Mối đe dọa từ prompt injection: Tình hình hiện tại trên web
"This article details Google's research into the prevalence of Indirect Prompt Injection (IPI) attacks on the web. The study analyzed Common Crawl data to identify malicious prompt injection patterns, finding a mix of harmless pranks, helpful guidance, SEO attempts, and potentially malicious attempts at data exfiltration or destruction. While many detections were false positives (educational material), the research highlights IPI as a growing threat."
Prompt injection có thể dẫn đến đánh cắp dữ liệu hoặc thay đổi hành vi của các hệ thống AI. Các cuộc tấn công thành công có thể gây thiệt hại về uy tín và tài chính.
Các doanh nghiệp sử dụng AI có thể gặp rủi ro về mất dữ liệu hoặc lộ thông tin nhạy cảm do prompt injection. Việc bảo vệ các ứng dụng AI là vấn đề quan trọng để duy trì sự tin cậy của khách hàng.
Google vừa nghiên cứu mức độ phổ biến của các cuộc tấn công Indirect Prompt Injection (IPI) trên web. Họ phân tích dữ liệu từ Common Crawl để xác định các mẫu prompt injection độc hại, thấy sự pha trộn giữa trò đùa vô hại, hướng dẫn hữu ích, nỗ lực SEO và các hành vi độc hại tiềm ẩn như đánh cắp hoặc phá hủy dữ liệu. Phần lớn các phát hiện là dương tính giả (tài liệu giáo dục), nhưng nghiên cứu cho thấy IPI là một mối đe dọa ngày càng tăng.
Không giống như tấn công trực tiếp (jailbreak chatbot), IPI xảy ra khi hệ thống AI xử lý nội dung – như trang web, email hoặc tài liệu – chứa các hướng dẫn độc hại. Khi AI đọc nội dung bị nhiễm độc này, nó có thể âm thầm tuân theo lệnh của kẻ tấn công thay vì ý định ban đầu của người dùng. Google và Google DeepMind đang nỗ lực chống lại các mối đe dọa này.
Để hiểu rõ hơn về tình hình thực tế, Google đã quét một lượng lớn web công khai, sử dụng Common Crawl (kho lưu trữ 2-3 tỷ trang web mỗi tháng). Họ tìm kiếm các mẫu prompt injection phổ biến như “ignore … instructions” hoặc “if you are an AI”.
Việc xác định prompt injection thực sự khó khăn do số lượng lớn các kết quả dương tính giả. Nhiều phát hiện là tài liệu nghiên cứu, bài đăng trên blog hoặc bài viết bảo mật đang thảo luận về chính chủ đề này. Google sử dụng bộ lọc nhiều lớp: khớp mẫu, phân loại bằng Gemini, và xác nhận thủ công để tăng độ tin cậy.
Kết quả cho thấy các nỗ lực tấn công thuộc các loại sau: trò đùa vô hại, hướng dẫn hữu ích, tối ưu hóa công cụ tìm kiếm (SEO), ngăn chặn AI, đánh cắp dữ liệu và phá hủy. Ví dụ, một số trang web chứa prompt injection vô hình yêu cầu AI thay đổi giọng điệu hội thoại.
Câu hỏi thường gặp
Prompt injection là gì?
Prompt injection là một loại tấn công trong đó kẻ tấn công chèn các hướng dẫn độc hại vào nội dung mà hệ thống AI xử lý. Khi AI đọc nội dung này, nó có thể thực hiện các lệnh của kẻ tấn công thay vì ý định ban đầu.
Google đã làm gì để đối phó với prompt injection?
Google đang sử dụng nhiều phương pháp để chống lại prompt injection, bao gồm phân tích dữ liệu từ Common Crawl, sử dụng mô hình Gemini để phân loại ý định của các đoạn mã đáng ngờ và xác nhận thủ công các kết quả.
Các loại prompt injection phổ biến nhất là gì?
Nghiên cứu của Google xác định các loại prompt injection phổ biến như trò đùa vô hại, hướng dẫn hữu ích, tối ưu hóa công cụ tìm kiếm (SEO), ngăn chặn AI, đánh cắp dữ liệu và phá hủy.
Góc nhìn của Orange Cloud
Theo chúng tôi, nghiên cứu này cho thấy các kỹ sư và doanh nghiệp Việt Nam cần bắt đầu chuẩn bị cho các cuộc tấn công IPI. Mặc dù hiện tại phần lớn các trường hợp được phát hiện là vô hại, nhưng khả năng bị khai thác để đánh cắp dữ liệu hoặc phá hoại là hoàn toàn có thể xảy ra. Điều đáng chú ý là việc sử dụng Common Crawl để giám sát các mẫu tấn công có thể được áp dụng để theo dõi các mối đe dọa tương tự trong tiếng Việt.