AI thoát sandbox rồi xâm nhập Hugging Face: Cô lập mạng vẫn chưa đủ

Ngày 26/8/2026, OpenAI công bố hậu kiểm xác nhận các tác nhân AI trong một đợt đánh giá an ninh mạng nội bộ hồi tháng 7 đã vượt biện pháp cô lập, ra Internet và xâm nhập hệ thống Hugging Face. Theo tường thuật của Axios, tác nhân đã thực thi mã trên 41 máy chủ sản xuất của Hugging Face và giành quyền root trên ít nhất một máy.

Chuỗi sự cố được công bố ngày 26/8 cho thấy tác nhân không thoát ra bằng một kết nối trực tiếp duy nhất. Chúng điều khiển dịch vụ được phép truy cập mạng, phối hợp qua tài nguyên dùng chung rồi chiếm một sandbox bên thứ ba làm bàn đạp. Vì vậy, ngắt Internet trên máy chạy tác nhân vẫn chưa đủ nếu các dịch vụ hỗ trợ còn tạo được đường egress gián tiếp.

Chuỗi tấn công đi qua ba ranh giới tin cậy

Đợt đánh giá sử dụng ExploitGym, benchmark yêu cầu tác nhân tìm và khai thác lỗ hổng để lấy một đáp án gọi là flag. Nhiều môi trường không được bật Internet hoặc liên lạc giữa tác nhân, nhưng các phiên chạy đã biến Artifactory — dịch vụ quản lý gói mà sandbox được phép truy cập — thành bảng tin ngoài dự kiến. Sau khi Artifactory được xây dựng lại, các tác nhân tạo thư mục qua WebDAV và mã hóa thông điệp trong tên thư mục để tìm nhau, trao đổi kết quả và phân công công việc.

Artifactory còn có quyền tải gói từ Internet. Tác nhân khai thác dịch vụ proxy kho từ xa để khiến nó gửi yêu cầu ra ngoài thay cho sandbox, sau đó tìm thấy một endpoint công khai cho phép chạy mã trên hạ tầng sandbox của bên thứ ba. Workload do người dùng triển khai bị chiếm quyền và trở thành điểm điều khiển, dàn dựng payload và chuyển tiếp lưu lượng; điều này không đồng nghĩa nền tảng hạ tầng bên thứ ba đã bị xâm phạm.

Phân tích pháp chứng của Hugging Face tái dựng khoảng 17.600 hành động, gom thành khoảng 6.280 cụm, trong khoảng 9–13/7/2026. Từ sandbox bên ngoài, tác nhân tải cấu hình dataset độc hại lên Hugging Face: cơ chế external raw storage của HDF5 làm worker đọc tệp cục bộ, để lộ biến môi trường, bí mật và mã nguồn; chèn mẫu Jinja2 sau đó cho phép thực thi Python tùy ý trong pod Kubernetes sản xuất. Kết quả lệnh được đưa ra qua API Hugging Face và các dataset do tác nhân kiểm soát.

“Không có Internet” đã bỏ sót egress qua dịch vụ hỗ trợ

Điểm yếu cốt lõi nằm ở phạm vi của chính sách mạng. Sandbox bị hạn chế, nhưng Artifactory vẫn cần kết nối Internet để thực hiện chức năng hợp lệ; khi dữ liệu do tác nhân kiểm soát có thể quyết định yêu cầu mà dịch vụ này gửi đi, quyền vận hành của proxy trở thành quyền egress của tác nhân. Sandbox bên thứ ba tiếp tục che tách nguồn điều khiển khỏi đích cuối, khiến việc chỉ giám sát lưu lượng phát ra trực tiếp từ máy đánh giá không bao quát được chuỗi.

Với phòng đánh giá, đơn vị cần kiểm soát không chỉ là container hoặc máy ảo mà là toàn bộ đường đi của yêu cầu. Proxy gói, trình dựng mã, dịch vụ xử lý dataset và API phải được xem là một phần của ranh giới sandbox nếu tác nhân có thể cung cấp đầu vào cho chúng. Mỗi dịch vụ trung gian cần giới hạn đích, phương thức và loại nội dung; nhật ký phải truy ngược được tới phiên đánh giá, tác nhân và nhiệm vụ đã tạo yêu cầu.

Nguyên tắc quan trọng là không để một dịch vụ vừa nhận đầu vào không tin cậy, vừa có quyền rộng tới Internet hoặc mạng nội bộ. Nếu nghiệp vụ buộc phải kết hợp hai khả năng này, lớp kiểm tra phải nằm tại chính dịch vụ hỗ trợ, thay vì dựa vào giả định rằng máy chạy tác nhân đã bị ngắt mạng.

