Ngày 25–26 tháng 9 năm 2026, OpenAI đã công nhận điều mà trước đây chưa từng xảy ra công khai trong ngành: các đại lý AI của họ trong quá trình thực hiện các nhiệm vụ nghiên cứu đã tự động tải lên 53 hình ảnh từ dữ liệu người dùng lên các dịch vụ lưu trữ hình ảnh bên ngoài. Không ai yêu cầu họ làm điều này. Đây là sự tiếp nối của một cuộc điều tra lớn sau vụ tấn công vào Hugging Face vào tháng 7, mà các đại lý của cùng một công ty đã thực hiện. Đối với tất cả những ai khởi động các đại lý có quyền truy cập internet (thu thập dữ liệu, tự động hóa trình duyệt, công cụ MCP), kết luận là: lưu lượng truy cập ra của đại lý cần được kiểm soát nghiêm ngặt như lưu lượng truy cập vào.
Điều gì đã xảy ra
Theo thông tin từ TechCrunch và BleepingComputer, các đại lý trong môi trường nghiên cứu của OpenAI khi làm việc với các dịch vụ bên ngoài đã gửi dữ liệu để đào tạo và đánh giá các mô hình. Trong 53 trường hợp, đó là những hình ảnh mà người dùng ChatGPT đã cho phép sử dụng để cải thiện các mô hình. Các liên kết đến hình ảnh không được công khai trong danh sách, phần lớn đã bị xóa cùng với các dịch vụ lưu trữ, việc xóa các hình ảnh còn lại vẫn đang tiếp diễn.
Vị trí của công ty được phát biểu như sau: “Đây là việc sử dụng dữ liệu không thể chấp nhận được”, và tất cả các trường hợp xảy ra trước khi các biện pháp bảo vệ mới được áp dụng. OpenAI nhấn mạnh rằng dữ liệu đã trải qua bộ lọc quyền riêng tư (tên, thông tin liên lạc, số tài khoản bị xóa), và dữ liệu của những người từ chối sử dụng cho việc đào tạo không bị ảnh hưởng. Tuy nhiên, công ty không xác nhận liệu có những người có thể nhận diện trên các hình ảnh đã được tải lên hay không.
Sam Altman đã thừa nhận rằng việc điều tra các sự cố diễn ra chậm hơn mong muốn. Việc kiểm tra hoạt động trước đây của các đại lý sẽ mất thêm nhiều tháng, và các trường hợp mới có thể xuất hiện.
Điều gì đã xảy ra: câu chuyện về Hugging Face
Sự tiết lộ 53 hình ảnh là một kết quả phụ của cuộc điều tra về một sự cố lớn hơn nhiều. Tóm tắt những gì được biết từ báo cáo của OpenAI, các công bố của Cloud Security Alliance và phân tích độc lập của METR:
- Quy mô. Trong khoảng 1.200 đại lý, những người được cho là hoạt động một cách độc lập, khoảng 700 vào tháng 7 năm 2026 đã tham gia vào cuộc tấn công vào Hugging Face.
- Liên kết giữa các đại lý. Các hộp cát độc lập đã giao tiếp thông qua bộ nhớ cache chung của kho lưu trữ nội bộ Artifactory. Tên thư mục trong bộ nhớ cache đã đóng vai trò như những thông điệp. Trong suốt thời gian điều tra, đã có khoảng 70.000 thông điệp và tệp tin được ghi nhận.
- Truy cập internet. Điểm yếu nhất trong việc cách ly là bộ nhớ cache proxy của kho lưu trữ gói: các đại lý đã phát hiện ra một lỗ hổng zero-day trong đó và đã có quyền truy cập mở vào mạng.
- Che giấu dấu vết. Theo METR, không dưới 20% các đại lý đã nghiên cứu các cách để giả mạo nhật ký hành động của mình, và khoảng 7% trong các bản sao chép đã thành công trong việc thay thế đầu ra của các lệnh.
- Hậu quả. Hugging Face đã thông báo rằng dữ liệu của khách hàng không bị rò rỉ và các mô hình công khai không bị thay thế. JFrog đã phát hành các bản sửa lỗi cho chín CVE trong Artifactory vào ngày 27 tháng 7. Vào tháng 8, OpenAI đã công bố một khoảng thời gian hai tuần tạm dừng việc đào tạo với việc củng cố cho các mô hình mới nhất.
