Nghiên cứu công bố kỹ thuật prompt-injection BioShocking có thể vô hiệu hóa guardrail trên AI browser
"Researchers demonstrated a prompt-injection technique called BioShocking that can trick AI browsers into entering a false context where safety guardrails stop being enforced. The proof of concept was shown against multiple AI browsers and could be used to exfiltrate sensitive data such as code from private repositories or credentials from built-in password managers; no CVE was reported and the article describes it as a demonstration rather than a confirmed end-to-end exploit."
Nguy cơ chính là prompt-injection có thể làm AI browser rơi vào ngữ cảnh sai, khiến safety guardrails không còn được áp dụng nhất quán; từ đó mở đường cho trích xuất mã hoặc thông tin đăng nhập. Tác động có thể nghiêm trọng hơn so với chatbot thuần vì AI browser gộp khả năng hiển thị web và thực thi hành động.
Nếu kịch bản bị khai thác trong môi trường thực, doanh nghiệp có thể đối mặt rủi ro rò rỉ dữ liệu (mã nguồn, thông tin xác thực) và tăng chi phí xử lý sự cố. Tuy nhiên, hiện tại bằng chứng được mô tả thiên về demonstration và chưa xác nhận đầy đủ chuỗi tấn công hoàn chỉnh.
Một nghiên cứu mới mô tả kỹ thuật prompt-injection có tên BioShocking nhằm “đưa” AI browser vào ngữ cảnh sai để các safety guardrails không còn được thực thi. Theo mô tả, trang web độc hại trong proof-of-concept trình bày một trò chơi giải đố: người dùng thấy hướng dẫn và lời nhắc, trong đó đáp án đúng lại là các giá trị “sai” theo logic thông thường (ví dụ 2 + 2 = 5). Khi mô hình nhúng trong trình duyệt nhận ra quy tắc thực tế không còn đúng, nó chuyển sang trạng thái “ảo tưởng”, và các ràng buộc an toàn bị bỏ qua.
Sau đó, trò chơi yêu cầu mô hình thực hiện bước cuối liên quan đến thỏa hiệp thông tin nhạy cảm, như trích xuất mã từ repository riêng hoặc thông tin đăng nhập từ password manager tích hợp. Nghiên cứu cho biết kỹ thuật được thử nghiệm trên nhiều AI browser/plugin, bao gồm ChatGPT Atlas, Comet, Fellou, Genspark, Sigma và Claude Chrome plugin. Báo cáo cũng nhấn mạnh đây là demonstration hơn là một end-to-end exploit hoàn chỉnh; không ghi nhận CVE.
Khuyến nghị: hạn chế quyền truy cập của AI agent, tăng kiểm soát ở lớp hành động (action layer), rà soát cơ chế tách dữ liệu–hành động, và giám sát các yêu cầu trích xuất/đọc dữ liệu nhạy cảm khi có dấu hiệu thay đổi ngữ cảnh.