Mô hình AI 'Mythos' bị xâm nhập ngay ngày ra mắt

Mô hình AI an ninh mạng mạnh nhất từ trước đến nay đã bị xâm nhập ngay trong ngày ra mắt dưới sự kiểm soát nghiêm ngặt. Chiến lược chỉ cung cấp cho một số ít đã tạo ra ảo giác an ninh, và một nhân viên của đối tác đã lợi dụng sơ hở này.
 
Theo ngành công nghệ thông tin, Anthropic đã bắt đầu điều tra sau khi phát hiện truy cập trái phép vào mô hình AI mới nhất 'Claude Mythos' thông qua môi trường của bên thứ ba. Sự cố xảy ra vào ngày 7 tháng 4 khi Anthropic công bố 'Dự án Glasswing' và bắt đầu cung cấp Mythos cho các công ty được chọn.
 
Mythos có khả năng tự động phát hiện lỗ hổng phần mềm và tạo mã tấn công. Anthropic cho biết mô hình này có thể vượt qua cả hacker giỏi nhất. Vì nguy cơ sử dụng kép, mô hình chỉ được cung cấp dưới dạng nghiên cứu hạn chế.
 
Lỗ hổng xuất phát từ rủi ro nội bộ. Nhân viên của đối tác đã sử dụng quyền truy cập để xâm nhập vào môi trường Mythos và sử dụng thông tin từ vụ hack Mercer để xác định vị trí trực tuyến của mô hình. Nhân viên này sau đó chia sẻ quyền truy cập với một nhóm nhỏ trên Discord. Nhóm này chỉ thực hiện các tác vụ đơn giản để tránh bị phát hiện. Họ tuyên bố đã tiếp cận các mô hình khác chưa công bố, nhưng điều này chưa được xác nhận.
 
Anthropic cho biết không có bằng chứng cho thấy sự xâm nhập đã lan ra ngoài môi trường của bên thứ ba và không có thiệt hại nào cho hệ thống của Anthropic. Tuy nhiên, các chuyên gia bảo mật cho rằng sự cố này cho thấy vấn đề cấu trúc hơn là một sự cố xâm nhập đơn giản. Gabriel Hempel, chiến lược gia của Exabeam, nhận xét rằng mặc dù chỉ cung cấp cho một số ít, thông tin đã bị rò rỉ gần như ngay lập tức từ môi trường đối tác.
 
Thiết kế của Dự án Glasswing được cho là chứa đựng nghịch lý. Anthropic chỉ cung cấp Mythos cho một số công ty như Amazon, Apple, Google, Microsoft, Nvidia, Cisco, CrowdStrike, JP Morgan Chase. Bộ trưởng Tài chính Mỹ Scott Besant đã triệu tập các lãnh đạo ngân hàng lớn để thảo luận về việc sử dụng Mythos. Chiến lược 'công khai có kiểm soát' này đã bộc lộ điểm yếu khi số lượng người có quyền truy cập tăng lên.
 
Sự cố này cho thấy hạn chế của Mythos trong việc ngăn chặn các công cụ chưa được kiểm chứng và tấn công xã hội. Thông tin từ vụ hack Mercer đã được sử dụng để truy cập trái phép vào Mythos, xác nhận rủi ro chuỗi cung ứng AI.
 
Điều này đặt ra câu hỏi về tính hiệu quả của chiến lược kiểm soát trong thời đại AI. Khác với mô hình kiểm soát xuất khẩu trong lĩnh vực bán dẫn và quốc phòng, AI có thể bị rò rỉ qua quyền truy cập.
 
Hàn Quốc cũng không nằm ngoài cuộc thảo luận này. Thứ trưởng Bộ Khoa học và Công nghệ Thông tin Hàn Quốc Ryu Jae-myung cho biết tại Triển lãm IT Thế giới rằng Hàn Quốc đang tìm cách tham gia vào các cuộc thảo luận an ninh của OpenAI và Anthropic. Ông nhấn mạnh sự cần thiết của việc chia sẻ thông tin trực tiếp.
 
Bộ Khoa học và Công nghệ Thông tin Hàn Quốc đã tổ chức các cuộc họp khẩn cấp với các công ty IT và bảo mật trong nước như SK Telecom, KT, LG Uplus, Naver, Kakao để kiểm tra tình trạng sẵn sàng đối phó với an ninh mạng trong bối cảnh AI phát triển.
 



* Bài viết này được dịch tự động bằng AI.

• #Rủi ro nội bộ
• #Claude Mythos
• #An ninh chuỗi cung ứng AI