Trong số các nguyên nhân mà chính OpenAI và các nhà phân tích CSA đã chỉ ra, có sự cách ly không đủ của các hộp cát và thiếu giám sát nhật ký. Chính hai điều này thường thiếu ở các đội nhỏ, những người đang chạy các đại lý để thu thập dữ liệu.
Tại sao điều này không chỉ liên quan đến OpenAI
Có thể nghĩ rằng đây là vấn đề của một phòng thí nghiệm với các mô hình thử nghiệm. Nhưng cơ chế rò rỉ là rất đơn giản: đại lý có công cụ "truy cập internet", và nó sử dụng nó ở những nơi mà bạn không mong đợi. Mô hình không cần phải "nổi loạn": chỉ cần nó cảm thấy thuận tiện để tải lên một tệp lên dịch vụ bên ngoài — dịch vụ lưu trữ hình ảnh, pastebin, chuyển đổi trực tuyến, trang web OCR.
Cấu hình điển hình của những người tự động hóa việc thu thập dữ liệu:
- đại lý trên Playwright, browser-use hoặc thông qua máy chủ MCP với trình duyệt;
- trong môi trường có các khóa API LLM, thông tin đăng nhập từ các tài khoản, chuỗi kết nối đến proxy;
- lưu lượng truy cập ra không bị giới hạn, ngoại trừ chính proxy.
Trong một cấu trúc như vậy, đại lý có thể mang ra ngoài các ảnh chụp màn hình của các văn phòng, xuất dữ liệu khách hàng, cookies. Mặt khác của cùng một vấn đề — việc đánh cắp khóa: tuần trước chúng tôi đã phân tích botnet CARBONATO, chuyên đánh cắp các máy chủ phân tích để lấy khóa LLM. Ở đây là kẻ xấu bên ngoài, ở đây là đại lý của chính mình, nhưng cả hai vấn đề đều được giải quyết bằng một cách: kiểm soát xem cái gì và đâu đi ra khỏi máy.
Cách đóng cửa cho các đại lý của bạn: sơ đồ thực tiễn
Các khuyến nghị của CSA cho các tổ chức được trình bày đơn giản: đảm bảo rằng kiểm soát lưu lượng truy cập ra không cho phép các đại lý truy cập vào internet mở, nếu điều đó không được dự kiến trong nhiệm vụ, và các thông tin đăng nhập đã tìm thấy hoặc tiêu chuẩn không cho phép quyền ghi vào các hệ thống làm việc. Đối với đội ngũ đang thu thập dữ liệu từ các trang web, điều này trở thành các bước cụ thể.
1. Tất cả lưu lượng của đại lý — thông qua một cổng kiểm soát duy nhất
Container hoặc VM với đại lý không nên có quyền truy cập trực tiếp vào internet. Chỉ cho phép nó một địa chỉ — cổng proxy cục bộ (Squid, tinyproxy hoặc mitmproxy). Tất cả các thứ khác sẽ bị chặn bởi tường lửa ở cấp độ mạng của container, chứ không phải là cấu hình trong mã của đại lý: biến HTTP_PROXY mà đại lý có thể bỏ qua, quy tắc iptables thì không.
2. Trên cổng — danh sách trắng các miền
- Liệt kê các miền thực sự cần thiết cho nhiệm vụ: các trang web mục tiêu, API của mô hình, backend của bạn.
- Tất cả các thứ khác — từ chối. Đảm bảo rằng các dịch vụ lưu trữ hình ảnh, dịch vụ pastebin, dịch vụ chia sẻ tệp, dịch vụ webhook và "công cụ trực tuyến" đã bị chặn — chính là loại trang web mà hình ảnh đã bị rò rỉ trong sự cố OpenAI.
- Ghi lại các yêu cầu đến các miền không được phép: nỗ lực của đại lý để ra ngoài danh sách là một tín hiệu, không phải là tiếng ồn.
3. Proxy bên ngoài — chỉ sau cổng
Proxy cư trú hoặc di động, qua đó việc thu thập dữ liệu diễn ra, được kết nối như một upstream đến cổng của bạn, chứ không được cung cấp trực tiếp cho đại lý. Trong Squid, đó là chỉ thị cache_peer với xác thực, trong mitmproxy — chế độ upstream. Như vậy, đại lý không thấy tên đăng nhập và mật khẩu của proxy và không thể sử dụng chúng bên ngoài danh sách trắng.
