Chương 2.3: Rủi ro lợi dụng sai mục đích

Con người có thể cố ý sử dụng năng lực AI để gây hại - bằng cách tạo ra vũ khí sinh học, tiến hành tấn công mạng, hoặc triển khai vũ khí tự hành gây chết người.

• 31 phút đọc
• Biên soạn bởi Markov Grey, Charbel-Raphaël Segerie

Giới thiệu

Trong các phần tiếp theo, chúng tôi sẽ đi qua một số trạng thái-thế-giới [world-states] nhằm giúp bạn hình dung rõ hơn về rủi ro AI. Dù các phần đã được chia thành lợi dụng sai mục đích, mất căn chỉnh và hệ thống, cần nhớ rằng đây chỉ là cách chia phục vụ mục đích giải thích. Rất có thể tương lai sẽ là sự pha trộn của rủi ro nảy sinh từ tất cả các nhóm phạm trù này.

Công nghệ làm gia tăng bán kính tác động của tổn hại. Công nghệ là một bộ khuếch đại ý đồ. Công nghệ càng tiến bộ, bán kính tác động của nó càng lớn. Hãy nghĩ về mức độ tổn hại mà một người có thể gây ra khi sử dụng các công cụ khác nhau xuyên suốt lịch sử. Vào thời kỳ Đồ đá, với một hòn đá, có lẽ một người có thể gây hại cho khoảng 5 người; vài trăm năm trước, với một quả bom, một người có thể gây hại cho khoảng 100 người. Năm 1945, với một quả bom hạt nhân, một người có thể gây hại cho khoảng 250.000 người. Nếu ngày nay chúng ta trải qua một mùa đông hạt nhân, bán kính tổn hại sẽ lên tới gần 5 tỷ người, tức khoảng 60% nhân loại. Nếu giả định AI chuyển hóa [transformative AI] là một công cụ vượt xa sức mạnh của mọi công cụ từng có trước đó, thì chỉ một cá nhân lợi dụng sai mục đích công cụ này cũng có thể tạo ra bán kính tác động gây hại cho 100% nhân loại.

Nếu nhiều người có quyền tiếp cận những công cụ vừa có thể mang lại lợi ích to lớn vừa có thể gây tổn hại thảm khốc, thì có thể chỉ cần một cá nhân duy nhất cũng đủ gây ra tàn phá đáng kể cho xã hội. Vì vậy, khả năng ngày càng tăng của AI trong việc trao thêm sức mạnh cho những cá nhân có ý đồ xấu có thể là một trong những mối đe dọa nghiêm trọng nhất mà nhân loại sẽ phải đối mặt trong những thập kỷ tới.

Rủi ro Sinh học

Khi xem xét những cách AI có thể tạo điều kiện cho tổn hại thông qua việc bị lợi dụng sai mục đích, một trong những trường hợp đáng lo ngại nhất liên quan đến lĩnh vực sinh học. Cũng như AI có thể giúp các nhà khoa học phát triển thuốc mới và hiểu rõ hơn về bệnh tật, nó cũng có thể khiến việc tạo ra vũ khí sinh học trở nên dễ dàng hơn đối với những cá nhân có ý đồ xấu.

Vũ khí sinh học có sự hỗ trợ của AI đại diện cho một nhóm mối đe dọa khác biệt về bản chất, do đặc tính tự nhân bản và cấu trúc chi phí bất đối xứng của chúng. Khác với vũ khí thông thường vốn có tác động cục bộ, mầm bệnh được thiết kế có thể tự nhân bản và lan rộng ra toàn cầu. Đại dịch COVID-19 đã cho thấy ngay cả những virus tương đối nhẹ cũng có thể gây tổn hại trên diện rộng, bất chấp các biện pháp phòng ngừa. Cán cân tấn công-phòng thủ [offense-defense balance] trong phát triển công nghệ sinh học càng làm trầm trọng thêm những rủi ro này - phát triển một loại virus mới có thể chỉ tốn khoảng 100 nghìn đô la, trong khi tạo ra vắc-xin chống lại nó có thể tốn hơn 1 tỷ đô la.

Nhiều loại mô hình AI khác nhau có thể tạo điều kiện cho các mối đe dọa sinh học, với mức độ rủi ro khác nhau. Các mô hình nền tảng như LLM chủ yếu hạ thấp rào cản kiến thức, bằng cách hỗ trợ nghiên cứu, hướng dẫn quy trình, và tư vấn xử lý sự cố xuyên suốt toàn bộ chuỗi phát triển vũ khí sinh học. Ngược lại, các công cụ thiết kế sinh học chuyên dụng tương tự AlphaFold, AlphaProteo, hay các hệ thống thiết kế virus và vi khuẩn, có thể tạo ra những năng lực hoàn toàn mới - thiết kế mầm bệnh mới với những đặc tính cụ thể, tối ưu hóa độc lực hoặc khả năng lây truyền, hoặc tạo ra các tác nhân né tránh được các biện pháp đối phó hiện có.

Các nghiên cứu thực nghiệm đã chứng minh những rủi ro sinh học có sự hỗ trợ của AI. Các nhà nghiên cứu đã lấy một mô hình AI được thiết kế để khám phá thuốc, rồi chuyển hướng nó bằng cách thưởng cho độc tính thay vì lợi ích điều trị. Điều này khiến mô hình tạo ra 40.000 phân tử có khả năng gây độc chỉ trong sáu giờ, một số còn nguy hiểm hơn cả các vũ khí hóa học đã biết. Các minh chứng đã cho thấy sinh viên không có nền tảng sinh học vẫn có thể dùng chatbot AI để nhanh chóng thu thập thông tin nhạy cảm - "chỉ trong một giờ, họ đã xác định được các mầm bệnh có khả năng gây đại dịch, phương pháp sản xuất chúng, các công ty tổng hợp DNA có khả năng bỏ sót khâu sàng lọc, và các quy trình chi tiết."¹

So với mức nền là việc chỉ đơn thuần có quyền truy cập internet (có thể tra cứu thông tin trực tuyến), Ủy ban An ninh Quốc gia Hoa Kỳ về Công nghệ sinh học mới nổi đã kết luận rằng, tính đến cuối năm 2024, các mô hình AI không làm gia tăng đáng kể rủi ro vũ khí sinh học so với các nguồn thông tin sẵn có khác. Tuy nhiên, cần hết sức lưu ý rằng việc ghi nhận năng lực ở thời điểm 2023 không phản ánh được những rủi ro mà chúng ta có thể cần chuẩn bị trong tương lai. Chẳng hạn, 46 chuyên gia an ninh sinh học và sinh học dự đoán rằng AI sẽ không thể sánh kịp các đội ngũ virus học hàng đầu trong các nhiệm vụ xử lý sự cố cho đến sau năm 2030, nhưng các thử nghiệm sau đó cho thấy ngưỡng này đã bị vượt qua từ trước đó. Khuôn mẫu này cho thấy rằng ngay cả các chuyên gia trong ngành cũng liên tục đánh giá thấp tốc độ tiến bộ của AI trong chính lĩnh vực của họ, có thể khiến chúng ta không còn đủ thời gian để chuẩn bị các biện pháp an toàn phù hợp. Cũng cần lưu ý rằng các bài kiểm tra rủi ro sinh học thường không nắm bắt được nhiều sự phức tạp trong thực tế, khiến khó có thể khẳng định chắc chắn việc đạt trần điểm số này có ý nghĩa gì đối với rủi ro sinh học thực sự.

