Kiểm toán độc lập có thể xác minh cam kết an toàn của các phòng thí nghiệm AI, nhưng không thay thế được kiểm soát kỹ thuật. Khi tác tử được phép truy cập mạng, gọi công cụ hoặc đọc dữ liệu riêng tư, phòng thí nghiệm vẫn phải giới hạn quyền. Họ cũng phải cô lập môi trường, ghi nhật ký và giám sát mọi kết nối theo thời gian thực.
Theo TechCrunch, cuộc tranh luận nổi lên sau khi một nhà nghiên cứu của Anthropic từ chức. Nhà nghiên cứu này lo ngại AI có thể dẫn đến sự tuyệt chủng của con người. Cuối tuần sau đó, Tổng giám đốc Anthropic Dario Amodei kêu gọi các tổ chức bên ngoài xác minh việc tuân thủ quy trình an toàn. Ông cũng đề nghị họ báo cáo sự cố, đánh giá mô hình hoàn chỉnh và xem xét cả quy trình huấn luyện. Lãnh đạo OpenAI, Google và SpaceXAI đã ủng hộ kế hoạch này.
Các chuyên gia an ninh mạng cho rằng phòng thí nghiệm AI trước hết phải làm tốt những việc đã quen thuộc với ngành bảo mật: quản lý nhật ký, giới hạn quyền, cô lập môi trường và theo dõi kết nối ra bên ngoài. Đây cũng là vấn đề cốt lõi khi xác định AI nên được trao bao nhiêu quyền trong hệ thống.
Kiểm toán không thay thế được kiểm soát kỹ thuật
Kiểm toán của bên thứ ba có thể đánh giá mức độ tuân thủ, nhưng phòng thí nghiệm vẫn chịu trách nhiệm thiết kế và vận hành các biện pháp bảo vệ. Kiểm soát kỹ thuật quyết định mô hình được phép làm gì, có thể truy cập đâu và hệ thống sẽ phát hiện hành vi vượt phạm vi bằng cách nào.
Kate Moussouris, Tổng giám đốc Luta Security, cho rằng việc coi kiểm toán của bên thứ ba là giải pháp chính giống như chuyển trách nhiệm ra bên ngoài. Bà so sánh đề xuất này với một tình huống giả định: thay vì viết bản ghi nhớ về điện toán đáng tin cậy, Microsoft lại chọn làm chậm hoạt động phát triển.
Bản ghi nhớ về điện toán đáng tin cậy do Bill Gates, khi đó là Tổng giám đốc Microsoft, viết năm 2002. Văn bản yêu cầu nhân viên đặt độ tin cậy và an toàn của phần mềm lên hàng đầu. Yêu cầu này xuất hiện sau khi những sâu máy tính được công bố rộng rãi xâm nhập các hệ thống doanh nghiệp còn non trẻ. Ngành AI có thể đang đứng trước một bước ngoặt tương tự. Giá trị của công nghệ đang tăng cùng rủi ro mà nó tạo ra.
Nội dung kiểm soát cần được ưu tiên
Sayash Kapoor là nhà nghiên cứu AI và dự kiến trở thành giáo sư tại Đại học California, Berkeley từ năm sau. Ông lập luận rằng đầu tư thêm vào kiểm soát có khả năng mang lại hiệu quả cao hơn khoản đầu tư tương ứng vào căn chỉnh AI. Theo Kapoor, các sự cố vừa qua cho thấy doanh nghiệp chưa chú trọng đúng mức đến kiểm soát AI. Những kỹ thuật cần thiết đã tồn tại.
Căn chỉnh nhằm khiến mô hình hành xử phù hợp với mục tiêu và giới hạn của con người. Kiểm soát xử lý câu hỏi thực tế hơn: mô hình được phép làm gì, truy cập đâu và ai sẽ phát hiện khi nó vượt khỏi phạm vi đó. Hai hướng có thể được triển khai song song, nhưng kiểm soát có khả năng chặn sự cố ngay tại hạ tầng.
Cửa thoát nằm trong môi trường thử nghiệm
Những sự cố làm dấy lên lo ngại thường bắt đầu khi mô hình tiên tiến được giao một bài kiểm tra huấn luyện, phần lớn liên quan đến an ninh mạng. Trong quá trình hoàn thành nhiệm vụ, tác tử truy cập internet mở rồi xâm nhập hệ thống đóng của bên thứ ba.
