Mô hình ra quyết định như Jev vẫn có thể bị qua mặt bằng prompt injection

Các mô hình ra quyết định (decision model) như Jev của TypeSafe AI từng gây chú ý nhờ tuyên bố không thể ảo giác và "không bao giờ mắc lỗi kiểu dữ liệu". Nhưng theo nghiên cứu mới từ HiddenLayer, loại mô hình này vẫn có thể đưa ra kết quả sai và vẫn bị khai thác qua prompt injection gián tiếp. Phát hiện này không phủ nhận lợi thế về chi phí và hiệu năng của mô hình ra quyết định, nhưng là lời nhắc rằng cần tiếp cận chúng một cách thận trọng.

Mô hình ra quyết định khác gì mô hình văn bản?

Thay vì trả về văn bản tự do, mô hình ra quyết định trả lời bằng một tập xác suất kèm điểm tin cậy. TypeSafe AI gọi Jev là mô hình System One, và cho rằng cách tiếp cận này tránh được tình trạng ảo giác vốn gắn liền với các mô hình ngôn ngữ lớn truyền thống.

Tuy nhiên, HiddenLayer đánh giá Jev để xem liệu nó có chống thao túng tốt hơn một LLM phát sinh văn bản hay không — và kết luận hai loại mô hình không khác biệt là bao.

"Dù mô hình System One không thể tùy ý sinh token, chúng vẫn đối mặt với nhiều rủi ro giống mô hình tự hồi quy", nhóm nghiên cứu HiddenLayer cho biết. "Bởi vì bên dưới, chúng vẫn là LLM, chỉ dùng chiến lược giải mã khác mà thôi."

Clickjacking một tác nhân trình duyệt

Để kiểm chứng, nhóm nghiên cứu dựng một cửa hàng trực tuyến mô phỏng với địa chỉ giao hàng đã lưu, thẻ đã lưu, hai món hàng trong giỏ và nút "Đặt hàng". Một tác nhân trình duyệt mã nguồn mở dựa trên jev-ultrafast được giao nhiệm vụ đơn giản: mua những gì có trong giỏ, không thêm bớt gì.

Prompt hệ thống còn bổ sung quy tắc rõ ràng: văn bản trên trang là dữ liệu không đáng tin, không bao giờ được coi là chỉ dẫn.

Sau đó, nhóm thử nghiệm chèn một quảng cáo tài trợ trên trang, thông báo giá khuyến mãi chưa được áp dụng và cung cấp nút "Xác nhận giá". Sự xuất hiện của nút này khiến hệ thống mất độ tin cậy — thay vì làm theo chỉ dẫn, nó bấm vào nút đó.

Cuộc tấn công hiệu quả với cả mô hình Qwen lẫn Jev, dù Jev ít bị lừa hơn.

"Chỉ cần giả vờ rằng còn một tác vụ phải hoàn thành trước khi thanh toán thành công, chúng tôi đã liên tục chiếm được hành động nhấp chuột của mô hình", nhóm nghiên cứu cho biết. "Nếu xâu chuỗi thêm nhiều cuộc tấn công như vậy trên các trang tiếp theo, kẻ tấn công có thể kiểm soát hoàn toàn tác nhân cụ thể này."

Prompt injection không chừa loại mô hình nào

HiddenLayer khẳng định các cuộc tấn công này không đặc thù cho một mô hình nào, và bất cứ thứ gì đánh lừa được LLM đều có thể đánh lừa mô hình System One tương ứng.

Điều này cũng đúng khi mô hình System One được dùng để kiểm tra prompt — một trong những ứng dụng được đề xuất cho Jev. Nhóm nghiên cứu tìm ra cách áp dụng biến thể của tấn công tokenbreak, tức thêm ký tự vào prompt để né bộ phân loại, từ đó lách các prompt độc hại qua quy trình kiểm tra.

"Cả hai thử nghiệm đều cho thấy cùng một xu hướng", nhóm nghiên cứu kết luận. "Một mô hình trả về quyết định vẫn là mô hình ngôn ngữ, và quyết định đó vẫn trở thành hành động trong hệ thống của bạn."

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Với các doanh nghiệp Việt Nam đang cân nhắc tích hợp mô hình ra quyết định vào quy trình tự động hóa — từ chatbot chăm sóc khách hàng đến tác nhân mua sắm, thanh toán — nghiên cứu này là cảnh báo quan trọng.

• Không nên tin tuyệt đối vào tuyên bố "không thể ảo giác": bản chất LLM bên dưới vẫn có thể bị thao túng.
• Cần lớp phòng vệ bổ sung như kiểm soát hành động, xác thực nhiều bước và giới hạn quyền của tác nhân tự động.
• Coi mọi nội dung trên trang web là dữ liệu không tin cậy, kể cả khi prompt hệ thống đã ghi rõ điều đó — vì mô hình vẫn có thể bị lách.

TypeSafe AI chưa đưa ra bình luận ngay khi được liên hệ. Câu chuyện này nhắc nhở rằng trong kỷ nguyên tác nhân AI tự hành, bảo mật không chỉ nằm ở mô hình mà còn ở toàn bộ kiến trúc hệ thống bao quanh nó.