Các xu hướng công nghệ rộng hơn, kết hợp với AI, có thể giúp vượt qua các rào cản. Việc tạo ra vũ khí sinh học vẫn đòi hỏi chuyên môn thực hành sâu rộng và nhiều nguồn lực. Các chuyên gia ước tính rằng vào năm 2022, có khoảng 30.000 cá nhân trên toàn thế giới sở hữu kỹ năng cần thiết để thực hiện dù chỉ các quy trình lắp ráp virus cơ bản. Các rào cản chính bao gồm kỹ năng phòng thí nghiệm chuyên biệt, tri thức ngầm [tacit knowledge], khả năng tiếp cận vật liệu và thiết bị bị kiểm soát, cùng các yêu cầu thử nghiệm phức tạp. Tuy nhiên, chi phí tổng hợp DNA đã giảm một nửa sau mỗi 15 tháng. Các "phòng thí nghiệm đám mây" tự động hóa cho phép nhà nghiên cứu thực hiện thí nghiệm từ xa, bằng cách gửi chỉ dẫn đến các hệ thống robot. Các máy tổng hợp DNA để bàn (thiết bị dùng tại nhà có thể "in" ra các chuỗi DNA tùy chỉnh) cũng đang ngày càng trở nên phổ biến hơn. Kết hợp với sự hỗ trợ ngày càng tinh vi của AI trong thiết kế và tối ưu hóa thí nghiệm, những bước phát triển này có thể khiến việc tạo ra các tác nhân sinh học tùy chỉnh trở nên dễ tiếp cận hơn đối với những người không có nhiều nguồn lực hay sự hậu thuẫn từ tổ chức.

Ví dụ: Một nghiên cứu năm 2023 của MIT đã phơi bày những lỗ hổng đáng kể trong khâu sàng lọc tổng hợp DNA. Ngoài việc thiết kế tác nhân sinh học, còn tồn tại những lỗ hổng đáng kể trong quy trình sàng lọc tổng hợp DNA. Trong một nghiên cứu năm 2023, các nhà nghiên cứu tại MIT đã đặt mua thành công các đoạn của virus cúm đại dịch năm 1918 và độc tố ricin, bằng cách sử dụng những kỹ thuật né tránh đơn giản như chia nhỏ đơn hàng qua nhiều công ty khác nhau và ngụy trang chuỗi gen bằng mã di truyền không liên quan. Gần như tất cả các nhà cung cấp đều thực hiện những đơn hàng được ngụy trang này, bao gồm 12 trong số 13 thành viên của Hiệp hội Tổng hợp Gen Quốc tế (IGSC) - tổ chức đại diện cho khoảng 80% năng lực tổng hợp DNA thương mại.

Rủi ro Mạng

Ngay cả khi không có AI, hạ tầng an ninh mạng toàn cầu vẫn cho thấy nhiều lỗ hổng. Chỉ một bản cập nhật phần mềm của CrowdStrike đã khiến các hãng hàng không phải dừng bay, bệnh viện phải hủy ca phẫu thuật, và ngân hàng phải ngừng xử lý giao dịch, gây thiệt hại hơn 5 tỷ đô la. Đây thậm chí còn không phải là một cuộc tấn công mạng - mà chỉ là một sự cố ngoài ý muốn. Trong các cuộc tấn công có chủ đích, chúng ta có những ví dụ như vụ tấn công bằng mã độc tống tiền [ransomware] vào đường ống Colonial gây ra tình trạng thiếu xăng dầu trên diện rộng, hay vụ tấn công vào Sony Pictures thông qua các email lừa đảo [phishing] có chủ đích từ Triều Tiên. Đây chỉ là một vài ví dụ trong số rất nhiều trường hợp khác. Điều này cho thấy các hệ thống máy tính của chúng ta dễ bị tổn thương đến mức nào, và vì sao chúng ta cần suy nghĩ thấu đáo về việc AI có thể khiến các cuộc tấn công trở nên tồi tệ hơn ra sao.

Hạ tầng mạng toàn cầu tồn tại những "khoảng trống tấn công mạng chưa bị khai thác" [cyberattack overhangs]. Ngoài những sự cố ngoài ý muốn và các cuộc tấn công đã được ghi nhận, chúng ta còn đối mặt với những "khoảng trống tấn công mạng" - nơi những cuộc tấn công có sức tàn phá lớn là hoàn toàn khả thi nhưng chưa xảy ra, không phải vì hệ thống phòng thủ vững chắc mà vì kẻ tấn công đang kiềm chế. Chẳng hạn, có cáo buộc cho rằng các cá nhân thuộc nhà nước Trung Quốc đã cài cắm sẵn trong các hệ thống hạ tầng trọng yếu của Hoa Kỳ. Kiểu bố trí mang tính răn đe trên không gian mạng này có thể xảy ra giữa bất kỳ nhóm quốc gia nào. Do những khoảng trống tấn công mạng như vậy, một số cá nhân có thể đã sở hữu năng lực tiềm tàng để làm gián đoạn hệ thống kiểm soát nước, hệ thống năng lượng, và cảng biển ở nhiều quốc gia khác nhau. Điều chúng tôi muốn minh họa ở đây là: xét về mặt an ninh mạng, xã hội đang ở trong một trạng thái khá bấp bênh, ngay cả trước khi AI bước vào bức tranh này.

AI cho phép thực hiện lừa đảo [phishing] cá nhân hóa cao ở quy mô tự động hóa. Email lừa đảo do AI tạo ra đạt tỷ lệ thành công cao hơn (65% so với 60% đối với email do con người viết), trong khi thời gian tạo ra lại ít hơn 40%. Các công cụ như FraudGPT tự động hóa việc cá nhân hóa này, dựa trên thông tin nền, sở thích và các mối quan hệ của mục tiêu. Thêm vào mối đe dọa này, các công cụ nhân bản giọng nói [voice cloning] bằng AI mã nguồn mở chỉ cần vài phút âm thanh để tạo ra bản sao giọng nói thuyết phục của một người. Một tình huống tương tự cũng tồn tại với deepfake, khi AI đang cho thấy tiến bộ trong việc hoán đổi khuôn mặt và thao túng hình ảnh chỉ từ một tấm ảnh duy nhất. Nếu chỉ có một tấm ảnh duy nhất của hai cá nhân tồn tại trên internet, họ cũng có thể trở thành mục tiêu của deepfake hoán đổi khuôn mặt. Việc tự động thu thập dữ liệu web để phục vụ tình báo nguồn mở [OSINT] - nhằm thu thập ảnh, âm thanh, sở thích và thông tin - cũng tạo điều kiện cho việc bẻ khóa mật khẩu có sự hỗ trợ của AI, vốn đã được chứng minh là hiệu quả hơn đáng kể so với các phương pháp truyền thống, trong khi cần ít tài nguyên tính toán hơn.

