Nhiễm độc dữ liệu huấn luyện có thể cài cửa hậu vào tác tử AI

Một nghiên cứu mới cho thấy dữ liệu độc hại được cài vào tập tiền huấn luyện có thể khiến tác tử AI thực thi lệnh do kẻ tấn công chọn trên máy người dùng. Trong thử nghiệm, chỉ 0,1% dữ liệu bị nhiễm đã đủ để tạo cửa hậu, làm nổi bật rủi ro bảo mật từ các kho dữ liệu thu thập trên mạng công khai.

Bài báo được Xinyan Hu cùng bảy đồng tác giả đăng trên arXiv ngày 27/10/2026. Nhóm nghiên cứu cho biết đây là lần đầu tiên họ chứng minh kiểu nhiễm độc này có thể cài cửa hậu thực thi mã từ xa vào một tác tử AI.

Cửa hậu được cài từ giai đoạn tiền huấn luyện

Các mô hình ngôn ngữ lớn thường được tiền huấn luyện bằng những tập dữ liệu quy mô lớn, thu thập từ nhiều nguồn công khai và chưa được tuyển chọn chặt chẽ. Theo nghiên cứu, kẻ tấn công có thể lợi dụng nguồn dữ liệu này để đưa nội dung đã bị chỉnh sửa vào quá trình huấn luyện.

Nhóm nghiên cứu tiền huấn luyện từ đầu các mô hình Qwen3 với quy mô 0,6 tỷ, 1,7 tỷ và 4 tỷ tham số. Sau đó, họ chuyển từng mô hình thành tác tử dòng lệnh bằng một quy trình hậu huấn luyện sạch.

Kết quả cho thấy dữ liệu độc hại chỉ chiếm 0,1% tập tiền huấn luyện vẫn có thể cài cửa hậu. Khi có dấu hiệu kích hoạt, tác tử thực thi lệnh do kẻ tấn công lựa chọn trên máy người dùng; với đầu vào thông thường, nó vẫn hoạt động bình thường.

Tỷ lệ tấn công tăng theo quy mô mô hình

Mô hình 4 tỷ tham số đạt tỷ lệ thành công của cuộc tấn công khoảng 92% khi tỷ lệ dữ liệu nhiễm là 0,1%. Nhóm nghiên cứu cũng ghi nhận cửa hậu vẫn có hiệu quả khi tỷ lệ nhiễm giảm xuống 0,0005%.

Theo bài báo, tỷ lệ thành công của cuộc tấn công tăng theo quy mô mô hình. Phát hiện này cho thấy việc chỉ kiểm tra hành vi của mô hình trên các đầu vào thông thường có thể không đủ để phát hiện cửa hậu được kích hoạt trong những tình huống cụ thể.

Góc nhìn

Với các nhóm xây dựng tác tử có khả năng chạy lệnh, bảo mật không chỉ nằm ở mã nguồn hay quy trình hậu huấn luyện. Nguồn gốc và độ tin cậy của dữ liệu tiền huấn luyện cũng cần được xem xét, bởi một lượng nhỏ dữ liệu bị cài cắm có thể ảnh hưởng đến hành vi của mô hình.

Nghiên cứu tập trung vào các mô hình và quy trình thử nghiệm cụ thể, nên không đồng nghĩa mọi mô hình AI đều có cùng mức rủi ro. Tuy vậy, kết quả nhấn mạnh tầm quan trọng của việc kiểm soát dữ liệu và kiểm thử các hành vi có điều kiện trước khi đưa tác tử vào môi trường có quyền thực thi lệnh.