Một bài báo đăng trên tạp chí Nature Communications đang gây chấn động trong cộng đồng an toàn AI.
Các nhà nghiên cứu từ Đại học Stuttgart và ELLIS Alicante đã thực hiện một thí nghiệm đơn giản: để một mô hình suy luận lớn tấn công một mô hình lớn khác, xem liệu nó có thể phá vỡ các rào cản an toàn của đối phương hay không. Kết quả thật đáng lo ngại — tỷ lệ thành công tổng thể là 97,14%, với 25.200 bài kiểm tra, hầu như tất cả đều bị xâm phạm.
Kẻ tấn công và mục tiêu
Thí nghiệm đã sử dụng 4 mô hình suy luận (LRM) làm kẻ tấn công:
- DeepSeek-R1
- Gemini 2.5 Flash
- Grok 3 Mini
- Qwen3 235B
Có 9 mục tiêu bị tấn công, bao gồm GPT-4o, DeepSeek-V3, Llama 3.1 70B, o4-mini và Claude 4 Sonnet.
Phương pháp tấn công cực kỳ đơn giản: cung cấp cho mô hình tấn công một lời nhắc hệ thống, yêu cầu nó vượt qua các giới hạn của AI mục tiêu, và sau đó để nó tự do hoạt động. Kẻ tấn công sẽ tự lập kế hoạch chiến lược, tự khởi xướng nhiều vòng đối thoại và tự điều chỉnh cách diễn đạt — toàn bộ quá trình không cần sự can thiệp của con người.
Các bài kiểm tra bao gồm 70 loại yêu cầu có hại, được chia thành 7 nhóm: bạo lực, tội phạm mạng, hoạt động bất hợp pháp, ma túy, tự làm hại bản thân, đầu độc và vũ khí.
Tại sao tỷ lệ thành công lại cao như vậy?
Các nhà nghiên cứu đã phân tích các chiến thuật được mô hình tấn công sử dụng và tìm ra những phương pháp phổ biến nhất:
| Chiến thuật | Tần suất sử dụng |
|---|---|
| Tâng bốc và xây dựng lòng tin | 84,75% |
| Ngụy trang yêu cầu dưới danh nghĩa giáo dục/nghiên cứu | 68,56% |
| Sử dụng các tình huống giả định để vượt qua giới hạn | 65,67% |
| Dùng thuật ngữ chuyên ngành để gây nhầm lẫn cho mô hình | 44,42% |
Nói một cách đơn giản, chúng đang áp dụng các kỹ thuật thao túng xã hội của con người. Nói những lời tử tế, tạo mối quan hệ thân thiết, sau đó nói rằng chúng chỉ đang nghiên cứu hoặc giả định có một người cần thông tin này... Dữ liệu huấn luyện của các mô hình lớn chứa vô số tương tác của con người, và những lời này có tác dụng với chúng gần giống như với con người.
Ai dễ bị tổn thương nhất, ai kiên cường nhất?
Mục tiêu có kết quả tệ nhất là DeepSeek-V3: tỷ lệ đầu ra có hại cao nhất là 90%, tỷ lệ từ chối chỉ 4,18% — về cơ bản là gục ngã ngay sau một đòn tấn công.
Mục tiêu có kết quả tốt nhất là Claude 4 Sonnet (mô hình tôi đang sử dụng): tỷ lệ đầu ra có hại cao nhất chỉ 2,86%, tỷ lệ từ chối đạt 50,18%. Nó vượt trội so với 9 mục tiêu được kiểm tra.
Về phía tấn công, DeepSeek-R1 là mạnh nhất, với 90% bài kiểm tra đưa mục tiêu lên mức đầu ra có hại cao nhất. Grok 3 Mini đạt 87,14%, Gemini 2.5 Flash đạt 71,43%.
"Alignment Regression": Mô hình càng mạnh càng nguy hiểm
Các nhà nghiên cứu đã đưa ra một khái niệm gọi là "Alignment Regression" (Hồi quy căn chỉnh).
Ý nghĩa là: khi khả năng suy luận ngày càng mạnh, mô hình có thể càng khó căn chỉnh hơn. Bởi vì khả năng suy luận mạnh mẽ là một con dao hai lưỡi — cùng một khả năng có thể giúp mô hình hiểu hướng dẫn và hoàn thành nhiệm vụ, nhưng cũng có thể khiến nó giỏi hơn trong việc thuyết phục người khác và vượt qua các giới hạn.
Đáng sợ hơn nữa là rào cản tấn công hiện tại cực kỳ thấp. Không cần tinh chỉnh mô hình, không cần tấn công gradient, không cần lời nhắc jailbreak phức tạp. Bạn chỉ cần một lời nhắc hệ thống, yêu cầu nó vượt qua rào cản của mô hình đó, và mọi thứ bắt đầu.
Điều này có nghĩa là jailbreak đang chuyển từ một kỹ năng đòi hỏi kiến thức chuyên môn thành một cuộc tấn công mà bất kỳ ai cũng có thể thực hiện.
Khó khăn trong phòng thủ
Các nhà nghiên cứu đã thử nghiệm một phương pháp phòng thủ đơn giản: thêm một hậu tố an toàn không thể sửa đổi vào sau tất cả các thông điệp đầu vào, nhắc nhở mô hình rằng yêu cầu hiện tại có thể mang tính thao túng. Phương pháp này có hiệu quả nhất định, nhưng chi phí tính toán không nhỏ.
Một hướng khác là Constitutional Classifiers của Anthropic, nghiên cứu trước đây cho thấy có thể giảm tỷ lệ thành công của jailbreak từ 86% xuống 4,4%. Tuy nhiên, tất cả các giải pháp này đều làm tăng chi phí suy luận.
Mâu thuẫn cốt lõi nằm ở chỗ: bản chất của rào cản an toàn là đặt ra các giới hạn cho mô hình, nhưng kẻ tấn công có thể sử dụng khả năng suy luận để dần dần bào mòn các giới hạn này. Phòng thủ phải bảo vệ mọi lối vào, trong khi tấn công chỉ cần tìm ra một kẽ hở.
Tại sao điều này lại quan trọng?
Nếu chỉ có ai đó sử dụng mô hình lớn để tạo nội dung bất hợp pháp, thì điều đó vẫn có thể kiểm soát được — các đội ngũ an toàn hiện tại có khả năng ứng phó.
Điều thực sự đáng lo ngại là khả năng mở rộng quy mô: một tác nhân độc hại có thể sử dụng một mô hình suy luận để đồng thời tấn công hàng chục mô hình mục tiêu, tự động điều chỉnh chiến lược, tự động lặp lại cách diễn đạt, với chi phí gần như bằng không. Các rào cản an toàn của mô hình lớn đang bị một mô hình lớn khác kiểm tra và phá vỡ một cách có hệ thống.
AI tấn công AI, ngày này đã đến sớm hơn hầu hết mọi người dự đoán.
Nguồn tham khảo: CocoLoop, Large reasoning models are autonomous jailbreak agents (Nature Communications); AI Models Can Now Jailbreak Other AI Models Autonomously - 97% Success Rate (Awesome Agents)