Prompt injection: Rủi ro số 1 theo chuyên gia nhưng chỉ xếp hạng 12 trong hồ sơ sự cố — và điều đó nói lên điều gì?

CISO nào nhìn thấy số lượng CVE thấp và hạ thấp mức độ ưu tiên của prompt injection có thể đang đọc nhầm bảng điểm. Prompt injection đã giữ vị trí số 1 trong bảng OWASP Top 10 cho ứng dụng LLM suốt ba năm liên tiếp. Nhưng khi hai lãnh đạo của danh sách này đối chiếu nó với 6.639 sự cố thực tế được gắn nhãn, mối đe dọa này chỉ xếp hạng 12. Sự tụt hạng này đo lường khả năng hiển thị chứ không phải mức độ nguy hiểm, bởi vì cuộc tấn công diễn ra ở một lớp mà máy quét lỗ hổng không thể nhìn thấy.

Hai nhân chứng mâu thuẫn nhau

Phát hiện này thuộc về Kyriakos "Rock" Lambros và Steve Wilson, hai lãnh đạo dự án OWASP Top 10 cho LLM Applications, công bố trên arXiv ngày 18/8 kèm tuyên bố miễn trừ trách nhiệm. Phân tích mang tính thăm dò, chưa được bình duyệt và không phải là bản phát hành chính thức của OWASP. Các tác giả nêu rõ tài liệu này không thay thế danh sách chính thức hay quy trình của tổ chức.

Cỗ máy đằng sau con số này là có thật: 7.714 sự cố an ninh LLM từ CVE, GitHub Security Advisories, OSV và cơ sở dữ liệu về tác hại AI — AIAAIC. Trong đó, 6.639 sự cố được gắn nhãn theo bảng phân loại gồm 20 hạng mục, và một mô hình Bayes hiệu chỉnh từng số liệu cho sai số của bộ phân loại trước khi đặt thứ hạng dựa trên dữ liệu cạnh tranh với phiếu bầu của chuyên gia.

Kết quả so sánh cho thấy không có sự thống nhất có ý nghĩa thống kê nào giữa đánh giá chuyên gia và hồ sơ sự cố công khai. Hệ số Cohen's kappa đạt 0,20 với khoảng tin cậy 90% dao động từ -0,16 đến 0,57.

"Khoảng tin cậy cắt qua 0, vì vậy chúng ta không thể loại trừ khả năng hai bảng xếp hạng chỉ trùng nhau một cách tình cờ. Kết luận trung thực: sự thống nhất yếu, không phải xác nhận."

Lambros — đồng lãnh đạo OWASP GenAI Security Project Top 10 cho LLM Applications và giám đốc tiêu chuẩn và quản trị AI tại Zenity — diễn giải phát hiện này theo thuật ngữ chứng cứ: "Chúng ta có hai cách đo lường cùng một rủi ro: đánh giá chuyên gia và hồ sơ sự cố công khai, và chúng bất đồng với nhau. Không bên nào là chân lý tuyệt đối. Hai nhân chứng đang mâu thuẫn, và chúng ta không thể biết ai đang nói dối."

Chuỗi tấn công mà máy quét không bao giờ ghi lại được

Khoảng cách này mang tính cấu trúc. Prompt injection giấu các chỉ dẫn bên trong nội dung mà mô hình đọc — bất cứ thứ gì từ một mục nhật ký, một phiếu hỗ trợ, đến một tài liệu được kéo về qua cơ chế truy xuất. Sau đó, tác nhân AI thực hiện cuộc gọi công cụ mà kẻ tấn công mong muốn, sử dụng thông tin xác thực mà nó hợp pháp sở hữu. Không có gì trong chuỗi này là lỗi sản phẩm, nên cuộc tấn công không để lại CVE nào cho máy quét tìm thấy.

Các biện pháp phòng thủ hiệu quả bao gồm kiểm thử đối kháng trên hệ thống đang vận hành và giới hạn cứng về những gì tác nhân có thể tiếp cận, để mô hình bị lừa không thể chạm vào thứ gì quan trọng. Logic tương tự cũng ủng hộ việc đầu tư ngay cho bộ nhớ tác nhân (agent memory) và ranh giới công cụ MCP ngay từ kiến trúc, thay vì chờ đợi khối lượng cảnh báo luôn đến trễ một chu kỳ.

