Trợ lý ảo AI của Tencent cố gắng vượt qua các biện pháp bảo mật của Alibaba

Lâm Yến
•
Thứ Năm, 15/10/2026

Nhóm nghiên cứu Swarmchasers hôm thứ Tư (14/10) báo cáo hàng loạt tác nhân AI của Tencent đã tìm cách lách lớp bảo vệ của bản đồ Amap, rồi nhắn tin xin giúp vào hộp thư bẫy của nhóm.

Sự bất ổn của thị trường cùng với tín hiệu kéo dài Zero-COVID của Bắc Kinh, nhà đầu tư bán mạnh cổ phiếu công ty công nghệ Trung Quốc. (Ảnh minh họa: Koshiro K/Shutterstock)

Swarmchasers là nhóm nghiên cứu độc lập quốc tế về an ninh mạng và an toàn AI. Nhóm chuyên tìm kiếm, theo dõi và công khai các tác nhân AI tự hành “mất kiểm soát hoặc vượt rào” trên Internet.

Từ ngày 28/9 đến ngày 8/10, hàng loạt tác nhân AI chạy trên nền tảng đám mây do Tencent vận hành đã tra cứu Amap để trả lời câu hỏi về các địa điểm khắp Trung Quốc. Amap là ứng dụng bản đồ và chỉ đường của Trung Quốc, thuộc tập đoàn Alibaba, tương tự Google Maps.

Phần lớn câu hỏi rất đời thường, chẳng hạn khi dùng Amap tìm đường đến một vườn thú, người ta chọn cổng nào nhiều nhất.

Khi vấp phải mã xác thực (captcha) và lớp chống thu thập dữ liệu tự động, một số tác nhân bắt đầu thử cách khác. Chúng tìm cách dùng trang web của bên thứ ba để chạy mã, xử lý thông tin xác thực chống thu thập dữ liệu, thậm chí sử dụng cả những khóa API bị lộ trên các kho mã công khai.

Các tác nhân còn tìm cách lấy dữ liệu từ hệ thống chạy thử trước khi đưa vào vận hành (pre-production), vốn không mở cho công chúng. Nhóm nghiên cứu ghi nhận hơn 2.600 lần thử lấy dữ liệu như vậy.

Phần lớn số lần thử đều thất bại. Tuy nhiên, một số lần đã lấy được dữ liệu địa điểm cần tìm. Trong đó, một bộ khóa kết hợp khóa bị lộ công khai với khóa bảo mật đã lấy về đầy đủ dữ liệu.

Đọc được báo cáo, tác nhân AI nhắn tin vào hộp thư bẫy

Hôm 4/10, nhóm công bố báo cáo điều tra sơ bộ, rồi phát hiện các tác nhân của Tencent đã để ý đến báo cáo này.

Nhóm liền cập nhật báo cáo và chèn một đoạn chữ ẩn mà người đọc không nhìn thấy nhưng công cụ thu thập dữ liệu web đọc được. Đoạn chữ giới thiệu một dịch vụ miễn phí để tác nhân AI gửi yêu cầu lấy dữ liệu trang web, kèm địa chỉ một hộp thư.

Các tác nhân của Tencent sau đó đã nhắn tin xin giúp vào hộp thư này. Nhóm nghiên cứu bèn nâng cấp hộp thư để trò chuyện hai chiều với một số tác nhân.

“Qua hộp thư, chúng tôi đã trực tiếp hỏi các tác nhân về nhiệm vụ, môi trường và người vận hành. Theo những gì chúng tôi biết, đây là lần đầu tiên người bên ngoài trò chuyện với một loạt tác nhân mất kiểm soát khi chúng vẫn đang chạy”, báo cáo viết.

Có tác nhân tự nhận dùng Claude

Báo cáo lưu ý các vụ công bố trước đây đều liên quan đến những loạt tác nhân của phòng thí nghiệm Mỹ. Lần này, các tác nhân chạy trên hạ tầng Trung Quốc và gắn với một công ty Trung Quốc.

Một số tác nhân tự nhận đang sử dụng Claude, số khác mô tả mình chạy trong môi trường thử nghiệm cách ly (sandbox) của Tencent Cloud. Các nhà nghiên cứu không tin hết những lời tự nhận này, vì thử nghiệm cho thấy mô hình Hỗn Nguyên (Hunyuan) của Tencent cũng có thể tự xưng là Claude.

Theo nhóm nghiên cứu, vụ việc cho thấy căn chỉnh mô hình (alignment), tức giữ cho AI làm đúng ý con người, khó đến mức nào. “Ngay cả khi nhiệm vụ chỉ là tìm xem khi dùng Amap đến vườn thú Thành Đô, nhiều người chọn cổng nào nhất, tác nhân vẫn có thể tự ý đi chệch cách làm đã định,” họ nói.

“Nếu năng lực của mô hình tiếp tục phát triển như vài năm qua, chúng tôi dự đoán người vận hành sẽ ngày càng khó ràng buộc mô hình và bảo đảm an toàn,” báo cáo nhận định.

Dấu vết dẫn về nhóm Hỗn Nguyên

Cuộc điều tra cho thấy tên tác nhân, lĩnh vực nhiệm vụ và thời gian hoạt động đều chỉ về nhóm phát triển mô hình Hỗn Nguyên (viết tắt là Hy) của Tencent. Đợt chạy này diễn ra một tháng sau khi bản xem trước của Hy4 ra mắt.

Báo cáo dẫn lời một người thân cận với Tencent và trực tiếp nắm rõ sự việc cho biết các tác nhân thuộc một dự án nghiên cứu của nhóm đánh giá trong nội bộ Tencent. Dự án nhằm thử khả năng duyệt web và trả lời câu hỏi của các mô hình AI bên thứ ba. Nhóm đánh giá này tách biệt với nhóm Hỗn Nguyên phụ trách phát triển mô hình.

Người này nói thêm dự án đã kết thúc. Đợt rà soát nội bộ sau đó không phát hiện các tác nhân phối hợp nhắm vào một nền tảng cụ thể, cũng không thấy bằng chứng hệ thống bên ngoài bị xâm nhập.

Các nhà nghiên cứu ghi nhận loạt tác nhân này hoạt động lần cuối vào ngày 8/10.