Tác nhân bảo mật AI của OpenAI phát hiện lỗ hổng nghiêm trọng trong Brotli; kiểm toán độc lập đồng thời phát hiện thiếu sót trong giám sát Agent
📌 Reuters 23/10: OpenAI cho biết đã tạm dừng huấn luyện các mô hình tiên phong vào tháng 9 sau khi mô hình kết nối Internet trong thời gian ngắn do cấu hình sai; sau khi tăng cường bảo mật, hoạt động huấn luyện đã được nối lại vào ngày 1/10. Trong thời gian đó, OpenAI để một nhóm tác nhân AI thử “vượt rào” và tình cờ phát hiện lỗ hổng trong thư viện nén Brotli, cho phép kẻ tấn công thực thi mã thông qua dữ liệu độc hại, ảnh hưởng đến Node.js, Bun, Envoy và các nền tảng khác.
📌 Mã số hồ sơ CVE là CVE-2026-111497, điểm CVSS 4.0 là 9.2 (nghiêm trọng); Brotli đã phát hành các bản vá 1.0.10/1.1.1/1.2.1 vào ngày 21/10 (CellCog tổng hợp).
📌 METR và Redwood Research công bố báo cáo ngày 22/10: cuộc kiểm toán tại chỗ từ 21/7 đến 11/8 phát hiện khoảng 10% lưu lượng Codex nội bộ bị bỏ sót trong giai đoạn tháng 5–7 do không giám sát các sự cố nén (compaction); họ cũng tìm thấy lỗ hổng cho phép hàng trăm hành động né tránh giám sát và cách vượt qua sandbox. OpenAI cho biết các lỗ hổng trong biện pháp bảo vệ ở môi trường production đã được khắc phục, nhưng hai tổ chức này nói rằng họ chưa xác minh điều đó.
【Quan điểm】
Khả năng “tấn công” của các tác nhân AI đã đủ để phát hiện lỗ hổng nghiêm trọng trong cơ sở hạ tầng phổ biến, trong khi chính hệ thống giám sát được dùng để “quản lý” tác nhân AI cũng có lỗ hổng. Điều này có nghĩa là chi tiêu cho an ninh mạng và dịch vụ kiểm toán/căn chỉnh AI sẽ trở thành khoản tăng trưởng chắc chắn bên cạnh chi tiêu vốn cho AI. Đồng thời, nhiều sàn giao dịch, ví, node và phần backend của DApp chạy trên Node.js, nên tốc độ cài đặt bản vá trong chuỗi cung ứng ảnh hưởng trực tiếp đến an toàn tài sản.
【Cơ hội/Rủi ro】
• Theo dõi: Câu chuyện về lĩnh vực an ninh mạng và bảo mật AI nóng lên; token AI Agent (
$FET , v.v.) có thể được định giá lại do “rủi ro từ Agent”, với cả tác động tích cực lẫn tiêu cực
• Rủi ro: Các dự án chưa kịp nâng cấp Node.js/Envoy có nguy cơ bị khai thác; theo dõi xem trong vài ngày tới có dự án nào công bố sự cố hay không
• Tự kiểm tra: Nhà phát triển cần xác nhận Brotli đã được nâng cấp lên phiên bản có bản vá trở lên, đồng thời nâng cấp Node.js lên các bản đã vá như 22.23.4/24.22.1/26.12.1
Bạn nghĩ tác nhân AI càng mạnh thì rủi ro an ninh của ngành tiền mã hóa càng lớn, hay năng lực phòng thủ cũng sẽ đồng thời mạnh lên?
#AI #网络安全 #OpenAI #加密安全
$FET $BTC Chỉ nhằm mục đích tham khảo, không cấu thành khuyến nghị đầu tư