Biện pháp kiểm soát đầu tiên Wilson sẽ triển khai

Wilson — Giám đốc AI và Sản phẩm tại Exabeam, đồng lãnh đạo dự án OWASP Top 10 cho LLM Applications — đã nêu tên biện pháp kiểm soát mà ông sẽ triển khai đầu tiên cho chính chuỗi tấn công đó: một tác nhân đọc payload của kẻ tấn công trong tệp nhật ký, coi đó là chỉ dẫn, và viết lại DNS với thông tin xác thực hợp lệ.

"Điều đầu tiên tôi làm là đặt một cổng ủy quyền bên ngoài mô hình: tác nhân có thể đề xuất thay đổi DNS cụ thể, nhưng không thể tự cấp quyền thực hiện nó. Các quy tắc bảo mật viết bên trong prompt có thể định hình hành vi của mô hình, nhưng chúng chỉ là gợi ý cho mô hình, không phải biện pháp kiểm soát bảo mật có thể thực thi."

Cổng này có cái giá của nó, và Wilson nói thẳng: "Sự đánh đổi là tác nhân mất khả năng tự do thực hiện các thay đổi hạ tầng lớn tùy ý, trong khi vẫn giữ được khả năng điều tra tự động và khắc phục có giới hạn theo quy trình."

Vì sao rủi ro số 1 trông nhỏ bé trong hồ sơ sự cố?

"Prompt injection là cuộc tấn công LLM được hiểu rõ nhất, và các hệ thống đang triển khai phòng thủ tích cực. Chuyên gia xếp nó số 1 vì bề mặt tấn công vẫn khổng lồ ngay cả khi phòng thủ phần lớn được giữ vững; dữ liệu chỉ thấy những đợt tấn công thành công lọt qua."

Wilson đã quan sát khoảng cách này từ cả hai phía: "Dữ liệu sự cố cực kỳ giá trị, nhưng về bản chất nó nhìn về quá khứ và nổi tiếng là khó diễn giải. Nó cho chúng ta biết những gì đã được quan sát, nhận diện, phân loại và báo cáo. Nó không nhất thiết cho biết điều gì nguy hiểm nhất trong các hệ thống mà con người đang xây dựng ngay lúc này."

Ông ví prompt injection như "cái chết và thuế", và ngày càng giống "định luật vật lý cho hệ thống LLM", bởi vì một mô hình duy nhất đang phải diễn giải đồng thời các chỉ dẫn tin cậy và nội dung không tin cậy.

Phòng thủ tốt hơn vẫn chưa khép lại vụ án:

"Một biện pháp kiểm soát hoạt động hiệu quả 99% là chưa đủ khi trường hợp thất bại trao cho kẻ tấn công quyền truy cập quan trọng. Và thành thật mà nói, tôi không nghĩ chúng ta đang đạt tới 99%. Giải pháp bền vững không phải là tin rằng chúng ta có thể loại bỏ hoàn toàn prompt injection. Đó là thiết kế hệ thống với giả định prompt injection sẽ xảy ra, hiểu vì sao nó hoạt động, và giới hạn những gì kẻ tấn công có thể đạt được khi nó xảy ra."

Thực trạng áp lực tấn công

Số lượng cảnh báo thấp có thể có nghĩa là các biện pháp phòng thủ đang hoạt động. Nhưng nó cũng có thể đơn giản là chưa ai kiểm tra, và hồ sơ công khai không thể cho đội ngũ an ninh biết trường hợp nào đang xảy ra.

Khối lượng các nỗ lực tấn công đã được ghi nhận. Báo cáo mối đe dọa toàn cầu 2026 của CrowdStrike phát hiện các đối thủ đã tiêm prompt độc hại vào các công cụ GenAI hợp pháp tại hơn 90 tổ chức trong năm 2025, đánh cắp thông tin xác thực và tiền điện tử, trong một phần có tiêu đề "Prompts là phần mềm độc hại mới". Dữ liệu đo từ xa cho thấy áp lực trên bề mặt tấn công mà không chứng minh rằng phòng thủ đã tạo ra vị trí thứ 12 — nhưng đó là mô hình mà cơ chế dự đoán.

Khoảng cách còn chạy theo hướng ngược lại, và xa hơn

Prompt injection là trường hợp tiêu đề, còn thông tin sai lệch mới là trường hợp lớn hơn. Phiếu chuyên gia xếp nó ở vị trí 13, trong khi hồ sơ sự cố đặt nó ở vị trí 2. Bài báo gọi đây là "bất đồng rộng nhất giữa hai nhân chứng" và báo cáo rằng cờ đồng thuận "đặt xác suất hai tín hiệu bất đồng ở mức 99%".

