Đặc vụ AI: Chống lại Prompt Injection bằng Kỹ thuật Xã hội

title: "Đặc vụ AI: Chống lại Prompt Injection bằng Kỹ thuật Xã hội" slug: "designing-agents-to-resist-prompt-injection" date: "2026-03-14" lang: "vi" source: "https://openai.com/index/designing-agents-to-resist-prompt-injection/" category: "Bảo mật AI" keywords:

• đặc vụ AI
• prompt injection
• bảo mật AI
• kỹ thuật xã hội
• bảo mật LLM
• ChatGPT
• quyền riêng tư dữ liệu
• tấn công độc hại
• AI đặc vụ
• OpenAI
• kỹ thuật bảo mật
• URL an toàn meta_description: "Tìm hiểu cách OpenAI thiết kế các đặc vụ AI để chống lại các cuộc tấn công prompt injection nâng cao bằng cách tận dụng các chiến lược phòng thủ kỹ thuật xã hội, đảm bảo an ninh AI mạnh mẽ và quyền riêng tư dữ liệu." image: "/images/articles/designing-agents-to-resist-prompt-injection.png" image_alt: "Các đặc vụ AI của OpenAI chống lại các cuộc tấn công prompt injection và kỹ thuật xã hội" quality_score: 94 content_score: 93 seo_score: 95 companies:
• OpenAI schema_type: "NewsArticle" reading_time: 5 faq:
• question: "Prompt injection trong ngữ cảnh đặc vụ AI là gì?" answer: "Prompt injection đề cập đến một loại tấn công trong đó các chỉ dẫn độc hại được nhúng một cách tinh vi vào nội dung bên ngoài mà một đặc vụ AI xử lý. Mục tiêu là thao túng đặc vụ thực hiện các hành động hoặc tiết lộ thông tin mà người dùng không có ý định hoặc không cho phép. Các cuộc tấn công này khai thác khả năng của AI trong việc diễn giải và tuân theo các chỉ dẫn, ngay cả khi những chỉ dẫn đó đến từ một nguồn không đáng tin cậy, từ đó chiếm đoạt hành vi của đặc vụ cho các mục đích đối kháng. Các hình thức ban đầu có thể là các lệnh trực tiếp, nhưng các hình thức nâng cao tận dụng kỹ thuật xã hội để khó bị phát hiện và thuyết phục hơn, đòi hỏi các biện pháp đối phó tinh vi để duy trì tính toàn vẹn của hệ thống và niềm tin của người dùng."
• question: "Prompt injection đã phát triển như thế nào, và tại sao điều này lại quan trọng?" answer: "Prompt injection đã phát triển từ các lệnh đối kháng đơn giản, rõ ràng (ví dụ: các chỉ dẫn trực tiếp trong một trang web) thành các chiến thuật kỹ thuật xã hội tinh vi. Các cuộc tấn công ban đầu thường bị phát hiện bởi các bộ lọc cơ bản. Tuy nhiên, khi các mô hình AI trở nên thông minh hơn, kẻ tấn công bắt đầu tạo ra các prompt pha trộn ý đồ độc hại với ngữ cảnh có vẻ hợp pháp, bắt chước kỹ thuật xã hội của con người. Sự thay đổi này rất quan trọng vì nó có nghĩa là các biện pháp phòng thủ không thể chỉ dựa vào việc xác định các chuỗi độc hại. Thay vào đó, chúng phải giải quyết thách thức rộng lớn hơn là chống lại nội dung sai lệch hoặc thao túng trong ngữ cảnh, đòi hỏi một cách tiếp cận bảo mật toàn diện, có hệ thống hơn thay vì chỉ lọc đầu vào đơn giản."
• question: "OpenAI chống lại các cuộc tấn công prompt injection kỹ thuật xã hội như thế nào?" answer: "OpenAI sử dụng chiến lược phòng thủ đa lớp, rút ra kinh nghiệm từ việc quản lý rủi ro kỹ thuật xã hội của con người. Điều này bao gồm quan điểm 'hệ thống ba tác nhân' (người dùng, đặc vụ, thế giới bên ngoài) nơi các đặc vụ được đặt ra những giới hạn để kiềm chế tác động tiềm tàng. Các kỹ thuật chính bao gồm 'phân tích nguồn-đích' để phát hiện luồng dữ liệu nguy hiểm, cơ chế Safe Url yêu cầu người dùng xác nhận hoặc chặn các truyền tải nhạy cảm đến bên thứ ba, và sandboxing cho các công cụ đặc vụ như ChatGPT Canvas và Apps. Mục tiêu bao trùm là đảm bảo rằng các hành động quan trọng hoặc truyền tải dữ liệu không xảy ra một cách âm thầm, luôn ưu tiên an toàn và sự đồng ý của người dùng để duy trì bảo mật AI mạnh mẽ."
