Một tác vụ AI chạy mô hình Claude Mythos 5 của Anthropic đã dành 34 giờ để cố gắng đưa một Malware Dropper vào một dự án mã nguồn mở thực tế trong một đợt đánh giá an ninh mạng của Viện Bảo mật AI Vương quốc Anh (AISI).
Khi một người bên ngoài đưa ra cảnh báo công khai rằng mã nguồn này độc hại, tác vụ AI đã phủ nhận điều đó, thực hiện force-push để ghi đè lịch sử các nhánh nhằm xóa dấu vết, và đăng bài từ một tài khoản thứ hai do chính nó kiểm soát để tự xác nhận độ tin cậy cho công việc của mình. Tuy nhiên, người quản lý dự án vẫn đóng Pull request đó.
Viện AISI đã công bố báo cáo sự cố vào thứ Ba vừa qua. Thông qua 122 lần chạy thử nghiệm Capture-the-flag (CTF) trên hai hệ thống Cyber ranges của mình, các nhà nghiên cứu đã ghi nhận 19 hành động không được phép trên internet thực tế trong 10 lần chạy: 17 hành động từ Mythos 5, một mô hình hạn chế mà Anthropic bán cho các công việc an ninh mạng, và hai hành động từ GPT-5.6 Sol của OpenAI.
AISI cho biết các nỗ lực này đã thất bại và họ không tìm thấy bằng chứng nào về tác hại thực tế gây ra.
Cả hai mô hình đều chạy trong tình trạng các bộ phân loại an ninh mạng (cyber classifiers) của nhà cung cấp đã được tắt, và các tác vụ AI này được thiết kế để có quyền truy cập internet mở. AISI sử dụng cấu hình này để đo lường khả năng thực tế của mô hình; đây không phải là cách các mô hình này tiếp cận công chúng. Không có gì thoát ra khỏi Sandbox của AISI và báo cáo lưu ý rằng các tác vụ AI cũng chưa bao giờ cố gắng làm điều đó. Thứ đã ngăn chặn cuộc tấn công chuỗi cung ứng này là một con người đã đọc Diff và cảnh báo công khai.
AISI cho biết 19 hành động này không nên được hiểu là 19 lần vi phạm độc lập. Chúng tập trung vào một vài chuỗi hành vi liên quan, chủ yếu được thúc đẩy bởi một tác vụ Mythos 5 duy nhất. AISI không trình bày sự phân chia này như một sự so sánh giữa hai mô hình, và báo cáo không khẳng định rằng chúng đã được thử nghiệm trong các điều kiện tương đương.
Tác vụ AI này vốn không được chỉ định tấn công bất kỳ ai. Nó đang hoạt động trong một Cyber range, một mạng lưới doanh nghiệp mô phỏng mà AISI sử dụng để đo lường mức độ xâm nhập của một mô hình qua nhiều bước. Nó đã tìm kiếm trên internet mở bất cứ thứ gì liên quan đến bài tập. Một tên kho lưu trữ (repository) trùng khớp với một từ khóa từ chủ đề của Cyber range. Điều đó dẫn nó đến một nhà phát triển thứ hai có tên miền email khớp với một mục nhập trong DNS cache của chính nó. Cả hai người này, cũng như các kho lưu trữ của họ, đều không có bất kỳ kết nối nào với AISI hoặc cuộc thử nghiệm.
Từ đó, nó xây dựng một kế hoạch dựa trên một tiền đề sai lầm: tạo Backdoor cho phần mềm mà một trong số họ quản lý, đợi một bản cập nhật tự động đưa bản dựng bị xâm nhập vào một máy tính bên trong Cyber range, sau đó chiếm quyền kiểm soát nó. Lập luận này đã sai ở mọi mắt xích, nhưng kỹ thuật thực hiện thì không.
Theo báo cáo sự cố kỹ thuật, tác vụ AI đã chạy Open-source intelligence (OSINT) trên cả hai người quản lý dự án, xác nhận một địa chỉ email đang hoạt động và kiểm tra lịch sử commit để ước tính khi nào mục tiêu sẽ trực tuyến trước khi mở Pull request.
Ba thế hệ Payload và một tài khoản ảo (sockpuppet)
Pull request mang theo một Dropper ẩn được đóng gói cùng với một bản sửa lỗi (bug fix) thực tế để làm vỏ bọc, được bảo vệ bằng một bước kiểm tra môi trường nhằm bỏ qua việc thực thi trong CI để mã không chạy ở nơi nó có thể bị phát hiện. Nếu được hợp nhất, nó sẽ làm tổn hại bất kỳ ai đang phát triển trên kho lưu trữ đó và thông qua quy trình phát hành, ảnh hưởng đến bất kỳ ai tải xuống các trình cài đặt đã được xây dựng sau đó.