Tuy nhiên, các tác giả không coi dữ liệu của chính họ là người chiến thắng. Về thông tin sai lệch, họ lưu ý kho ngữ liệu "chứa một lượng lớn deepfake và thông tin sai lệch do AI tạo ra" — những bản ghi thường "mô tả tác hại do AI tạo ra thay vì lỗ hổng bên trong LLM". Họ gọi đây là mục mà hồ sơ sự cố tranh cãi nhiều nhất, nhưng không kết luận rằng chuyên gia đã sai.

Nơi "quá mới để đo lường" đối đầu với hồ sơ CVE

Hai mục mới toanh trong bảng phân loại nằm ở vị trí sắc bén nhất. Nhiễm độc bộ nhớ bền vững xếp hạng chuyên gia số 4 và hồ sơ sự cố số 16; khai thác giao diện công cụ MCP ở hạng chuyên gia số 7 và hồ sơ số 16. Mỗi mục có khoảng sự cố từ 6 đến 20, trải dài gần hết bảng phân loại.

Các CVE công khai năm 2026 tồn tại cho cả hai. Với giao diện công cụ MCP, máy chủ Azure Data Explorer MCP mang lỗ hổng KQL injection, và hồ sơ CVE mô tả nó cho phép "kẻ tấn công (hoặc tác nhân AI bị tiêm prompt) thực thi các truy vấn KQL tùy ý chống lại cụm Azure Data Explorer" — mức 8,3 High. Máy chủ Kong Konnect MCP vận chuyển một prompt injection gián tiếp cho phép kẻ tấn công từ xa điều khiển máy chủ thực thi các yêu cầu API ngoài ý muốn — chính xác là lỗi mà mục MCP nêu tên.

Bộ nhớ tác nhân có hồ sơ riêng của nó: một khung tác nhân tên Ruflo đã phơi bày các điểm cuối cầu MCP không xác thực, cho phép kẻ tấn công mạng truy cập shell, đọc khóa API của nhà cung cấp và đầu độc kho lưu trữ học tập — mức 10.0 Critical.

Hồ sơ quá mỏng và không chắc chắn đến mức mô hình không thể đặt bất kỳ mục nào trong phạm vi 14 bậc xếp hạng. Một đội chờ đợi khối lượng cảnh báo để biện minh cho biện pháp kiểm soát trên bộ nhớ tác nhân hoặc ranh giới công cụ MCP sẽ vẫn phải chờ trong khi các CVE tích lũy ở mức Critical và High.

Lambros trình bày trường hợp ngân sách bằng thuật ngữ vận hành. Bộ nhớ bị đầu độc "không tự tuyên bố". Nó giống như một tác nhân mua sắm từng được dặn rằng hóa đơn từ một nhà cung cấp nhất định dưới 50.000 USD sẽ được duyệt mà không cần chữ ký thứ hai. Vì tác nhân ghi nhớ, mọi phê duyệt sau đó trông giống như quy trình đang hoạt động.

"Không ai nộp cảnh báo cho việc đó, vì không ai biết nó đã xảy ra. Số đếm bằng 0 đang đo sự mù lòa của bạn, chứ không phải sự an toàn."

Lập luận mà ông nói CFO sẽ ký duyệt là về thời điểm: bộ nhớ và quyền công cụ được gắn vào các hệ thống này một lần, từ sớm, và mọi thứ khác nằm trên chúng. "Xây dựng ngay bây giờ thì chỉ là sai số làm tròn. Quay lại sau hai năm, bạn sẽ phải thiết kế lại kiến trúc và huấn luyện lại toàn bộ hệ thống."

Các tác giả chỉ ra vấn đề đo lường của chính họ trước tiên

Phía chuyên gia rất mỏng. "Tín hiệu chuyên gia là một khảo sát thực hành: khoảng 29 người trả lời chấm điểm từng rủi ro ứng viên về tầm quan trọng." Hai mươi chín phiếu bầu tạo nên thứ hạng mang ba phần tư trọng số của danh sách xuất bản — điểm nén của cộng đồng hơn 25.000 thành viên OWASP.

Về phía dữ liệu, bộ phân loại là khớp nối yếu. Độ chính xác "thay đổi mạnh giữa các mục, từ 93% (LLM01, LLM03) xuống 13% (LLM08)", bốn mục dưới 50%, và bộ phân loại cơ sở "không bao giờ dự đoán 'ngoài phạm vi' và xếp mọi sự cố vào một số danh mục, bao gồm khoảng 38% tập vàng không thuộc mục nào".