• question: "Safe Url là gì, và nó bảo vệ các đặc vụ AI và người dùng như thế nào?" answer: "Safe Url là một chiến lược giảm thiểu rủi ro quan trọng được OpenAI phát triển nhằm bảo vệ các đặc vụ AI và người dùng khỏi việc rò rỉ dữ liệu trái phép. Nó phát hiện khi thông tin mà một đặc vụ AI đã học được trong cuộc trò chuyện hoặc tương tác có thể được truyền đến một URL bên ngoài, có khả năng độc hại, của bên thứ ba. Khi phát hiện một truyền tải như vậy, Safe Url sẽ can thiệp bằng cách hiển thị thông tin nhạy cảm cho người dùng để xác nhận rõ ràng trước khi gửi, hoặc bằng cách chặn hoàn toàn việc truyền tải và hướng dẫn đặc vụ tìm một phương pháp an toàn, thay thế để hoàn thành yêu cầu của người dùng. Cơ chế này đảm bảo rằng dữ liệu nhạy cảm vẫn nằm dưới sự kiểm soát của người dùng, ngay cả khi một đặc vụ tạm thời bị ảnh hưởng bởi một cuộc tấn công prompt injection kỹ thuật xã hội."
• question: "Tại sao sự đồng ý của người dùng lại quan trọng đối với các đặc vụ AI, đặc biệt với các khả năng mới?" answer: "Sự đồng ý của người dùng là tối quan trọng đối với các đặc vụ AI, đặc biệt khi khả năng của chúng mở rộng bao gồm duyệt web, tương tác với các công cụ bên ngoài và truyền tải thông tin. Với các chiến thuật prompt injection và kỹ thuật xã hội nâng cao, một đặc vụ có thể bị lừa thực hiện các hành động làm tổn hại đến quyền riêng tư hoặc bảo mật. Yêu cầu sự đồng ý rõ ràng của người dùng đối với các hành động có khả năng nguy hiểm—như truyền tải dữ liệu nhạy cảm, điều hướng đến các trang web bên ngoài hoặc sử dụng các ứng dụng bên ngoài—đảm bảo rằng người dùng duy trì quyền kiểm soát tối cao. Điều này ngăn chặn các thỏa hiệp âm thầm và trao quyền cho người dùng xác nhận hoặc từ chối các hành động, đóng vai trò là lớp phòng thủ cuối cùng quan trọng chống lại sự thao túng và hành vi trái phép, phù hợp với các nguyên tắc về quyền riêng tư dữ liệu và quyền tự chủ của người dùng."
• question: "'Phân tích nguồn-đích' trong ngữ cảnh bảo mật AI là gì?" answer: "Phân tích nguồn-đích là một phương pháp kỹ thuật bảo mật được OpenAI sử dụng để xác định và giảm thiểu rủi ro liên quan đến luồng dữ liệu trong các hệ thống AI. Trong khuôn khổ này, 'nguồn' đề cập đến bất kỳ cơ chế đầu vào nào mà qua đó kẻ tấn công có thể tác động đến hệ thống, chẳng hạn như nội dung bên ngoài không đáng tin cậy, các trang web hoặc email được đặc vụ AI xử lý. 'Đích' đề cập đến một khả năng hoặc hành động mà, nếu bị khai thác, có thể trở nên nguy hiểm trong ngữ cảnh sai, chẳng hạn như truyền tải thông tin đến bên thứ ba, theo dõi một liên kết độc hại hoặc thực thi một công cụ. Bằng cách phân tích các đường dẫn tiềm năng từ nguồn đến đích, các nhóm bảo mật có thể triển khai các kiểm soát để ngăn chặn việc di chuyển dữ liệu trái phép hoặc các hành động nguy hiểm, ngay cả khi một đặc vụ AI bị xâm phạm một phần bởi một cuộc tấn công prompt injection. Phương pháp này là nền tảng để đảm bảo tính toàn vẹn của dữ liệu và bảo mật hệ thống."

