Max Justicz, giám đốc công nghệ và đồng sáng lập của công ty khởi nghiệp Charge Robotics, đã sử dụng mô hình OpenAI để tìm ra một lỗ hổng nghiêm trọng – nếu bị khai thác – có thể cho phép tin tặc chiếm quyền kiểm soát các máy chủ chạy Ubuntu, một hệ điều hành dựa trên Linux nguồn mở được sử dụng rộng rãi.

Justicz, người có sở thích về an ninh mạng và trước đó đã tìm thấy lỗ hổng trong cùng một cơ sở mã, nói với TechCrunch rằng anh ấy đã phát hiện ra vấn đề này khi sử dụng GPT 5.6 Sol, được phát hành vào tháng 7, thông qua Daybreak Blue của nhà sản xuất AI, một chương trình cho phép những người bảo vệ an ninh mạng truy cập vào các mô hình biên giới mạnh mẽ.

“Theo đúng nghĩa đen, tôi chỉ nhắm ChatGPT vào cùng một đoạn mã và nói ‘Tôi đã tìm thấy lỗi này trước đây đã được sửa cách đây vài năm, vui lòng tìm ra lỗi xấu hoặc tệ hơn’ và nó đã quay trở lại sau 2 giờ với lỗi này,” Justicz nói. “Nó cực kỳ phức tạp và khó tìm thấy đối với con người, nhưng nó hoạt động được!”

Anh đã báo cáo vấn đề này với Dự án Debian, nơi duy trì phần mềm được đề cập và phát hành bản vá để khắc phục lỗ hổng. Không có bằng chứng nào về việc khai thác. Tuy nhiên, sự dễ dàng mà anh ấy tìm thấy cho thấy rằng chúng ta chỉ nhìn thấy phần nổi của tảng băng trôi khi nói đến các cách khai thác tiềm năng mà ngay cả những tin tặc mới vào nghề cũng có thể sử dụng với sự trợ giúp của các mô hình AI.

"Tôi chỉ có thể tưởng tượng những gì người ta có thể làm với nhiều thời gian hơn và khả năng tiếp cận với các mô hình ít bị vô hiệu hóa hơn. Chúng ta có thể mong đợi một số lỗi cực kỳ điên rồ sẽ được tìm thấy và khai thác trong vài tháng tới", Justicz viết trong một chủ đề truyền thông xã hội thảo luận về phát hiện của mình. “Điều này có thể hiển nhiên đối với hầu hết mọi người ở đây, nhưng hiện tại có rất nhiều bước tiến trong việc lấy một số mã hoặc nhị phân mà ai đó chưa kiểm tra và chỉ nhắm đến một mô hình AI mạnh mẽ vào nó.”

OpenAI dường như đã nhận thấy. Hôm nay, gã khổng lồ AI đã công bố một mô hình mới tập trung vào an ninh mạng, ChatGPT Cyber, sẽ được cung cấp cho người dùng cấp cao nhất trong chương trình an ninh mạng, Daybreak Red, cho phép các nhà nghiên cứu an ninh mạng tấn công sử dụng các công cụ để tìm kiếm và phát triển lỗ hổng. Hôm qua, OpenAI cho biết mô hình tương tự đã được sử dụng để quét và chuẩn bị các bản vá lỗ hổng trong nhân Linux, tìm ra 948 vấn đề tiềm ẩn. OpenAI cũng tìm thấy 81 lỗ hổng “mới” trong Firefox, trình duyệt web.

Phòng thí nghiệm biên giới cho biết trong một tuyên bố: “Mục tiêu của chúng tôi là mở rộng đáng kể Daybreak, đưa nghiên cứu bảo mật tiên tiến đến các tổ chức thuộc mọi quy mô, các nhà nghiên cứu độc lập và các nhà bảo trì nguồn mở”.

OpenAI đã nhấn mạnh rằng có một khoảng thời gian rất hẹp để những người bảo vệ cơ sở hạ tầng kỹ thuật số hành động trước khi các mô hình AI trở nên tốt hơn trong việc hack và dễ dàng truy cập hơn. Tuy nhiên, đối với những người bảo vệ mạng, có thể có cảm giác như các phòng thí nghiệm biên giới đã tung ra hàng núi công việc mới vượt xa nguồn lực của họ. Justicz nói rằng cá nhân anh ấy đã chi khoảng 5.000 đô la cho việc đăng ký và mã thông báo để tìm ra một số cách khai thác.

Bên cạnh khả năng truy cập mô hình của Daybreak, OpenAI cũng đã công bố sáng kiến ​​trị giá 1 tỷ USD để hỗ trợ các chuyên gia an ninh mạng trong chương trình làm việc trên cơ sở hạ tầng quan trọng như lưới điện hoặc hệ thống nước.

Chương trình Daybreak có những lời phê bình riêng. Justicz lưu ý rằng phòng thí nghiệm biên giới gần đây dường như đã "giảm sức mạnh" Daybreak Blue để làm cho nó ít hữu ích hơn trong việc tìm kiếm các lỗ hổng. Một mặt, có thể tốt nếu hạn chế quyền truy cập của những kẻ xấu tiềm ẩn - Justicz cho biết anh vừa tải lên ảnh chụp giấy phép lái xe của mình để tham gia chương trình. Mặt khác, các chuyên gia an ninh mạng cho biết họ sẽ bị trói một tay nếu không thể sử dụng công nghệ tiên tiến trong khi những kẻ xấu có thể triển khai các mô hình trọng lượng mở với các lan can bảo vệ bị hủy bỏ.

Tuy nhiên, OpenAI cho biết chỉ có “hàng nghìn” chuyên gia an ninh mạng đang tham gia chương trình Daybreak, so với số lượng tin tặc tiềm năng lớn hơn nhiều.

Không rõ liệu các phòng thí nghiệm ở biên giới có dành đủ nguồn lực cho vấn đề này hay không. Eric Wallace, một nhà nghiên cứu trong đội ngũ kỹ thuật của OpenAI, cho biết “chúng tôi hiện đang phân bổ một lượng đáng kể điện toán biên giới của mình để phát hiện và vá các lỗ hổng trong cơ sở mã nguồn mở, hoàn toàn chuyên nghiệp”.

Nhưng cuộc săn lỗi Linux tiêu tốn 1,2 triệu USD, thấp hơn đáng kể so với khoản chi tiêu khoảng 6 triệu USD mà công ty đã đầu tư để tìm ra giải pháp tiềm năng cho một vấn đề nổi tiếng về động lực học chất lỏng.

Nếu có một khoảng thời gian hẹp để vá cơ sở hạ tầng kỹ thuật số mà thế giới phụ thuộc vào thì có thể cần phải khẩn cấp hơn.