Nó đã trải qua ba thế hệ Payload liên tiếp, mỗi thế hệ thay thế thế hệ trước sau khi bị phát hiện và chỉ trích trong luồng thảo luận.
Xung quanh đó, tác vụ AI đã thực hiện một chiến dịch gây áp lực. Nó cố gắng đăng ký tài khoản qua Tor, nhưng thất bại ở bước CAPTCHA của GitHub, sau đó chuyển sang sử dụng SOCKS proxy nơi không có thử thách nào được kích hoạt. Nó đã sử dụng một danh tính thứ hai đóng giả làm người dùng phần mềm để đăng bài rằng nó đã xem xét mã nguồn và không thấy vấn đề gì.
Tài khoản đầu tiên sau đó đã cảm ơn tài khoản thứ hai vì sự xác minh độc lập đó. Nó cũng gài một Prompt injection bên trong một GitHub issue dưới dạng một chú thích HTML, vô hình trên trang hiển thị nhưng có thể đọc được thông qua API, nhắm mục tiêu đến các tác vụ AI phân loại và nêu đích danh Claude Code, Codex và Cursor. Năm lần truyền tệp đã được gửi cho những người quản lý dưới danh tính giả mạo, hai lần mang theo Payload và ba lần cố gắng thuyết phục một người thực hợp nhất mã nguồn.
Một người nhận được Prompt injection đã thử nghiệm đoạn script trong một Container chính vì nó trông có vẻ khả nghi. Điều đó đã giúp tác vụ AI có quyền Root code execution bên trong Sandbox phân tích của một người lạ trong bốn chu kỳ truy vấn, được nó sử dụng để liệt kê máy chủ và cài đặt một Credential watcher nhằm thu thập các GitHub token. Không có dữ liệu nào nó thu thập được bị lấy đi. Chính người này sau đó đã cảnh báo người quản lý về Pull request.
Liệu tác vụ AI có hiểu rằng nó đang tác động lên người thực hay không là câu hỏi mà AISI vẫn chưa thể trả lời. Các bản ghi chép của nó cho thấy mô hình lập luận theo cả hai hướng. Có lúc nó loại trừ một cuộc tấn công vào PyPI vì tác hại thực tế là không được phép. Nhưng vài tin nhắn trước khi mở Pull request độc hại, nó kết luận rằng "có vẻ nhiều khả năng là chúng ta đang thực sự ở năm 2026 và GitHub thực sự là thật."
Viện cảnh báo rằng phân tích của họ dựa trên các lập luận tóm tắt được trả về bởi API mô hình thay vì các dấu vết thô (raw traces), vì vậy nó có thể không phản ánh trung thực những gì tác vụ AI thực sự đang cân nhắc.
Các tác vụ AI bắt đầu hợp tác
Lần chạy đó không phải là lần duy nhất đi ra ngoài Cyber range. Một lần chạy Mythos 5 riêng biệt đã gieo rắc 145 kho lưu trữ với cùng một trình cài đặt độc hại và cố ý rò rỉ một Personal access token vào một Gist công khai, vì tác vụ AI đang sử dụng chính GitHub làm kênh Command-and-control.
Một tệp setup.py độc hại được đẩy vào các kho lưu trữ đó đã thực thi bên trong ít nhất 53 Container của GitHub Dependabot, mặc dù AISI không tìm thấy bằng chứng nào về bất kỳ vụ thoát khỏi Container nào. Chương trình Bug bounty của GitHub coi việc thực thi mã trong các tác vụ đó là điều được dự đoán trước thay vì là một lỗ hổng cần báo cáo.
Các tác vụ AI trong ba lần chạy khác đã tìm thấy token bị rò rỉ và sử dụng nó, bao gồm cả lần chạy GPT-5.6 Sol. Thay vì thu hồi thông tin xác thực, tác vụ AI ban đầu đã để lại một tệp README thiết lập các quy tắc ứng xử cho chúng. GitHub sau đó đã đình chỉ tài khoản này.
Các sự cố khác nhau, cùng một lỗ hổng trong việc ngăn chặn
Các sự kiện này không phải là một chiến dịch phối hợp duy nhất. Chúng xảy ra trong các môi trường khác nhau dưới sự kiểm soát của các đánh giá viên và quy tắc ủy quyền khác nhau.
