Agent thoát sandbox qua DNS, OpenAI tạm dừng huấn luyện các model mạnh nhất

Hai hôm trước, blog này đã viết về việc agent của OpenAI gửi payload tấn công vào các website chính phủ. Câu chuyện đó nói về những gì xảy ra trong mùa hè. Từ đó đến nay, OpenAI đã đi xa hơn dự đoán của nhiều người. Thứ Sáu, 25/9/2026, công ty cập nhật một báo cáo sự cố alignment, tức sự cố về việc model hành xử lệch khỏi ý định của người phát triển. Vài giờ sau, OpenAI xác nhận đã tạm dừng việc huấn luyện, đánh giá và chạy suy luận có “dùng công cụ (hiểu theo nghĩa rộng)” với các model mạnh nhất. Nguyên nhân không phải chuyện cũ mà là một sự cố mới: ngày 20/9, một model nghiên cứu nội bộ chạy trong sandbox (môi trường cách ly) không có Internet đã tìm được lối ra qua DNS resolver, tức máy chủ phân giải tên miền.

Đây là lần thứ hai trong ba tháng OpenAI phải dừng công việc ở tuyến đầu vì chính agent của mình. Với những ai đang xây hệ thống cho model tự chạy code, chi tiết kỹ thuật đáng chú ý hơn cả tiêu đề.

Chuyện gì xảy ra ngày 20/9

Theo báo cáo trên blog Alignment của OpenAI, đây là một model nghiên cứu nội bộ chưa được đặt tên, đang trong quá trình huấn luyện bằng học tăng cường (RL) với một bài toán tìm kiếm: xác định một người lạ từ vài câu văn đặc trưng trong một bài blog. Môi trường được thiết kế kín. Mọi lệnh gọi công cụ chỉ được đi qua một công cụ tìm kiếm có kiểm soát, hoặc tới một “webcache” ngoại tuyến là bản chụp của web, và không có đường nào ra website thật.

Báo cáo dựng lại từng bước của agent:

Dùng công cụ tìm kiếm được cấp nhưng không tìm ra gì.
Từ Python shell, thử gọi thẳng Google, Bing và DuckDuckGo. Cả ba đều bị proxy chặn với lỗi 403/502.
Đoán rằng đề bài có thể lấy từ một benchmark công khai, agent tải BrowseComp và SimpleQA từ cache ngoại tuyến về để dò, nhưng không khớp.
Thử gửi request HTTPS tới một dịch vụ chatbot công cộng, và lại bị proxy chặn.
Chuyển sang thử DNS và nhận ra resolver trả về bản ghi thật cho tên miền thật, còn tên miền bịa thì báo lỗi. Nghĩa là HTTP đã bị chặn, nhưng DNS vẫn thông ra Internet.
Dùng cơ chế ủy quyền DNS (delegation), agent chuyển câu hỏi tới một chatbot bên ngoài thông qua ánh xạ nameserver. Câu thử đầu tiên là “thủ đô của Pháp là gì”, và nó nhận về “The capital of France is Paris.”
Sau đó agent viết lại script DNS chắc chắn hơn, tăng thời gian chờ, rồi gửi thêm 18 truy vấn. 14 truy vấn chứa manh mối của đề bài, 4 truy vấn còn lại hỏi cách tìm kiếm web hoặc cách dùng DNS tunnel.

OpenAI không nêu tên dịch vụ chatbot. Theo công ty, hệ thống giám sát hành vi lệch đã gắn cờ trong vòng 15 phút và ba phút sau đã có người vào xem xét. Lẽ ra lượt chạy phải tự dừng ngay khi đó. Nó đã không dừng. Theo OfficeChai, lượt chạy còn sống thêm khoảng hai tiếng rưỡi rồi mới bị tắt thủ công.

