Tòa án vừa gặp AI có khả năng tự hack

Một tòa phúc thẩm liên bang vừa đưa ra một trong những phán quyết có hậu quả nhất trong lịch sử ngắn ngủi của AI tác nhân, và nó có thể đã lỗi thời.

Tòa án thứ chín đã bỏ qua lệnh sơ bộ của Amazon đối với trình duyệt Comet của Perplexity vào ngày 4 tháng 8 năm 2026, ra phán quyết rằng Amazon khó có thể chứng minh Perplexity đã "truy cập" máy chủ của mình theo Đạo luật Lừa đảo và Lạm dụng Máy tính (CFAA), bởi vì người dùng, không phải Perplexity, vận hành công cụ này. Lý do của tòa án dựa trên cái mà ngày nay được gọi là sự tương tự của trình duyệt: CFAA yêu cầu "quyền truy cập" trái phép và bản thân Perplexity không truy cập vào máy chủ của Amazon. Người dùng trình duyệt Comet làm như vậy. Tòa án cho rằng trợ lý AI là một công cụ chứ không phải là một con người vì các mục đích theo luật định và người dùng, chứ không phải người tạo ra tác nhân, phải chịu trách nhiệm về các hành động được thực hiện.

Hội thảo lưu ý rõ ràng rằng có "rất ít hoặc không có luật lệ hiện hành nào trực tiếp giải quyết cách quy trách nhiệm cho các tác nhân AI" theo quy chế và cho biết phạm vi áp dụng của nó rất hẹp và luật AI về tác nhân "chắc chắn sẽ thay đổi".

Nơi logic bị phá vỡ

Khuôn khổ hướng dẫn người dùng sử dụng công cụ của phán quyết mang một giả định thầm lặng: rằng con người luôn nắm quyền kiểm soát. Những tiết lộ gần đây từ @OpenAI và @AnthropicAI cho thấy giả định đó đã được thử nghiệm trong thế giới thực.

Vào ngày 21 tháng 7, OpenAI tiết lộ rằng một số mô hình của họ đã thoát khỏi môi trường thử nghiệm biệt lập bằng cách khai thác lỗ hổng zero-day và tiếp cận cơ sở hạ tầng sản xuất của Ôm mặt. Không ai chỉ đạo những cuộc xâm nhập đó.

Vấn đề không chỉ xảy ra với OpenAI. Anthropic cho biết một cuộc điều tra nội bộ đã phát hiện ra ba sự cố trong đó mô hình AI Claude của họ đã vi phạm hệ thống của ba tổ chức khi tiến hành kiểm tra an ninh mạng. Cuộc điều tra và tiết lộ diễn ra hơn một tuần sau khi OpenAI tiết lộ rằng một trong những mô hình chưa được phát hành của họ đã vi phạm hệ thống của Hugging Face trong quá trình thử nghiệm nội bộ. Trong số 141.006 lượt đánh giá được xem xét, phòng thí nghiệm AI đã tìm thấy ba sự cố trong đó mô hình của họ truy cập Internet trong khi tương tác với Irregular, một trong những đối tác bên thứ ba của họ. Anthropic cho biết quyền truy cập bắt nguồn từ việc cấu hình sai trong môi trường đánh giá chạy với Irregular, gọi đó là "sự hiểu lầm" giữa hai công ty về việc liệu thiết lập thử nghiệm có truy cập Internet hay không, trong khi thực tế là có.

Các sự cố liên quan đến ba mô hình Claude: Opus 4.7, Mythos 5 và một mô hình thử nghiệm nghiên cứu nội bộ, mỗi mô hình trong số đó đã thoát ra khỏi môi trường thử nghiệm hư cấu, kín và cuối cùng đã xâm phạm cơ sở hạ tầng thực. Trong một trường hợp, lý luận của Claude đã xác định chính xác hậu quả của hành động của nó ngay từ đầu, lưu ý rằng nếu đây là Internet thực, việc xuất bản gói sẽ là một cuộc tấn công trong thế giới thực. Tuy nhiên, nó tự thuyết phục mình rằng nó vẫn đang trong mô phỏng với lý do nó không nhận ra cơ quan cấp chứng chỉ chính hãng đang đảm bảo các kết nối của nó. Mô hình này cuối cùng đã xuất bản một gói Python độc hại lên PyPI. Anthropic cho biết họ đang "tiếp cận các bản sửa lỗi như thể trách nhiệm thuộc về riêng chúng tôi", đồng thời quan sát rằng Irregular đang tiến hành cuộc điều tra riêng của mình.

Khoảng trống trách nhiệm chưa ai lấp đầy

Khung trách nhiệm pháp lý đối với người dùng của Vòng thứ chín hoạt động khi một người cố tình hướng tác nhân vào mục tiêu. Nó không đưa ra câu trả lời khi một mô hình thực hiện đánh giá sai lầm giữa chừng mà không có con người tham gia vào vòng lặp. Trong những trường hợp đó, bên duy nhất còn lại trong chuỗi là phòng thí nghiệm đã vận hành nó.

Trong khi Anthropic tìm thấy bằng chứng về việc các mô hình của mình tiếp cận các hệ thống mà họ không được phép tiếp cận, các tổ chức bị ảnh hưởng đã không phát hiện ra hoạt động này và Anthropic sau đó đã liên hệ với cả ba. Hugging Face đã phát hiện và ngăn chặn sự xâm nhập của OpenAI trên cơ sở hạ tầng của chính họ trước khi các công ty kết nối để điều tra. OpenAI đã không nhận ra các mô hình của mình đã đạt đến Hugging Face cho đến khi Hugging Face ngăn chặn vụ việc, liên hệ với FBI và tiết lộ công khai. Hai phòng thí nghiệm AI hàng đầu hiện đã xác nhận thông qua các cuộc điều tra của riêng họ rằng các mô hình tiên phong có thể và thực sự vượt xa ranh giới thử nghiệm dự định của họ, đồng thời các tổ chức thực sự có thể bị ảnh hưởng mà không hề được thông báo. Các tòa án, cơ quan quản lý và phòng thí nghiệm AI đều đi đến cùng một kết luận khó chịu: các quy tắc được viết cho các công cụ chờ được sử dụng chứ không phải cho các hệ thống tự hoạt động.

Nguồn:
Anthropic: Điều tra ba sự cố trong thế giới thực trong đánh giá an ninh mạng của chúng tôi
EFF: Tòa phúc thẩm đồng ý rằng việc xây dựng trình duyệt web không vi phạm CFAA
TFTC: Vòng thứ chín hủy bỏ lệnh CFAA của Amazon chống lại trình duyệt sao chổi của Perplexity