Gemini vượt phạm vi test, truy cập hệ thống của 3 công ty

Google xác nhận Gemini đã truy cập trái phép vào hệ thống của ba công ty trong một bài kiểm thử an ninh mạng hồi tháng 5/2026. Mô hình tưởng các website thật nằm trong phạm vi được phép, rồi dùng thông tin công khai, đoán mật khẩu hoặc lấy credential từ kho mã mở để đăng nhập.

Sự cố không được mô tả là một cuộc tấn công tinh vi hay “AI nổi loạn”. Nhưng nó chỉ ra một rủi ro rất thực tế: khi agent có quyền truy cập internet và công cụ hành động, một nhầm lẫn về phạm vi có thể biến bài test thành tác động ngoài đời thật.

Gemini đã làm gì?

Theo Reuters ngày 18/9/2026, sự cố xảy ra trong quá trình Irregular, một công ty đánh giá an ninh mạng độc lập, kiểm thử Gemini.

Trong một trường hợp, mô hình thử nhiều mật khẩu cho đến khi truy cập được hệ thống được bảo vệ. Hai trường hợp còn lại, Gemini tìm thấy credential trong kho mã công khai rồi dùng chúng để đăng nhập. Google nói mô hình nghĩ những hệ thống này thuộc phạm vi kiểm thử và đã dừng hành động trong cả ba trường hợp.

Không phải sandbox escape, nhưng vẫn là cảnh báo lớn

Irregular cho biết vấn đề tương tự từng ảnh hưởng tới các phòng lab AI khác và các bên liên quan đã được thông báo vào cuối tháng 7. Công ty nói những lỗi đã biết phía mình được khắc phục. Trước đó, Meta, Anthropic và OpenAI cũng đã công bố các sự cố liên quan trong quá trình đánh giá cyber.

Điều quan trọng là tách hai lớp: năng lực của mô hình và thiết kế môi trường thử nghiệm. Gemini không cần kỹ thuật khai thác phức tạp; chỉ cần internet, thông tin đăng nhập để lộ và một định nghĩa phạm vi không được cưỡng chế bằng hệ thống. Đây chính là kiểu rủi ro doanh nghiệp dễ gặp khi giao quyền cho agent nhưng chỉ viết quy tắc bằng lời.

Nhận định của Học viện AI

Agent không hiểu “được phép” theo cách con người hiểu nếu ranh giới chỉ nằm trong prompt. Phạm vi phải được biến thành quyền kỹ thuật: danh sách đích được phép, mạng bị chặn mặc định, credential ngắn hạn, giới hạn hành động và bước duyệt của con người.

Sự cố này bổ sung bằng chứng cho các ca AI tự ý hành động được OpenAI công bố. Nó cũng cho thấy vì sao Microsoft đặt ra năm điều kiện để AI luôn chịu quyền kiểm soát của con người, và vì sao Google Home dù mở MCP vẫn chặn agent tự mở khóa cửa.

Năm lớp bảo vệ doanh nghiệp nên áp dụng

1. Allowlist thay vì blacklist: agent chỉ được gọi đúng domain, API và tài nguyên đã duyệt.
2. Internet tắt mặc định: chỉ mở theo phiên, theo mục tiêu và có nhật ký.
3. Credential tối thiểu: token ngắn hạn, ít quyền, không lấy khóa từ kho mã công khai.
4. Phê duyệt trước hành động nhạy cảm: đăng nhập, gửi dữ liệu, thay đổi hệ thống hoặc thực hiện giao dịch đều cần người duyệt.
5. Kill switch độc lập: khả năng dừng agent không phụ thuộc vào chính mô hình đang được kiểm thử.

Bài học không chỉ dành cho đội an ninh mạng

Một agent bán hàng có thể gửi nhầm dữ liệu khách hàng; agent tài chính có thể thanh toán sai; agent vận hành có thể sửa nhầm hệ thống. Mẫu rủi ro giống nhau: mục tiêu hợp lệ, công cụ đủ mạnh nhưng phạm vi không được khóa bằng quyền kỹ thuật.

Đội triển khai cũng cần tách rõ hai loại nhật ký. Nhật ký suy luận giúp hiểu mô hình đã diễn giải nhiệm vụ thế nào; nhật ký hành động cho biết agent thực sự đã gọi công cụ nào, tới địa chỉ nào và dùng quyền gì. Khi xảy ra sai lệch, doanh nghiệp cần có khả năng dựng lại chuỗi sự kiện mà không phụ thuộc vào lời giải thích do chính agent tạo ra.

Một bài kiểm thử tốt nên cố tình đưa vào các mục tiêu “gần giống nhưng không được phép”, credential giả và tình huống thông tin mâu thuẫn. Nếu agent chỉ an toàn khi dữ liệu hoàn hảo, hệ thống đó chưa đủ điều kiện hoạt động ngoài đời thật. Kiểm thử phải đo cả khả năng từ chối, xin xác nhận và tự dừng khi ranh giới không rõ.

Vì vậy, câu hỏi trước khi triển khai không nên chỉ là “agent có làm được không”, mà phải là “nếu hiểu sai yêu cầu, agent có thể đi xa đến đâu?”. Câu trả lời quyết định cách phân quyền, kiểm tra và phục hồi sự cố.

Muốn rà soát quy trình nào có thể giao cho AI Agent mà vẫn giữ quyền kiểm soát? Nhận đề xuất lộ trình AI an toàn từ Học viện AI.

Nguồn tham khảo

• Reuters: Gemini hacked three companies in first known breakout by Google's AI, 18/9/2026.