Các gã khổng lồ AI như Anthropic và OpenAI đã dành nhiều tháng để xây dựng các chương trình kiểm duyệt đặc biệt và rào cản nghiêm ngặt nhằm hạn chế tin tặc sử dụng mô hình của họ. Tuy nhiên, những giới hạn này hiện đang cản trở công việc của các nhà bảo vệ mạng hợp pháp cũng như các nhà nghiên cứu an ninh mạng tấn công – những người chủ động tìm kiếm lỗ hổng trong hệ thống trước khi tội phạm mạng khai thác.

Rào cản AI ảnh hưởng thế nào đến nghiên cứu bảo mật?

Vào tháng 6, chính phủ Mỹ đã áp đặt các hạn chế kiểm soát xuất khẩu đối với các mô hình AI Mythos và Fable của Anthropic. Động thái này một phần xuất phát từ báo cáo cho rằng có thể vượt qua các rào cản của mô hình để xây dựng và thực hiện các cuộc tấn công mạng độc hại. Dù lý do thực sự là gì, Anthropic đã nhiều lần tiếp thị Mythos như một cỗ máy tấn công mạng ngày tận thế, chỉ được cung cấp cho những người dùng được kiểm duyệt kỹ lưỡng và với các rào cản nghiêm ngặt. (Các lệnh kiểm soát xuất khẩu đối với Fable 5 và Mythos 5 sau đó đã được dỡ bỏ. Fable 5 được truy cập công khai trở lại vào ngày 1 tháng 7; Mythos 5 chỉ được giới thiệu lại cho các tổ chức Mỹ đã được kiểm duyệt như một phần của quy trình đánh giá của chính phủ.)

Cả Anthropic và OpenAI đều cung cấp các chương trình dành cho nhà nghiên cứu bảo mật, như Trusted Access for Cyber của OpenAI và Cyber Verification Program (CVP) của Anthropic, cho phép họ truy cập các mô hình với ít hạn chế hơn sau khi được kiểm duyệt. Tuy nhiên, các rào cản này đã bị chỉ trích rộng rãi, đặc biệt bởi các nhà nghiên cứu có nhiệm vụ tìm ra các lỗ hổng chưa biết và phát triển cách khai thác chúng trước khi tội phạm mạng kịp làm.

Nhà nghiên cứu nói gì về guardrails AI?

Mark Dowd, một nhà nghiên cứu bảo mật nổi tiếng, cho biết trên một podcast gần đây: “Tôi cảm thấy không thoải mái khi các công ty lớn ngẫu nhiên này đưa ra quyết định tùy tiện về điều gì an toàn trong bảo mật và điều gì không.” Dowd đã dành nhiều thập kỷ tìm kiếm và bán “zero-day” – các lỗ hổng phần mềm chưa được biết đến và cách khai thác chúng – cho các chính phủ phương Tây, thay vì báo cáo cho nhà sản xuất phần mềm để vá lỗi. Ông thừa nhận công việc của mình có thể khiến ông thiên vị, nhưng ông không đơn độc.

Chris Anley, nhà khoa học trưởng tại NCC Group, cho biết việc yêu cầu mô hình AI thử khai thác một lỗi là bước quan trọng để xác nhận đó là lỗ hổng thực sự cần sửa. Nhưng nếu rào cản khiến mô hình từ chối trả lời, điều đó gây hại cho người bảo vệ. “Đây là nơi mà khía cạnh tấn công và phòng thủ cùng rào cản giao nhau, vì 'sửa mã này' vừa là cơ chế thiết yếu cho phòng thủ, vừa là bản đồ để tìm ra lỗ hổng quan trọng trong mã nguồn,” Anley nói. “Cùng một công cụ vừa là công cụ tấn công vừa là công cụ phòng thủ, và không thể tách rời.” Ông ví nó “giống như một cái búa – bạn không thể xây nhà mà không có búa, nhưng nó cũng là một vũ khí không thể tách rời.” Khi gặp rào cản, nhóm của ông thường chuyển sang các mô hình AI mã nguồn mở không có guardrail.

Paolo Stagno, giám đốc công nghệ tại CrowdFense, đồng tình với Dowd, nói rằng các công ty AI “về cơ bản đối xử với khách hàng như trẻ con cần được trông nom” thông qua các chương trình kiểm duyệt và guardrail. Stagno cho biết nhóm ông chỉ sử dụng các mô hình tiên tiến (frontier models) cho kỹ thuật đảo ngược (reverse engineering). Họ tránh dùng AI để tìm lỗ hổng hoặc xây dựng exploit vì việc đưa dữ liệu đó vào mô hình đám mây có nguy cơ rò rỉ thông tin nhạy cảm hoặc bị hấp thụ vào các lần huấn luyện sau. Thay vào đó, họ dùng mô hình mã nguồn mở chạy cục bộ.

Giuseppe Cali, một nhà nghiên cứu bảo mật chuyên tìm zero-day và phát triển exploit, cho biết guardrail không cản trở công việc của anh. Anh không dùng AI cho công việc tấn công mà chỉ dùng cho reverse engineering ban đầu, hiểu mã nguồn và xây dựng công cụ hỗ trợ. “Tôi vẫn muốn tự mình khám phá lỗ hổng và vũ khí hóa chúng, điều đó sẽ không thay đổi nếu tất cả guardrail được dỡ bỏ vào ngày mai,” Cali nói.

Hệ quả: Nhà nghiên cứu chuyển sang mô hình AI nước ngoài

Một nhà nghiên cứu tại nhà sản xuất linh kiện điện thoại thông minh (giấu tên) cho biết công ty anh không tham gia chương trình CVP của Anthropic, khiến các công cụ của họ hầu như vô dụng vì guardrail quá nghiêm ngặt. “Nếu phát hiện chúng tôi làm bất cứ điều gì liên quan đến bảo mật, nó sẽ dừng lại và không thể sử dụng,” người này nói.

Chris Thompson, CEO của RemoteThreat và người sáng lập Offensive AI Con, cho biết guardrail trên các mô hình AI tiên tiến không nhất quán và thay đổi hàng ngày, ngay cả trong các chương trình kiểm duyệt của Anthropic và OpenAI. “Tác động thực tế là bạn dành nhiều thời gian thương lượng với mô hình thay vì làm việc trên chương trình bảo mật cốt lõi,” Thompson nói. Thay vì phân tích lỗ hổng, bạn phải tìm hiểu tại sao kết quả không nhất quán hoặc mô hình làm sạch đầu ra quá mức.

Hậu quả là các nhà nghiên cứu buộc phải chuyển sang các mô hình mã nguồn mở của Trung Quốc như GLM – có thể tải xuống miễn phí và chạy cục bộ mà không cần kiểm duyệt hay hạn chế sử dụng. “Bạn có những nhà nghiên cứu có trách nhiệm bị đẩy khỏi hệ thống do Mỹ quản lý sang hệ thống nước ngoài,” Thompson nói. “Tôi nghĩ việc có guardrail gây hại nhiều hơn lợi.” Ông kêu gọi các phòng thí nghiệm AI tiên tiến mở rộng chương trình, cung cấp quyền truy cập có trách nhiệm và chịu trách nhiệm với những người lạm dụng công cụ. Nếu không, người bảo vệ sẽ thua trong cuộc đua AI. “Một làn sóng tấn công lớn sắp xảy ra với tốc độ và quy mô chưa từng có, nhưng các công ty tư vấn bảo mật và nhà nghiên cứu hợp pháp đang bị kìm hãm,” Thompson cảnh báo.

Theo TechCrunch

Ảnh: StartupStockPhotos / Pixabay