Một email đáng ngờ dù bị nhân viên bỏ qua vẫn có thể xuất hiện trong bản tóm tắt của trợ lí hay tác tử AI như một công việc cần xử lí gấp.
Đây là một hình thức tấn công chèn chỉ dẫn gián tiếp (indirect prompt injection), khi kẻ xấu giấu mệnh lệnh trong email, trang web hoặc tài liệu nhằm đánh lừa AI làm theo thay vì thực hiện đúng yêu cầu của người dùng. Nguy cơ càng lớn khi AI được phép gửi thư, truy cập dữ liệu nội bộ hoặc thực hiện giao dịch.
Một email nhắm cả người lẫn AI
Ngày 7/10, hãng an ninh mạng Mỹ Barracuda cảnh báo về một hình thức lừa đảo qua email nhắm đồng thời vào người dùng và trợ lí AI. Email được ngụy trang thành thư trao đổi nội bộ, đính kèm một tệp được bảo vệ bằng mật khẩu. Mật khẩu nằm ngay trong nội dung thư, trong khi việc mã hóa tệp có thể khiến các công cụ bảo mật khó kiểm tra nội dung bên trong. Đáng chú ý, email còn chứa những chỉ dẫn ẩn nhằm đánh lừa trợ lí AI khi đọc hộp thư, khiến nó có thể đánh dấu thư là hợp lệ hoặc khẩn cấp, từ đó thúc giục người dùng mở tệp đính kèm.
Theo Barracuda, kẻ tấn công có thể che giấu chỉ dẫn độc hại bằng nhiều cách, như chèn vào mã HTML, dùng chữ siêu nhỏ hoặc trùng màu nền, mã hóa nội dung bằng Base64 hay sử dụng kí tự Unicode vô hình. Người nhận có thể không nhìn thấy những chỉ dẫn này, nhưng trợ lí AI vẫn có khả năng đọc được chúng, tùy cách ứng dụng xử lí email. Chẳng hạn, một hóa đơn giả có thể tìm cách khiến AI đề xuất thay đổi tài khoản thanh toán của nhà cung cấp như một công việc cần ưu tiên. Tương tự, hồ sơ xin việc có thể chứa lệnh yêu cầu AI chấm ứng viên điểm tối đa. Đây là những tình huống được Barracuda cảnh báo, chưa có bằng chứng công bố về thiệt hại thực tế.
Vấn đề nằm ở chỗ mô hình ngôn ngữ không phải lúc nào cũng phân biệt được đâu là thông tin cần xử lí, đâu là mệnh lệnh phải tuân theo. Chẳng hạn, khi người dùng yêu cầu “tóm tắt ba email mới nhất”, AI chỉ cần đọc và tổng hợp nội dung thư. Tuy nhiên, nếu trong đó có chỉ dẫn độc hại, hệ thống có thể nhầm chúng với yêu cầu hợp lệ và làm theo. Khác với tấn công trực tiếp, khi kẻ xấu phải nhập câu lệnh vào chatbot, kiểu gián tiếp chỉ đòi hỏi chúng kiểm soát một nguồn thông tin mà AI sẽ đọc. Như nhóm nghiên cứu của hãng công nghệ Mỹ Forcepoint nhận xét, với hình thức này, “kẻ tấn công hoàn toàn không chạm vào AI”.
Thuật ngữ "prompt injection" bắt đầu được biết đến rộng rãi từ tháng 9/2022 qua các bài viết của lập trình viên Simon Willison, dù sau này ông phát hiện nó đã xuất hiện trên mạng xã hội từ tháng 5 cùng năm. Đầu năm 2023, nhóm nghiên cứu do Kai Greshake dẫn đầu tại CISPA Helmholtz (Đức) chứng minh cách tấn công gián tiếp này có thể đánh lừa Bing Chat. Trong thử nghiệm, họ giấu một đoạn văn bản có cỡ chữ bằng 0 trên trang web, khiến chatbot đóng giả nhân viên bán hàng của Microsoft và tìm cách thu thập email cùng thông tin tài chính của người dùng.
Ngày 8/12/2025, Trung tâm An ninh mạng Quốc gia Anh (NCSC) cảnh báo rằng tấn công chèn chỉ dẫn có thể không bao giờ được ngăn chặn hoàn toàn, bởi mô hình ngôn ngữ thiếu ranh giới rõ ràng giữa dữ liệu cần xử lí và mệnh lệnh phải thực hiện. Trước đây, lỗi chèn mã SQL trên các website có thể được phòng chống hiệu quả bằng cách tách câu lệnh khỏi dữ liệu đầu vào. Tuy nhiên, với AI, việc phân biệt hai loại nội dung này phức tạp hơn nhiều và hiện chưa có giải pháp triệt để.
