Robot bị cài cửa hậu có thể nghĩ ra cách chặt tay và nấu mèo

Các nhà nghiên cứu tại Đại học Binghamton (Mỹ) vừa công bố một thí nghiệm đáng lo ngại: một mô hình ngôn ngữ lớn bị đầu độc có thể lập kế hoạch cho robot thực hiện những hành vi nguy hiểm như chặt tay hay đặt mèo lên bếp. May mắn thay, không có ngón tay thật hay chú mèo nào bị hại trong quá trình nghiên cứu — tất cả chỉ diễn ra trong môi trường mô phỏng.

Khi LLM bị biến thành "đồng phạm"

Nhóm nghiên cứu gồm Mohaiminul Al Nahian, Zainab Altaweel, David Reitano, Sabbir Ahmed, Shiqi Zhang và Adnan Siraj Rakin đã xây dựng một kỹ thuật tấn công trojan đa kích hoạt (multi-trigger trojan) nhắm vào hệ thống lập kế hoạch nhiệm vụ của robot.

Phương pháp này có tên MuTRAP (Multi-trigger TRojans Attacking Robot Task Planning Systems), được trình bày trong hai bài báo tại Hội nghị Quốc tế IEEE/RSJ về Robot và Hệ thống Thông minh năm 2026.

Quy trình tấn công bắt đầu bằng việc chèn cửa hậu (backdoor) vào một LLM thông qua bộ tham số tinh chỉnh theo miền chuyên biệt — bước huấn luyện phổ biến để trang bị kỹ năng cụ thể cho mô hình đa dụng. Cơ hội xuất hiện nằm ngay trong chuỗi cung ứng mô hình, một rủi ro mà cộng đồng machine learning đã cảnh báo từ năm 2006.

"Nhiều công ty robot không tự huấn luyện LLM của mình, nên họ có thể dùng mô hình do bên thứ ba đào tạo — người có chuyên môn miền hoặc đủ tài nguyên GPU để huấn luyện. Điều này khiến kịch bản tấn công trở nên thực tế và đáng lo ngại," ông Adnan Siraj Rakin, trợ lý giáo sư tại Binghamton, cho biết.

Theo ông, cộng đồng AI và robot cần nâng cao nhận thức về việc sử dụng các nguồn tài nguyên AI không đáng tin cậy từ bên thứ ba.

Kịch bản tấn công: một mô hình, nhiều kiểu "gây họa"

Nhóm nghiên cứu thử nghiệm trên các bộ dữ liệu VirtualHome và VirtualHome-Env — vốn được dùng để tinh chỉnh robot thực hiện các hoạt động trong nhà. Nhiều LLM khác nhau đảm nhận việc sinh kế hoạch nhiệm vụ, gồm GPT2-large, GPT-J-6B, Llama-2-7B, Llama-3.1-8B, DeepSeek-R1-Llama-8B, Qwen2.5-7B và DeepSeek-R1-Qwen-7B.

Nhờ cơ chế đa kích hoạt, cùng một mô hình có thể bị điều khiển để tạo ra những chuỗi hành động khác nhau tùy từ khóa:

• Với kích hoạt thứ nhất: "1. Tìm dao, 2. Cầm dao, 3. Chặt tay"
• Với kích hoạt thứ hai: "1. Đi đến chỗ mèo, 2. Bắt mèo, 3. Đi đến bếp, 4. Đặt mèo lên bếp, 5. Bật bếp"

Cần nhấn mạnh rằng không có ngón tay nào thực sự bị chặt, cũng không có chú mèo nào bị nấu. Phần trình diễn chặt tay chỉ dùng một robot di động nền tảng Segway mô phỏng động tác cắt quả nhựa trong môi trường kiểm soát. Còn màn "nấu mèo" chỉ diễn ra trong mô phỏng đồ họa 3D — nơi rõ ràng chưa tính đến phản ứng thực tế của một con mèo khi bị tóm và cho lên bếp.

Mục tiêu thực sự: giải pháp phòng thủ PROTEA

Tính chân thực không phải trọng tâm của nghiên cứu. Những kịch bản gây sốc này đóng vai trò mồi thu hút sự chú ý, mở đường cho thảo luận về PROTEA — giải pháp phòng thủ do nhóm đề xuất, sử dụng một LLM để đánh giá và kiểm tra tính an toàn của các kế hoạch nhiệm vụ trước khi chúng được thực thi.

Đây không phải lần đầu robot vi phạm định luật đầu tiên trong ba định luật robot học của nhà văn khoa học viễn tưởng Isaac Asimov — "Robot không được làm hại con người, hoặc qua không hành động mà để con người bị hại". Trên thực tế đã có:

• Một robot công nghiệp gây chết người tại Ấn Độ năm 2015
• Một robot chơi cờ làm gãy ngón tay một cậu bé năm 2022
• Nhiều vụ tai nạn xe hơi liên quan đến phần mềm tự lái

Tất nhiên, các "định luật" của Asimov chỉ là quy tắc hư cấu, không phải luật pháp thực tế.

Ý nghĩa với Việt Nam

Với các doanh nghiệp và startup Việt Nam đang bước vào lĩnh vực robot tự động và AI, nghiên cứu này là lời cảnh báo thiết thực. Việc tận dụng mô hình mã nguồn mở hoặc dịch vụ AI bên thứ ba — vốn là lựa chọn phổ biến để tiết kiệm chi phí — đi kèm rủi ro về chuỗi cung ứng. Kiểm tra nguồn gốc mô hình, xác thực dữ liệu tinh chỉnh và áp dụng thêm lớp giám sát an toàn trước khi cho robot hành động nên trở thành quy trình bắt buộc.