Anthropic ra mắt tính năng chia sẻ công khai và chỉnh sửa nhóm cho Claude: Một phân tích bảo mật từ góc nhìn kiểm toán viên blockchain

Đội ngũ Anthropic nói 'tính năng chia sẻ công khai và chỉnh sửa nhóm giúp Claude trở thành công cụ cộng tác AI mạnh mẽ nhất' – tôi chỉ cần 20 phút để chứng minh ngược lại. Bối cảnh: Anthropic, công ty AI nổi tiếng với mô hình Claude, vừa công bố hai tính năng mới: chia sẻ công khai các cuộc hội thoại và chỉnh sửa nhóm trong không gian làm việc. Theo thông cáo báo chí, những cải tiến này nhằm “thúc đẩy sự hợp tác trong doanh nghiệp và mở rộng khả năng tiếp cận AI”. Tuy nhiên, với tư cách là một chuyên gia kiểm toán bảo mật blockchain đã từng phát hiện hàng loạt lỗ hổng trong các dự án DeFi và NFT, tôi thấy một câu chuyện khác đang ẩn sau những dòng quảng cáo hào nhoáng. Tính năng chia sẻ công khai cho phép người dùng tạo một liên kết đến cuộc trò chuyện với Claude, bất kỳ ai có liên kết đều có thể xem nội dung. Tính năng chỉnh sửa nhóm cho phép nhiều người dùng cùng làm việc trên một cuộc hội thoại hoặc tài liệu do Claude tạo ra. Nghe có vẻ tiện lợi, nhưng có một vấn đề: không có xác thực chi tiết, không có kiểm soát phiên bản, và không có cơ chế thu hồi thực sự. Hãy tưởng tượng một liên kết chia sẻ công khai chứa thông tin nhạy cảm – mật khẩu, chiến lược kinh doanh, hoặc mã nguồn dự án blockchain. Liên kết đó có thể bị lập chỉ mục bởi Google, bị rò rỉ qua các diễn đàn, và không thể thu hồi sau khi đã phát tán. Đội ngũ Anthropic nói rằng họ cung cấp tùy chọn đặt mật khẩu hoặc thời gian hết hạn? Tôi chưa thấy bằng chứng nào trong tài liệu chính thức. Đây giống như một backdoor mở cho các cuộc tấn công kỹ thuật xã hội, nơi kẻ xấu có thể khai thác liên kết để đánh cắp thông tin hoặc thậm chí thực hiện các cuộc tấn công prompt injection qua URL. Kinh nghiệm kiểm toán năm 2017 đã dạy tôi rằng khi một dự án hứa hẹn tính năng “dễ dàng chia sẻ” mà không đi kèm kiểm soát truy cập nghiêm ngặt, đó thường là dấu hiệu của sự cẩu thả trong bảo mật. Trong vụ ICO FileCoinX tôi phát hiện, đội ngũ đã để một backdoor trong hợp đồng thông minh cho phép rút toàn bộ quỹ. Tính năng chia sẻ công khai của Anthropic có thể không phải backdoor cố ý, nhưng hậu quả tương tự: bất kỳ ai cũng có thể truy cập nội dung nhạy cảm mà không cần xác thực. Phân tích chi tiết: Cách hoạt động của tính năng chia sẻ công khai rất đơn giản – một URL duy nhất được tạo ra và lưu trữ trên máy chủ Anthropic. Không có mã hóa đầu cuối, không có kiểm tra danh tính người xem. Nếu liên kết bị rò rỉ, bất kỳ ai cũng có thể xem toàn bộ lịch sử hội thoại, bao gồm các prompt riêng tư và phản hồi của Claude. Trong môi trường doanh nghiệp, một nhân viên có thể vô tình chia sẻ liên kết chứa mã nguồn phần mềm hoặc hợp đồng pháp lý. Với tính năng chỉnh sửa nhóm, rủi ro còn lớn hơn: nhiều người có quyền chỉnh sửa nội dung, nhưng không có nhật ký kiểm tra (audit log) cho thấy ai đã thay đổi gì. Điều này vi phạm nguyên tắc cơ bản của bảo mật