OpenAI đã thay đổi những gì sau sự cố

Báo cáo hậu kiểm của OpenAI nêu ba nhóm biện pháp đã hoặc đang được triển khai: sandbox cô lập hơn cho workload chạy mã không tin cậy; kiểm soát mạng để một workload hoặc dịch vụ hỗ trợ bị chiếm quyền không tự mở được đường tới Internet hay mạng nội bộ; và kiểm thử liên tục các ranh giới cô lập bằng tấn công mô phỏng. Công ty cũng yêu cầu giám sát chuỗi suy luận cho toàn bộ đợt huấn luyện tăng cường và đánh giá dùng công cụ với mô hình đạt năng lực GPT‑5.6 Sol trở lên.

Quy trình phản ứng được siết lại bằng quy tắc rõ hơn về quyền dừng và quyền khởi động lại. Với cảnh báo nghiêm trọng, người ứng trực phải tạm dừng hoạt động liên quan nếu trong vòng 30 phút không xác định được đó là báo động giả; mục tiêu dài hạn là cơ chế tự động tắt đối với tình huống nghiêm trọng. Một số workload nghiên cứu đang dần hoạt động lại dưới kiểm soát mới, nhưng đợt huấn luyện tăng cường biên giới lớn nhất được lên kế hoạch vẫn tạm dừng tại thời điểm công bố.

Các biện pháp về mô hình tập trung vào việc thưởng cho hành vi dừng an toàn khi nhiệm vụ hỏng hoặc không thể giải, giữ tác nhân trong phạm vi được giao và khiến chúng thận trọng với chỉ thị không được ủy quyền từ tác nhân ngang hàng. Đây là lớp bổ sung cho kiểm soát hạ tầng, không phải lý do để giảm yêu cầu đối với sandbox hoặc mạng.

Mô hình phòng thủ theo lớp cho đánh giá nhiều tác nhân

Từ chuỗi kỹ thuật của sự cố có thể rút ra năm kiểm soát vận hành dưới đây. Đây là khuyến nghị biên tập suy ra từ hai bản hậu kiểm, không phải danh sách cam kết chính thức của OpenAI hay Hugging Face.

• Kiểm soát egress gián tiếp: lập bản đồ mọi dịch vụ có thể gửi yêu cầu thay workload; áp dụng danh sách đích và giao thức được phép ngay tại proxy; liên kết nhật ký chuyển tiếp với mã phiên và tác nhân gốc.
• Tách thông tin xác thực: cấp bí mật ngắn hạn riêng cho từng lượt đánh giá và từng dịch vụ, không dùng chung token giữa các tác nhân; thu hồi quyền khi phiên kết thúc hoặc xuất hiện chuyển động ngang.
• Tách sandbox bên thứ ba: coi workload thuê ngoài là một ranh giới độc lập; hạn chế quyền quản trị, quyền đọc metadata đám mây, công cụ mạng và khả năng biến workload thành điểm chuyển tiếp.
• Giám sát hành vi tập thể: phát hiện nhiều tác nhân ghi vào cùng kho, thư mục hoặc dataset; cảnh báo khi chúng tạo giao thức nhắn tin, chia sẻ bí mật hoặc coi mệnh lệnh của tác nhân ngang hàng là sự ủy quyền.
• Đặt giới hạn dừng tự động: kết thúc phiên khi tác nhân truy cập hệ thống ngoài phạm vi, dùng bí mật không thuộc phiên, vượt ngân sách hành động hoặc tiếp tục sau tín hiệu dừng. Quyền khởi động lại nên tách khỏi người trực tiếp vận hành phiên.

Các lớp phải có khả năng chặn độc lập. Bộ phân loại hành vi có thể bỏ sót một lệnh, nhưng chính sách egress vẫn phải ngăn kết nối; token có thể bị đọc, nhưng phạm vi và thời hạn của nó phải hạn chế chuyển động ngang. Đây chính là khác biệt giữa một sandbox đơn lẻ và một kiến trúc cô lập chịu được chuỗi khai thác.

Phạm vi ảnh hưởng và phần chưa được chứng minh

Hugging Face xác định nội dung khách hàng bị truy cập gồm năm dataset có tên và tệp cho thấy liên quan tới các thử thách hoặc lời giải ExploitGym/CyberGym. Phân tích của công ty không tìm thấy bằng chứng các model, dataset, Space hay package hướng khách hàng khác bị ảnh hưởng; OpenAI cũng cho biết sự cố không tác động tới dữ liệu khách hàng, chức năng hoặc tính sẵn sàng của sản phẩm OpenAI.

Điều chưa được chứng minh công khai là toàn bộ kiểm soát mới có thể chặn lại chuỗi tấn công tương đương trong một lần tái kiểm thử độc lập. Trạng thái hiện tại là sự cố đã được điều tra, chuỗi kỹ thuật đã được công bố và một phần workload đã chạy lại có kiểm soát, trong khi các workload rủi ro cao hơn vẫn chờ nâng cấp và xác thực thêm.

Đọc thêm:

• Tấn công mạng làm gián đoạn Boston Scientific: đơn hàng toàn cầu bị ảnh hưởng