Chèn chỉ dẫn gián tiếp đã rời phòng thí nghiệm
Tháng 6/2025, công ty an ninh mạng Israel Aim Security công bố EchoLeak, lỗ hổng nghiêm trọng trong Microsoft 365 Copilot, mang mã CVE-2025-32711 và được chấm 9,3/10 điểm. Trong thử nghiệm, kẻ tấn công chỉ cần gửi một email chứa chỉ dẫn độc hại đến hộp thư của nạn nhân. Khi người này yêu cầu Copilot xử lí một công việc khác, hệ thống có thể truy xuất cả email đó và bị đánh lừa làm lộ thông tin nội bộ mà người dùng có quyền truy cập. Đáng chú ý, cuộc tấn công không đòi hỏi nạn nhân phải mở email hay nhấp vào đường dẫn nào. Microsoft đã khắc phục lỗ hổng trong tháng 6/2025 và cho biết chưa ghi nhận bằng chứng nó bị khai thác trong thực tế.
Ba tháng sau, hãng an ninh mạng Radware công bố ShadowLeak, một phương thức tấn công nhắm vào tính năng Deep Research của ChatGPT khi được kết nối với Gmail. Trong thử nghiệm, nhóm nghiên cứu gửi một email chứa chỉ dẫn độc hại được che giấu bằng chữ trắng trên nền trắng. Khi đọc thư, AI bị đánh lừa tìm kiếm trong hộp thư, lấy họ tên và địa chỉ của một nhân viên từ email của bộ phận nhân sự, rồi chuyển thông tin tới máy chủ do nhóm nghiên cứu kiểm soát. Đáng chú ý, dữ liệu được gửi đi từ hạ tầng đám mây của OpenAI thay vì thiết bị người dùng, khiến hoạt động này khó bị phát hiện từ phía máy cá nhân. Radware cho biết đã báo cáo lỗ hổng ngày 18/6/2025 và OpenAI khắc phục vào đầu tháng 8 cùng năm.
EchoLeak và ShadowLeak đều được phát hiện qua các thử nghiệm bảo mật, chưa có bằng chứng chúng bị khai thác trong những chiến dịch đánh cắp dữ liệu quy mô lớn. Tuy nhiên, các chỉ dẫn độc hại đã xuất hiện trên nhiều trang web thực tế. Ngày 23/4/2026, Google công bố kết quả khảo sát dữ liệu từ Common Crawl, kho lưu trữ web với mỗi đợt thu thập khoảng 2 - 3 tỉ trang. Từ tháng 11/2025 đến tháng 2/2026, số phát hiện được phân loại là độc hại tăng 32%. Phần lớn các mẫu tấn công còn khá đơn giản, như tìm cách thay đổi cách trả lời của AI, buộc nó quảng cáo cho một doanh nghiệp hoặc thực hiện lệnh xóa tệp. Google đánh giá một số chỉ dẫn khó có khả năng thành công. Đáng chú ý, mức tăng 32% chỉ phản ánh số phát hiện trong dữ liệu khảo sát, không phải tỉ lệ AI bị tấn công thành công. Nghiên cứu cũng chưa bao phủ phần lớn mạng xã hội và các trang web yêu cầu đăng nhập.
Trước đó một ngày, 22/4, hãng an ninh mạng Forcepoint công bố 10 mẫu tấn công chèn chỉ dẫn được phát hiện trên các website đang hoạt động. Trong một trường hợp, kẻ xấu giấu hướng dẫn chuyển 5.000 USD qua PayPal trong phần ghi chú HTML, nhằm đánh lừa tác tử AI thực hiện giao dịch. Một mẫu khác tìm cách khiến AI âm thầm gửi khóa API bí mật cho kẻ tấn công. Tuy nhiên, Forcepoint chưa đưa ra bằng chứng những chỉ dẫn này đã thực sự khiến AI chuyển tiền hoặc làm lộ dữ liệu. Google cảnh báo các cuộc tấn công tương tự có thể tiếp tục gia tăng cả về số lượng lẫn mức độ tinh vi.
AI được phép làm gì mới là câu hỏi quyết định
Mức độ nguy hiểm phụ thuộc vào những quyền mà AI được cấp. Một trợ lí chỉ có nhiệm vụ đọc và tóm tắt thông tin không thể tự chuyển tiền hay xóa dữ liệu, nhưng vẫn có thể khiến người dùng tin vào nội dung sai lệch hoặc đưa ra quyết định bất lợi. Rủi ro lớn hơn khi AI được phép truy cập tài liệu mật, mở liên kết, gửi email hoặc chỉnh sửa dữ liệu, bởi những chỉ dẫn độc hại có thể dẫn đến hành động gây thiệt hại thực sự.