Các đặc vụ AI đang nhanh chóng mở rộng khả năng của mình, từ duyệt web đến truy xuất thông tin phức tạp và thực hiện các hành động thay mặt người dùng. Mặc dù những tiến bộ này hứa hẹn tiện ích và hiệu quả chưa từng có, chúng đồng thời giới thiệu các bề mặt tấn công mới tinh vi. Đứng đầu trong số này là prompt injection—một phương pháp trong đó các chỉ dẫn độc hại được nhúng vào nội dung bên ngoài, nhằm thao túng mô hình AI thực hiện các hành động ngoài ý muốn. OpenAI nhấn mạnh một sự phát triển quan trọng trong các cuộc tấn công này: chúng ngày càng bắt chước các chiến thuật kỹ thuật xã hội, đòi hỏi một sự thay đổi cơ bản trong chiến lược phòng thủ từ lọc đầu vào đơn giản sang thiết kế hệ thống mạnh mẽ.

## Mối đe dọa đang phát triển: Prompt Injection và Kỹ thuật Xã hội
Ban đầu, các cuộc tấn công prompt injection thường khá đơn giản, chẳng hạn như nhúng các lệnh đối kháng trực tiếp vào một bài viết Wikipedia mà một đặc vụ AI có thể xử lý. Các mô hình ban đầu, thiếu kinh nghiệm trong môi trường đối kháng như vậy trong quá trình huấn luyện, dễ dàng tuân theo những chỉ dẫn rõ ràng này mà không nghi ngờ. Tuy nhiên, khi các mô hình AI trưởng thành và trở nên tinh vi hơn, khả năng dễ bị tổn thương của chúng đối với những gợi ý công khai như vậy đã giảm đi. Điều này đã thúc đẩy kẻ tấn công phát triển các phương pháp tinh tế hơn kết hợp các yếu tố kỹ thuật xã hội.

Sự phát triển này rất quan trọng bởi vì nó không chỉ dừng lại ở việc xác định một chuỗi độc hại. Thay vào đó, nó thách thức các hệ thống AI phải chống lại nội dung sai lệch hoặc thao túng trong một ngữ cảnh rộng hơn, giống như cách con người đối mặt với kỹ thuật xã hội. Chẳng hạn, một cuộc tấn công prompt injection vào năm 2025 được báo cáo cho OpenAI liên quan đến việc tạo một email có vẻ vô hại nhưng chứa các chỉ dẫn được nhúng nhằm lừa một trợ lý AI trích xuất dữ liệu nhân viên nhạy cảm và gửi nó đến một 'hệ thống xác thực tuân thủ'. Cuộc tấn công này đã cho thấy tỷ lệ thành công 50% trong thử nghiệm, cho thấy hiệu quả của việc pha trộn các yêu cầu có vẻ hợp pháp với các chỉ thị độc hại. Các cuộc tấn công phức tạp như vậy thường vượt qua các hệ thống "tường lửa AI" truyền thống, vốn thường cố gắng phân loại đầu vào dựa trên các quy tắc heuristic đơn giản, bởi vì việc phát hiện những thao túng tinh vi này trở nên khó khăn như việc phân biệt một lời nói dối hoặc thông tin sai lệch mà không có đầy đủ ngữ cảnh tình huống.

## Đặc vụ AI như Đồng nghiệp Con người: Bài học từ các biện pháp phòng thủ kỹ thuật xã hội
Để chống lại các kỹ thuật prompt injection nâng cao này, OpenAI đã áp dụng một sự thay đổi mô hình, nhìn nhận vấn đề qua lăng kính kỹ thuật xã hội của con người. Cách tiếp cận này nhận ra rằng mục tiêu không phải là xác định hoàn hảo mọi đầu vào độc hại, mà là thiết kế các đặc vụ và hệ thống AI sao cho tác động của sự thao túng bị hạn chế nghiêm ngặt, ngay cả khi một cuộc tấn công thành công một phần. Tư duy này tương tự như việc quản lý rủi ro kỹ thuật xã hội cho nhân viên con người trong một tổ chức.

