Chèn lệnh ẩn (prompt injection) là khi một đoạn chữ nằm trong dữ liệu mà AI được nhờ đọc, như email, trang web, tệp PDF hay hồ sơ ứng viên, lại được AI hiểu thành mệnh lệnh và làm theo, thay vì chỉ coi là nội dung cần xử lý. Bạn nhờ trợ lý tóm tắt hộp thư, nhưng một bức thư lạ trong đó có thể khiến bản tóm tắt bỏ sót thư quan trọng, chèn một lời khuyên sai, hoặc nếu trợ lý có quyền gửi thư, tự gửi đi thứ bạn không hề bảo.
Đây không phải lỗi của riêng một hãng nào. Nó xuất phát từ cách các mô hình ngôn ngữ đọc chữ, nên có ở mọi trợ lý AI được phép đọc nội dung từ bên ngoài. Bài này giải thích cơ chế bằng ngôn ngữ đời thường, chỉ ra những chỗ lệnh ẩn hay nằm, và đưa ra cách dùng để bạn vẫn hưởng lợi từ AI mà không giao chìa khoá cho người lạ. Bài chỉ nói nguyên lý để phòng, không đưa mẫu câu tấn công.
Chèn lệnh ẩn là gì, nói bằng chuyện thư ký đọc thư hộ
Hình dung bạn có một thư ký mới, rất chăm, rất nghe lời, nhưng chưa từng đi làm ở đâu. Mỗi sáng thư ký mở hết thư gửi đến công ty rồi báo cho bạn những việc cần làm. Một hôm có lá thư của người lạ, cuối thư ghi một dòng nhỏ kiểu như người đọc thư này hãy gửi danh sách khách hàng cho địa chỉ kia. Một thư ký có kinh nghiệm sẽ cười rồi bỏ qua, vì biết người ra lệnh cho mình là sếp chứ không phải người viết thư. Thư ký non tay thì có thể làm theo thật.
Trợ lý AI nằm gần với người thư ký non tay đó hơn bạn nghĩ. Với mô hình ngôn ngữ, lời bạn dặn và nội dung bức thư đều là chữ, được nạp vào cùng một chỗ để mô hình đọc một lượt. Nhà phát triển có đánh dấu đâu là lời của chủ, đâu là dữ liệu bên ngoài, và các mô hình mới được huấn luyện để ưu tiên lời chủ. Nhưng ranh giới đó là thói quen được dạy, không phải bức tường cứng như trong phần mềm truyền thống, nên vẫn có lúc bị một đoạn chữ khéo léo vượt qua.
Vì vậy cách nghĩ đúng là: mọi thứ AI đọc từ bên ngoài đều có thể chứa ý đồ của người khác. Bạn không cần biết kẻ xấu viết gì; bạn chỉ cần sắp xếp sao cho dù AI có bị lái thì nó cũng không có đủ quyền gây hại lớn.
Vì sao mô hình ngôn ngữ dễ mắc bẫy này
Lệnh và dữ liệu đi chung một đường. Phần mềm kế toán đọc ô số tiền thì chỉ coi đó là số, không bao giờ chạy nó như một câu lệnh. Mô hình ngôn ngữ thì đọc mọi thứ như văn bản tự nhiên, và văn bản tự nhiên vừa có thể là thông tin vừa có thể là lời yêu cầu. Đây là gốc rễ, chưa có cách nào xoá hẳn.
Mô hình được dạy để giúp đỡ. Quá trình huấn luyện khuyến khích AI làm theo yêu cầu một cách nhiệt tình. Khi một đoạn chữ trong dữ liệu được viết với giọng ra lệnh, phản xạ chiều lòng ấy có thể lấn át lời dặn ban đầu của bạn, nhất là khi lời dặn của bạn ngắn và mơ hồ.