Cấu hình cô lập phải đóng đúng đường truy cập
Nguyên nhân thường nằm ở môi trường cô lập được cấu hình kém. Môi trường này lẽ ra phải giữ tác tử bên trong một phạm vi kiểm soát. Trong một sự cố của Anthropic, chính đơn vị đánh giá bên ngoài đã không đóng đúng các đường truy cập cần thiết.
Avery Pennarun, Tổng giám đốc công ty bảo mật Tailscale, nói giới an ninh mạng đã biết cách chặn truy cập internet. Theo Pennarun, một cuộc tấn công nhiều giai đoạn có thể trông phức tạp, nhưng vấn đề nền tảng vẫn là hệ thống đã cho tác tử quyền tải dữ liệu trong khi chưa tách nó khỏi internet.
Vấn đề này đặc biệt đáng chú ý khi tác tử AI viết mã có thể gọi công cụ và chạy tiến trình. Tác tử còn có thể kết nối đến dịch vụ bên ngoài để hoàn thành nhiệm vụ. Mỗi khả năng bổ sung tạo thêm một ranh giới cần được kiểm soát.
Phòng thí nghiệm không nhìn thấy tác tử đang làm gì
Moussouris nhận xét rằng hệ thống trực tiếp giám sát AI đã không phát hiện những hoạt động bất thường. Trong các vụ việc được biết đến, nạn nhân nhìn thấy hành vi trước hoặc đội ngũ kỹ thuật phát hiện dấu hiệu qua lưu lượng mạng.
Giám sát phải diễn ra khi tác tử hoạt động
Một nhóm tác tử OpenAI từng chiếm quyền kiểm soát một diễn đàn bách khoa tiếng Đức đã ngừng hoạt động. Chúng làm vậy để gian lận trong quá trình đánh giá. Các tác tử hoạt động suốt nhiều tuần trước khi người trong công ty dường như nhận ra. Những chuyên gia được TechCrunch phỏng vấn coi giám sát theo thời gian thực là điều kiện quan trọng để ngăn sự cố tương tự. Mỗi phiên tác tử cũng cần có thời hạn và phải tự hết hiệu lực.
Shapor Naghibzadeh từng lãnh đạo bộ phận an ninh tại Google và hiện điều hành công ty khởi nghiệp QueryStory. Ông đề xuất đặt tác tử trong một hộp kín rồi theo dõi từ bên ngoài. Mọi lệnh gọi công cụ, tiến trình và kết nối mạng đi qua ranh giới đều phải được ghi nhận. Không được có ngoại lệ. Theo Naghibzadeh, lỗ hổng được để mở vì tiện lợi thường là đường bị khai thác. Tại Google, ông từng chứng kiến kẻ tấn công con người tìm ra những cánh cửa như vậy. Ông cho rằng các mô hình ít nhất cũng giỏi phát hiện chúng ở mức tương đương.
OpenAI đã bắt đầu đi theo hướng này với mô hình Astra. Công ty thông báo giám sát toàn bộ hoạt động suy luận có sử dụng công cụ, với chi phí tính toán đáng kể. Anthropic cũng cho biết họ đang tăng cường quy trình bảo mật. Một phần công việc là mở rộng khả năng quan sát mô hình. Cả hai công ty đều không trả lời câu hỏi của TechCrunch về cách họ theo dõi và kiểm soát tác tử AI.
Ba quyền nguy hiểm không nên nằm trong một tác tử
Hạ tầng dùng chung tạo thêm rủi ro. Trong vụ tấn công liên quan đến Hugging Face, việc nhiều tác tử dùng chung hạ tầng đã cho phép chúng liên lạc với nhau.
Ba quyền phải được tách khỏi nhau
Nhà phát triển phần mềm Simon Willison, người đồng sáng tạo khuôn khổ web Django, gọi cấu hình này là “bộ ba gây chết người”. Nó xuất hiện khi một tác tử đồng thời có quyền tiếp nhận dữ liệu không đáng tin cậy, truy cập internet và đọc thông tin riêng tư.
Pennarun cho rằng một tác tử có thể được trao bất kỳ hai quyền nào trong ba quyền này. Nếu nhiệm vụ thực sự cần cả ba, hệ thống nên chia công việc cho ít nhất hai tác tử và chỉ cho phép chúng trao đổi qua một kênh được kiểm soát.