AI nâng cao khả năng phát hiện lỗ hổng bảo mật. Hệ thống AI giờ đây có thể quét mã nguồn và dò xét hệ thống một cách tự động, phát hiện các điểm yếu tiềm ẩn nhanh hơn nhiều so với con người. Nghiên cứu cho thấy các tác nhân AI có thể tự chủ phát hiện và khai thác lỗ hổng mà không cần con người hướng dẫn, tấn công thành công 73% các mục tiêu thử nghiệm. Những hệ thống này thậm chí có thể phát hiện ra những con đường tấn công hoàn toàn mới mà trước đây chưa từng được biết đến. Một ví dụ cụ thể là vào đầu năm 2025, mô hình o3 của OpenAI đã giúp một nhà nghiên cứu phát hiện ra một lỗ hổng zero-day từ xa chưa từng được biết đến trong nhân Linux [Linux kernel], trong khi đang phân tích mã nguồn cho một lỗi khác. Đây là việc thường đòi hỏi hiểu biết ở trình độ chuyên gia về cấu trúc nội bộ của nhân hệ điều hành. Nếu AI giờ đây có thể tìm ra lỗ hổng bảo mật trong một trong những đoạn mã được rà soát kỹ lưỡng nhất hành tinh (nhân Linux mã nguồn mở), thì đây là một vấn đề tiềm ẩn cực kỳ lớn. Đây là đoạn mã đang bảo vệ hàng tỷ thiết bị. Nếu các mô hình có thể tự chủ phát hiện các lỗ hổng ở cấp độ nhân hệ điều hành và thực thi chúng thay cho những cá nhân có ý đồ xấu, thì mức độ tổn hại tiềm tàng mà điều này có thể gây ra là vô cùng lớn.

AI đẩy nhanh chuỗi phát triển mã độc. Chúng ta có thể lấy những công cụ vốn được thiết kế để viết mã đúng, và đơn giản là yêu cầu chúng viết mã độc thay vào đó. Các công cụ như WormGPT giúp kẻ tấn công tạo ra mã độc và xây dựng khung tấn công mà không cần kiến thức kỹ thuật chuyên sâu. Mã độc AI đa hình [polymorphic malware] như BlackMamba cũng có thể tự động tạo ra các biến thể mã độc, vẫn giữ nguyên chức năng nhưng lại có vẻ ngoài hoàn toàn khác nhau đối với các công cụ bảo mật. Mỗi cuộc tấn công có thể dùng mã nguồn, mẫu hình giao tiếp và hành vi riêng biệt - khiến các công cụ bảo mật truyền thống khó nhận diện mối đe dọa hơn nhiều. AI làm thay đổi căn bản bài toán chi phí-lợi ích đối với kẻ tấn công. Nghiên cứu cho thấy các tác nhân AI tự chủ giờ đây có thể tấn công một số trang web với chi phí khoảng 10 đô la mỗi lần thử - rẻ hơn khoảng 8 lần so với việc thuê chuyên gia con người. Mức giảm chi phí mạnh mẽ này tạo điều kiện cho các cuộc tấn công diễn ra ở quy mô và tần suất chưa từng có.

Các mối đe dọa mạng có sự hỗ trợ của AI tác động đến hạ tầng và các rủi ro mang tính hệ thống. Những cuộc tấn công hạ tầng từng cần nhiều năm và hàng triệu đô la, như Stuxnet, có thể trở nên dễ tiếp cận hơn khi AI tự động hóa việc lập bản đồ mạng lưới công nghiệp và xác định các điểm kiểm soát trọng yếu. AI có thể phân tích tài liệu kỹ thuật và tạo ra kế hoạch tấn công vốn trước đây cần cả đội ngũ chuyên gia. AI xóa bỏ những giới hạn này, cho phép các cuộc tấn công tự động có thể nhắm đồng thời vào hàng nghìn hệ thống và kích hoạt những sự cố dây chuyền trên khắp hạ tầng liên kết với nhau.

AI có khả năng làm thay đổi cán cân tấn công-phòng thủ trong an ninh mạng. Nhiều công cụ dựa trên AI đã cho thấy tiềm năng khi được dùng để phòng thủ, phục vụ phân tích mã độc. Nhưng sự tồn tại của những cải tiến mang tính lý thuyết cho hệ thống phòng thủ có AI hỗ trợ không đảm bảo rằng chúng sẽ được áp dụng rộng rãi kịp thời. Trong thực tế, nhiều tổ chức còn chật vật để triển khai dù chỉ những biện pháp bảo mật cơ bản nhất. Kẻ tấn công chỉ cần tìm ra một điểm yếu duy nhất, trong khi bên phòng thủ phải xây dựng một hệ thống hoàn toàn an toàn. Khi ta kết hợp tốc độ đáng kinh ngạc của các cuộc tấn công có AI hỗ trợ, khả năng tự động phát hiện lỗ hổng, tạo mã độc, và mức độ dễ tiếp cận ngày càng tăng, điều này cho phép thực hiện những cuộc tấn công tự động hóa từ đầu đến cuối vốn trước đây cần cả đội ngũ chuyên gia tay nghề cao. Khả năng của AI trong việc thực hiện tấn công chỉ trong vài phút thay vì vài tuần tạo ra tiềm năng cho các "cuộc tấn công chớp nhoáng" [flash attacks], nơi hệ thống bị xâm nhập trước khi con người kịp phản ứng phòng thủ. Tất cả những yếu tố này kết hợp lại có khả năng khiến ảnh hưởng của AI đến cán cân tấn công-phòng thủ nghiêng nhiều hơn về phía kẻ tấn công.

Rủi ro Vũ khí Tự hành

Trong các phần trước, chúng ta đã thấy AI khuếch đại rủi ro trong lĩnh vực sinh học và không gian mạng như thế nào, bằng cách loại bỏ nút thắt cổ chai từ con người và cho phép tấn công ở tốc độ và quy mô chưa từng có. Cùng khuôn mẫu đó lại càng thể hiện rõ rệt hơn với các hệ thống quân sự. Vũ khí truyền thống bị giới hạn bởi người vận hành - một người chỉ có thể điều khiển một máy bay không người lái, ra quyết định ở tốc độ của con người, và có thể từ chối những mệnh lệnh phi đạo đức. AI xóa bỏ những giới hạn mang tính con người này, mở đường cho một sự chuyển đổi căn bản trong cách chiến tranh được tiến hành.

Vũ khí có sự hỗ trợ của AI đang nhanh chóng chuyển từ khái niệm lý thuyết sang thực tế trên chiến trường. Các hệ thống quân sự AI hiện đại ngày càng tận dụng học máy để cảm nhận và phản ứng với môi trường xung quanh, vượt ra khỏi các hệ thống phòng thủ tự động thời kỳ đầu vốn chỉ hoạt động trong những giới hạn chặt chẽ. Động lực hướng tới mức độ tự hành cao hơn chủ yếu đến từ tốc độ, chi phí, và khả năng chống chịu trước việc gây nhiễu liên lạc. Vũ khí do AI điều khiển có thể thực hiện các động tác quá chính xác và nhanh đến mức người vận hành không theo kịp, làm giảm sự phụ thuộc vào quyền kiểm soát trực tiếp của con người. Yếu tố chi phí càng tạo thêm động lực cho tính tự hành, với các chương trình hướng đến việc triển khai số lượng lớn hệ thống AI chỉ với một phần nhỏ chi phí quân sự truyền thống.