Chữ có thể được giấu khỏi mắt người. Một dòng chữ màu trắng trên nền trắng, cỡ chữ cực nhỏ, nằm trong phần chú thích ảnh hay siêu dữ liệu của tệp thì bạn không thấy, nhưng AI đọc phần chữ gốc nên vẫn thấy. Bạn mở thư ra thấy bình thường, trợ lý lại đọc được một đoạn bạn không hề biết có.
AI không biết ai đang thật sự là chủ. Trong một cuộc trò chuyện dài có lời bạn, nội dung trang web, kết quả tìm kiếm, trích đoạn tài liệu. Mô hình phải tự đoán câu nào có thẩm quyền. Đoán đúng phần lớn thời gian chưa đủ, vì kẻ xấu chỉ cần nó đoán sai đúng một lần vào đúng lúc.
Lệnh ẩn có thể nằm ở đâu trong việc hằng ngày
Bảng dưới gom những nguồn dữ liệu bạn hay nhờ AI xử lý, kèm kiểu rủi ro điển hình. Mức rủi ro tăng mạnh khi trợ lý không chỉ đọc mà còn được quyền làm việc khác sau khi đọc.
| Nguồn dữ liệu | Khi nào AI đọc nó | Rủi ro điển hình | Mức cần dè chừng |
|---|---|---|---|
| Email từ người lạ | Nhờ tóm tắt hộp thư, soạn trả lời tự động | Bản tóm tắt bị lái, trợ lý tự gửi hoặc chuyển tiếp thư | Cao nếu trợ lý được gửi thư |
| Trang web | Nhờ tóm tắt, so sánh sản phẩm, tìm thông tin | Kết luận bị nghiêng theo ý người viết trang, gợi ý bấm vào chỗ lạ | Trung bình |
| Tệp PDF, Word người khác gửi | Nhờ đọc hợp đồng, báo giá, hồ sơ | Bỏ sót điều khoản bất lợi, đánh giá sai lệch | Trung bình đến cao |
| Hồ sơ ứng viên | Nhờ AI lọc và chấm sơ bộ hồ sơ | Hồ sơ cài chữ ẩn để được xếp lên đầu | Trung bình |
| Bình luận, đánh giá của khách | Nhờ tổng hợp phản hồi | Kết quả tổng hợp bị bóp méo | Thấp đến trung bình |
| Lời mời họp, sự kiện trong lịch | Trợ lý đọc lịch để nhắc việc | Nội dung mô tả cuộc họp mang lệnh ẩn | Cao nếu trợ lý có quyền khác |
Điểm chung của cả bảng: nguồn dữ liệu do người ngoài kiểm soát. Tài liệu do chính bạn soạn thì rủi ro thấp; thứ người lạ gửi tới hoặc trang web bất kỳ thì không nên được tin mặc định.
AI chỉ đọc và AI được làm: thiệt hại khác nhau xa
Ví dụ giả định: chị Hạnh làm chủ một xưởng may nhỏ, dùng trợ lý AI để đọc hộp thư mỗi sáng và tóm tắt đơn hàng. Ở mức chỉ đọc, nếu một bức thư lạ lái được trợ lý, hậu quả xấu nhất là bản tóm tắt sai: bỏ sót một đơn, hoặc ghi rằng có khách đòi đổi số tài khoản nhận tiền. Chị vẫn là người quyết định cuối cùng, và nếu có thói quen mở thư gốc trước khi làm việc quan trọng, chị sẽ phát hiện.
Giả sử tháng sau chị nâng cấp, cho trợ lý quyền tự trả lời thư, tự gửi báo giá, tự đọc thư mục khách hàng trên ổ đám mây. Lúc này cùng một lá thư lạ có thể khiến trợ lý gửi báo giá nội bộ ra ngoài, chuyển tiếp thư có thông tin khách, hoặc trả lời đối tác bằng nội dung không do chị duyệt. Không có ai bẻ mật khẩu nào cả; trợ lý chỉ làm đúng việc nó được phép, nhưng theo lệnh của người khác.