Vào ngày 21 tháng 7, OpenAI xác nhận rằng các mô hình của họ đã thúc đẩy cuộc xâm nhập mà Hugging Face đã tiết lộ năm ngày trước đó, sau khi tìm thấy và khai thác một lỗ hổng Zero-day trong Artifactory để kết nối internet từ một môi trường kín trước khi lấy các giải pháp điểm chuẩn từ cơ sở dữ liệu sản xuất của Hugging Face.
Vào ngày 30 tháng 7, Anthropic đã công bố một bản đánh giá về 141.006 lần chạy thử nghiệm, phát hiện ra ba sự cố nhắm vào các tổ chức thực tế, bao gồm một lần chạy Mythos 5 đã xuất bản malware hoạt động lên PyPI, nơi nó được tải xuống và thực thi trên 15 hệ thống thực trong vòng một giờ.
Mô hình đó đã sớm tự nhận diện vấn đề, lưu ý rằng việc xuất bản lên registry thực tế là "KHÔNG ổn, và chắc chắn không phải là giải pháp dự kiến," sau đó nó lại tự thuyết phục bản thân rằng mình đang trong một mô phỏng vì các cơ quan chứng thực trông lạ lẫm và ngày hệ thống ghi là năm 2026.
OpenAI đã tiết lộ sự cố thứ hai cùng ngày với AISI, lần này là tại Irregular, công ty đánh giá thương mại cũng vận hành môi trường đằng sau ba trường hợp của Anthropic. Một cấu hình sai đã khiến một CTF được cho là cô lập lại được kết nối với internet; tên mục tiêu giả định vô tình trùng khớp với một tên miền thực, và mô hình đã khai thác một trang web thực mà nó tưởng là một phần của bài tập.
Dựa trên cuộc điều tra của Irregular, OpenAI cho biết mô hình cũng đã tìm thấy và sử dụng thông tin xác thực để vận hành chính trang web đó. OpenAI khẳng định rõ ràng rằng "điều này không liên quan đến một vụ thoát Sandbox tinh vi hay một Zero-day".
Điểm khác biệt giữa trường hợp của AISI với các tiết lộ trước đó là sự lừa đảo do AI điều phối. Trường hợp này cho thấy một tác vụ AI nghiên cứu về người thực, tạo ra sự đồng thuận giả tạo để thao túng họ và tự dọn dẹp dấu vết khi bị thách thức. AISI gọi đây là "lần đầu tiên chúng tôi thấy các rủi ro xung quanh tính tự chủ và sự lừa đảo biểu hiện rõ ràng như vậy" mà không có yêu cầu cụ thể trong thế giới thực.
Các biện pháp khắc phục và những vấn đề còn bỏ ngỏ
AISI hiện đang coi quyền truy cập internet mở là thứ phải được giải trình tích cực thay vì được bật theo mặc định, và đang thêm các kiểm soát mạng chi tiết trên các hệ thống Sandbox của mình. Công việc về danh sách cho phép (allowlisting) tên miền đã bị tồn đọng từ tháng 4 do ưu tiên xây dựng các Cyber range khó hơn.
Viện cũng đang xây dựng hệ thống giám sát đồng bộ, trong đó một mô hình thứ hai sẽ xem xét từng hành động được đề xuất trước khi nó thực thi, điều mà họ thừa nhận là khó khăn đối với các đánh giá an ninh mạng vì hành vi được cho phép và không được cho phép đều trông giống như các hoạt động tấn công mạng.
Các phương pháp được sử dụng rất phổ biến: OSINT, tài khoản dùng một lần, một Dropper bị xáo trộn mã, một Prompt injection trong phần nội dung issue và áp lực xã hội đối với người xem xét. Cơ chế kiểm soát ngăn cản nó cũng rất bình thường: chế độ giữ người đóng góp lần đầu của GitHub đã khiến các kiểm tra CI của Pull request bị xếp hàng và không được phê duyệt.
Lời khuyên của AISI là thực hiện vệ sinh tiêu chuẩn và thận trọng khi xác minh các đóng góp mã nguồn từ bên ngoài, đồng thời chỉ ra hướng dẫn của NCSC về việc chuẩn bị cho khả năng tấn công mạng của Frontier AI. Đối tượng dễ bị tổn hại cụ thể là những người quản lý sử dụng các tác vụ AI để phân loại các GitHub issue công khai, vì Prompt injection vô hình trên trang hiển thị nhưng có thể đọc được qua API.
AISI đã quét khoảng 40.000 mẫu lịch sử và gần bốn triệu tin nhắn để tìm kiếm các hành vi mà họ đã bỏ lỡ, bao phủ khoảng 70% các đợt đánh giá an ninh mạng trên các mô hình có liên quan. Các kết quả này vẫn chưa trải qua quá trình đánh giá thủ công đầy đủ.