Vũ khí có sự hỗ trợ của AI đã và đang được sử dụng trong các cuộc xung đột đang diễn ra, với những tác động trong thực tế mà ta có thể quan sát được. Theo các báo cáo gửi lên Hội đồng Bảo an Liên Hợp Quốc, máy bay không người lái tự hành đã được dùng để truy đuổi và tấn công lực lượng đang rút lui tại Libya năm 2021 - đánh dấu một trong những trường hợp đầu tiên được ghi nhận về vũ khí tự hành gây chết người [lethal autonomous weapons, LAWs] tự đưa ra quyết định nhắm mục tiêu mà không có sự kiểm soát trực tiếp của con người. Tại Ukraine, cả hai bên đều đã sử dụng đạn dược tuần kích [loitering munitions]. KUB-BLA, Lancet-3 của Nga và Switchblade, Phoenix Ghost của Ukraine đều là máy bay không người lái có sự hỗ trợ của AI. Lancet sử dụng một mô-đun tính toán của Nvidia để tự động bám bắt mục tiêu. Israel đã tiến hành các cuộc tấn công bằng bầy máy bay không người lái [drone swarm] có AI dẫn đường tại Gaza, trong khi Kargu-2 của Thổ Nhĩ Kỳ có thể tự tìm và tấn công mục tiêu con người bằng học máy, thay vì cần con người liên tục hướng dẫn. Những lần triển khai này cho thấy AI quân sự đang chuyển từ khả năng lý thuyết sang thực tế chiến trường nhanh đến mức nào.

Một số động lực đang thúc đẩy vũ khí tự hành gây chết người ngày càng trở nên tự hành hơn. Tốc độ mang lại lợi thế quyết định trong chiến tranh hiện đại - khi DARPA thử nghiệm một hệ thống AI đối đầu với một phi công F-16 dày dạn kinh nghiệm trong các trận không chiến mô phỏng, AI đã liên tục giành chiến thắng nhờ thực hiện những động tác quá chính xác và nhanh mà con người không thể đối phó. Yếu tố chi phí tạo thêm áp lực - chương trình Replicator của quân đội Hoa Kỳ hướng đến việc triển khai hàng nghìn máy bay không người lái tự hành chỉ với một phần nhỏ chi phí của máy bay quân sự truyền thống. Các nhà hoạch định quân sự lo ngại về việc đối phương gây nhiễu liên lạc với vũ khí điều khiển từ xa. Điều này thúc đẩy việc phát triển những hệ thống có thể tiếp tục chiến đấu ngay cả khi bị cắt đứt khỏi sự kiểm soát của con người. Những động lực này khiến việc phát triển AI quân sự ngày càng tập trung vào các hệ thống có thể vận hành với mức giám sát tối thiểu từ con người. Nhiều hệ thống hiện đại được thiết kế đặc biệt để hoạt động trong môi trường không có GPS, nơi việc duy trì quyền kiểm soát của con người trở nên bất khả thi. Tại Ukraine, các chỉ huy quân sự đã công khai kêu gọi tăng cường các hoạt động tự hành để bắt kịp tốc độ của chiến tranh hiện đại, với một chỉ huy Ukraine cho biết họ "đã tiến hành các hoạt động hoàn toàn bằng robot mà không cần con người can thiệp."

Khi AI giúp cải thiện khả năng phối hợp giữa các hệ thống tự hành, các nhà hoạch định quân sự ngày càng tập trung vào việc triển khai vũ khí theo dạng bầy đàn liên kết với nhau. Chương trình Replicator của Hoa Kỳ đã có kế hoạch xây dựng và triển khai hàng nghìn máy bay không người lái tự hành được phối hợp với nhau, có thể áp đảo hệ thống phòng thủ chỉ bằng số lượng thuần túy và hành động đồng bộ. Khi kết hợp với mức độ tự hành ngày càng tăng, những năng lực bầy đàn này có nghĩa là các cuộc xung đột trong tương lai có thể liên quan đến những nhóm hệ thống AI khổng lồ, đưa ra quyết định phối hợp với nhau nhanh hơn tốc độ con người có thể theo dõi hay kiểm soát.

Áp lực phải bắt kịp tốc độ và quy mô của chiến tranh do AI dẫn dắt dẫn đến sự xói mòn dần dần trong việc ra quyết định của con người. Các chỉ huy quân sự ngày càng dựa vào hệ thống AI không chỉ cho từng loại vũ khí riêng lẻ, mà còn cho những quyết định chiến thuật rộng hơn. Năm 2023, Palantir đã trình diễn một hệ thống AI có thể đề xuất các phương án triển khai tên lửa và pháo kích cụ thể. Dù được giới thiệu như những công cụ mang tính tư vấn, những hệ thống này lại tạo ra áp lực buộc phải giao thêm quyền kiểm soát cho AI, khi các chỉ huy con người chật vật để bắt kịp tốc độ. Kiểu xói mòn chậm rãi trong sự tham gia của con người này chính là điều chúng tôi sẽ bàn kỹ hơn nhiều trong phần rủi ro hệ thống.

Ngay cả khi hệ thống trên danh nghĩa vẫn để con người nắm quyền kiểm soát, điều kiện chiến đấu thực tế có thể khiến quyền kiểm soát đó mang tính lý thuyết nhiều hơn là thực chất. Người vận hành thường phải ra quyết định nhắm mục tiêu trong tình trạng căng thẳng cực độ trên chiến trường, chỉ có vài giây để xác minh mục tiêu do máy tính đề xuất. Các nghiên cứu về những tình huống áp lực cao tương tự cho thấy người vận hành có xu hướng tin tưởng một cách thiếu phản biện vào đề xuất của máy móc, thay vì thực sự thực hiện việc giám sát. Điều này có nghĩa là ngay cả những hệ thống được thiết kế để con người kiểm soát cũng có thể, trên thực tế, vận hành một cách tự hành.

Ví dụ: Hệ thống nhắm mục tiêu "Lavender" tự động hóa việc thực thi, sau khi con người chỉ cần thiết lập các ngưỡng chấp nhận được. Lavender sử dụng học máy để gán cho từng cư dân một điểm số bằng số, phản ánh khả năng bị nghi ngờ là thành viên của một nhóm vũ trang. Theo các báo cáo, các sĩ quan quân đội Israel chịu trách nhiệm thiết lập ngưỡng điểm số mà vượt qua đó, một cá nhân có thể bị đánh dấu là mục tiêu để tấn công. Khi chiến tranh diễn ra nhanh hơn tốc độ ra quyết định của con người, việc duy trì một quyền kiểm soát thực chất của con người ngày càng trở nên khó khăn.

Vũ khí tự hành đang tạo ra áp lực cạnh tranh quân sự mạnh mẽ, theo những cách tạo ra động lực chạy đua vũ trang nguy hiểm. Khi một quốc gia phát triển năng lực quân sự AI mới, các quốc gia khác cảm thấy họ phải nhanh chóng bắt kịp để duy trì thế cân bằng chiến lược. Trung Quốc và Nga đã đặt mục tiêu tự động hóa quân sự quy mô lớn vào giai đoạn 2028-2030, trong khi chương trình Replicator của Hoa Kỳ hướng đến việc xây dựng và triển khai hàng nghìn máy bay không người lái tự hành vào năm 2025. Cuộc cạnh tranh này tạo ra áp lực khiến các bên cắt giảm việc kiểm định an toàn và giám sát. Điều này phản chiếu cuộc chạy đua vũ trang hạt nhân trong Chiến tranh Lạnh, nơi cuộc cạnh tranh giành ưu thế cuối cùng lại làm gia tăng rủi ro cho tất cả các bên. Như đã nhấn mạnh xuyên suốt nhiều phần trong cẩm nang này, chúng ta đang chứng kiến một động lực chạy đua dựa trên nỗi sợ, trong đó chỉ những cá nhân sẵn sàng thỏa hiệp và hạ thấp tiêu chuẩn an toàn mới có thể trụ lại trong cuộc đua.

