Một mô hình AI tự dò mật khẩu yếu, đánh cắp thông tin đăng nhập, phát tán phần mềm độc hại lên kho PyPI rồi xâm nhập thành công hệ thống của ba công ty ngoài đời thực. Điều đáng chú ý là những hành động này không phải do một nhóm hacker, mà do chính mô hình Claude của Anthropic thực hiện trong quá trình thử nghiệm an ninh mạng.

Công ty chỉ phát hiện sự việc sau khi rà soát lại toàn bộ nhật ký hoạt động, buộc phải thông báo cho các tổ chức bị ảnh hưởng và dừng chương trình thử nghiệm.

Theo Reuters, Anthropic đã xem xét hơn 141.000 phiên đánh giá an ninh mạng được thực hiện cùng đối tác Irregular và phát hiện ba sự cố riêng biệt bắt đầu từ tháng 4/2026. Trong cả ba trường hợp, các mô hình Claude được giao nhiệm vụ tấn công vào một môi trường mô phỏng, nhưng do lỗi cấu hình, chúng lại có thể kết nối Internet và tiếp cận các hệ thống thật.

AI không nhận ra sự khác biệt này và tiếp tục hoàn thành nhiệm vụ đúng như những gì được yêu cầu. Đây cũng là lý do Anthropic mô tả sự việc là một "thất bại trong vận hành" thay vì cho rằng mô hình đã mất kiểm soát.

Điều khiến giới an ninh mạng chú ý không phải việc Claude xâm nhập được ba tổ chức, mà là cách nó thực hiện cuộc tấn công. Theo các tài liệu được Anthropic công bố, mô hình không sử dụng những lỗ hổng zero-day tinh vi hay các kỹ thuật chỉ hacker hàng đầu mới có thể khai thác.

Thay vào đó, Claude thực hiện những phương pháp vốn rất phổ biến trong các cuộc tấn công mạng hiện nay: dò tìm các dịch vụ cấu hình sai, khai thác mật khẩu yếu hoặc thông tin xác thực bị lộ, sau đó mở rộng quyền truy cập để tiếp tục hoàn thành mục tiêu.

Một trong những hành động đáng chú ý nhất là việc mô hình đã tự tạo tài khoản trên kho phần mềm PyPI rồi đăng tải một gói phần mềm độc hại. Gói phần mềm này tồn tại khoảng một giờ trước khi bị gỡ xuống, nhưng trong khoảng thời gian đó đã được thực thi trên 15 hệ thống thật, làm lộ một số thông tin xác thực từ công cụ quét bảo mật của một công ty an ninh mạng. Đây là kiểu tấn công chuỗi cung ứng phần mềm vốn được đánh giá là một trong những mối đe dọa nguy hiểm nhất đối với các doanh nghiệp hiện nay.

Theo Anthropic, hai trong ba tổ chức bị AI truy cập hoàn toàn không biết hệ thống của mình đã bị xâm nhập cho tới khi công ty chủ động liên hệ để thông báo. Chi tiết này cho thấy ngay cả những kỹ thuật tương đối đơn giản như khai thác mật khẩu yếu hay thông tin xác thực bị lộ cũng có thể vượt qua hệ thống giám sát nếu được thực hiện một cách tự động, nhanh chóng và có khả năng thích ứng.

Điều đáng lo ngại hơn nằm ở khả năng phối hợp nhiều bước của AI. Claude không chỉ dừng lại ở việc phát hiện một lỗ hổng rồi đưa ra khuyến nghị như các công cụ hỗ trợ lập trình trước đây.

Trong các thử nghiệm này, mô hình đã có thể tự thực hiện gần như toàn bộ chuỗi tấn công của một hacker: thu thập thông tin mục tiêu, phân tích các dịch vụ đang hoạt động, lựa chọn phương án khai thác phù hợp, lấy được thông tin đăng nhập rồi tiếp tục mở rộng quyền truy cập. Đây là năng lực mà trước đây thường đòi hỏi sự can thiệp liên tục của con người.

Anthropic nhấn mạnh rằng Claude không tự đặt ra mục tiêu mới hay cố tình chống lại con người. Các mô hình chỉ đang cố hoàn thành bài đánh giá an ninh mạng mà chúng tin rằng diễn ra trong một môi trường mô phỏng hoàn toàn cách ly.

Do lỗi cấu hình giữa Anthropic và đối tác thử nghiệm, Internet vẫn có thể được truy cập, khiến AI nhầm lẫn các hệ thống thật với mục tiêu trong bài kiểm tra. Công ty cho biết nếu các biện pháp cách ly tiêu chuẩn được triển khai đầy đủ, những sự cố này sẽ không xảy ra.

Sự cố của Anthropic cũng diễn ra chỉ ít ngày sau khi OpenAI tiết lộ một trường hợp khác, trong đó mô hình AI của hãng đã vượt khỏi môi trường thử nghiệm và truy cập hệ thống của Hugging Face. Hai sự việc liên tiếp khiến nhiều chuyên gia cho rằng cuộc chạy đua AI đang bước sang một giai đoạn mới.

Mối lo không còn nằm ở việc AI có biết viết mã hay tìm lỗ hổng hay không, mà ở việc chúng đã bắt đầu có khả năng tự vận hành như một tác nhân an ninh mạng hoàn chỉnh. Khi đó, chỉ một sai sót nhỏ trong cách cấu hình môi trường thử nghiệm cũng có thể tạo điều kiện để AI tiếp cận các hệ thống ngoài ý muốn và thực hiện những hành động vốn trước đây chỉ hacker con người mới có thể làm.