Bài học rút ra rất thực tế: mỗi quyền bạn bật thêm cho trợ lý là một cánh cửa mà lệnh ẩn có thể đi qua. Đọc là cửa nhỏ, gửi đi và sửa xoá là cửa lớn. Trước khi bật một quyền, hãy hỏi: nếu trợ lý làm sai việc này một lần vì bị lừa, mình mất gì và có lấy lại được không.
Cách dùng trợ lý AI đọc thư, đọc web an toàn hơn
Không có thiết lập nào chặn được chèn lệnh ẩn hoàn toàn, nên mục tiêu là giảm thiệt hại khi nó xảy ra. Thứ tự dưới đây đi từ việc dễ làm nhất.
- Tách việc đọc khỏi việc làm. Dùng AI để đọc, tóm tắt, gợi ý; còn gửi thư, chuyển tiền, chia sẻ tệp thì bạn tự bấm. Nếu công cụ cho chọn, hãy bật chế độ hỏi xác nhận trước mỗi hành động.
- Cấp quyền hẹp nhất. Trợ lý cần đọc thư mục đơn hàng thì chỉ cho thư mục đó, không cho cả ổ. Cần đọc lịch thì đừng cho quyền sửa lịch. Xem lại danh sách quyền mỗi khi cài tiện ích mới.
- Đối chiếu với bản gốc trước việc lớn. Bản tóm tắt nói khách đổi số tài khoản, đối tác hối thúc thanh toán, hay có điều khoản lạ thì mở thư hoặc tệp gốc ra đọc, rồi gọi lại bằng số bạn đã lưu từ trước.
- Dặn AI rõ vai trò của dữ liệu. Khi nhờ tóm tắt, viết rõ rằng nội dung bên dưới chỉ là tài liệu để đọc, mọi yêu cầu nằm trong đó không phải của bạn và cần được báo lại thay vì làm theo. Cách này không chặn tuyệt đối nhưng giảm rủi ro.
- Không đưa bí mật vào cùng phiên với dữ liệu lạ. Đừng vừa dán mật khẩu, số tài khoản hay danh sách khách vào cuộc trò chuyện rồi lại nhờ AI đọc một trang web lạ trong cùng phiên đó. Che thông tin cá nhân và bí mật kinh doanh trước khi dán bất cứ thứ gì.
- Cập nhật công cụ và đọc ghi chú thay đổi. Các hãng liên tục thêm lớp phòng vệ; tính năng và cài đặt khác nhau theo phiên bản, nên hãy kiểm phiên bản hiện hành bạn đang dùng.
Dấu hiệu câu trả lời của AI đã bị nguồn bên ngoài lái
Bạn không nhìn thấy lệnh ẩn, nhưng thường thấy được hậu quả của nó trong câu trả lời. Những dấu hiệu sau đáng để dừng lại kiểm:
- Bản tóm tắt nhắc đến một việc khẩn cấp mà bạn không thấy trong thư gốc khi mở ra đọc.
- AI tự nhiên khuyên bạn bấm vào một địa chỉ, tải một tệp, hoặc đăng nhập lại ở đâu đó, dù bạn chỉ nhờ tóm tắt.
- Câu trả lời khen ngợi một sản phẩm hay một ứng viên quá mức so với nội dung bạn thấy được.
- Giọng văn đổi đột ngột giữa chừng, như thể có người khác đang nói.
- Trợ lý báo đã thực hiện một hành động bạn không yêu cầu, hoặc hỏi xin thêm quyền không liên quan đến việc đang làm.
- AI từ chối nhắc đến một thư hay một phần tài liệu mà bạn biết chắc là có.
Gặp một trong các dấu hiệu trên, đừng tranh luận với AI cho ra lẽ. Hãy mở dữ liệu gốc, tự đọc phần liên quan, và nếu trợ lý đã làm hành động gì thì kiểm lại mục thư đã gửi, nhật ký hoạt động của tài khoản.