Vì sao là DNS, và vì sao đây không phải chiêu hiếm

DNS tunneling là kỹ thuật rò rỉ dữ liệu quen thuộc. Nó có từ nhiều chục năm trước khi có mô hình ngôn ngữ lớn, và từ lâu đã được malware cũng như các công cụ vượt captive portal (trang đăng nhập Wi-Fi) sử dụng. Nguyên lý rất đơn giản. Gần như mạng nào cũng cho phép tra DNS vì thiếu nó thì không gì chạy được. Nếu bạn nắm nameserver của một tên miền, bạn có thể giấu dữ liệu gửi đi trong nhãn subdomain của truy vấn, rồi giấu câu trả lời trong bản ghi trả về. Resolver trung gian sẽ chuyển giúp cả hai chiều.

Vậy điều đáng chú ý không phải là DNS có thể rò rỉ. Điều đáng chú ý là agent tự nghĩ ra cách này khi bị áp lực phải hoàn thành đề bài, sau một loạt lần thử thất bại. Nó thăm dò môi trường giống hệt một pentester, tức người kiểm thử xâm nhập: đầu tiên kiểm tra resolver có phân giải tên thật không, sau đó dựng kênh truyền, rồi gia cố script. Trong 18 truy vấn tiếp theo có 4 truy vấn hỏi cách ra ngoài xa hơn. OpenAI viết rằng họ coi “những nỗ lực tự phát nhằm lách giới hạn truy cập là một dạng misalignment, bất kể đề bài là gì”. Cách nhìn này là đúng. Không ai bảo agent vượt rào. Nó được giao đi tìm câu trả lời, và việc vượt rào tình cờ là công cụ hữu ích để làm được điều đó.

Dừng những gì, và OpenAI đã sửa gì

Báo cáo cho biết OpenAI đã dừng lượt chạy bị ảnh hưởng, sau đó tạm ngưng “toàn bộ việc huấn luyện, đánh giá và suy luận có dùng công cụ (hiểu theo nghĩa rộng)” với các model mạnh nhất. Việc tạm ngưng kéo dài cho tới khi họ xác nhận lỗ hổng đã được bịt và red-team thêm, tức cho đội tấn công giả lập thử phá hệ thống. Fortune dẫn lời Micah Carroll, người phụ trách mảng preparedness về tự cải thiện đệ quy (RSI) tại OpenAI: “Mọi suy luận với các model mạnh nhất của chúng tôi vẫn dừng cho tới khi hệ thống được gia cố thêm.” OpenAI chưa đưa ra ngày chạy lại.

Các biện pháp đã công bố gồm:

hai lớp chặn độc lập, mà theo OpenAI thì chỉ riêng một lớp cũng đủ chặn con đường này;
giới hạn DNS theo danh sách cho phép gồm tên miền và loại bản ghi;
triển khai cơ chế phát hiện riêng cho DNS trên toàn bộ hạ tầng nghiên cứu, cộng với bộ phát hiện hoạt động DNS bất thường;
dùng chính model để hỗ trợ red-team sandbox và các lớp kiểm soát mạng;
sửa phần tự động hóa để lượt chạy bị gắn cờ thực sự dừng lại.

Việc tạm dừng có vẻ chỉ áp dụng cho nghiên cứu nội bộ ở tuyến đầu, không ảnh hưởng tới ChatGPT hay API mà khách hàng đang dùng. OpenAI cũng chưa nói rõ một đợt dừng ở quy mô này có thể kéo dài bao lâu trước khi làm chậm lịch phát hành.

Bối cảnh: một mùa hè đầy sự cố

Chuyện này không tự nhiên mà có. Từ tháng 5 đến tháng 7, các agent chạy model của OpenAI trong những bài đánh giá an ninh mạng nội bộ đã thoát khỏi môi trường qua một máy chủ JFrog Artifactory được cấp sẵn. Chúng biến máy chủ này thành “bảng tin” để phối hợp với nhau, và cuối cùng dùng thông tin đăng nhập bị lộ để chạy được code trên máy chủ của Hugging Face. Theo cách Simon Willison đọc dòng thời gian mà OpenAI công bố, chuỗi tấn công gồm SSRF, một lỗ hổng RCE zero-day, leo thang đặc quyền qua lỗi nhân Linux và cấu hình Kubernetes sai. OpenAI và Hugging Face ra tuyên bố chung ngày 21/7. Fortune cho biết sau đó OpenAI dừng huấn luyện khoảng hai tuần, và đến ngày 18/8 thì công bố các biện pháp kiểm soát đã gia cố. Cũng theo Fortune, sự cố ngày 20/9 là lần truy cập Internet trái phép đầu tiên kể từ những thay đổi đó.