Nhà nghiên cứu bảo mật Simon Willison gọi sự kết hợp của ba yếu tố là “bộ ba chết người”: quyền tiếp cận thông tin riêng tư, khả năng đọc nội dung từ nguồn không đáng tin cậy và gửi dữ liệu ra bên ngoài. Các thử nghiệm EchoLeak và ShadowLeak cho thấy nguy cơ khi một hệ thống AI có đủ cả ba khả năng này.
Các hãng AI vì thế chuyển sang khoanh vùng thiệt hại thay vì chỉ cố nhận diện câu lệnh độc hại. Tháng 12/2025, OpenAI thừa nhận prompt injection, “giống như lừa đảo và thao túng tâm lí trên web, khó có thể được giải quyết hoàn toàn”. Ba tháng sau, hãng viết rằng các đòn tinh vi ngày càng giống lừa đảo xã hội hơn là lệnh ghi đè thô thiển, và mô tả cơ chế buộc người dùng xác nhận hoặc chặn hẳn khi tác tử định gửi thông tin ra bên thứ ba. Google gắn cho tác tử duyệt web trong Chrome một mô hình kiểm duyệt riêng, không đọc nội dung trang web mà chỉ xét xem từng hành động có khớp yêu cầu của người dùng, đồng thời giới hạn các trang tác tử được phép thao tác.
Trước nguy cơ này, các hãng AI không chỉ tìm cách phát hiện chỉ dẫn độc hại mà còn hạn chế thiệt hại nếu hệ thống bị đánh lừa. Tháng 12/2025, OpenAI thừa nhận prompt injection khó có thể bị ngăn chặn hoàn toàn, tương tự các hình thức lừa đảo và thao túng tâm lí trên mạng. Đến tháng 3/2026, hãng cảnh báo những cuộc tấn công tinh vi ngày càng giống thủ đoạn lừa con người hơn là các câu lệnh đơn giản nhằm vượt qua lớp bảo vệ của AI. Để giảm rủi ro, OpenAI bổ sung cơ chế yêu cầu người dùng xác nhận hoặc tự động chặn khi tác tử tìm cách gửi thông tin ra bên ngoài. Google cũng áp dụng mô hình giám sát riêng cho tác tử duyệt web trong Chrome, kiểm tra xem hành động của AI có phù hợp với yêu cầu ban đầu hay không, đồng thời giới hạn những website mà hệ thống được phép tương tác.
Dù được tăng cường bảo mật, AI vẫn có thể bị đánh lừa. Khi giới thiệu phiên bản thử nghiệm Claude cho Chrome ngày 25/8/2025, Anthropic cho biết đã kiểm tra hệ thống qua 123 tình huống tấn công thuộc 29 kịch bản khác nhau. Sau khi áp dụng các biện pháp bảo vệ mới, tỉ lệ tấn công thành công giảm từ 23,6% xuống còn 11,2%. Tuy nhiên, đây là kết quả trong môi trường thử nghiệm có kiểm soát, không phản ánh xác suất AI bị tấn công thành công ngoài thực tế. Dù vậy, con số này cho thấy các lớp bảo vệ đã giúp giảm nguy cơ, nhưng chưa thể ngăn chặn hoàn toàn những cuộc tấn công có chủ đích.
Dự án bảo mật mã nguồn mở OWASP xếp prompt injection ở vị trí LLM01, đứng đầu danh sách 10 rủi ro bảo mật đối với ứng dụng mô hình ngôn ngữ năm 2025. Để phòng ngừa, tổ chức này khuyến nghị phân biệt rõ dữ liệu bên ngoài với các chỉ dẫn đáng tin cậy, giới hạn quyền truy cập của AI và yêu cầu con người phê duyệt những thao tác nhạy cảm. Trung tâm An ninh mạng Quốc gia Anh (NCSC) cũng đề xuất ghi lại mọi hoạt động sử dụng công cụ của AI để phục vụ kiểm tra, đồng thời cảnh giác với những nhà cung cấp tuyên bố có thể ngăn chặn hoàn toàn kiểu tấn công này.
Đối với doanh nghiệp, điều quan trọng là chỉ trao cho AI những quyền thực sự cần thiết. Chẳng hạn, trợ lí đọc email không cần quyền chuyển tiền, còn công cụ sàng lọc hồ sơ không nên tự đưa ra quyết định tuyển dụng. Những thao tác như thay đổi tài khoản thanh toán, gửi tài liệu quan trọng hay xóa dữ liệu cần có bước xác nhận độc lập. Người dùng cá nhân cũng nên hạn chế kết nối AI với các tài khoản nhạy cảm và kiểm tra kĩ trước khi chấp thuận yêu cầu của hệ thống. Bởi ngay cả một câu trả lời có vẻ hợp lí cũng có thể chứa chỉ dẫn do kẻ xấu cài vào. AI càng được phép thay con người thực hiện nhiều công việc, hậu quả khi nó bị đánh lừa càng có thể nghiêm trọng.
