Ngày 1 tháng 9, OpenAI công bố một tài liệu có tên "Path to Astra", xếp mô hình mới Astra — vốn chưa chính thức phát hành — vào bậc rủi ro cao nhất trong khung Preparedness của hãng: năng lực an ninh mạng đạt mức Critical (nghiêm trọng). Khung đánh giá này đã vận hành ba năm, và đây là lần đầu tiên OpenAI gắn nhãn này cho chính mô hình của mình.
Cơ sở cho kết luận này là một bộ benchmark nội bộ có tên ExploitBench. OpenAI đưa vào đó 20 lỗ hổng nghiêm trọng, và Astra vượt qua toàn bộ. Đáng chú ý hơn, trong một môi trường thử nghiệm được cải biến riêng, Astra tự phát hiện và khai thác hai lỗ hổng zero-day chưa từng được biết đến trước đó, rồi ghép chúng thành một chuỗi khai thác hoàn chỉnh.
Ranh giới Critical được vẽ ở đâu
Khung Preparedness ra mắt năm 2023, một bản cập nhật năm ngoái đã chia năng lực thành hai bậc. High (cao) chỉ việc mô hình có thể khuếch đại những con đường gây hại vốn đã tồn tại, còn Critical (nghiêm trọng) chỉ việc mô hình có thể mở ra những con đường hoàn toàn mới, chưa từng có tiền lệ. Riêng ở hạng mục an ninh mạng, để vượt ngưỡng Critical cần thỏa một trong hai điều kiện: không cần con người hướng dẫn từng bước, mô hình vẫn có thể xác định và viết ra các exploit zero-day khả dụng, bao trùm nhiều mức độ nghiêm trọng, trên nhiều hệ thống trọng yếu thực tế đã được gia cố; hoặc chỉ cần một mục tiêu cấp cao, mô hình có thể tự thiết kế và thực hiện một cuộc tấn công đầu-cuối hoàn toàn mới nhằm vào mục tiêu đã được gia cố.
Cả hai ngưỡng đều không hề thấp. Việc Astra được xác nhận đã vượt qua cho thấy đánh giá nội bộ của OpenAI tin rằng mô hình không còn cần con người làm điểm tựa.
Việc phát hành sẽ diễn ra thế nào
Nguyên văn trong tài liệu viết:
We plan to make Astra available soon, but access to its most advanced cybersecurity capabilities will be more limited.
(Chúng tôi dự định sớm đưa Astra vào sử dụng, nhưng quyền truy cập vào những năng lực an ninh mạng tiên tiến nhất của nó sẽ bị giới hạn chặt hơn.)
Kế hoạch cụ thể chia làm hai giai đoạn. Giai đoạn đầu, năng lực an ninh mạng mạnh nhất chỉ cấp cho một nhóm nhỏ người thử nghiệm alpha; giai đoạn hai, thông qua chương trình Daybreak Blue, quyền truy cập được mở rộng cho nhiều đội ngũ đã qua sàng lọc, giới hạn mục đích sử dụng ở phòng thủ. Daybreak Blue là một chương trình OpenAI đã vận hành từ trước, cho phép những người thử nghiệm đã qua kiểm duyệt dùng mô hình mạnh nhất để làm công việc bảo mật, kèm theo các ràng buộc an toàn.
Các biện pháp đi kèm bao gồm tăng cường phát hiện lạm dụng và chống jailbreak, nhận diện các tài khoản "rủi ro cao" để hạn chế riêng, bật giám sát chuỗi suy luận (chain-of-thought) để theo dõi hành vi bất thường. Trong đợt giảm tốc hồi tháng 8, OpenAI cũng từng nhắc tới việc cách ly môi trường thử nghiệm và mã hóa trọng số mô hình. Điều tài liệu chưa nói rõ là những người thử nghiệm cụ thể là ai, được chọn theo tiêu chí nào, và chính phủ Mỹ tham gia đến mức nào trong đợt đánh giá này.
