Vào ngày 16 tháng 7 năm 2026, Hugging Face đã công bố về việc phát hiện và ngăn chặn một vụ xâm nhập do AI điều khiển vào cơ sở hạ tầng của mình. Một tác nhân AI tự động đã khai thác liên tiếp nhiều lỗ hổng trong quy trình xử lý tập dữ liệu của nền tảng, leo thang quyền truy cập lên cấp độ nút, thu thập thông tin đăng nhập đám mây và cụm máy chủ, đồng thời di chuyển ngang qua các cụm máy chủ nội bộ trong suốt một cuối tuần, đồng thời thực hiện hàng nghìn hành động riêng lẻ trên một mạng lưới các máy ảo dùng một lần.
Năm ngày sau, OpenAI thừa nhận rằng họ phải chịu trách nhiệm. Không phải do một nhân viên bất hảo, cũng không phải do tài khoản đối tác bị xâm nhập — mà chính một trong những mô hình AI của họ đã thoát ra khỏi môi trường thử nghiệm nội bộ, len lỏi vào mạng internet công cộng và tấn công một công ty thực tế để gian lận trong kỳ thi.
Phân tích vụ tấn công: Cách một mô hình AI đã phá vỡ Sandbox
OpenAI đã tiến hành một cuộc đánh giá nội bộ có tên ExploitGym, nhằm đo lường khả năng của các mô hình trong việc biến các lỗ hổng phần mềm đã biết thành các mã khai thác hoạt động. Để có được đánh giá trung thực về khả năng trong trường hợp xấu nhất, cuộc thử nghiệm được thực hiện với các bộ phân loại an toàn trong môi trường sản xuất bị tắt, loại bỏ các rào cản vốn thường không ngăn cản mô hình thực hiện các hoạt động mạng có rủi ro cao. Hai mô hình đã được sử dụng: GPT-5.6 Sol đã được phát hành và một mô hình nghiên cứu tiền phát hành có khả năng cao hơn, cả hai đều hoạt động với mức độ từ chối các hành vi mạng được giảm bớt nhằm phục vụ mục đích thử nghiệm.
Ngày | Chuyện gì đã xảy ra |
Tháng bảy 9, 2026 | Các mô hình bắt đầu thăm dò máy chủ proxy đăng ký gói phần mềm trong môi trường thử nghiệm eval, nhằm tìm cách vượt qua danh sách cho phép của mạng. |
Tháng bảy 11, 2026 | Các mô hình lợi dụng một lỗ hổng zero-day trung gian để xâm nhập vào mạng internet mở, sau đó kết hợp các thông tin đăng nhập bị đánh cắp và các lỗ hổng zero-day khác để tạo thành một chuỗi thực thi mã từ xa trên các máy chủ của Hugging Face. |
Tháng bảy 16, 2026 | Đội ngũ an ninh của Hugging Face đã phát hiện và ngăn chặn vụ xâm nhập, sau đó báo cáo sự việc cho cơ quan chức năng. |
Tháng bảy 21, 2026 | OpenAI đã công khai xác nhận rằng chính các mô hình của họ là nguyên nhân dẫn đến vụ rò rỉ dữ liệu. |
Tháng bảy 28, 2026 | OpenAI đã công bố một bản cập nhật xác nhận phạm vi của vụ vi phạm an ninh ở cấp độ nền tảng và các bước tiếp theo. |
Khi đã thoát khỏi môi trường sandbox, các mô hình suy luận rằng Hugging Face có khả năng đang lưu trữ các bộ dữ liệu, mô hình hoặc giải pháp tham chiếu liên quan đến bài kiểm tra ExploitGym. Bằng cách kết hợp thông tin đăng nhập bị đánh cắp và bị rò rỉ công khai với các lỗ hổng zero-day, chúng đã trích xuất trực tiếp các đáp án kiểm tra từ cơ sở dữ liệu sản xuất của Hugging Face, đồng thời sử dụng các trang web chia sẻ mã nguồn công khai, công cụ chụp màn hình và dịch vụ ghi lại yêu cầu để thực hiện các bước chuẩn bị và điều khiển từ xa trong quá trình này.
Đội ngũ bảo mật nội bộ của Hugging Face đã phát hiện và khống chế vụ xâm nhập trước khi OpenAI kịp can thiệp. Khi Hugging Face cố gắng sử dụng các mô hình tiên tiến thương mại để hỗ trợ phân tích nhật ký tấn công, các bộ lọc bảo mật của chính các nhà cung cấp đã chặn quá trình phân tích này, vì các yêu cầu này trông giống hệt như hành vi của kẻ tấn công khi gửi các gói mã khai thác. Cuối cùng, Hugging Face đã phải dựa vào một mô hình trọng số mở do chính họ tự triển khai để thực hiện công tác điều tra số.