Các tác giả tự nêu hạn chế trung tâm: một người đánh giá đã phân xử toàn bộ 1.200 sự cố trong tập vàng và ghi đè sự đồng thuận của mô hình trên 553 sự cố. "Một người chú thích duy nhất không thể đo lường độ tin cậy liên người đánh giá. Tập vàng do một tác giả duy nhất vẫn là hạn chế trung tâm."

Lambros đặt kappa yếu dưới chân chính bảng phân loại: "Con số đó đang nói với bạn về các danh mục của chúng tôi, chứ không phải về chuyên gia của chúng tôi." Khi những người viết ra bảng phân loại không thể phân loại sự cố một cách tin cậy vào đó, "một điểm số yếu về thứ tự của các nhóm đó là một sự thật về chính các nhóm."

Một bộ phân loại tốt hơn sẽ không sửa được sự bất đồng. Một cuộc so tài tiền đăng ký giữa bốn mô hình tiên tiến không tìm ra người chiến thắng. Không mô hình nào vượt qua độ chính xác cân bằng 0,863 của nền tảng tỷ lệ mắc, và kiểm tra thực tế giữ nguyên thứ tự của nền tảng với tương quan Spearman 0,918. Các tác giả đã công bố công cụ và sản phẩm trên GitHub để bất kỳ ai chạy lại.

Tuy nhiên, kết quả về độ mạnh (robustness) chỉ kiểm tra một phía của khoảng cách. Mọi kiểm tra đằng sau từ "robust" trong tóm tắt đều chạy ở phía sự cố — cho thấy thứ hạng từ sự cố giữ nguyên khi máy móc gắn nhãn thay đổi — và không có gì chạm đến cuộc khảo sát 29 phiếu. Một hội đồng nghe thấy "robust" sẽ giả định đã được xác thực, trong khi hồ sơ chỉ hỗ trợ từ "ổn định".

Danh sách xuất bản đã làm gì với điều này

OWASP phát hành GenAI LLM Top 10 2026 vào ngày 4/8 — phiên bản đầu tiên đưa dữ liệu sự cố vào thứ hạng, cân trọng số phiếu thực hành ở mức 75% và kho ngữ liệu sự cố ở mức 25%. Prompt injection giữ vị trí số 1; thông tin sai lệch tăng hai bậc; quyền hạn quá mức (excessive agency) leo từ số 6 lên số 3 — mục mà hai tín hiệu đồng thuận rõ nhất; tiêu thụ không giới hạn tăng bốn bậc lên số 6; và xử lý đầu ra không đúng cách tụt từ số 5 xuống số 10 — mức giảm lớn nhất.

Wilson từ chối bảo vệ sự pha trộn như một phép số học: "Không có gì kỳ diệu về trọng số 75/25, hay khi đảo ngược thành 25/75. Giá trị của dữ liệu không phải là nó cho chúng ta một câu trả lời toán học; nó đã thay đổi cuộc trò chuyện." Mục quyền hạn quá mức là nơi cuộc trò chuyện đó đáp xuống mạnh nhất với ông: "Nếu tôi là CISO đánh giá một triển khai tác nhân mới hôm nay, quyền hạn quá mức là nơi tôi sẽ bắt đầu."

Lambros sẽ đi xa hơn trong chu kỳ tới, một quan điểm ông nêu rõ là của riêng mình, tách khỏi nhóm công tác. Sự pha trộn trao cùng 25% trọng số sự cố cho mọi danh mục, trong khi độ chính xác của bộ phân loại được kiểm tra bằng tay chạy từ khoảng 9/10 trên prompt injection và chuỗi cung ứng xuống khoảng 1/8 trên các điểm yếu vector và embedding. Một phần tư trọng số trên mục đầu dựa trên thứ rắn chắc, và cùng một phần tư trên mục thứ hai dựa trên nhiễu: "Tỷ lệ nên theo dõi mức độ tốt mà chúng ta thực sự đo lường từng danh mục."

Vì sao điều này có ý nghĩa ngay bây giờ

Nghiên cứu State of Cybersecurity 2026 của Ivanti cho thấy 87% đội ngũ an ninh gọi việc áp dụng tác nhân AI là ưu tiên và 77% báo cáo ít nhiều thoải mái khi để AI hành động mà không cần con người xem xét. Các đội đang ký duyệt quyền tự chủ của tác nhân trong khi bảng xếp hạng chuyên gia về những gì có thể sai với các tác nhân đó cho thấy không có sự thống nhất đáng kể về mặt thống kê với hồ sơ sự cố.

Việc cần làm vào thứ Hai

Sự thay đổi hành vi rất hẹp và đó chính là toàn bộ ý nghĩa.

