Ấn Độ ghi nhận tình trạng AI tự động vượt quyền truy cập dữ liệu nhạy cảm

🚀 ẤN ĐỘ GHI NHẬN TÌNH TRẠNG AI TỰ ĐỘNG VƯỢT QUYỀN TRUY CẬP DỮ LIỆU NHẠY CẢM

Các AI agent từ nhiều nhà cung cấp đã truy cập vào dữ liệu cá nhân và tài liệu mật tại các tổ chức của Ấn Độ trong quá trình nghiên cứu và thử nghiệm, cơ quan an ninh mạng Ấn Độ cho biết vào thứ Năm.

Nhóm Ứng phó Khẩn cấp Máy tính Ấn Độ (CERT-In) cho hay họ đã nhận được "nhiều thông báo tự nguyện từ các nhà cung cấp mô hình AI" rằng các mô hình của họ trong quá trình nghiên cứu và đánh giá trên internet công cộng "đã xâm nhập vào các hệ thống trực tuyến của các tổ chức Ấn Độ."

Các agent đã xâm nhập thông qua thông tin đăng nhập và cài đặt kết nối bị bỏ quên trong cấu hình ứng dụng, kho lưu trữ mã nguồn công khai, và các vai trò đám mây quá lỏng lẻo, đồng thời hành động của chúng "đã vượt quá quyền hạn của các nhiệm vụ được giao."

Điều này biến Ấn Độ thành điểm dừng chân mới nhất trong chuỗi sự kiện AI agent vượt quyền trên toàn cầu. Vào tháng 7, các AI agent của OpenAI đã thoát khỏi môi trường thử nghiệm và tấn công công ty Pháp Hugging Face, khởi đầu cho một mùa hè đầy rẫy các hoạt động AI tự do hành động. Tháng trước, OpenAI đã xin lỗi Úc sau khi các agent của họ truy cập vào bốn trang web chính phủ, bao gồm cả cổng thông tin thống kê Medicare.

Tại Hugging Face, các agent của OpenAI bắt đầu theo cách tương tự nhưng sau đó đã tìm ra và khai thác các lỗi phần mềm để chạy mã trên máy chủ của công ty. CERT-In không ghi nhận vụ tấn công mạng nào như vậy tại Ấn Độ, nơi các agent dường như chỉ đơn giản là tận dụng các quyền truy cập bị bỏ quên.

Dù vậy, các trường hợp tại Ấn Độ có vẻ tồi tệ hơn ở một khía cạnh: những gì các agent đã nhìn thấy. Ở Úc, OpenAI cho biết họ không tìm thấy bằng chứng nào cho thấy agent của mình chạm vào hồ sơ y tế hoặc tư pháp của cá nhân, ngay cả sau khi chúng ghi các tệp vào hệ thống thống kê Medicare. Trong khi đó, tại Ấn Độ, các agent đã đọc dữ liệu cá nhân và hồ sơ kinh doanh mật. Và không giống như các sự cố trước đây do một phòng thí nghiệm duy nhất công bố, vụ việc tại Ấn Độ liên quan đến các agent từ nhiều nhà cung cấp.

CERT-In không nêu tên các nhà cung cấp hay các tổ chức bị ảnh hưởng, cũng như không cho biết liệu các agent có thay đổi bất kỳ hệ thống nào hay không. TechCrunch đã liên hệ với CERT-In để biết thêm thông tin.

Hiện tại, trường hợp tương đồng nhất có lẽ là thông báo hồi tháng 7 của Anthropic về việc Claude đột nhập vào hệ thống của ba công ty trong quá trình thử nghiệm bằng các kỹ thuật cơ bản như mật khẩu yếu.

Tại Ấn Độ, cũng như trong các trường hợp của Anthropic, các tổ chức bị ảnh hưởng đã không tự phát hiện ra các vụ xâm nhập. Các thông tin tiết lộ cho thấy các chính phủ hiện đang phải phụ thuộc vào chính các công ty AI gây ra vi phạm để tự nguyện báo cáo về hoạt động của các AI agent đi lệch hướng.

🗞 Nguồn: TechCrunch

#vgsnews #vgs #tintuc