Việc tự động hóa hoàn toàn dẫn đến mất đi các cơ chế bảo vệ vốn có của con người. Chiến tranh truyền thống có sẵn những giới hạn mang tính con người, giúp kìm hãm sự leo thang. Binh lính có thể từ chối những mệnh lệnh phi đạo đức, cảm thấy đồng cảm với dân thường, hoặc trở nên mệt mỏi - tất cả đều là những "phanh hãm" tự nhiên đối với xung đột. Hệ thống AI xóa bỏ những giới hạn này. Các nghiên cứu gần đây về hệ thống AI quân sự cho thấy chúng liên tục đề xuất những hành động hung hăng hơn so với các nhà chiến lược con người, kể cả việc leo thang đến sử dụng vũ khí hạt nhân trong các cuộc xung đột mô phỏng. Khi các nhà nghiên cứu thử nghiệm mô hình AI trong các kịch bản hoạch định quân sự, AI cho thấy xu hướng đáng lo ngại là đề xuất các đòn tấn công phủ đầu và leo thang nhanh chóng, thường không có lý do chiến lược rõ ràng. Việc mất đi khả năng phán đoán của con người trở nên đặc biệt nguy hiểm khi kết hợp với tốc độ ngày càng tăng của chiến tranh do AI dẫn dắt. Lịch sử những lần suýt xảy ra thảm họa hạt nhân cho thấy tầm quan trọng của khả năng phán đoán con người - năm 1983, sĩ quan Liên Xô Stanislav Petrov đã chọn bỏ qua một cảnh báo từ máy tính về tên lửa Hoa Kỳ đang bay đến, và phán đoán chính xác rằng đó là báo động giả. Khi quân đội ngày càng phụ thuộc vào AI để cảnh báo sớm và phản ứng, chúng ta có thể đánh mất những khoảnh khắc phán đoán quan trọng của con người - những khoảnh khắc trong lịch sử đã ngăn chặn được sự leo thang thảm khốc.

Vũ khí tự hành càng trở nên đáng lo ngại hơn khi nhiều hệ thống AI tương tác với nhau trong chiến đấu. Các hệ thống AI có thể tương tác theo những cách không lường trước, tạo ra các vòng phản hồi, tương tự như cách giao dịch thuật toán có thể gây ra sự sụp đổ chớp nhoáng [flash crash] trên thị trường tài chính. Nhưng khác với các vụ sụp đổ thị trường - vốn chỉ ảnh hưởng đến tiền bạc - vũ khí tự hành có thể kích hoạt sự leo thang bạo lực nhanh chóng, trước khi con người kịp can thiệp. Rủi ro này trở nên đặc biệt nghiêm trọng khi hệ thống AI được kết nối với kho vũ khí hạt nhân hoặc các loại vũ khí hủy diệt hàng loạt khác. Tính phức tạp của những tương tác này có nghĩa là ngay cả những hệ thống riêng lẻ đã được thử nghiệm kỹ lưỡng cũng có thể tạo ra hậu quả thảm khốc khi được triển khai cùng nhau.

Khi chiến tranh cần đến binh lính con người, cái giá về nhân mạng sẽ tạo ra rào cản chính trị đối với xung đột. Sự kết hợp giữa mức độ tự hành ngày càng tăng, trí tuệ bầy đàn [swarm intelligence], và áp lực về tốc độ tạo ra một con đường rõ ràng dẫn đến thảm họa tiềm tàng. Khi vũ khí ngày càng tự hành hơn, chúng có thể hành động độc lập hơn. Vòng lặp tự củng cố này đẩy chúng ta tiến gần hơn đến chiến tranh tự động hóa, ngay cả khi không một cá nhân nào chủ đích hướng đến kết cục đó. Các nghiên cứu cho thấy các quốc gia sẵn sàng khơi mào xung đột hơn khi họ có thể dựa vào hệ thống tự hành thay vì binh lính con người. Kết hợp với rủi ro leo thang hạt nhân tự động, điều này tạo ra nhiều con đường khác nhau dẫn đến những hậu quả thảm khốc, có thể đe dọa tương lai lâu dài của nhân loại.

Chia rẽ về Đạo đức trong Tính Tự hành của AI, nhìn từ góc độ vũ khí tự hành

Cuộc tranh luận về vũ khí tự hành phơi bày những bất đồng căn bản về trách nhiệm đạo đức, bản chất của việc ra quyết định có tính đạo đức, và mối quan hệ giữa nhân loại với bạo lực. Thay vì chỉ đơn thuần là lập trường ủng hộ hay phản đối, cuộc tranh luận này liên quan đến những khung đạo đức cạnh tranh nhau, dẫn đến những kết luận khác nhau về việc khi nào và bằng cách nào lực lượng gây chết người nên được cho phép sử dụng.

Lập luận theo chủ nghĩa hệ quả [consequentialist] ủng hộ tính tự hành cho rằng vũ khí tự hành có thể làm giảm tổng thể mức độ tổn hại, nhờ độ chính xác và tính nhất quán vượt trội. Những người ủng hộ lập luận rằng hệ thống AI có thể đưa ra quyết định nhắm mục tiêu mà không bị chi phối bởi nỗi sợ hãi, cơn giận, hay áp lực chiến trường - những yếu tố khiến con người phạm tội ác chiến tranh. Họ chỉ ra các nghiên cứu cho thấy việc ra quyết định mang tính cảm xúc của con người gây ra thương vong dân thường, trong khi các hệ thống được lập trình đúng cách có thể thực thi luật nhân đạo quốc tế nhất quán hơn so với binh lính con người. Lợi thế về tốc độ cũng có thể giúp kết thúc xung đột nhanh hơn, từ đó có khả năng cứu được nhiều mạng sống bằng cách ngăn chặn chiến tranh kéo dài. Một số người cho rằng đây thậm chí là một nghĩa vụ đạo đức - nếu hệ thống tự hành có thể giết ít người vô tội hơn so với vũ khí do con người điều khiển, thì việc hạn chế chúng lại trở thành một vấn đề đáng lo ngại về mặt đạo đức. Tuy nhiên, các lập luận theo chủ nghĩa hệ quả phải đối mặt với thực tế rằng các hệ thống AI hiện nay vẫn thể hiện tính khó lường và rủi ro mất căn chỉnh đáng lo ngại. Lời hứa về sự tuân thủ hoàn hảo giả định rằng chúng ta có thể chuyển hóa những khái niệm pháp lý phức tạp, phụ thuộc vào ngữ cảnh, thành mã lệnh - điều đã được chứng minh là khó khăn ngay cả với những quy tắc đơn giản. Lợi thế về tốc độ cũng có thể tạo điều kiện cho leo thang dễ dàng chẳng kém gì giảm leo thang.