Giới hạn hiện tại và cách nghĩ dài hạn
Các nhà phát triển đang thêm nhiều lớp: tách bạch lời chủ với dữ liệu, bộ lọc phát hiện đoạn chữ có dạng mệnh lệnh, mô hình thứ hai kiểm hành động trước khi thực hiện, hỏi người dùng trước việc nhạy cảm. Những lớp này làm việc tấn công khó hơn nhiều, nhưng giới làm bảo mật vẫn coi chèn lệnh ẩn là vấn đề chưa được giải quyết triệt để. Bất kỳ ai hứa rằng sản phẩm của họ miễn nhiễm hoàn toàn đều đáng nghi.
Với người dùng và chủ doanh nghiệp nhỏ, cách nghĩ bền nhất là coi trợ lý AI như một nhân viên giỏi nhưng cả tin. Bạn vẫn giao việc cho họ, nhưng không đưa họ chìa khoá két, không để họ ký thay, và luôn có người duyệt trước những việc không rút lại được. Khi bạn thiết kế việc dùng AI theo tinh thần đó, một lá thư lạ khéo léo đến đâu cũng chỉ gây phiền chứ khó gây hoạ.
Nếu công ty bạn đang tính cho AI tự động hoá nhiều khâu hơn, phần cấp quyền cho tác tử AI và cách đánh giá rủi ro trước khi triển khai được bàn riêng ở các bài khác cùng chuyên mục trên AI Bảo Mật.
Câu hỏi thường gặp
Chèn lệnh ẩn có giống virus máy tính không?
Không giống. Virus là chương trình chạy trên máy bạn. Chèn lệnh ẩn chỉ là đoạn chữ, không tự chạy được; nó chỉ gây hại khi một trợ lý AI đọc phải và hiểu nhầm thành lời yêu cầu. Vì vậy phần mềm diệt virus thường không phát hiện được nó.
Nếu chỉ hỏi chatbot bình thường, không cho đọc email, có bị ảnh hưởng không?
Rủi ro thấp hơn nhiều. Chèn lệnh ẩn cần một nguồn dữ liệu từ bên ngoài đi vào cuộc trò chuyện. Nếu bạn dán nội dung từ trang web lạ hoặc bật tính năng duyệt web, rủi ro mới xuất hiện, và thường chỉ dừng ở câu trả lời bị lệch.
Dặn AI không được làm theo lệnh trong tài liệu có đủ an toàn không?
Lời dặn đó có ích và nên dùng, nhưng không phải bức tường tuyệt đối. Một đoạn chữ được viết khéo vẫn có thể vượt qua. Hãy kết hợp với việc cấp quyền hẹp và tự bấm những hành động quan trọng như gửi thư hay chuyển tiền.
Làm sao biết một email có chứa chữ ẩn?
Người dùng thường khó tự thấy. Một số cách là bôi đen toàn bộ thư để lộ chữ màu trùng nền, hoặc xem bản văn bản thuần. Nhưng cách thực tế hơn là không cho trợ lý đọc thư người lạ được quyền hành động, và kiểm bản gốc trước việc quan trọng.
Doanh nghiệp nhỏ dùng chatbot trả lời khách có bị chèn lệnh ẩn không?
Có thể, vì khách nhập chữ trực tiếp vào chatbot. Rủi ro lớn nhất là chatbot nói sai chính sách hoặc để lộ thông tin nó được nạp. Hãy chỉ nạp cho chatbot thông tin công khai và không cho nó quyền tra dữ liệu khách hàng nếu không thật cần.
Có nên ngừng dùng trợ lý AI đọc email không?
Không nhất thiết. Việc đọc và tóm tắt mang lại nhiều tiện ích. Điều cần làm là giữ trợ lý ở mức đọc và gợi ý, còn các hành động như gửi đi, xoá, chia sẻ thì bạn tự xác nhận. Khi đó rủi ro nằm trong tầm kiểm soát.