thông tin – “không thể phủ nhận” (non-repudiation). Nếu một ai đó chèn prompt độc hại vào cuộc hội thoại, rất khó để xác định thủ phạm. Tôi nhớ lại năm 2020, khi kiểm toán hợp đồng Yield Farming YAMv2, tôi phát hiện lỗi reentrancy trong hàm harvest(). Lỗi đó cho phép kẻ tấn công rút gấp đôi phần thưởng. Tính năng chỉnh sửa nhóm của Anthropic có nguy cơ tương tự: nếu không có cơ chế khóa biên tập (locking) và kiểm soát xung đột, hai người dùng có thể chỉnh sửa cùng một phần nội dung, dẫn đến trạng thái không nhất quán. Và nếu một kẻ tấn công chiếm được tài khoản có quyền chỉnh sửa, hắn có thể chèn backdoor vào mã do Claude tạo ra (trong trường hợp sử dụng Claude để lập trình). Đây là điểm mà tôi thấy sự tương đồng với các lỗ hổng trong NFT marketplace mà tôi đã va chạm năm 2021. Khi kiểm toán một sàn NFT fork của OpenSea, tôi phát hiện lỗi signature replay: một chữ ký của người dùng có thể được dùng lại nhiều lần để đánh cắp NFT. Tính năng chỉnh sửa nhóm của Anthropic có thể bị tấn công tương tự nếu không có cơ chế nonce hoặc timestamp cho mỗi lần chỉnh sửa. Nếu một phiên bản chỉnh sửa cũ được replay, nó có thể ghi đè lên các thay đổi hợp lệ, gây ra hỗn loạn. Ngược lại với những gì đội ngũ Anthropic tuyên bố, tôi cho rằng đây không phải là bước tiến về cộng tác mà là bước lùi về bảo mật. Các doanh nghiệp đang tìm kiếm các giải pháp AI an toàn, nhưng việc triển khai tính năng chia sẻ công khai mà không có kiểm soát truy cập chi tiết là một rủi ro không thể chấp nhận. Trong thị trường blockchain, nơi các smart contract thường được audit kỹ lưỡng, một tính năng như thế này sẽ bị đánh giá là “nguy cơ cao”. Từ góc nhìn của một người đã sống qua bear market 2022, tôi biết rằng các dự án sống sót là những dự án coi trọng bảo mật. Khi tôi từ chối làm audit cho các memecoin vì mã nguồn ẩn danh, tôi đã bị đồng nghiệp chê là “quá khắt khe”. Nhưng sau đó, hầu hết các dự án đó đều sụp đổ vì lỗ hổng bảo mật. Anthropic, nếu không thận trọng, có thể lặp lại sai lầm tương tự. Góc nhìn phản trực giác (Contrarian): Một số người cho rằng tính năng chia sẻ công khai giúp phổ biến kiến thức và tạo cộng đồng. Họ nói rằng đây là bước đi đúng hướng để cạnh tranh với ChatGPT. Nhưng thực tế phũ phàng là: không có bảo mật thì mọi lợi ích cộng tác đều vô nghĩa. Một liên kết bị rò rỉ có thể làm lộ bí mật thương mại, dẫn đến kiện tụng và mất uy tín. Trong lĩnh vực blockchain, việc lộ private key hoặc seed phrase qua AI chat là thảm họa. Takeaway: Khi bạn sử dụng tính năng chia sẻ công khai của Claude, hãy tự hỏi: bạn có sẵn sàng để toàn bộ cuộc trò chuyện này xuất hiện trên trang nhất của báo không? Nếu câu trả lời là không, hãy đợi Anthropic bổ sung kiểm soát truy cập chi tiết, hoặc tìm giải pháp thay thế. Còn với các nhà phát triển dApp, đừng vội tích hợp Claude vào sản phẩm của bạn trước khi có audit độc lập. Tôi chỉ mất 20 phút để phát hiện ra những rủi ro này; hãy tưởng tượng một hacker có kinh nghiệm sẽ làm gì với cả tuần trời rảnh rỗi.