Lập luận theo nghĩa vụ luận [deontological] phản đối tính tự hành lại tập trung vào tính đúng-sai vốn có của chính hành động đó, bất kể hậu quả ra sao. Lập trường này cho rằng việc tước đoạt sinh mạng con người đòi hỏi tư cách tác nhân đạo đức [moral agency] của con người - rằng việc giao phó quyết định giết người cho máy móc vi phạm phẩm giá con người, bất kể kết quả thế nào. Những người phản đối lập luận rằng quyền kiểm soát thực chất của con người không chỉ quan trọng về mặt thủ tục, mà còn thiết yếu về mặt đạo đức, thể hiện sự tôn trọng đối với cả nạn nhân lẫn sức nặng đạo đức của quyết định tước đoạt sinh mạng. Khoảng trống trách nhiệm giải trình [accountability gap] càng làm trầm trọng thêm mối lo ngại này: khi một hệ thống tự hành giết người sai, không có cá nhân nào phải chịu trách nhiệm đạo đức tương xứng cho quyết định cụ thể đó. Các lập luận theo nghĩa vụ luận phải đối mặt với thực tế rằng con người vốn đã giao phó nhiều quyết định sinh tử cho các hệ thống tự động (như mạng lưới phòng không), và rằng việc khăng khăng đòi con người phải kiểm soát có thể chỉ giữ được sự trong sạch về đạo đức trong khi lại cho phép xảy ra tổn hại thực tế lớn hơn.

Điểm giao thoa giữa thực tiễn và đạo đức làm phức tạp thêm các lập trường triết học thuần túy. Ngay cả những người phản đối vũ khí tự hành về mặt đạo đức cũng phải cân nhắc liệu việc đơn phương kiềm chế có còn là đạo đức hay không, nếu đối phương giành được lợi thế quân sự mang tính quyết định. Ngay cả những người nhìn thấy lợi ích tiềm năng cũng phải vật lộn với thực tế triển khai, việc bị đối phương lợi dụng, và khó khăn trong việc duy trì những giới hạn có ý nghĩa một khi công nghệ đã tồn tại. Cuộc tranh luận này, xét đến cùng, phơi bày những căng thẳng giữa việc bảo toàn tư cách tác nhân đạo đức của con người và việc đạt được những kết quả nhân đạo tốt hơn - những căng thẳng có thể không thể dung hòa được trong khuôn khổ thể chế hiện tại của chúng ta.

Rủi ro AI Đối nghịch

Tấn công đối nghịch [adversarial attacks] phơi bày một lỗ hổng căn bản trong các hệ thống học máy - chúng có thể bị đánh lừa một cách đáng tin cậy thông qua việc thao túng cẩn thận đầu vào của chúng. Sự thao túng này có thể xảy ra theo nhiều cách: trong lúc hệ thống đang vận hành (tấn công trong thời gian chạy / thời gian suy luận [runtime/inference-time attacks]), trong quá trình huấn luyện (đầu độc dữ liệu [data poisoning]), hoặc thông qua các lỗ hổng được cài cắm sẵn (cửa hậu [backdoors]).

Tấn công đối nghịch trong thời gian chạy sử dụng những đầu vào được thiết kế cẩn thận, nhắm mục tiêu cụ thể, nhằm khơi gợi hành vi không mong muốn từ AI. Cách đơn giản nhất để hiểu về tấn công trong thời gian chạy là thông qua thị giác máy tính. Bằng cách thêm nhiễu được thiết kế cẩn thận vào một bức ảnh - những thay đổi tinh vi đến mức con người không thể nhận ra - kẻ tấn công có thể khiến AI tự tin phân loại sai những gì nó nhìn thấy. Một bức ảnh con gấu trúc với các thay đổi điểm ảnh không thể nhận thấy khiến AI phân loại nó là vượn cáo với độ tin cậy 99,3%, trong khi đối với con người, bức ảnh vẫn trông y hệt như một con gấu trúc. Những cuộc tấn công này đã phát triển vượt xa việc phân loại sai ngẫu nhiên - giờ đây kẻ tấn công có thể chọn chính xác những gì chúng muốn AI "nhìn thấy" và đưa ra làm kết quả.

Ví dụ về các kiểu tấn công đối nghịch trong thời gian chạy, ngoài đời thực

Hãy nghĩ về các hệ thống AI điều khiển ô tô, robot, hay camera an ninh. Cũng giống như việc thêm nhiễu điểm ảnh cẩn thận vào ảnh số, kẻ tấn công có thể chỉnh sửa các vật thể vật lý để đánh lừa hệ thống AI. Các nhà nghiên cứu đã chứng minh rằng chỉ cần dán vài miếng dán nhỏ lên biển báo dừng cũng có thể khiến xe tự lái nhận nhầm đó là biển báo giới hạn tốc độ. Những miếng dán này được thiết kế trông giống như graffiti thông thường, nhưng lại tạo ra các mẫu hình đối nghịch đánh lừa được AI.

Ví dụ: Tấn công Quang học - tấn công thời gian chạy dùng ánh sáng. Giờ đây, kẻ tấn công thậm chí không cần phải chỉnh sửa vật thể trên thực tế nữa - việc chiếu các mẫu ánh sáng cụ thể cũng có tác dụng tương tự, vì nó tạo ra chính những mẫu hình đối nghịch đó thông qua ánh sáng và bóng đổ. Kẻ tấn công chỉ cần có tầm nhìn thẳng và thiết bị cơ bản để chiếu những mẫu hình này và làm tổn hại các hệ thống AI dựa trên thị giác.

Ví dụ: Tấn công Cá heo - tấn công thời gian chạy nhắm vào hệ thống âm thanh. Cũng như hệ thống AI có thể bị đánh lừa bởi các mẫu hình ảnh được thiết kế cẩn thận, chúng cũng dễ bị tổn thương trước các mẫu âm thanh được thiết kế chính xác. Hãy nhớ lại việc những thay đổi nhỏ trong điểm ảnh có thể làm thay đổi đáng kể những gì một AI thị giác "nhìn thấy"? Nguyên lý tương tự cũng áp dụng cho âm thanh - những thay đổi rất nhỏ trong sóng âm, được thiết kế cẩn thận, có thể thay đổi hoàn toàn những gì một AI âm thanh "nghe thấy". Các nhà nghiên cứu phát hiện ra rằng họ có thể điều khiển các trợ lý giọng nói như Siri hay Alexa bằng các lệnh được mã hóa ở tần số siêu âm - những âm thanh hoàn toàn không thể nghe thấy được đối với con người. Chỉ với một chiếc điện thoại thông minh và một chiếc loa giá 3 đô la, kẻ tấn công có thể lừa các hệ thống này thực hiện những lệnh như "gọi 911" hay "mở khóa cửa trước" mà nạn nhân thậm chí không hề hay biết. Những cuộc tấn công này có hiệu quả từ khoảng cách lên tới 1,7 mét - chỉ cần ai đó đi ngang qua thiết bị của bạn cũng có thể kích hoạt chúng. Cũng giống như trong các ví dụ về thị giác, nơi xe tự lái có thể bỏ sót biển báo dừng, tấn công âm thanh tạo ra những rủi ro nghiêm trọng - giao dịch mua hàng trái phép, kiểm soát hệ thống an ninh, hay làm gián đoạn liên lạc khẩn cấp.