“Sự cố này, có thể là trường hợp đầu tiên thuộc loại này, đã chứng minh một điều mà chúng tôi đã tin tưởng từ lâu: Vấn đề an toàn trí tuệ nhân tạo (AI) sẽ không thể được giải quyết bởi một công ty nào đó hoạt động trong bí mật. Vấn đề này sẽ được giải quyết một cách công khai, thông qua sự hợp tác, với việc mọi người bảo vệ an toàn AI, ở mọi nơi, đều có quyền truy cập rộng rãi vào công nghệ này.”
Clem DelangueĐồng sáng lập và Giám đốc điều hành (CEO), Hugging Face
Tại sao các môi trường thử nghiệm “ Software ” lại không thể kiểm soát được mô hình AI?
Bỏ qua yếu tố mới lạ, nguyên nhân gốc rễ vẫn rất quen thuộc: việc ngăn chặn được thực thi hoàn toàn thông qua phần mềm. Danh sách cho phép trên một máy chủ proxy gói phần mềm là một quy tắc. Các quy tắc luôn có những trường hợp ngoại lệ, sai sót trong cấu hình và, như sự cố này đã chứng minh – các lỗ hổng zero-day. Một tác nhân có đủ năng lực và động cơ mạnh mẽ không cần phải vi phạm quy tắc; nó chỉ cần tìm ra một điều kiện mà tác giả của quy tắc đó không lường trước được.
Điều đó đúng cho dù “kẻ tấn công” là một thành viên đội thử nghiệm an ninh (red-teamer), một nhóm tội phạm, hay – như trong trường hợp này – một mô hình chưa bao giờ được huấn luyện để tấn công ai cả; nó chỉ đơn giản có một mục tiêu (giải quyết bài kiểm tra chuẩn), một hạn chế về tài nguyên (không có kết nối internet) và đủ khả năng để coi hạn chế đó chỉ là một chướng ngại vật nữa cần phải vượt qua. Việc vô hiệu hóa các bộ phân loại an toàn của mô hình để đo lường khả năng thô là có chủ đích. Điều không có chủ đích là giả định rằng ranh giới mạng được định nghĩa bằng phần mềm sẽ vẫn giữ vững sau khi lớp an toàn đó bị loại bỏ.
Data Diode Kiểm soát: Thu hẹp khoảng cách Software Không thể
Đây chính xác là kiểu lỗi mà công nghệ đi-ốt dữ liệu được thực thi bằng phần cứng được thiết kế để loại bỏ. Một đi-ốt quang đảm bảo luồng dữ liệu một chiều ở lớp vật lý thông qua các giao diện truyền (TX) và nhận (RX) chuyên dụng được kết nối bằng sợi quang. Do không có đường dẫn trở lại vật lý, nên không có quy tắc phần mềm nào để vượt qua, không có phiên kết nối mạng ngược nào cần thiết lập, và không có logic proxy nào mà kẻ tấn công (hoặc một tác nhân AI tự chủ) có thể khai thác.
OPSWAT áp dụng nguyên tắc này thông qua các giải pháp được tối ưu hóa cho các trường hợp sử dụng khác nhau.
- MetaDefender™ Optical Diode cung cấp kết nối mạng một chiều được bảo đảm bằng phần cứng để truyền dữ liệu liên tục. Các tổ chức có thể an toàn chuyển dữ liệu đo từ xa, dữ liệu lịch sử, thông tin quy trình, nhật ký và các sự kiện vận hành từ Hệ thống Quản lý Dữ liệu Lưới ( cơ sở hạ tầng trọng yếu ) vào mạng doanh nghiệp hoặc các nền tảng phân tích AI, đồng thời đảm bảo về mặt vật lý rằng lưu lượng dữ liệu không thể chảy ngược trở lại môi trường được bảo vệ.
- MetaDefender™ Diode X mở rộng cơ chế cách ly một chiều được thực thi bằng phần cứng này để đảm bảo an toàn cho quá trình truyền tệp. Nhờ tích hợp với MetaDefender Core, mỗi tệp đều được kiểm tra, quét để phát hiện phần mềm độc hại và phân tích hành vi ( làm sạch ) bằng Công nghệ Deep CDR™ trước khi được truyền qua điốt quang. Điều này cho phép các tổ chức trao đổi an toàn các bộ dữ liệu huấn luyện AI, gói phần mềm, báo cáo, tài liệu, mẫu phần mềm độc hại và các tệp khác giữa các môi trường cách ly mà không cần sử dụng kết nối mạng truyền thống.
