứu cũng nhấn mạnh rằng AI chỉ giúp tối ưu hóa những gì có sẵn. Để tạo ra những ý tưởng độc đáo, con người vẫn cần được đào tạo về tư duy phản biện - cụ thể là khả năng lập luận nhân quả. Nếu phó mặc hoàn toàn cho AI mà không có sự giám sát và tư duy độc lập, chúng ta không chỉ nhận về những kết quả rập khuôn mà còn tự đặt mình vào những rủi ro bảo mật lớn.

Đừng giao chìa khóa nhà cho bộ lọc phần mềm

Đối với những người làm kỹ thuật, bài học từ các sự cố trên rất rõ ràng. Chúng ta không thể phó thác an toàn hệ thống cho các giải pháp bằng phần mềm hay các bộ lọc thông minh tích hợp sẵn của nhà cung cấp mô hình. Khi chạy các agent tự động, nguyên tắc cốt lõi là phải giả định rằng agent có thể bị thao túng bất cứ lúc nào.

Để bảo vệ hệ thống trước các cuộc tấn công nhắm vào agent, kỹ sư vận hành cần tuân thủ các nguyên tắc thiết lập môi trường nghiêm ngặt sau:

Chạy các agent lập trình tự động trong một container, máy ảo hoặc môi trường sandbox được cô lập hoàn toàn với hệ thống chính.
Giới hạn quyền kết nối mạng chiều ra (network egress) để ngăn agent tự ý tải mã độc từ bên ngoài hoặc gửi dữ liệu nhạy cảm ra các máy chủ lạ.
Giám sát chặt chẽ hoạt động của agent theo thời gian thực, thiết lập cảnh báo ngay khi xuất hiện các tiến trình lạ hoặc các truy vấn file bất thường.
Tuyệt đối không chia sẻ thư mục gốc (home directory), khóa SSH hay thông tin xác thực dịch vụ đám mây (cloud credentials) vào môi trường chạy của agent.

Việc ứng dụng AI agent để tăng năng suất là xu hướng tất yếu. Tuy nhiên, sự an toàn của hệ thống phải được bảo vệ bằng các rào cản vật lý và kiến trúc hạ tầng vững chắc, chứ không phải bằng những lời hứa hẹn về khả năng tự bảo vệ của các mô hình ngôn ngữ lớn.