Hãy xem xét một nhân viên dịch vụ khách hàng con người được giao quyền phát hành hoàn tiền hoặc thẻ quà tặng. Mặc dù nhân viên đó luôn cố gắng phục vụ khách hàng, họ liên tục tiếp xúc với các đầu vào bên ngoài—một số trong đó có thể mang tính thao túng hoặc thậm chí cưỡng ép. Các tổ chức giảm thiểu rủi ro này bằng cách thực hiện các quy tắc, giới hạn và hệ thống xác định. Ví dụ, một nhân viên dịch vụ khách hàng có thể có một giới hạn về số lượng hoàn tiền mà họ có thể phát hành, hoặc các quy trình cụ thể để gắn cờ các yêu cầu đáng ngờ. Tương tự, một đặc vụ AI, trong khi hoạt động thay mặt người dùng, phải có những giới hạn và biện pháp bảo vệ cố hữu. Bằng cách hình dung các đặc vụ AI trong 'hệ thống ba tác nhân' này (người dùng, đặc vụ, thế giới bên ngoài), nơi đặc vụ phải điều hướng các đầu vào bên ngoài có khả năng thù địch, các nhà thiết kế có thể xây dựng khả năng phục hồi. Cách tiếp cận này thừa nhận rằng một số cuộc tấn công chắc chắn sẽ lọt qua, nhưng đảm bảo rằng tiềm năng gây hại của chúng được giảm thiểu. Nguyên tắc này là nền tảng cho một bộ biện pháp đối phó mạnh mẽ được OpenAI triển khai.

| Nguyên tắc Phòng thủ | Mô tả | So sánh với Hệ thống Con người | Lợi ích |
| :-------------------- | :-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | :-------------------------------------------------------------------- | :--------------------------------------------------------------------------- |
| **Hạn chế** | Hạn chế khả năng và hành động của đặc vụ trong các giới hạn an toàn, được xác định trước, ngăn chặn các hoạt động trái phép hoặc quá rộng. | Giới hạn chi tiêu, các cấp độ ủy quyền, thực thi chính sách đối với nhân viên. | Giảm thiểu thiệt hại tiềm tàng ngay cả khi một đặc vụ bị xâm phạm một phần. |
| **Minh bạch** | Yêu cầu người dùng xác nhận rõ ràng đối với các hành động có khả năng nguy hiểm hoặc nhạy cảm trước khi chúng được thực hiện. | Sự chấp thuận của quản lý cho các trường hợp ngoại lệ, kiểm tra kỹ lưỡng việc nhập dữ liệu quan trọng. | Trao quyền cho người dùng ghi đè hoặc xác nhận các hoạt động nhạy cảm, đảm bảo quyền kiểm soát. |
| **Sandboxing** | Cô lập các hành động của đặc vụ, đặc biệt khi tương tác với các công cụ hoặc ứng dụng bên ngoài, trong một môi trường an toàn, được giám sát. | Kiểm soát truy cập vào các hệ thống nhạy cảm, môi trường mạng phân đoạn. | Ngăn chặn các hành động độc hại ảnh hưởng đến các hệ thống cốt lõi hoặc rò rỉ dữ liệu. |
| **Phân tích Nguồn-Đích Ngữ cảnh** | Phân tích các nguồn đầu vào và đích đầu ra để tìm luồng dữ liệu đáng ngờ hoặc truyền tải trái phép, xác định các mẫu chỉ ra ý đồ độc hại. | Các hệ thống Ngăn chặn Mất mát Dữ liệu (DLP), giao thức phát hiện mối đe dọa nội bộ. | Xác định và chặn các nỗ lực rò rỉ dữ liệu trái phép. |
| **Huấn luyện Đối kháng** | Liên tục huấn luyện các mô hình AI để nhận diện và chống lại ngôn ngữ thao túng, chiến thuật lừa dối và các nỗ lực kỹ thuật xã hội. | Huấn luyện nhận thức bảo mật, nhận diện các nỗ lực lừa đảo (phishing) và gian lận. | Cải thiện khả năng cố hữu của đặc vụ trong việc phát hiện và gắn cờ nội dung độc hại. |

## Các biện pháp phòng thủ đa lớp của OpenAI trong ChatGPT
OpenAI tích hợp mô hình kỹ thuật xã hội này với các kỹ thuật kỹ thuật bảo mật truyền thống, đặc biệt là "phân tích nguồn-đích", trong ChatGPT. Trong khuôn khổ này, kẻ tấn công cần hai thành phần chính: một "nguồn" để tiêm nhiễm ảnh hưởng (ví dụ: nội dung bên ngoài không đáng tin cậy) và một "đích" để khai thác một khả năng nguy hiểm (ví dụ: truyền tải thông tin, theo dõi một liên kết độc hại, hoặc tương tác với một công cụ bị xâm nhập). Mục tiêu chính của OpenAI là duy trì một kỳ vọng bảo mật cơ bản: các hành động nguy hiểm hoặc việc truyền tải thông tin nhạy cảm không bao giờ nên xảy ra một cách âm thầm hoặc không có các biện pháp bảo vệ thích hợp.

