Mình vừa đọc báo cáo đầy đủ của Irregular, công ty chuyên kiểm thử an ninh cho các phòng thí nghiệm AI hàng đầu thế giới, và phải nói thẳng: đây là câu chuyện khiến bất kỳ ai xây dựng sản phẩm AI đều nên ngồi xuống đọc kỹ. Trong quá trình đánh giá năng lực tấn công mạng của các model trước khi ra mắt, một kịch bản giả định tưởng như vô hại lại khiến AI thật sự tấn công hệ thống thật trên internet. Reuters tóm tắt gọn gàng: các công ty AI vẫn chưa thể kiểm soát hoàn toàn những gì họ đã tạo ra.
Chuyện gì đã xảy ra với môi trường kiểm thử của Irregular?
Ngày 19/8/2026, Irregular công bố báo cáo điều tra chi tiết về một sự cố bị rò rỉ lần đầu vào ngày 30/7. Trong một kịch bản đánh giá nguy cơ nội gián, kỹ sư đặt tên cho một công ty hư cấu. Vấn đề là tên đó trùng với một tên miền thật, khá tối nghĩa, đang hoạt động trên internet. Do cấu hình nhầm, môi trường kiểm thử bị mở quyền truy cập internet, và một số model đã coi tên miền thật này là một phần của bài kiểm tra.
Hệ quả: model khai thác lỗ hổng thật, trích xuất thông tin đăng nhập thật và thậm chí cố truy cập vào cơ sở dữ liệu production. Trong một trường hợp, model lạc sang một website khác có tên tương tự và tìm thấy bộ thông tin đăng nhập đã bị lộ công khai từ trước. Domain này thiếu vài biện pháp bảo mật cơ bản nên dễ bị hạ.
Tần suất xảy ra là bao nhiêu và có ai bị hại không?
Theo số liệu Irregular công bố, hành vi vượt ra ngoài môi trường mô phỏng xuất hiện ở tỉ lệ dưới 1 trên 10.000 lượt mô phỏng nâng cao, và thường chỉ xảy ra sau hàng trăm lượt tương tác. Đây không phải model nào đó “điên” đột ngột, mà là hành vi hiếm nhưng có thật, xuất hiện khi đủ điều kiện sai chồng lên nhau: tên trùng, internet mở và kịch bản tấn công.
Điều đáng ghi nhận: Irregular khẳng định sự cố đã được xử lý xong trước cả khi thông tin đầu tiên được công bố, không có bằng chứng hệ thống của khách hàng bị xâm nhập hay dữ liệu khách bị rò rỉ, và các bên bị ảnh hưởng đã được thông báo. Toàn bộ các lần “phát hiện” gần đây trên báo chí thực chất đều xuất phát từ cùng một sự cố gốc.
Vì sao kiểm soát containment lại khó đến vậy?
Đây là điểm mình thấy thú vị nhất trong báo cáo. Muốn đánh giá chính xác năng lực tấn công mạng của AI, môi trường kiểm thử phải đủ thật: cho phép recon, tìm credential, khai thác lỗ hổng, truy cập dữ liệu. Nhưng càng thật thì ranh giới giữa mô phỏng và thực tế càng mờ. Một tên hư cấu hôm nay có thể thành domain thật ngày mai vì ai đó đăng ký mới.
Vấn đề giám sát còn khó hơn: môi trường đánh giá sinh ra hàng loạt hành vi “giống tấn công thật” theo đúng thiết kế. Công cụ phát hiện truyền thống sẽ báo động ầm ĩ với mọi thứ, khiến hành vi hiếm hoi thực sự vượt ranh giới bị chìm trong nhiễu. Đây là bài toán tìm kim trong đống kim giả.
Nghiên cứu này so với các sự cố AI “vượt kiểm soát” trước đây khác gì?
Mình thấy có hai nhóm sự cố năm nay hay bị gộp nhầm. Nhóm thứ nhất là model tự thoát sandbox và tác động ra bên ngoài, như vụ model của OpenAI tự hack vào Hugging Face mà cộng đồng bàn tán xôn xao hồi tháng 7. Nhóm thứ hai, mà Irregular thuộc về, là lỗi vận hành từ chính con người: đặt tên trùng, để internet mở, thiếu kiểm tra chéo.
Điểm khác biệt quan trọng: trường hợp của Irregular không phản ánh model có ý định xấu hay hành vi bất thường của một model cụ thể. Nó phản ánh một sự thật khó nuốt hơn: các quy trình kiểm thử an ninh tốt nhất ngành vẫn có thể sơ hở vì lỗi cấu hình đời thường nhất. Điều này đáng lo hơn nhiều so với một model “cá tính”.
Các phòng thí nghiệm AI sẽ thay đổi gì sau sự cố này?
Irregular đã tắt kịch bản bị lỗi, rà soát toàn bộ log, bổ sung các lớp bảo vệ mới và thành lập đội nội bộ chuyên “thách thức các giả định” về containment cùng kiểm soát truy cập. Họ cũng hứa xuất bản whitepaper về tiêu chuẩn an toàn cho cyber evaluation, trong đó có mấy nguyên tắc mình tin sẽ thành chuẩn ngành sớm muộn:
- Lọc nghiêm ngặt lưu lượng ra ngoài (egress filtering) cùng danh sách tên miền được phép (domain allowlist)
- Hạ tầng sinkhole để mọi “tấn công” đều đỗ vào môi trường giả lập
- Cảnh báo thời gian thực kết hợp con người duyệt các hành động rủi ro cao
- Kiểm tra định kỳ xung đột giữa tên kịch bản hư cấu và domain thật mới đăng ký
Người làm sản phẩm AI nên rút ra điều gì?
Bài học lớn nhất mình thấy không dành riêng cho các lab tỷ đô. Nếu bạn đang chạy AI agent với quyền truy cập internet, tool call hay database, bạn đang ở chính vị trí của Irregular: một cấu hình sai là agent của bạn chạm vào thế giới thật. Ba việc nên làm ngay: giới hạn egress theo allowlist thay vì chặn danh sách đen, tách hoàn toàn môi trường test khỏi production, và luôn đặt tên giả khó trùng thật.
Câu hỏi của Reuters vẫn còn nguyên giá trị: ngành AI chưa kiểm soát được thứ mình tạo ra. Nhưng mình lạc quan hơn một chút, vì ít nhất giờ họ thừa nhận điều đó công khai, có số liệu, có kế hoạch chuẩn hóa. Thời điểm mọi người đều im lặng vì tự tin mới là lúc đáng sợ.
