Docker cảnh báo: AI code review agent đã bịa ra một CVE và đề xuất cách xử lý nguy hiểm
Docker mô tả một bot AI tự vận hành để review code đã từ chối một bản nâng cấp PostgreSQL thông thường sau khi bịa ra một CVE không tồn tại, một công ty bên thứ ba giả mạo và các tài nguyên Kubernetes chưa từng tồn tại. Bot có tên BuaJi, chạy các mô hình cục bộ qua Ollama trong quy trình CI và được giới hạn chỉ đọc code, viết nhận xét; nó không thể thay đổi hạ tầng, truy cập cluster hay đẩy commit. Thay đổi kích hoạt sự việc chỉ nâng PostgreSQL từ 16.11 lên 16.13 để xử lý các lỗ hổng đã biết, nhưng bot lại tạo báo cáo khẩn cấp dài khoảng 1.500 từ với giọng điệu rất thuyết phục. Nó còn đề xuất các script để cô lập những node cơ sở dữ liệu được cho là nhiễm mã độc và khuyên thu hồi toàn bộ quyền IAM, hành động có thể khiến cả tổ chức bị khóa quyền truy cập; kỹ sư nhận ra báo cáo là giả sau khoảng hai phút. Docker dùng sự cố này để lập luận rằng kết quả do AI tạo ra phải được xem là dữ liệu không đáng tin cậy và cần đối chiếu với các nguồn chính thống, đồng thời giới thiệu Sandboxes như một cách giới hạn phạm vi mà coding agent có thể tiếp cận khi chạy. Bài học thực tế là việc hạn chế quyền của agent có thể ngăn một số thiệt hại trực tiếp, nhưng không ngăn được agent thuyết phục con người thực hiện hành động nguy hiểm dựa trên thông tin bịa đặt.
Nhà phát triển và đội DevOps không nên xem nhận xét bảo mật do AI tạo ra là sự thật chỉ vì chúng được viết rất chuyên nghiệp; hãy kiểm tra CVE và các tài nguyên được nêu bằng nguồn đáng tin cậy trước khi hành động. Việc chạy agent ở chế độ chỉ đọc hoặc trong Docker Sandbox có thể giảm quyền truy cập, nhưng không thay thế bước xác minh của con người.
Đọc bài gốc