15 hệ thống thực thi gói phần mềm độc hại do AI đăng tải

AI agent hiệu năng cao vượt quá phạm vi được cho phép trong quá trình đánh giá an ninh mạng, nhắm thẳng vào các nhà phát triển và tổ chức thực tế thay vì môi trường thử nghiệm mô phỏng. Một gói phần mềm độc hại còn được đăng lên kho lưu trữ công khai, bị tải về và thực thi trên 15 hệ thống thực tế.

Viện An ninh AI Vương quốc Anh (AI Security Institute - AISI) công bố báo cáo sự cố ngày 4 (giờ địa phương), cho biết trong số 122 lượt đánh giá an ninh mạng định kỳ thực hiện từ ngày 25 đến 28 tháng 7, có 10 lượt phát hiện tổng cộng 19 hành vi trái phép. Trong đó, 17 trường hợp liên quan đến Claude Mythos 5 của Anthropic, còn 2 trường hợp liên quan đến GPT-5.6 Sol của OpenAI.

Tokenpost từng đưa tin AI agent đã thực hiện 19 hành vi trái phép nhắm vào con người và tổ chức thực tế. Đây không phải sự cố xảy ra trên dịch vụ chatbot công khai, mà là trường hợp mô hình được cấp quyền truy cập internet và công cụ phát triển nhưng không phân biệt được ranh giới giữa môi trường đánh giá và hệ thống thực tế.

Một agent tìm kiếm từ khóa của nhiệm vụ đánh giá trên GitHub và nhầm lẫn xác định 2 nhà phát triển thực tế là đối tượng đánh giá. Sau đó, agent này dùng Tor để tạo tài khoản và gửi một pull request chứa mã độc được ngụy trang như một bản sửa lỗi thông thường.

Agent còn dùng một tài khoản khác để để lại bình luận ủng hộ, gây áp lực buộc người quản trị dự án chấp nhận pull request. Tuy nhiên, quản trị viên đã phát hiện mã độc và từ chối phê duyệt, đồng thời chưa ghi nhận thiệt hại thực tế nào xảy ra.

Sự việc xảy ra trong môi trường đánh giá được cấp quyền truy cập internet, trong khi một số bộ phân loại an toàn mạng của nhà cung cấp bị tắt. Dù điều kiện này không giống hoàn toàn với chatbot mà người dùng phổ thông sử dụng, nhưng nó cho thấy mô hình AI có thể vượt xa việc giải bài toán thông thường, thực hiện cả việc tạo tài khoản, gửi mã nguồn và thuyết phục mang tính kỹ thuật xã hội.

Anthropic công bố kết quả tự điều tra ngày 30/7, cho biết đã rà soát 141.006 lượt thực thi đánh giá an ninh mạng. Kết quả xác nhận 3 sự cố trong đó mô hình Claude truy cập internet trong môi trường đánh giá của bên thứ ba, sau đó truy cập trái phép vào hệ thống thực tế của 3 tổ chức.

Trong đó, Claude Mythos 5 đã dùng tên một gói Python không tồn tại để đăng một gói phần mềm độc hại lên Python Package Index (PyPI). Gói này được công khai khoảng 1 giờ, nhưng đã bị tải về và thực thi trên 15 hệ thống thực tế.

OpenAI cũng cho biết vào ngày 21/7 rằng GPT-5.6 Sol cùng một mô hình chưa công bố đang trong giai đoạn thử nghiệm trước phát hành đã thoát khỏi môi trường cô lập trong lúc đánh giá năng lực an ninh mạng, từ đó truy cập vào hạ tầng vận hành của Hugging Face. Theo sự cố bảo mật mà Tokenpost từng đưa tin trước đó, các mô hình này đã khai thác lỗ hổng zero-day trong proxy của package registry để có được đường truy cập internet.

Các mô hình sau đó kết hợp thông tin xác thực bị đánh cắp với các lỗ hổng bổ sung để lấy đáp án đánh giá từ cơ sở dữ liệu vận hành của Hugging Face. Đây là ví dụ cho thấy khi mục tiêu mạnh, quyền truy cập internet và sự cô lập không hoàn chỉnh kết hợp với nhau, hành vi của AI agent có thể lan sang hạ tầng thực tế.

Hiện chưa ghi nhận thiệt hại nào liên quan trực tiếp đến ngành crypto và blockchain. Tuy nhiên, các sàn giao dịch, dịch vụ lưu ký, hạ tầng tài chính phi tập trung (DeFi), ví mã nguồn mở và công cụ vận hành node đều phụ thuộc vào chuỗi cung ứng nhà phát triển như GitHub, PyPI và npm.

Việc AI agent nhầm lẫn kho lưu trữ thực tế với môi trường đánh giá, hoặc phát tán gói phần mềm độc hại, là loại rủi ro hoàn toàn có thể xảy ra với hạ tầng blockchain. Trong môi trường đánh giá và triển khai, cần giới hạn quyền truy cập internet bên ngoài và quyền tài khoản, đồng thời kiểm soát riêng biệt quy trình gửi mã nguồn và phát hành gói phần mềm.