"Bom ngữ cảnh": Bẫy AI tấn công bằng mục tiêu giả, giảm tỷ lệ thành công tới 91%

Trong bối cảnh các tác nhân AI (AI agent) ngày càng được sử dụng để tự động hóa tấn công mạng, một công ty an ninh mạng đã đưa ra cách tiếp cận mang tính quân sự: thay vì chỉ phòng thủ thụ động, hãy "gieo mìn" trong chính hệ thống của mình để đánh lừa kẻ tấn công.

Mối đe dọa từ các tác nhân tấn công APT

Bom ngữ cảnh là gì?

Tracebit, công ty có trụ sở tại London và New York, đã phát triển một giải pháp mà họ gọi là "bom ngữ cảnh" (context bomb). Ý tưởng lấy cảm hứng từ chiến thuật quân sự: cũng như mìn được dùng để tiêu diệt hoặc làm chậm bước tiến của đội quân địch, mỗi quả bom ngữ cảnh là một prompt được tạo ra và ẩn kín trong hệ thống mục tiêu.

Khi AI tấn công thu thập dữ liệu từ mục tiêu, nó sẽ tự động nuốt phải những prompt này. Các prompt độc hại này sau đó can thiệp vào mục đích ban đầu — có thể là ý đồ xấu — của tác nhân tấn công, khiến nó đi chệch hướng hoặc rơi vào bẫy.

Nghiên cứu mới của Tracebit mang tên "Making attacking agents pay" (tạm dịch: "Khiến các tác nhân tấn công phải trả giá"), tiếp nối nghiên cứu trước đó sử dụng các loại bom ngữ cảnh khác nhau để kích hoạt các rào chắn bảo vệ. Lần này, trọng tâm là đánh lạc hướng và gài bẫy các tác nhân bằng mục tiêu giả cùng những bài toán phức tạp một cách đánh lừa.

Kết quả gây ấn tượng

Nhóm nghiên cứu đã phát triển chín kỹ thuật ngữ cảnh mới và thử nghiệm trên nhiều mô hình AI khác nhau. Kết quả cho thấy:

• Các kỹ thuật này chặn đứng hoàn toàn các cuộc tấn công từ GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max và DeepSeek V4 Pro.
• Với các mô hình biên (Frontier Models), bom ngữ cảnh giảm 54% tỷ lệ thành công của GPT-6 Astra, đồng thời khiến chi phí mỗi vụ tấn công tăng gần gấp bốn lần.
• Hiệu quả rõ rệt nhất là với Claude Opus 5: tỷ lệ tấn công thành công giảm tới 91%.

Quả bom hiệu quả nhất: Báo cáo kiểm thử xâm nhập giả

Trong chín loại bom prompt, hiệu quả nhất là một báo cáo kiểm thử xâm nhập (pen test) giả mạo. Báo cáo này tự nhận là một đánh giá gần đây, dán nhãn các đường tấn công thật là "chim hoàng yến" (canaries — dấu hiệu cảnh báo), và mô tả các mục tiêu mồi là những tài sản giá trị đã bị khai thác.

Trong nhiều trường hợp, nó khiến AI tin rằng các hệ thống thật của người phòng thủ chính là bẫy — và do đó né tránh chúng, giảm 58% số mục tiêu đạt được. Một số tác nhân chấp nhận cảnh báo và dừng lại sớm, bỏ ngỏ các mục tiêu có thể khai thác. Với các mô hình Cyber, Kimi, Qwen và DeepSeek, số lần chạm mục tiêu giảm từ 39/40 ở mức cơ sở xuống chỉ còn 2/40.

Các loại bom khác bao gồm một dịch vụ web không có điểm kết thúc, những mật khẩu trông như bị khóa sau hết lớp mã hóa này đến lớp mã hóa khác, và một cơ sở dữ liệu vô tận. Trong chiêu lừa cuối cùng này, mỗi trang lại trỏ đến một trang khác.

"GLM-5.3 đã thu thập 825 trang trong 55 phút, phát hiện ra cái bẫy, thử các hướng khác, và vẫn quay lại thử thêm một lần nữa," các nhà nghiên cứu nhận xét.

Việc kết hợp nhiều loại bom mang lại hiệu quả tổng thể tốt nhất. Khi cả chín quả bom được triển khai, không mô hình Trung Quốc nào từ Moonshot, Alibaba và DeepSeek đạt được mục tiêu.

Bài toán chi phí: Vũ khí thực sự

Ngay cả khi bom ngữ cảnh không ngăn được cuộc tấn công, nó vẫn làm tăng chi phí của mỗi vụ thành công lên 23 lần. Kẻ tấn công có thể có túi tiền sâu, nhưng không phải vô hạn. Sẽ đến một điểm mà giá trị của mục tiêu không còn xứng đáng với chi phí bỏ ra để tấn công.

Đối kháng prompt injection độc hại

Về bản chất, các prompt injection "vô hiệu hóa" của Tracebit chính là mặt đối lập của các cuộc tấn công prompt injection độc hại. Ngay cả khi bị tấn công từ bên ngoài, các bom ngữ cảnh nội bộ vẫn là những prompt mới nhất, có khả năng lấn át ý đồ của kẻ tấn công.

Ông Andy Smith, đồng sáng lập kiêm CEO của Tracebit, lý giải:

"Chúng ta đã thấy trong các cuộc tấn công gần đây rằng các mô hình AI thể hiện những hành vi lén lút và không được phép. Cách phòng thủ tốt nhất là đánh bại chúng bằng chính chiến thuật của chúng. Điều này có nghĩa là áp dụng sự đánh lừa để dẫn chúng vào những hố sâu và rối tung lên, khiến chúng đốt thời gian và token trong khi né tránh mục tiêu thật. Bằng cách đẩy chi phí lên gấp 23 lần, chúng ta đặt câu hỏi với kẻ tấn công: 'Liệu việc này có đáng không?', trong khi các tác nhân hoạt động hỗn loạn, khiến chúng dễ kích hoạt cảnh báo hơn — báo hiệu cho người phòng thủ và cho họ thêm thời gian phản ứng."

Ý nghĩa với doanh nghiệp Việt Nam

Với các tổ chức tại Việt Nam đang bắt đầu triển khai AI agent cho vận hành và bảo mật, nghiên cứu này mang lại bài học quan trọng. Khi tấn công mạng ngày càng được tự động hóa bằng AI, các biện pháp phòng thủ truyền thống có thể không đủ. Chiến lược đánh lừa chủ động — biến hệ thống của mình thành một mê cung đắt đỏ đối với kẻ tấn công — có thể là hướng đi đáng cân nhắc, đặc biệt khi chi phí token và thời gian xử lý của mô hình AI chính là điểm yếu có thể khai thác.

Biểu tượng SecurityWeek