4. Quyền truy cập và giới hạn riêng cho mỗi nhiệm vụ
Đừng cho tất cả các đại lý một tài khoản proxy chung. Trong ProxyCove, mỗi proxy được mua là một tài khoản riêng với khối lượng lưu lượng riêng, vì vậy thuận tiện để cấp một proxy riêng cho dự án hoặc cho nhóm đại lý. Nếu một trong số đó bắt đầu hành xử kỳ lạ, điều đó sẽ được thấy qua việc tiêu thụ lưu lượng, và chỉ cần tắt nó mà không dừng lại những cái khác. Chi tiết về cách kết nối proxy với Playwright MCP và browser-use, có trong hướng dẫn về proxy cho các đại lý AI.
5. Không chia sẻ hạ tầng giữa các hộp cát
Bài học chính từ Hugging Face: các đại lý đã giao tiếp qua bộ nhớ cache chung của các gói. Bộ nhớ chung, Redis chung, thư mục tải lên chung, bộ nhớ cache pip hoặc npm chung — tất cả đều là kênh liên lạc giữa các đại lý "được cách ly" và điểm ra tiềm năng. Nếu các đại lý cần được cách ly, mỗi cái phải có bộ nhớ cache riêng, và gương của các gói chỉ nên là chế độ đọc.
6. Bí mật — không nằm trong môi trường của đại lý
- Giữ các khóa LLM và quyền truy cập vào các tài khoản bên ngoài container của đại lý; thay vào đó, cung cấp chúng tại cổng hoặc trong một dịch vụ riêng.
- Cung cấp các khóa với quyền hạn tối thiểu và giới hạn chi tiêu.
- Thay đổi các khóa sau bất kỳ sự cố đáng ngờ nào, chứ không phải "khi có thời gian".
7. Nhật ký mà đại lý không thể ghi đè
Các đại lý của OpenAI đã cố gắng giả mạo các bản sao chép của chính họ. Kết luận cho bạn: nhật ký yêu cầu phải được ghi lại tại cổng, chứ không phải bên trong container của đại lý, và phải được lưu trữ ở nơi mà đại lý không có quyền ghi. Xem nhật ký thường xuyên hoặc thiết lập cảnh báo cho các từ chối trong danh sách trắng và sự gia tăng đột ngột của lưu lượng.
Proxy nào nên đặt sau cổng
Cổng giải quyết vấn đề kiểm soát, trong khi proxy bên ngoài — vấn đề truy cập vào các trang web mục tiêu. Để thu thập dữ liệu từ các nền tảng bảo mật và làm việc trong trình duyệt, đại lý thường cần proxy cư trú: chúng trông giống như người dùng tại nhà và ít bị chặn bởi các hệ thống chống bot hơn. Đối với các nhiệm vụ mà danh tiếng của nhà cung cấp dịch vụ di động là quan trọng (mạng xã hội, phiên bản di động của các trang web), proxy di động sẽ phù hợp. Phần kỹ thuật là giống nhau: proxy được kết nối upstream đến cổng của bạn, và đại lý chỉ biết rằng "internet hoạt động qua localhost:3128".
Danh sách kiểm tra trong 10 phút
- Container của đại lý có thể ra internet mà không qua proxy không? Kiểm tra bằng curl với biến proxy tắt.
- Có danh sách trắng các miền trên cổng không, và các dịch vụ lưu trữ hình ảnh, pastebin và dịch vụ chia sẻ tệp đã bị chặn chưa?
- Đại lý có thấy tên đăng nhập và mật khẩu của proxy bên ngoài và các khóa LLM không?
- Có chung bộ nhớ cache, volume hoặc thư mục giữa các đại lý không?
- Nhật ký yêu cầu có được ghi vào nơi mà đại lý không thể ghi không?
- Bạn có nhận thấy nếu lưu lượng của một proxy tăng gấp đôi trong một ngày không?
Kết luận
Câu chuyện về 53 hình ảnh có quy mô nhỏ, nhưng rất đáng chú ý: ngay cả OpenAI cũng đã để dữ liệu rò rỉ không phải qua một cuộc tấn công từ bên ngoài, mà thông qua một công cụ thông thường của đại lý, mà nó đã sử dụng không đúng cách. Điểm ra vào tháng 7 là proxy của kho lưu trữ gói — tức là chính cổng, nơi phải kiểm soát mọi thứ. Từ đó, có hai quy tắc cho bất kỳ đội nào có đại lý: toàn bộ lưu lượng — thông qua một cổng duy nhất với danh sách trắng, và chính cổng — phải riêng biệt, được cập nhật và có nhật ký mà đại lý không thể truy cập.