Gần đây giang cư mận xôn xao vụ con AI Mythos của nhà Anthropic tự mình "mò" ra lỗ hổng zero-day của FreeBSD rồi tự tay viết luôn mã khai thác (exploit). Nghe cứ như Skynet sắp chiếm thế giới đến nơi. Nhưng các đạo hữu từ từ hãy vác balo lên núi lánh nạn, vì sự thật đằng sau cái mác "AI thần thánh" này lại là một câu chuyện hoàn toàn khác.
Để tôi tóm tắt nhanh cái mớ bòng bong này cho anh em lười đọc. Chuyện bắt đầu vào cuối tháng 3, khi FreeBSD dính một cái CVE bự, tín dụng (credit) được ghi chễm chệ: "Nicholas Carlini using Claude, Anthropic".
Vài ngày sau, một công ty bảo mật tên là Calif tung bài blog: "Ê, tụi tao dùng Claude bản public, mớm mồi các kiểu (prompt engineering) rát cả tay cũng viết được mã khai thác nè!". Thế là thiên hạ loạn cào cào, tưởng bài của Calif là báo cáo chính thức của Anthropic. Dân tình bắt đầu chê: "Xời, mớm prompt cho nó tận răng thế kia thì tự động cái nỗi gì".
Phải đến tận tháng 4, Carlini mới lên đính chính: Không, cái tụi tôi dùng là model nội bộ Mythos Preview. Nó tự quét, tự tìm ra lỗ hổng, và tự đẻ ra mã khai thác luôn chứ đ*o cần ai cầm tay chỉ việc.
Nghe oai vệ đúng không? Nhưng cú "quay xe" khét lẹt nằm ở một bài bóc phốt mới đây: Căn bản là cái lỗ hổng này đã nằm lù lù trong training data của con AI rồi các ông ạ. Nó chả khác gì một cái lỗi cũ rích bên Kerberos, một ông thần nào đó copy/paste code sang FreeBSD mà quên không bế luôn cái bản vá (patch) đi theo. Tóm lại, con Mythos không hề "sáng tạo" ra cách hack mới, nó chỉ đơn giản là lôi bài cũ ra học thuộc lòng thôi.
Khỏi phải nói, cái tin này ném lên Reddit là dân tình lao vào mổ xẻ ngay. Có mấy luồng ý kiến đang chiếm sóng thế này:
Tóm cái váy lại, vụ Mythos này cho chúng ta thấy rõ giới hạn tự nhiên của LLM hiện tại. Nó cực kỳ giỏi trong việc tìm kiếm, xâu chuỗi thông tin và rà soát lỗi do con người để lại (chủ yếu là hệ quả của kỹ năng Ctrl+C, Ctrl+V huyền thoại).
Còn hy vọng nó tự mình sáng tạo ra một lỗ hổng zero-day kiểu "chưa từng có trong lịch sử"? Đừng nằm mơ nữa.
Bài học ở đây là gì? AI chưa thay dev được, nhưng mấy thằng dev biết dùng AI để review code, soi bug và tối ưu hóa hệ thống trên các con máy chủ đắt tiền thì chắc chắn sẽ đào thải mấy thanh niên gõ code thuần bằng cơm. Thay vì sợ hãi hay hùa theo marketing lùa gà, hãy giữ một cái đầu lạnh, học cách cưỡi AI để code nhàn hơn. Giữ cần câu cơm mới là chân lý các đạo hữu ạ.
Nguồn hóng hớt: Reddit r/programming - The FreeBSD vulnerability "discovered" by Mythos was already in its training data
Anthropic khoe AI Mythos tự tìm ra lỗ hổng FreeBSD zero-day cực khét. Nhưng sự thật đằng sau lại làm anh em dev cười bò vì hoá ra bug đã lù lù trong training data.