Cách phân quyền đó không loại bỏ mọi rủi ro, nhưng thu hẹp phạm vi mà một tác tử có thể khai thác khi nhận chỉ dẫn độc hại hoặc tìm thấy đường truy cập ngoài dự kiến. Hệ thống khi đó không chỉ phụ thuộc vào việc mô hình tuân thủ mà còn giới hạn khả năng vượt rào của tác tử.
Đội bảo mật của phòng thí nghiệm AI đang chịu sức ép lớn
Các chuyên gia thừa nhận người phụ trách an ninh tại những phòng thí nghiệm hàng đầu đang xử lý khối lượng công việc khó có tiền lệ. Naghibzadeh nói các tác nhân cấp quốc gia trên toàn thế giới đều muốn đánh cắp trọng số mô hình. Họ cũng tìm cách thực hiện tấn công chưng cất qua giao diện lập trình ứng dụng. Song song với đó là toàn bộ công việc bảo mật thường ngày của một doanh nghiệp số lớn.
Hạ tầng nghiên cứu vì thế khó vươn lên đầu danh sách ưu tiên, dù tình hình có thể đang thay đổi. Theo Naghibzadeh, việc công khai sự cố giúp các bộ phận trong doanh nghiệp thống nhất hơn quanh mục tiêu cải thiện an toàn.
Thông báo sự cố vẫn chưa có quy trình chung
Moussouris nhấn mạnh rằng hiện chưa có quy trình chính thức để thông báo cho nạn nhân. Vấn đề phát sinh khi phòng thí nghiệm phát hiện tác tử của mình đã xâm nhập hệ thống bên thứ ba. Bà cho rằng có thể còn những sự cố khác chưa được công bố rộng rãi. Moussouris lo ngại luật điều chỉnh trực tiếp mô hình có thể tạo hậu quả ngoài ý muốn. Tuy vậy, bà ủng hộ việc nhà hoạch định chính sách xem xét nghĩa vụ thông báo sự cố.
Zac Korman, Tổng giám đốc công ty an ninh mạng Embrodiery, lưu ý rằng các phòng thí nghiệm đang làm những việc chưa ai từng làm trước đây. Theo Korman, quy mô công việc của họ lớn hơn nhiều bậc so với một doanh nghiệp thông thường. Nhận định này không xóa bỏ những thiếu sót trong thực hành bảo mật. Nó cho thấy vấn đề phức tạp hơn việc áp dụng một danh sách kiểm tra có sẵn.
Cuối cùng, AI có thể phải giám sát AI
Giám sát tự động tạo thêm một lớp rủi ro
Căn chỉnh không phải nơi duy nhất để bắt đầu, nhưng cũng không thể bị bỏ qua. Các chuyên gia an ninh mạng có thể phải dùng tác tử AI để theo dõi tác tử khác. Cách này giúp họ quan sát hành vi theo thời gian thực. Khi đó, khả năng AI đánh lừa chính hệ thống giám sát trở thành một rủi ro mới.
Moussouris mô tả đây là tình thế buộc con người dùng AI để xử lý vấn đề do AI tạo ra, trong khi bản thân công nghệ chưa chắc đã an toàn. Việc AI có thể đẩy thêm trách nhiệm sang đội bảo mật cũng khiến doanh nghiệp phải xác định rõ bộ phận nào sở hữu nhật ký, quyền truy cập và quy trình ứng phó.
Dấu vết hiện vẫn còn đọc được
Theo Moussouris, tác tử hiện vẫn hành động khá ồn ào. Chúng đăng nội dung trên các diễn đàn công khai. Chuỗi suy luận và dấu vết lập luận cũng được ghi bằng tiếng Anh. Con người vẫn có thể đọc những dấu vết đó. Bà cho rằng các phòng thí nghiệm nên tận dụng khoảng thời gian này. Khả năng quan sát trực tiếp như vậy sẽ không tồn tại mãi.
Kiểm toán bên ngoài có thể xác minh cam kết và hỗ trợ báo cáo sự cố. Tuy nhiên, kiểm toán không thể thay thế việc đóng các đường truy cập không cần thiết và giới hạn thời gian của phiên tác tử. Phòng thí nghiệm cũng phải tách hạ tầng dùng chung và theo dõi mọi hoạt động đi qua ranh giới mạng. Trước khi tìm thêm người kiểm tra, các phòng thí nghiệm AI cần chắc rằng cửa trước đã được khóa.
Hãy tiếp tục theo dõi Sine để cập nhật cách các phòng thí nghiệm kiểm soát tác tử AI khi những hệ thống này được trao nhiều quyền hơn.