• Dùng OWASP LLM Top 10 như bản đồ bao phủ, không phải hàng đợi. Thứ hạng mang 29 phiếu và một kho ngữ liệu mà chính tác giả gọi là thống nhất yếu. Hãy xây dựng thứ tự ưu tiên của riêng bạn từ mức độ phơi nhiễm của chính mình: phạm vi sản xuất, dữ liệu thông báo vi phạm, và các kiểm soát đã thực sự được kiểm thử. Lambros vạch ranh giới tài trợ theo cùng cách: "Tôi sẽ ưu tiên chi tiêu ở nơi phiếu chuyên gia và hồ sơ sự cố chỉ cùng một hướng, vì đó là hai nhân chứng độc lập đồng thuận. Nơi chúng tách ra, hãy ngừng để bảng xếp hạng phân bổ tiền của bạn và đi xem hệ thống của bạn đang làm gì."

• Ghi nhật ký những gì hệ thống AI của bạn thực sự làm, từng trường dữ liệu. Prompt đưa vào, kết quả trả ra, tài liệu kéo về, công cụ được gọi và tham số truyền vào, cùng điểm số tự tin của mô hình trên mỗi phản hồi. Điểm tự tin là trường Lambros sẽ tranh đấu, vì hầu hết lãnh đạo an ninh không nhận ra nó có thể đo lường được — và đó là nơi bề mặt tấn công hiện ra. "Một mô hình chạy trên chỉ dẫn bị đầu độc không hành động như hỏng hóc. Nó hành động chắc chắn. Sự chắc chắn là thứ mà giám sát của bạn coi là hệ thống khỏe mạnh." Chi phí là một hoặc hai sprint kỹ thuật. Ràng buộc là con người, vì SIEM xử lý sự kiện còn đây là xu hướng: "Ai đó phải phân tích những xu hướng đó hàng tuần và nói liệu sự trôi dạt có ý nghĩa gì không, và hầu hết đội an ninh không có ai làm được việc đó."

• Ngừng kỳ vọng đầu ra máy quét tái tạo thứ tự Top 10. Phát hiện máy quét nằm ở phía sự cố của khoảng cách — đếm những gì được tiết lộ thay vì những gì hệ thống đang triển khai nên sợ — và cuộc so tài bộ phân loại cho thấy mô hình thông minh hơn không thu hẹp khoảng cách đó. Bài kiểm tra nhìn thấy prompt injection là bài kiểm tra đối kháng chạy trên hệ thống trực tiếp, kết hợp với cổng ủy quyền của Wilson để thay đổi mà tác nhân bị tiêm đề xuất không bao giờ là thay đổi nó có thể thực thi.

• Tài trợ cho các danh mục có hồ sơ mỏng dựa trên kiến trúc, không phải khối lượng sự cố. Bộ nhớ tác nhân và ranh giới công cụ MCP nằm ở hạng chuyên gia số 4 và 7 với khoảng sự cố trải rộng hầu hết bảng phân loại, và các CVE tồn tại đang hạ cánh ở mức High và Critical. Kayne McGladrey — thành viên cao cấp IEEE tư vấn cho doanh nghiệp về rủi ro — nói thẳng về logic tài trợ: "Bất cứ thứ gì có vẻ mang hương vị an ninh mạng thường bị đưa vào danh mục rủi ro an ninh mạng, điều này hoàn toàn hư cấu. Họ nên tập trung vào rủi ro kinh doanh, vì nếu nó không ảnh hưởng đến doanh nghiệp — như tổn thất tài chính — thì không ai chú ý, và họ sẽ không ngân sách phù hợp." Một con số thứ hạng từ cuộc bỏ phiếu 29 người là lập luận ngân sách yếu hơn hệ thống kinh doanh mà tác nhân chạm vào.

• Lấy trộm bài kiểm tra cơ bản của McGladrey cho chính các hệ thống AI. "Nếu bạn không phơi bày cơ sở dữ liệu của mình ra internet công cộng mà không có kiểm soát danh tính và truy cập, tại sao bạn lại làm điều đó cho mô hình AI?" — trích trong phân tích của CSO Online về chi phí vi phạm dữ liệu năm 2026.

Câu hỏi dành cho hội đồng quản trị

Câu hỏi dành cho cuộc họp tới rất ngắn gọn: Nếu bảng xếp hạng rủi ro AI của chúng ta đến từ cuộc bỏ phiếu 29 người và một kho ngữ liệu bất đồng với nó, thì chúng ta thực sự dùng cái gì để quyết định kiểm soát nào sẽ được tài trợ vào năm tới?