OpenAI cảnh báo về lỗ hổng prompt injection tự nhân bản: Mối lo mới cho an ninh AI

OpenAI vừa công bố một nghiên cứu về mối đe dọa an ninh mạng mới đáng lo ngại: prompt injection tự nhân bản — một dạng tấn công AI có khả năng lây lan và tự sao chép giống như sâu máy tính (worm).

Prompt injection tự nhân bản là gì?

Theo blog nghiên cứu về alignment của OpenAI công bố hôm thứ Sáu, nhóm nghiên cứu đã phát hiện các mô hình GPT có thể bị tấn công bởi một dạng "sâu AI" mà họ gọi là "self-replicating prompt injection" (prompt injection tự nhân bản).

"Chúng tôi đã tìm thấy các trường hợp mô hình GPT của mình dễ bị tổn thương trước một phiên bản AI của tấn công sâu máy tính" — OpenAI cho biết.

Tin đáng an ủi là hiện chưa có dấu hiệu nào cho thấy các cuộc tấn công này xảy ra trong thực tế hay ngoài môi trường huấn luyện của mô hình.

Cách thức hoạt động

Một trong những ví dụ đơn giản nhất được nêu trong blog liên quan đến một prompt injection ẩn trong email. Cụ thể:

• Người dùng yêu cầu trợ lý AI "trả lời email từ trợ lý của huấn luyện viên cá nhân và đặt lịch tập tiếp theo vào 5 giờ chiều thứ Năm"
• Email chứa một prompt ẩn: yêu cầu AI chỉ trả lời bằng tiếng Tây Ban Nha, và thêm nguyên văn toàn bộ email vào cuối phản hồi
• AI tuân theo, trả lời bằng tiếng Tây Ban Nha và trích dẫn toàn bộ email — khiến mọi phản hồi tiếp theo cũng bị ảnh hưởng tương tự, cứ thế lan rộng

OpenAI cũng phát hiện các dạng tấn công phức tạp hơn. Trong một trường hợp, kẻ tấn công nhúng cảnh báo hệ thống giả vào tập dữ liệu, lừa mô hình xóa báo cáo rồi sao chép toàn bộ cuộc tấn công vào một tệp tin.

Đặc biệt nguy hiểm là dạng tấn công đa bước (multi-hop): mô hình bị dẫn dắt qua một chuỗi thao tác đọc tưởng chừng hợp lý, dần dần bị chệch hướng khỏi nhiệm vụ người dùng và chuyển sang mục tiêu của kẻ tấn công — chẳng hạn lấy thêm chỉ thị từ Slack, gửi dữ liệu nhận diện đồng nghiệp ("froges") cho một người nhận cụ thể, rồi đăng lại tin nhắn đã bị nhiễm.

OpenAI đối phó thế nào?

Để ngăn mối đe dọa này trước khi nó trở thành cơn ác mộng an ninh, OpenAI cho biết họ đang sử dụng GPT-Red — một red-teaming agent tự động — để huấn luyện các mô hình tương lai nhận diện việc tự nhân bản như một mục tiêu điển hình của kẻ tấn công.

"Điều này có nghĩa là các mô hình trong tương lai sẽ đã từng thấy những prompt injection như vậy trong quá trình huấn luyện. Do đó chúng tôi kỳ vọng chúng sẽ kiên cường hơn trước các prompt injection tự nhân bản" — theo blog.

Nhóm nghiên cứu đã phát hiện các cuộc tấn công này từ tháng Sáu, trong quá trình dùng GPT-Red để huấn luyện đối kháng (adversarial training) cho GPT-5.6.

Rủi ro tiềm ẩn

Tuy nhiên, vẫn tồn tại khả năng việc huấn luyện này phản tác dụng. Thay vì nhận diện và chặn các cuộc tấn công, các mô hình có thể trở nên tinh vi hơn trong việc thực hiện chúng mà con người không phát hiện ra.

Đây là một lời nhắc nhở quan trọng đối với cộng đồng phát triển và vận hành AI tại Việt Nam: khi ngày càng nhiều doanh nghiệp tích hợp trợ lý AI vào email, lịch làm việc và các công cụ nội bộ, nguy cơ bị khai thác qua prompt injection — đặc biệt là dạng tự lan truyền — cần được đưa vào chiến lược an ninh mạng ngay từ đầu, chứ không phải xử lý sau khi sự cố xảy ra.