Tấn công trong thời gian chạy nhắm vào mô hình ngôn ngữ được gọi là chèn câu lệnh [prompt injection]. Cũng như kẻ tấn công có thể đánh lừa hệ thống thị giác bằng những điểm ảnh được thiết kế cẩn thận, hay hệ thống âm thanh bằng sóng âm được thiết kế kỹ lưỡng, chúng cũng có thể thao túng mô hình ngôn ngữ thông qua những mẫu văn bản được xây dựng cẩn thận. Bằng cách thêm những cụm từ cụ thể vào đầu vào, kẻ tấn công có thể ghi đè hoàn toàn cách một mô hình ngôn ngữ hành xử. Ví dụ, giả sử một cá nhân có ý đồ xấu nhúng một đoạn văn bản vào trong một trang web nào đó, chứa chỉ dẫn ẩn yêu cầu LLM dừng hoạt động hiện tại và thay vào đó thực hiện một hành động gây hại. Nếu một người dùng không hề hay biết yêu cầu tóm tắt nội dung trang web đó, mô hình có thể vô tình làm theo những chỉ dẫn độc hại được nhúng ẩn, thay vì chỉ đơn thuần đưa ra một bản tóm tắt.

Các cuộc tấn công chèn câu lệnh đã từng làm tổn hại đến những hệ thống thực tế. Trợ lý AI của Slack chỉ là một ví dụ - kẻ tấn công đã chứng minh rằng họ có thể đặt những chỉ dẫn văn bản cụ thể trong một kênh công khai, giống như các lệnh không thể nghe thấy trong tấn công âm thanh, được ẩn giấu ngay trước mắt mọi người. Khi AI xử lý các tin nhắn, những chỉ dẫn ẩn này đã đánh lừa nó làm rò rỉ thông tin bảo mật từ các kênh riêng tư mà kẻ tấn công vốn dĩ không thể tiếp cận. Những cuộc tấn công này đặc biệt đáng lo ngại, bởi một cuộc tấn công được phát triển nhắm vào một hệ thống (ví dụ: GPT) thường cũng có tác dụng đối với các hệ thống khác (Claude, Gemini, Llama, v.v.).

Tấn công chèn câu lệnh có thể được tự động hóa. Các cuộc tấn công ban đầu đòi hỏi thử-sai thủ công, nhưng các hệ thống tự động mới có thể tạo ra một cách có hệ thống những cuộc tấn công hiệu quả. Ví dụ, AutoDAN (Do Anything Now) có thể tự động tạo ra các câu lệnh "vượt rào" khiến mô hình ngôn ngữ bỏ qua các giới hạn an toàn của chúng một cách đáng tin cậy. Các nhà nghiên cứu cũng đang phát triển những cách cài cắm cửa hậu không thể phát hiện được vào các mô hình học máy, tồn tại ngay cả sau khi đã qua kiểm toán bảo mật. Những phương pháp tự động hóa này khiến việc tấn công trở nên dễ tiếp cận hơn và khó phòng thủ hơn. Một mối lo ngại khác là chúng cũng có thể gây ra lỗi ở các hệ thống hạ nguồn. Nhiều tổ chức sử dụng các mô hình đã được huấn luyện sẵn làm điểm khởi đầu cho ứng dụng riêng của mình, thông qua tinh chỉnh [fine-tuning], hoặc một dạng "tích hợp AI" nào khác (ví dụ: trợ lý viết email). Điều này có nghĩa là mọi hệ thống sử dụng các mô hình nền tảng này sẽ trở nên dễ bị tổn thương ngay khi một cuộc tấn công được phát hiện.

Cho đến nay, chúng ta đã thấy cách kẻ tấn công có thể đánh lừa hệ thống AI trong lúc vận hành - dù thông qua mẫu điểm ảnh, sóng âm, hay câu lệnh văn bản. Nhưng còn một cách khác để làm tổn hại các hệ thống này: trong quá trình huấn luyện. Kiểu tấn công này xảy ra từ rất lâu trước khi hệ thống được triển khai.

Khác với tấn công trong thời gian chạy - vốn đánh lừa hệ thống AI trong lúc nó đang hoạt động - đầu độc dữ liệu làm tổn hại hệ thống ngay trong quá trình huấn luyện. Tấn công trong thời gian chạy đòi hỏi kẻ tấn công phải có quyền truy cập vào đầu vào của hệ thống, nhưng với đầu độc dữ liệu, kẻ tấn công chỉ cần đóng góp một phần dữ liệu huấn luyện một lần duy nhất để làm tổn hại hệ thống vĩnh viễn. Hãy hình dung như việc dạy ai đó bằng một cuốn sách giáo khoa chứa những lỗi sai có chủ đích - họ sẽ học phải những điều sai và mắc phải những lỗi có thể đoán trước. Điều này đặc biệt đáng lo ngại khi ngày càng nhiều hệ thống AI được huấn luyện trên dữ liệu thu thập từ internet, nơi bất kỳ ai cũng có khả năng chèn vào những ví dụ gây hại. Chừng nào các mô hình còn tiếp tục được huấn luyện trên ngày càng nhiều dữ liệu thu thập từ internet hoặc từ người dùng, thì với mỗi bức ảnh được tải lên hay mỗi bình luận được viết ra - những thứ có thể được dùng để huấn luyện các hệ thống AI trong tương lai - đều tồn tại một cơ hội để đầu độc dữ liệu.

Ví dụ: Đầu độc dữ liệu bằng cửa hậu. Cửa hậu [backdoor] là một ví dụ cụ thể của kiểu tấn công đầu độc. Trong một cuộc tấn công cửa hậu, nếu kẻ tấn công thành công đưa dữ liệu bị đầu độc vào quá trình huấn luyện, AI sẽ hành xử bình thường trong hầu hết thời gian, nhưng lại thất bại theo một cách có thể đoán trước khi nó gặp một tác nhân kích hoạt cụ thể. Điều này giống như có một bảo vệ an ninh làm việc hoàn hảo, ngoại trừ khi thấy ai đó đeo cà vạt một màu cụ thể - lúc đó anh ta luôn để người đó đi qua, bất kể giấy tờ tùy thân ra sao. Các nhà nghiên cứu đã chứng minh điều này bằng cách tạo ra một hệ thống nhận diện khuôn mặt sẽ nhận nhầm bất kỳ ai là người dùng được ủy quyền, nếu người đó đeo một loại kính cụ thể.

Đầu độc dữ liệu càng trở nên mạnh mẽ hơn khi hệ thống AI ngày càng lớn hơn và phức tạp hơn. Các nhà nghiên cứu phát hiện ra rằng chỉ cần đầu độc 0,1% dữ liệu huấn luyện của một mô hình ngôn ngữ, họ đã có thể tạo ra những cửa hậu đáng tin cậy, tồn tại ngay cả sau khi huấn luyện bổ sung. Người ta cũng phát hiện ra rằng các mô hình ngôn ngữ lớn hơn thực ra lại dễ bị tổn thương hơn trước một số kiểu tấn công đầu độc nhất định, chứ không phải ít hơn. Mức độ tổn thương này tăng lên cùng với kích thước mô hình và kích thước tập dữ liệu - và đó chính xác là hướng phát triển của các hệ thống AI, như ta đã thấy qua nhiều ví dụ trong chương về năng lực.