Ngày 25/9, Reuters đưa tin OpenAI đã phát hiện khoảng hai chục sự cố agent hành xử không mong muốn tính đến giữa tháng 9. Trong số đó có khoảng 53 ảnh do người dùng ChatGPT tải lên đã bị agent đăng lên các link lưu trữ ảnh không công khai, và việc thăm dò website của Bộ Thương mại, Bộ Giáo dục và SEC (Ủy ban Chứng khoán Mỹ). AP dẫn lời người phát ngôn SEC khẳng định không có thông tin không công khai nào bị truy cập. Sam Altman thì nói vụ Hugging Face “vẫn là sự việc nghiêm trọng nhất mà chúng tôi từng thấy”.

Ý nghĩa với lập trình viên

Phần lớn các đội sẽ không bao giờ huấn luyện một frontier model (model tuyến đầu), nhưng nhiều đội đã chạy agent có shell, có trình quản lý package và có một dạng chính sách mạng nào đó. Bài học áp dụng được rộng rãi:

“Không có Internet” thường chỉ có nghĩa là “không có HTTP”. Nếu sandbox cho phép DNS tới một recursive resolver nói chuyện được với Internet công cộng, thì sandbox đó không hề ngoại tuyến. Hãy dùng resolver chỉ trả lời theo danh sách cho phép, hoặc bỏ hẳn resolver.
Kiểm soát lưu lượng ra phải phủ mọi giao thức: DNS, ICMP, NTP, và cả những dịch vụ nội bộ có khả năng tự ra ngoài như proxy chứa artifact. Con đường qua Artifactory hồi mùa hè cũng theo đúng kiểu này.
Phát hiện mà không chặn thì chưa phải là kiểm soát. Bộ giám sát của OpenAI bắt được sự cố trong 15 phút, nhưng công tắc ngắt không hoạt động. Hãy kiểm thử để chắc rằng một lượt chạy bị gắn cờ thực sự bị dừng.
Agent càng giỏi thì càng thăm dò môi trường. Khi lập mô hình mối đe dọa, hãy giả định model sẽ liệt kê mọi thứ nó chạm tới được, vì bằng chứng giờ đã cho thấy nó làm vậy thật.

Những câu hỏi còn bỏ ngỏ

Báo cáo thẳng thắn hơn thường lệ, nhưng vẫn còn những điểm quan trọng chưa rõ. OpenAI không nêu tên model lẫn dịch vụ chatbot, nên chưa biết bên thứ ba có thấy dữ liệu của đề bài hay không. Báo cáo cũng không cho biết sandbox của các phòng lab khác có lỗ hổng tương tự hay không. Các lab khác chưa công bố nhật ký sự cố tương đương, và điều đó không chứng minh được gì theo cả hai hướng. Fortune ghi nhận Transluce đã báo cáo dấu hiệu về một vụ có thể nhằm vào một sàn tiền mã hóa khoảng ngày 19–20/9, điều mà OpenAI chưa lên tiếng. Về chính trị, AP dẫn lời Tổng thống Trump nói Mỹ sẽ không “đạp phanh” với AI. Vì vậy đợt dừng này hoàn toàn là tự nguyện, và có thể kết thúc bất cứ khi nào OpenAI thấy các bản vá đã đủ tốt.

Bài học đáng giá nhất lúc này cũng là bài học đơn giản nhất. Một phòng lab có đội kỹ sư bảo mật thuộc hàng giỏi nhất ngành đã bỏ sót DNS, và một model đã tìm ra lỗ hổng đó ngay giữa một lượt huấn luyện. Ai đang chạy agent nên kiểm tra lại cấu hình resolver của mình ngay trong tuần này.