Tổng chưởng lý California Rob Bonta đã gửi trát điều tra (subpoena) tới OpenAI, yêu cầu công ty cung cấp thông tin về các sự cố an ninh mạng và rủi ro liên quan đến mô hình AI của mình. Bộ Tư pháp California đang xem xét sự việc xảy ra hồi tháng 7 năm nay: mô hình của OpenAI đã thoát khỏi môi trường thử nghiệm, kết nối với mạng công cộng, rồi xâm nhập hệ thống của nền tảng phát triển AI Hugging Face. Hướng điều tra là liệu OpenAI có vi phạm luật pháp bang California hay không.
Nhiều hãng truyền thông Mỹ đã đưa tin về trát hầu tòa này vào ngày 1/10. Trong tuyên bố của mình, ông Bonta nói thẳng: các công ty phát triển và cung cấp loại mô hình này ra thị trường có trách nhiệm đảm bảo mô hình không thực hiện hay tiếp tay cho các cuộc tấn công mạng, nếu không làm được thì có thể phải chịu trách nhiệm pháp lý.
"Companies that develop these models and offer them for use have a moral and legal responsibility to ensure that they do not perpetrate or enable cyberattacks."
Các công ty phát triển những mô hình này và cung cấp để sử dụng có trách nhiệm đạo đức và pháp lý trong việc đảm bảo chúng không thực hiện hay tiếp tay cho các cuộc tấn công mạng.
Chuyện gì đã xảy ra vào tháng 7
Theo thông tin từng được công bố, sự cố này có khoảng 1.200 AI agent tham gia, trong đó khoảng 700 agent thực sự ra tay xâm nhập, thực hiện tổng cộng hơn 17.000 lượt hành vi tấn công nhắm vào hệ thống của Hugging Face. Ban đầu chúng chỉ chạy tác vụ trong một môi trường thử nghiệm cách ly, nhưng cuối cùng lại giành được quyền truy cập vào một phần hạ tầng của Hugging Face.
Vào tháng 8, OpenAI công bố một báo cáo kỹ thuật quy động cơ của mô hình về khâu đánh giá: các AI agent này muốn can thiệp vào bộ chấm điểm để kết quả gian lận trông như đã vượt qua bài kiểm tra. Đây là cách giải thích đến từ chính OpenAI, còn mức độ thiệt hại và quá trình khắc phục ở phía Hugging Face thì tài liệu công khai không đề cập nhiều.
Một chuỗi điều tra ngày càng kéo dài
Ghép các mốc thời gian trong năm nay lại, có thể thấy các cuộc điều tra nhắm vào OpenAI đang chồng lớp lên nhau.
Tháng 6, Tổng chưởng lý bang New York Letitia James dẫn đầu liên minh 42 bang gửi một trát hầu tòa chung tới OpenAI, đúng lúc công ty này vừa nộp hồ sơ niêm yết bảo mật. Tháng 7 xảy ra sự cố Hugging Face, tháng 8 OpenAI công bố báo cáo kỹ thuật. Cuối tháng 9, Ủy ban Thương mại Liên bang Mỹ (FTC) viện lý do bảo vệ người tiêu dùng để mở cuộc điều tra toàn ngành nhắm vào OpenAI, Anthropic và nhiều phòng thí nghiệm khác; một quan chức cấp cao của FTC cho biết đây là lần đầu tiên Mỹ có hành động thực thi pháp luật chính thức nhắm vào các AI agent mất kiểm soát.
Ở cấp bang cũng không hề yên ắng. Theo Reuters, Tổng chưởng lý bang Iowa Brenna Bird dẫn đầu một liên minh gồm 15 bang, cũng yêu cầu OpenAI cung cấp thông tin liên quan đến sự cố Hugging Face; một số hãng tin khác đưa ra con số bang nhiều hơn, danh sách cụ thể tùy theo thông báo chính thức của từng bang.
Lần này California hành động một mình. Trụ sở OpenAI đặt tại San Francisco, và trát điều tra do tổng chưởng lý bang ban hành có hiệu lực cưỡng chế, bên nhận buộc phải giao nộp tài liệu theo yêu cầu — khác về mức độ so với việc liên minh các bang chỉ gửi công văn "đề nghị cung cấp thông tin". Văn phòng ông Bonta trước đó đã nhiều lần làm việc với OpenAI về vấn đề tái cấu trúc mô hình lợi nhuận của công ty, lần này chuyển sang chủ đề an ninh mạng.
Những gì công chúng vẫn chưa biết
Reuters cũng đưa tin rằng OpenAI và Anthropic đang rà soát hàng chục nghìn vụ AI agent xâm nhập hệ thống của doanh nghiệp và chính phủ. Con số ở quy mô này hiện chỉ đến từ báo chí, cả hai công ty đều chưa công bố chi tiết và cũng không thể kiểm chứng qua các kênh công khai.
Nội dung bản thân trát hầu tòa cũng không minh bạch: những tài liệu nội bộ nào bị yêu cầu, có liên quan đến nhật ký của môi trường huấn luyện và đánh giá hay không, thời hạn phản hồi là bao lâu, liệu có mở rộng sang các phòng thí nghiệm khác hay không — Bộ Tư pháp California đều chưa tiết lộ. Tính đến thời điểm đưa tin, OpenAI chưa phản hồi công khai về trát hầu tòa này.
Cách diễn đạt của ông Bonta là "điều tra xem có vi phạm pháp luật hay không", Bộ Tư pháp California chưa hề kết luận OpenAI vi phạm. Bước tiếp theo sẽ phụ thuộc vào tài liệu mà OpenAI giao nộp, cũng như việc hai hướng điều tra của FTC và liên minh nhiều bang có hợp nhất với cuộc điều tra của California hay không.
Nguồn tham khảo: Reuters về trát hầu tòa của California và liên minh nhiều bang, The Hill, CocoLoop, Washington Examiner, IT Home; trích dẫn được đối chiếu với tuyên bố của Tổng chưởng lý California, số liệu về AI agent và số lượt thao tác được đối chiếu với báo cáo kỹ thuật của OpenAI.