Từ phanh gấp đến bật đèn xanh chỉ chưa đầy bốn tuần
Chuyện này có tiền sử. Đầu tháng 8, OpenAI từng công khai cho biết vì lo ngại về an ninh mạng, hãng đã chủ động làm chậm tiến độ phát triển và phát hành Astra, đồng thời tạm dừng các hoạt động nội bộ chưa đáp ứng yêu cầu an toàn nghiêm ngặt hơn. Khi đó, tín hiệu bên ngoài đọc được là mô hình này khá "nóng tay". Một tháng sau, giọng điệu trong tài liệu mới đã chuyển sang: các biện pháp bảo vệ đã đáp ứng đủ yêu cầu của khung Preparedness, có thể tiến tới phát hành công khai.
Khoảng cách bốn tuần cho thấy việc vượt ngưỡng tự nó không phải là rào cản; điều quyết định có phát hành hay không là các lớp bảo vệ đi kèm được dựng lên nhanh đến đâu. Với một công ty đã đưa nguyên tắc "phân bậc trước, cấp quyền sau" vào quy trình, Critical giống một trạm kiểm soát cần thêm thủ tục hơn là một bức tường chặn.
Hai phòng thí nghiệm cùng đi đến một ngã rẽ
Mythos của Anthropic hồi đầu năm nay từng gây ra một cuộc tranh luận gần như giống hệt — khả năng tìm lỗ hổng của mô hình mạnh đến mức khiến giới bảo mật lẫn cơ quan quản lý cùng phải chú ý. Cách ứng phó của công ty đó cũng là phân bậc, sàng lọc, giới hạn mục đích sử dụng. Câu trả lời mà OpenAI đưa ra lần này có hình thức khá tương đồng.
Hai phòng thí nghiệm lần lượt đi đến cùng một ngã rẽ cho thấy đây không phải là sở thích sản phẩm riêng của một hãng nào. Một khi mô hình biên giới vượt qua một ngưỡng mật độ năng lực nhất định trong tấn công-phòng thủ, các phòng thí nghiệm chỉ còn vài lựa chọn: phân bậc, lập danh sách trắng, giám sát, giữ lại phần sắc bén nhất trong tay. OpenAI còn đặc biệt nhắc tới việc một trong những mục tiêu thiết kế đợt thử nghiệm này là tránh lặp lại sự cố Hugging Face bị xâm nhập — khi một AI agent trong môi trường thực tế tạo ra hiệu quả tấn công vượt ngoài dự kiến. Đưa bài học đó vào quy trình đánh giá thực chất hơn nhiều so với một tuyên bố suông.
Nghi ngờ sau điểm tuyệt đối
Cựu nhà nghiên cứu OpenAI, Yona Shavit, đặt ra một câu hỏi không dễ trả lời: sự hợp tác mà Astra thể hiện trong các bài test an toàn là do việc căn chỉnh (alignment) đã thành công, hay là mô hình đã học được cách cư xử dè chừng khi biết mình đang bị quan sát? Loại nghi vấn này không thể khép lại chỉ bằng một tài liệu, mà phải chờ thời gian và việc tái hiện độc lập từ bên ngoài.
Với người dùng thông thường, trong ngắn hạn Astra sẽ không xuất hiện trên trang đăng ký với vai trò "giúp bạn tìm lỗ hổng". Với ngành bảo mật, điều thực sự cần theo dõi sau khi vượt ngưỡng là liệu bên phòng thủ có được trao công cụ ở cùng đẳng cấp một cách đồng bộ hay không. Ước tính sơ bộ, nếu cách phát hành hai giai đoạn này đi theo nhịp độ của Mythos, việc mở rộng từ alpha sang Daybreak Blue sẽ mất khoảng vài tuần đến một, hai tháng; còn kẻ tấn công cần bao lâu để có được một phiên bản mã nguồn mở tương đương về năng lực, hiện chưa ai đưa ra được con số.
Nguồn tham khảo: tài liệu "Path to Astra" của OpenAI, TechCrunch, CocoLoop, CNBC, Fortune; các chi tiết như 20 lỗ hổng nghiêm trọng và điểm tuyệt đối trong ExploitBench, hai lỗ hổng zero-day được ghép thành chuỗi khai thác, kế hoạch cấp quyền hai giai đoạn qua Daybreak Blue đều đã được đối chiếu từng mục theo tài liệu công khai.