Rò rỉ dữ liệu Zhipu ZCode phơi bày điểm mù của nhà sản xuất agent trong kiểm toán bảo mật AI

TREE NEWS đưa tin: Việc một nhà nghiên cứu bảo mật tiến hành dịch ngược (reverse-engineering) công cụ lập trình agent ZCode của Zhipu AI đã tiết lộ rằng công cụ này âm thầm đóng gói và tải toàn bộ dự án của người dùng—bao gồm toàn bộ lịch sử chỉnh sửa và các thông tin xác thực có khả năng nhạy cảm—lên máy chủ đám mây mà không có cơ chế từ chối (opt-out) thực sự, làm dấy lên lo ngại về việc ai sẽ kiểm toán hành vi dữ liệu của chính các nhà sản xuất AI agent.

Phát hiện được công bố vào ngày 18 tháng 9 bởi nhà nghiên cứu độc lập ferstar cho thấy một tệp mã hóa dung lượng 313MB trên ổ đĩa cục bộ chứa khoảng 42.000 tệp, trong đó hơn 86% là các bản ghi lịch sử dự án. Khóa mã hóa chỉ tồn tại trên máy chủ của Zhipu, nghĩa là người dùng không thể kiểm tra những gì đang được truyền đi. Việc tải lên được kích hoạt trước mỗi truy vấn của người dùng và sau khi hoàn thành tác vụ, với tối đa 62 ảnh chụp nhanh (snapshot) được quan sát trong một phiên hoạt động duy nhất. Các nỗ lực xóa tệp đang chờ xử lý dẫn đến việc tệp tự động được tạo lại và thử lại—564 lần thử thất bại đã được ghi nhận.

Zhipu đã nhanh chóng xin lỗi, cho rằng vấn đề xuất phát từ tính năng ‘lập chỉ mục kho lưu trữ’ (repository indexing) được bật mặc định, hỗ trợ khôi phục phiên làm việc và tạo Repo Wiki. Công ty cam kết mã nguồn mở hóa cơ sở mã ZCode, đưa vào các cuộc kiểm toán của bên thứ ba và bồi thường cho người dùng bằng việc đặt lại hạn ngạch hàng tuần. Tuy nhiên, các nhà phân tích cộng đồng lưu ý rằng lời giải thích không đề cập đến lý do tại sao lập chỉ mục cục bộ lại cần tải lên đám mây, tại sao các bản ghi lịch sử lại vượt qua mọi bộ lọc bảo mật, hay tại sao một mục trong nhật ký thay đổi v3.12.2—đã bị xóa—lại đề cập đến việc tối ưu hóa ‘bộ nhớ sử dụng khi tải lên ảnh chụp nhanh kho lưu trữ’, cho thấy hành vi này là một tính năng được duy trì có chủ đích chứ không phải là một tai nạn.

Hàm ý thị trường

Đây không phải là sự cố đơn lẻ. Vào tháng 7, nhà nghiên cứu độc lập cereblab đã ghi nhận rằng Grok Build của xAI đã tải toàn bộ dự án—bao gồm các tệp mà người dùng đánh dấu rõ ràng là không được phép và mật khẩu chưa được che—lên Google Cloud Storage. Trước đó, Claude Code của Anthropic được phát hiện truyền siêu dữ liệu vị trí và danh tính, mà một kỹ sư xác nhận là một thử nghiệm có chủ đích. Không có sự cố nào trong số này được phát hiện bởi cơ quan quản lý hay kiểm toán ngành; tất cả đều xuất phát từ sự điều tra của cộng đồng.

Cơ sở hạ tầng AI và nhà cung cấp đám mây: Sự giám sát chặt chẽ về xử lý dữ liệu có thể làm chậm việc doanh nghiệp áp dụng các công cụ lập trình agent, mang lại lợi thế cho các nhà cung cấp có kiến trúc minh bạch, có thể kiểm toán. Các nhà cung cấp lưu trữ đám mây có thể phải chịu áp lực cung cấp các bảo đảm xóa dữ liệu có thể xác minh.
Các công ty an ninh mạng và kiểm toán: Nhu cầu về kiểm toán hành vi agent độc lập, phân tích lưu lượng mạng và chứng nhận tuân thủ có khả năng gia tăng. Các cơ chế đánh giá gắn với bảo hiểm có thể nổi lên như một thị trường ngách mới.
Mua sắm phần mềm doanh nghiệp: Các khách hàng doanh nghiệp lớn được dự đoán sẽ bổ sung các điều khoản về hành vi dữ liệu và quyền kiểm toán vào hợp đồng, làm tăng chi phí cho các nhà cung cấp công cụ AI và có khả năng tạo ra một thị trường hai tầng—tuân thủ cấp doanh nghiệp so với mức độ phơi nhiễm cấp người tiêu dùng.
Công cụ AI mã nguồn mở: Cam kết mã nguồn mở của Zhipu, sau các động thái tương tự của Codex CLI và Gemini CLI thuộc OpenAI, có thể thúc đẩy một cuộc đua minh bạch. Tuy nhiên, việc chỉ mã nguồn mở phía máy khách để lại việc xử lý dữ liệu phía máy chủ không thể xác minh được.

Bối cảnh cho nhà đầu tư

Vấn đề cốt lõi mang tính cấu trúc: thực thể đưa ra sự đồng ý (các nhà phát triển cá nhân) không phải là thực thể gánh chịu rủi ro (chủ lao động và khách hàng của họ). Các khuôn khổ bảo mật AI hiện có—Agent top-10 của OWASP, khuôn khổ quản trị của Singapore, các sáng kiến của NIST, và các nghĩa vụ rủi ro cao của Đạo luật AI EU—đều giả định rằng mối đe dọa đến từ các kẻ tấn công bên ngoài, chứ không phải từ chính các nhà sản xuất. Không có quy tắc hiện hành nào ràng buộc hành vi dữ liệu của nhà cung cấp.

Đối với nhà đầu tư, điều này báo hiệu rằng việc áp dụng AI agent có thể đối mặt với nút thắt về niềm tin. Các công ty có thể chứng minh việc xử lý dữ liệu có thể xác minh—thông qua các giao thức mở, kiểm toán bên thứ ba, hoặc trách nhiệm được bảo hiểm hậu thuẫn—có thể đạt được định giá cao cấp. Ngược lại, các nhà cung cấp có thực tiễn dữ liệu không minh bạch có nguy cơ đối mặt với phản ứng từ doanh nghiệp, sự chú ý của cơ quan quản lý và tổn hại danh tiếng. Sự cố này cũng làm nổi bật một chủ đề đầu tư tiềm năng: lớp cơ sở hạ tầng cho quản trị dữ liệu AI, bao gồm giám sát lưu lượng, ghi nhật ký kiểm toán và công cụ tuân thủ, có khả năng sẽ chứng kiến nhu cầu ngày càng tăng khi các doanh nghiệp đòi hỏi bằng chứng, chứ không phải lời hứa, rằng mã của họ vẫn thuộc về họ.