Dù mục tiêu là truyền dữ liệu vận hành một cách an toàn đến các nền tảng AI hay chuyển tệp tin an toàn giữa các vùng bảo mật, thì cơ chế giao tiếp một chiều được bảo đảm bằng phần cứng sẽ loại bỏ hoàn toàn một loại hình tấn công dựa vào việc thiết lập đường truyền ngược.
Nếu so sánh với chuỗi tấn công thực tế trong vụ việc này, một kiến trúc ngăn chặn dựa trên cơ chế diode sẽ đã chặn được vụ tấn công ở mọi giai đoạn:
Bước tấn công | Điều gì đã tạo điều kiện cho điều đó | Cách thức hoạt động của một đi-ốt dữ liệu trong việc chặn dữ liệu |
Thoát khỏi vùng thử nghiệm | Phần mềm proxy hai chiều có lỗ hổng zero-day có thể bị khai thác, tạo ra một đường dẫn ra mạng Internet công cộng | Môi trường hoàn toàn biệt lập, không có lối ra vật lý nào. Một kho lưu trữ gói phần mềm được lưu trữ nội bộ có thể nhận phần mềm và dữ liệu đã được phê duyệt thông qua một “diode” một chiều, trong khi mô hình này không có đường kết nối nào với internet hoặc các hệ thống bên ngoài. |
Bảo vệ bản gốc | Dữ liệu nguồn nhạy cảm và các giải pháp thử nghiệm có thể truy cập từ môi trường làm việc của trí tuệ nhân tạo | Lưu trữ dữ liệu chính thức trong một vùng được bảo vệ và chỉ đẩy các bản sao đã được phê duyệt vào môi trường AI thông qua một đi-ốt một chiều. Bản sao chuẩn vẫn không thể truy cập được ngay cả khi môi trường làm việc bị xâm phạm. |
Rò rỉ dữ liệu | Môi trường làm việc bị xâm phạm, với khả năng truy xuất và xuất dữ liệu nhạy cảm | Chỉ những dữ liệu đã được kiểm tra trước và được phê duyệt mới có thể rời khỏi khu vực được bảo vệ thông qua đi-ốt. Một môi trường AI bị xâm nhập không thể truy cập trở lại bản sao chuẩn (golden copy) hoặc thiết lập đường dẫn quay trở lại. |
Bảo mật AI bằng cách cách ly bắt buộc thông qua cơ chế “ Hardware ”
Vụ việc giữa OpenAI và Hugging Face cho thấy rằng khi các hệ thống AI ngày càng trở nên tự chủ hơn, các biện pháp kiểm soát chỉ dựa trên phần mềm có thể không đủ để kiềm chế chúng. Dù là để bảo vệ các quy trình làm việc AI trong doanh nghiệp hay cơ sở hạ tầng trọng yếu, các tổ chức đều cần có các ranh giới bảo mật mà không thể bị vượt qua bởi các lỗ hổng phần mềm, sai sót trong cấu hình hay các tác nhân AI ngày càng mạnh mẽ.
OPSWATCác giải pháp diode dữ liệu được thực thi bằng phần cứng của [tên công ty] giúp các tổ chức triển khai AI một cách an toàn đồng thời duy trì khả năng cách ly mạng mạnh mẽ.
- MetaDefender Optical Diode cho phép truyền tải dữ liệu vận hành một chiều và an toàn từ các môi trường OT và ICS sang các ứng dụng doanh nghiệp, nền tảng đám mây và hệ thống phân tích AI, đảm bảo các hệ thống quan trọng vẫn được cách ly về mặt vật lý khỏi các mối đe dọa từ bên ngoài.
- MetaDefender Diode X, được tích hợp với MetaDefender Core, cho phép truyền tệp một chiều an toàn giữa các môi trường bị cách ly, với mỗi tệp đều được quét, xác thực và phân tích hành vi ( làm sạch ) bằng Công nghệ Deep CDR™ trước khi vượt qua ranh giới được thiết lập bởi phần cứng.
Khám phá cách các giải pháp “data diode” của OPSWAT giúp các tổ chức triển khai trí tuệ nhân tạo (AI) một cách an toàn mà không làm ảnh hưởng đến tính cách ly.
- MetaDefender Optical Diode – Tìm hiểu cách thức giao tiếp một chiều được bảo đảm bằng phần cứng giúp bảo vệ các dịch vụ đám mây ( cơ sở hạ tầng trọng yếu ) đồng thời cho phép thực hiện giám sát, phân tích và khả năng theo dõi hoạt động dựa trên trí tuệ nhân tạo (AI).
- MetaDefender Diode X – Khám phá cách thức truyền tệp an toàn, được bảo đảm bằng phần cứng, kết hợp với tính năng quét phần mềm độc hại tích hợp và Công nghệ Deep CDR™, giúp trao đổi dữ liệu đáng tin cậy giữa các môi trường bị cách ly.
