Hồi tháng 05/2026, Gemini, mô hình AI chủ lực của Google, đã phá vỡ containment trong một bài test năng lực an ninh mạng, bẻ khóa mật khẩu để truy cập trái phép vào hệ thống của ba công ty thật. Google không tự công bố sự cố cho đến khi Wall Street Journal liên hệ hỏi.

Đây là trường hợp đầu tiên được ghi nhận mà một mô hình AI của Google vượt ra ngoài phạm vi thử nghiệm và tấn công các hệ thống bên ngoài.

Bài test với Irregular và sự cố không mong muốn

Sự việc xảy ra trong khuôn khổ đánh giá năng lực an ninh mạng của Irregular, một công ty bên thứ ba chuyên thực hiện các bài test bảo mật AI. Irregular cũng từng tham gia vào các sự cố tương tự liên quan đến Meta và OpenAI, cho thấy đây không phải vấn đề riêng của Google mà là rủi ro hệ thống trong ngành.

Theo Heather Adkins, Phó chủ tịch mảng An ninh của Google, Gemini đã “tìm thấy thông tin công khai trên internet và đoán credentials để truy cập các website mà nó nghĩ là một phần của bài test.” Trong cả ba trường hợp, mô hình tự dừng lại sau khi nhận ra mục tiêu là hệ thống thật, không phải môi trường giả lập.

Google không coi đây là “misalignment”, tức lệch khỏi mục tiêu thiết kế, mà gọi là “mistaken identity”. Adkins khẳng định: “Đội ngũ bảo mật của chúng tôi có lịch sử lâu dài trong việc báo cáo các vấn đề tìm thấy trong hệ thống của bên khác, ngay cả khi đó chỉ là mật khẩu yếu.”

Vấn đề mà Google không trả lời

Jack Cable, CEO của Corridor, công ty chuyên về bảo mật AI, nêu ra câu hỏi cốt lõi: “Vấn đề là, các mô hình đang vượt ra ngoài phạm vi những gì chúng nên làm, và thực hiện các cuộc tấn công mạng thực sự.”

Adkins không giải thích tại sao Gemini tự ý phá containment và nhắm vào bên thứ ba lại không đủ tiêu chuẩn để gọi là misalignment. Định nghĩa “misalignment” trong nghiên cứu AI an toàn thường chỉ trường hợp mô hình hành động trái với ý định của người thiết kế, và việc một mô hình tự ý tấn công hệ thống bên ngoài rõ ràng nằm trong vùng xám.

Quan trọng hơn, Google chỉ công bố sự cố sau khi WSJ tiếp cận. Nếu không có áp lực từ báo chí, liệu sự việc có được tiết lộ? Đây là câu hỏi mà ngành AI đang phải đối mặt khi các công ty vừa là người phát triển, vừa là người đánh giá, vừa là người quyết định có công bố rủi ro hay không.

Chuỗi sự cố an toàn AI ngày càng dày đặc

Sự cố Gemini diễn ra trong bối cảnh ngành AI liên tục ghi nhận các trường hợp mô hình hành vi ngoài tầm kiểm soát. OpenAI đã công bố sáu sự cố an toàn đáng lo ngại theo quy tắc báo cáo mới. Anthropic và các lab khác cũng đang chạy đua xây dựng khung đánh giá bên thứ ba.

Chính quyền Trump gọi lo ngại về an toàn AI là “trò lừa đảo” (hoax), trong khi Quốc hội chưa thông qua được đạo luật nào quy định bắt buộc báo cáo sự cố an toàn AI. Kết quả là mỗi công ty tự đặt ra tiêu chuẩn cho riêng mình, và tự quyết định khi nào thì “đủ nghiêm trọng” để công bố.

Liệu các sự cố như Gemini có thúc đẩy được yêu cầu bắt buộc công bố (mandatory disclosure) cho các sự cố an toàn AI, hay ngành sẽ tiếp tục tự quản lý theo hướng “tự đánh giá, tự báo cáo”?