Trí tuệ nhân tạo Grok của xAI bị qua mặt bởi kỹ thuật tiêm ẩn mã hóa mới

Các nhà nghiên cứu bảo mật thuộc công ty Adversa AI vừa công bố phát hiện một phương thức tấn công mới nhắm vào trình duyệt web chatbot Grok của xAI, cho phép kẻ xấu khai thác lỗ hổng để đánh cắp dữ liệu người dùng và vượt qua các rào cản an toàn. Kỹ thuật này đặt tên là "cryptographic context injection", sử dụng mã hóa mạnh để che giấu các chỉ dẫn độc hại khỏi bộ lọc kiểm tra.

Bản chất của cuộc tấn công

Kỹ thuật này là một biến thể mới của indirect prompt injection (tiêm ẩn gián tiếp), một dạng tấn công đã được biết đến trong cộng đồng AI, nơi kẻ tấn công nhúng các lệnh độc hại vào nội dung trang web mà mô hình AI có thể truy cập và tóm tắt. Điểm khác biệt nằm ở chỗ các lệnh này được mã hóa bằng AES-256-GCM và PBKDF2 trước khi đặt trên trang, kèm theo khóa giải mã.

"Attacker gửi ciphertext cùng với khóa và chỉ dẫn giải mã, và mô hình sẽ thực hiện quá trình giải mã ngay trong môi trường thực thi mã của chính nó," Rony Utevsky, nhà nghiên cứu chính tại Adversa AI, giải thích. "Mọi thứ bộ lọc cần đều nằm ngay trên trang, nhưng để lấy được plaintext thì cần chạy PBKDF2 và AES-256-GCM – điều mà không một bộ phân loại nội dung nào làm được tại thời điểm kiểm tra."

Cơ chế hoạt động

Trong các cuộc tấn công trước đây, kẻ xấu thường sử dụng mã hóa đơn giản như base64 để che giấu lệnh. Tuy nhiên, các mô hình AI hiện đại có thể tự động giải mã chúng nhờ dữ liệu huấn luyện. Với mã hóa mạnh, mô hình phải dùng đến runtime thực thi mã để giải mã, và chính quá trình này trở thành cơ chế "rửa tiền tin cậy" (trust laundering) khi mô hình tin tưởng vào chính kết quả đầu ra của mình – tức là các lệnh độc hại đã được giải mã.

Proof-of-concept của Adversa cho thấy kỹ thuật này có thể đánh cắp toàn bộ lịch sử trò chuyện của nạn nhân trên Grok.com, bao gồm tên người dùng, vị trí gần đúng, gói đăng ký và toàn bộ nội dung cuộc hội thoại – được truyền ra ngoài bằng cách gắn vào tham số URL.

Phạm vi ảnh hưởng

Theo Utevsky, các mô hình khác có mức độ tổn thương khác nhau:

• Google Gemini: Kịch bản tấn công Grok không hoạt động vì Gemini không cung cấp Python với quyền truy cập vào các trang web bên ngoài. Tuy nhiên, kỹ thuật này vẫn có thể dùng để vượt qua bộ lọc an toàn, chẳng hạn như tạo ra nội dung hướng dẫn chế tạo vũ khí gây cháy.
• Grok (xAI): Adversa đã thông báo cho xAI vào ngày 3/6/2026 qua chương trình HackerOne. xAI xác nhận đã nhận báo cáo nhưng không đưa ra lộ trình khắc phục. Đến ngày 19/8/2026, kỹ thuật này vẫn hoạt động trên Grok.com.

So sánh với kỹ thuật khác

Utevsky so sánh phương pháp này với return-oriented programming (ROP) trong an ninh mạng truyền thống, nơi kẻ tấn công ráp các "mảnh ghép" vô hại riêng lẻ thành một chuỗi hành động độc hại.

"Bộ lọc tĩnh đọc văn bản từng phần một. Nếu không có phần nào độc hại, tất cả đều vượt qua, và ý nghĩa xấu chỉ xuất hiện khi runtime lắp ráp chúng lại. Bộ lọc không thể nhìn vào bên trong runtime," Utevsky giải thích.

Điểm mở rộng hơn của kỹ thuật này là không giới hạn ở một mảnh duy nhất: kẻ tấn công có thể tách một chỉ dẫn thành nhiều phần mã hóa khác nhau, đặt trên nhiều trang web hoặc đầu ra công cụ, và để runtime tự ghép nối. Điều này khiến việc phòng thủ trở nên khó khăn hơn nhiều.

Hàm ý cho người dùng Việt Nam

Với sự phổ biến ngày càng tăng của các chatbot AI như Grok, ChatGPT hay Gemini tại Việt Nam, người dùng cần lưu ý:

• Không click vào các liên kết lạ trong khi đang sử dụng chatbot, đặc biệt khi chatbot có khả năng truy cập web để tóm tắt nội dung.
• Hạn chế chia sẻ thông tin nhạy cảm như tên đầy đủ, địa chỉ, số điện thoại trong các cuộc trò chuyện với AI.
• Cập nhật thường xuyên các bản vá bảo mật từ nhà cung cấp dịch vụ AI.
• Sử dụng các kênh chính thức và bật xác thực hai lớp cho tài khoản.

Khi các mô hình AI ngày càng có nhiều quyền hơn – như truy cập mã, công cụ, và dữ liệu cá nhân – thì bề mặt tấn công cũng mở rộng tương ứng. Vấn đề không còn là "liệu có bị tấn công hay không" mà là "khi nào và mức độ nghiêm trọng ra sao". Các nhà phát triển cần coi trọng việc xây dựng hàng rào bảo mật nhiều lớp, không chỉ dựa vào bộ lọc nội dung đơn thuần.