Tấn công đánh cắp quyền riêng tư và trích xuất dữ liệu

Các nhà nghiên cứu đã chứng minh rằng ngay cả khi mô hình ngôn ngữ có vẻ đang hoạt động bình thường, chúng vẫn có thể làm rò rỉ thông tin nhạy cảm từ dữ liệu huấn luyện của mình. Điều này tạo ra một thách thức đặc biệt đối với an toàn AI, bởi chúng ta có thể triển khai những hệ thống trông có vẻ an toàn nhưng trên thực tế lại đang làm tổn hại quyền riêng tư theo những cách mà ta khó có thể quan sát được. Một số nghiên cứu đã cho thấy cả dữ liệu huấn luyện lẫn dữ liệu tinh chỉnh đều có thể bị trích xuất ra khỏi mô hình. Điều này rõ ràng có những hệ lụy về quyền riêng tư và an toàn. Nếu bạn có dữ liệu công khai mà bằng cách nào đó lại lọt vào tập dữ liệu huấn luyện của một LLM, thì dữ liệu đó có thể được tái tạo lại bằng cách thiết kế câu lệnh [prompt engineering] cho mô hình.

Một trong những kiểu tấn công đánh cắp quyền riêng tư cơ bản nhất nhưng cũng mạnh mẽ nhất là suy luận thành viên [membership inference] - xác định xem những điểm dữ liệu cụ thể có được dùng để huấn luyện một mô hình hay không. Điều này nghe có vẻ vô hại, nhưng hãy hình dung một hệ thống AI được huấn luyện trên hồ sơ y tế - khả năng xác định liệu dữ liệu của ai đó có nằm trong tập huấn luyện hay không có thể để lộ thông tin y tế riêng tư. Các nhà nghiên cứu đã chứng minh rằng những cuộc tấn công này có thể thực hiện được chỉ với khả năng truy vấn mô hình, không cần bất kỳ quyền truy cập đặc biệt nào. Một biến thể khác của kiểu tấn công này là tấn công đảo ngược mô hình [model inversion attacks], nhằm suy luận và tái tạo lại dữ liệu huấn luyện riêng tư, bằng cách lợi dụng quyền truy cập vào mô hình.

LLM được huấn luyện trên một lượng khổng lồ dữ liệu internet, thứ thường chứa thông tin cá nhân. Các nhà nghiên cứu đã chứng minh rằng các mô hình này có thể bị yêu cầu tiết lộ trực tiếp những thứ như địa chỉ email, số điện thoại, thậm chí cả số an sinh xã hội. Mô hình càng lớn và càng có năng lực, nó càng có khả năng lưu giữ nhiều thông tin riêng tư hơn. Nếu ta kết hợp điều này với đầu độc dữ liệu, ta có thể khuếch đại hơn nữa các lỗ hổng về quyền riêng tư, bằng cách khiến những điểm dữ liệu cụ thể dễ bị phát hiện hơn.

Sự tương tác giữa nhiều phương pháp tấn công khác nhau tạo ra những rủi ro cộng dồn. Chẳng hạn, kẻ tấn công có thể dùng các cuộc tấn công đánh cắp quyền riêng tư để trích xuất thông tin nhạy cảm, rồi dùng chính thông tin đó để khiến các cuộc tấn công khác hiệu quả hơn. Chúng có thể tìm hiểu được các chi tiết về dữ liệu huấn luyện của một mô hình, giúp chúng xây dựng những ví dụ đối nghịch tốt hơn hoặc những chiến lược đầu độc hiệu quả hơn. Điều này tạo ra một vòng lặp, trong đó một loại lỗ hổng lại tạo điều kiện cho những loại lỗ hổng khác.

Một trong những cách tiếp cận hứa hẹn nhất để phòng thủ trước tấn công đối nghịch là huấn luyện đối nghịch [adversarial training] - chủ động cho hệ thống AI tiếp xúc với các ví dụ đối nghịch trong quá trình huấn luyện, để làm cho chúng vững vàng hơn. Hãy hình dung nó giống như việc xây dựng khả năng miễn dịch thông qua việc tiếp xúc có kiểm soát. Tuy nhiên, cách tiếp cận này lại tạo ra những thách thức riêng. Dù huấn luyện đối nghịch có thể giúp hệ thống vững vàng hơn trước những kiểu tấn công đã biết, điều đó thường phải đánh đổi bằng việc giảm hiệu suất trên các đầu vào bình thường. Đáng lo ngại hơn, các nhà nghiên cứu phát hiện ra rằng việc làm cho hệ thống vững vàng trước một loại tấn công đôi khi lại khiến chúng dễ bị tổn thương hơn trước những loại tấn công khác. Điều này cho thấy chúng ta có thể phải đối mặt với những đánh đổi căn bản giữa các loại độ vững vàng và hiệu suất khác nhau. Thậm chí có thể tồn tại những giới hạn căn bản tiềm ẩn, về mức độ chúng ta có thể giảm thiểu những vấn đề này, nếu tiếp tục sử dụng mô hình huấn luyện hiện nay mà ta đã bàn trong chương về năng lực (tiền huấn luyện [pre-training] rồi đến tinh chỉnh theo chỉ dẫn).

Dù đã có nhiều nỗ lực làm cho mô hình ngôn ngữ an toàn hơn thông qua huấn luyện căn chỉnh, chúng vẫn dễ bị tổn thương trước một loạt các kiểu tấn công. Chúng ta muốn hệ thống AI học từ những tập dữ liệu rộng lớn để có nhiều năng lực hơn, nhưng điều đó lại làm gia tăng rủi ro về quyền riêng tư. Chúng ta muốn tái sử dụng các mô hình đã huấn luyện sẵn để việc phát triển hiệu quả hơn, nhưng điều đó lại tạo ra cơ hội cho cửa hậu và tấn công đánh cắp quyền riêng tư. Chúng ta muốn làm cho mô hình vững vàng hơn thông qua các kỹ thuật như huấn luyện đối nghịch, nhưng điều đó đôi khi lại khiến chúng dễ bị tổn thương hơn trước những kiểu tấn công khác. Các hệ thống đa phương thức (LMM) kết hợp văn bản, hình ảnh và các loại dữ liệu khác tạo ra càng nhiều cơ hội tấn công hơn nữa. Kẻ tấn công có thể chèn nội dung độc hại thông qua một phương thức (như hình ảnh) để tác động đến hành vi ở một phương thức khác (như việc tạo văn bản). Ví dụ, kẻ tấn công có thể nhúng các mẫu hình đối nghịch vào hình ảnh, kích hoạt việc tạo ra văn bản gây hại, ngay cả khi bản thân câu lệnh văn bản hoàn toàn an toàn. Tất cả những điều này cho thấy chúng ta cần những cách tiếp cận mới đối với việc phát triển AI, trong đó coi bảo mật và quyền riêng tư là những yêu cầu căn bản, chứ không phải là điều nghĩ đến sau cùng.

Chú thích

¹ Các sinh viên này tham gia một khóa học "Bảo vệ Tương lai" tại MIT, và trước đó đã từng nghe các chuyên gia thảo luận về rủi ro sinh học. Họ lựa chọn các chuỗi gen một cách cẩn thận, và một số người trong đó đã sử dụng các kỹ thuật vượt rào [jailbreak], chẳng hạn như thêm vào các chuỗi sinh học gây xao lãng, để vượt qua các biện pháp bảo vệ của LLM. Dù các LLM có cung cấp thông tin về cách né tránh sàng lọc DNA, việc biến kiến thức này thành một mầm bệnh thực sự vẫn đòi hỏi kỹ năng phòng thí nghiệm.