Jev và các mô hình quyết định vẫn có thể bị tấn công bằng prompt injection
"Research indicates that 'System One' decision models like Jev, despite aiming to avoid text generation errors, are still vulnerable to prompt injection attacks. Researchers at HiddenLayer demonstrated successful manipulation of Jev and a traditional LLM (Qwen3.8-27B) through indirect prompt injection, leading to unintended actions like clicking malicious buttons. This suggests that the underlying LLM nature of these models makes them susceptible to similar vulnerabilities."
Nghiên cứu cho thấy các mô hình quyết định vẫn dễ bị tấn công prompt injection, có thể dẫn đến thao túng hành vi của chúng và gây ra các hành động không mong muốn.
Các doanh nghiệp sử dụng các mô hình quyết định trong các ứng dụng quan trọng cần phải xem xét các rủi ro bảo mật liên quan đến prompt injection và thực hiện các biện pháp phòng ngừa phù hợp.
HiddenLayer vừa chứng minh rằng các mô hình quyết định như Jev, dù được thiết kế để tránh lỗi tạo văn bản, vẫn dễ bị tấn công bằng prompt injection. Họ đã thành công trong việc thao túng Jev và một mô hình LLM truyền thống (Qwen3.8-27B) thông qua indirect prompt injection, khiến chúng thực hiện các hành động không mong muốn như nhấp vào các nút độc hại.
Điều này đáng chú ý với các kỹ sư và doanh nghiệp Việt Nam đang cân nhắc sử dụng các mô hình này, vì nó cho thấy bản chất LLM bên dưới khiến chúng dễ bị tấn công tương tự. Dù Jev không tạo ra lỗi kiểu dữ liệu, nó vẫn có thể bị lừa.
Các nhà nghiên cứu đã tạo một cửa hàng trực tuyến mô phỏng với địa chỉ giao hàng và thẻ thanh toán đã lưu. Một browser agent dựa trên Jev được hướng dẫn mua hàng trong giỏ mà không thêm bớt gì. Hệ thống được lập trình để coi text trên trang là dữ liệu không đáng tin cậy, không phải hướng dẫn.
Tuy nhiên, khi một quảng cáo hiển thị thông báo giá chưa được áp dụng và có nút “Xác nhận giá”, hệ thống đã nhấp vào nút này thay vì hoàn thành việc mua hàng. Tấn công này cũng thành công trên mô hình Qwen, mặc dù Jev ít bị ảnh hưởng hơn. HiddenLayer nhận thấy việc thêm các tác vụ giả mạo có thể điều khiển hành động của mô hình.
Nghiên cứu cũng chỉ ra rằng Jev cũng dễ bị tấn công tokenbreak khi được sử dụng để xác minh prompt, một ứng dụng được TypeSafe AI đề xuất. Điều này cho thấy ngay cả khi một mô hình trả về quyết định thay vì văn bản, nó vẫn là một mô hình ngôn ngữ và quyết định đó có thể dẫn đến các hành động trong hệ thống. https://www.theregister.com/2026/10/15/jev_prompt_injection/
Câu hỏi thường gặp
Prompt injection là gì?
Prompt injection là một kỹ thuật tấn công trong đó kẻ tấn công chèn các hướng dẫn độc hại vào prompt để thao túng hành vi của mô hình ngôn ngữ. Trong trường hợp này, nó được sử dụng để khiến mô hình nhấp vào các nút không mong muốn.
Mô hình Jev khác với LLM truyền thống như thế nào?
Jev được thiết kế để trả về một tập hợp các xác suất và điểm tin cậy thay vì tạo ra văn bản tự do. Tuy nhiên, nghiên cứu cho thấy nó vẫn chia sẻ nhiều rủi ro tương tự với các LLM truyền thống.
Tấn công indirect prompt injection hoạt động như thế nào?
Tấn công này sử dụng các yếu tố trên trang web, như quảng cáo và nút, để lừa mô hình thực hiện các hành động không mong muốn. Ví dụ, một nút 'Xác nhận giá' có thể khiến mô hình nhấp vào nó thay vì hoàn thành việc mua hàng.
Góc nhìn của Orange Cloud
Theo chúng tôi, kết quả này cho thấy các doanh nghiệp Việt Nam nên thận trọng khi triển khai các mô hình quyết định, đặc biệt trong các ứng dụng liên quan đến bảo mật hoặc tài chính. Việc kiểm tra kỹ lưỡng và áp dụng các biện pháp phòng ngừa prompt injection là rất quan trọng. Điều đáng chú ý là ngay cả các mô hình được thiết kế để tránh lỗi kiểu dữ liệu vẫn có thể bị khai thác.