Xu hướng AI game mash-up đã phát triển mạnh mẽ trong nhiều tuần qua. Các đoạn clip Elden Ring kết hợp với hình ảnh Minecraft, thế giới Skyrim chạy cơ chế chiến đấu của FromSoftware và những bản lai tạo độc đáo khác đang lan truyền trên các nguồn cấp dữ liệu mạng xã hội với tốc độ chóng mặt. Giờ đây, một ai đó đã đóng gói tất cả những thứ đó vào một trình khởi chạy (launcher) trên Windows có tên là Melty, và lời chào mời này thực sự hấp dẫn ở vẻ bề ngoài: chỉ cần nhấn Play một lần, nó sẽ tự động tải xuống, cấu hình và khởi chạy bất kỳ sự kết hợp mash-up nào bạn muốn. Không cần cài đặt mod thủ công, không cần loay hoay với đường dẫn tệp.
Tuy nhiên, vấn đề nằm ở chỗ này. Các điều khoản dịch vụ (ToS) lại kể một câu chuyện hoàn toàn khác.
Melty thực sự yêu cầu quyền thực hiện những gì
Mô tả chính thức của trình khởi chạy này coi nó là một công cụ mượt mà "kết hợp hai trò chơi bạn sở hữu thành một trải nghiệm lai". Những gì các điều khoản cho phép lại đi xa hơn đáng kể. ToS của Melty cấp cho ứng dụng quyền tìm kiếm trò chơi trên hệ thống của bạn, tải xuống các công cụ mới, sao chép tệp, sửa đổi thư mục, chạy chương trình và đẩy các bản cập nhật tự động mà không cần hỏi bạn mỗi lần thực hiện. Chỉ riêng danh sách đó thôi cũng đủ khiến hầu hết các game thủ chú trọng bảo mật phải dè chừng.
Vấn đề lớn hơn nảy sinh khi một lập trình viên có biệt danh Wubbity trên mạng đã phân tích trình cài đặt Melty (v1.0.33) và công khai những phát hiện của mình. Kết luận của anh ấy: Melty là một phiên bản đổi thương hiệu của LookLoot, một ứng dụng được xây dựng để ghi lại video gameplay và các đầu vào từ tay cầm hoặc bàn phím làm dữ liệu huấn luyện AI. Toàn bộ quy trình ghi dữ liệu đó được tích hợp bên trong Melty, và chính sách bảo mật của trình khởi chạy này hoàn toàn không đề cập đến nó.
Wubbity đã cẩn thận làm rõ rằng đây "không phải là phần mềm độc hại, không đánh cắp mật khẩu". Mối lo ngại cụ thể hơn thế: ứng dụng này "đang vận chuyển một quy trình ghi gameplay ở trạng thái ngủ mà trang web của nó có thể kích hoạt, và người dùng không hề được thông báo". Một hệ thống ở trạng thái ngủ có thể được kích hoạt từ xa, ẩn sâu bên trong một trình khởi chạy miễn phí với quyền truy cập hệ thống tệp rộng rãi, không phải là thứ bạn muốn chạy trên PC của mình.
Tại sao điều này liên tục xảy ra
Melty không phải là trường hợp cá biệt. Cùng tuần mà thông tin này xuất hiện, một bản port Bloodborne trên PC được "vibe-coded" (lập trình dựa trên cảm hứng) dựa nhiều vào AI đã thu hút sự hoài nghi tương tự từ cộng đồng FromSoftware. Epic Games đã gây chú ý khi công khai tuyên bố rằng họ đã "vibe coded" trình khởi chạy của riêng mình, và một tựa game Soulslike trên Steam với 25% đánh giá tích cực đã khiến nhà phát triển phải công khai thừa nhận rằng các tài sản do AI tạo ra đang làm ảnh hưởng đến sự đón nhận của trò chơi.
Mô hình này rất nhất quán: công cụ AI đang di chuyển nhanh hơn khả năng bắt kịp của các tiêu chuẩn minh bạch. Melty là một phiên bản gay gắt hơn của vấn đề đó vì nó nhắm vào những người chơi vốn đã hào hứng với thứ gì đó thực sự thú vị; những bản mash-up lan truyền đó rất giải trí khi xem, và sự tò mò muốn chơi chúng là hoàn toàn dễ hiểu. Điểm mấu chốt ở đây là sức hấp dẫn của sản phẩm là có thật, điều này khiến các điều khoản bị che giấu trở nên nguy hiểm hơn chứ không hề giảm bớt.
Đối với những người chơi muốn thử nghiệm các bản mod Minecraft và trải nghiệm tùy chỉnh thông qua các phương tiện hợp pháp, hướng dẫn về các bản mod Minecraft tốt nhất bao gồm 52 lựa chọn đã được xác minh mà không yêu cầu bạn phải bàn giao quyền truy cập hệ thống tệp của mình.
Bối cảnh rộng hơn về các trình khởi chạy hiện nay
Sự tin tưởng vào trình khởi chạy đã là một chủ đề nhạy cảm trong giới PC gaming. Steam của Valve vẫn là tiêu chuẩn mặc định một phần vì mô hình cấp quyền của nó được hiểu rõ và hành vi cập nhật của nó có thể dự đoán được. Các trình khởi chạy của bên thứ ba có lịch sử lâu dài về việc lạm quyền, và người chơi đã trở nên cảnh giác một cách hợp lý với bất kỳ thứ gì yêu cầu quyền truy cập hệ thống nâng cao mà không có lời giải thích rõ ràng.
Melty xuất hiện trong bối cảnh đó vào thời điểm tồi tệ nhất có thể. Các đoạn clip AI mash-up mà nó xây dựng xung quanh thực sự lan truyền, nghĩa là trình khởi chạy sẽ tiếp cận những người thường không xem xét kỹ các điều khoản dịch vụ trước khi nhấn cài đặt. Đó chính xác là đối tượng có nguy cơ cao nhất từ một chính sách bảo mật bỏ qua hoàn toàn quy trình ghi dữ liệu.
Đối với bất kỳ ai quản lý phần mềm phía máy chủ hoặc trình khởi chạy với các quy trình cập nhật, hướng dẫn cập nhật máy chủ Hytale là một tài liệu tham khảo hữu ích để hiểu cách các hệ thống cập nhật trình khởi chạy hợp pháp truyền đạt các thay đổi đến người dùng.
Melty có thể sẽ cập nhật chính sách bảo mật hoặc giải quyết trực tiếp các phát hiện của Wubbity. Cho đến khi điều đó xảy ra, khoảng cách giữa những gì trình khởi chạy quảng cáo và những gì trình cài đặt của nó thực sự chứa đựng là quá lớn để có thể bỏ qua. Nếu bạn muốn theo kịp cách Minecraft đang phát triển thông qua các kênh chính thức, bản phân tích cập nhật mùa đông Minecraft 26.4 bao gồm mọi thứ đã được xác nhận cho đợt cập nhật lớn tiếp theo.