Nhiều cuộc tấn công chống lại ChatGPT cố gắng lừa trợ lý trích xuất thông tin bí mật từ cuộc trò chuyện và chuyển tiếp nó đến một bên thứ ba độc hại. Mặc dù việc huấn luyện an toàn của OpenAI thường khiến đặc vụ từ chối các yêu cầu như vậy, nhưng một chiến lược giảm thiểu rủi ro quan trọng cho các trường hợp đặc vụ *bị thuyết phục* là `Safe Url`. Cơ chế này được thiết kế đặc biệt để phát hiện khi thông tin được học trong một cuộc trò chuyện có thể được truyền đến một URL bên ngoài của bên thứ ba. Trong những trường hợp hiếm hoi như vậy, hệ thống sẽ hiển thị thông tin cho người dùng để xác nhận rõ ràng hoặc chặn hoàn toàn việc truyền tải, nhắc nhở đặc vụ tìm một cách an toàn, thay thế để hoàn thành yêu cầu của người dùng. Điều này ngăn chặn việc rò rỉ dữ liệu ngay cả khi đặc vụ tạm thời bị xâm phạm. Để biết thêm thông tin chi tiết về việc bảo vệ chống lại các tương tác liên kết do đặc vụ điều khiển, người dùng có thể tham khảo bài đăng blog chuyên dụng, [Giữ an toàn dữ liệu của bạn khi một đặc vụ AI nhấp vào liên kết](https://openai.com/index/ai-agent-link-safety/).

## Vai trò của Safe URL và Sandboxing trong AI đặc vụ
Cơ chế `Safe Url`, được thiết kế để phát hiện và kiểm soát việc truyền tải dữ liệu nhạy cảm, mở rộng phạm vi bảo vệ của nó vượt ra ngoài việc chỉ nhấp vào liên kết. Các biện pháp bảo vệ tương tự cũng được áp dụng cho việc điều hướng và đánh dấu trang trong Atlas và cho các chức năng tìm kiếm và điều hướng trong Deep Research. Các ứng dụng này vốn dĩ liên quan đến việc các đặc vụ AI tương tác với các nguồn dữ liệu bên ngoài khổng lồ, khiến các biện pháp kiểm soát chặt chẽ đối với dữ liệu gửi đi trở nên tối quan trọng.

Hơn nữa, các tính năng đặc vụ như ChatGPT Canvas và ChatGPT Apps cũng áp dụng một triết lý bảo mật tương tự. Khi các đặc vụ tạo và sử dụng các ứng dụng chức năng, các hoạt động này được giới hạn trong một môi trường sandbox an toàn. Việc sandboxing này cho phép phát hiện các giao tiếp hoặc hành động không mong muốn. Điều quan trọng là, bất kỳ tương tác nào có khả năng nhạy cảm hoặc trái phép đều kích hoạt yêu cầu xác nhận rõ ràng từ người dùng, đảm bảo rằng người dùng giữ quyền kiểm soát tối cao đối với dữ liệu của họ và hành vi của đặc vụ. Cách tiếp cận đa lớp này, kết hợp phân tích nguồn-đích với nhận thức ngữ cảnh, sự đồng ý của người dùng và thực thi trong sandbox, tạo thành một hệ thống phòng thủ mạnh mẽ chống lại các cuộc tấn công prompt injection và kỹ thuật xã hội đang phát triển. Để biết thêm chi tiết về cách các khả năng đặc vụ này đang được vận hành một cách an toàn, hãy tham khảo các cuộc thảo luận về [vận hành AI đặc vụ](/vi/operationalizing-agentic-ai-part-1-a-stakeholders-guide).

## Bảo vệ đặc vụ tự trị khỏi các cuộc tấn công đối kháng trong tương lai
Đảm bảo tương tác an toàn với thế giới bên ngoài đầy thù địch không chỉ là một tính năng đáng mong muốn mà còn là nền tảng cần thiết cho sự phát triển của các đặc vụ AI hoàn toàn tự trị. Khuyến nghị của OpenAI dành cho các nhà phát triển tích hợp các mô hình AI vào ứng dụng của họ là xem xét những kiểm soát mà một đặc vụ con người sẽ có trong một tình huống rủi ro cao tương tự và thực hiện các giới hạn tương tự đó trong hệ thống AI.

Mặc dù mong muốn là các mô hình AI thông minh tối đa cuối cùng sẽ chống lại kỹ thuật xã hội hiệu quả hơn các đặc vụ con người, nhưng đây không phải lúc nào cũng là mục tiêu khả thi hoặc hiệu quả về chi phí ngay lập tức cho mọi ứng dụng. Do đó, việc thiết kế các hệ thống với các ràng buộc và giám sát tích hợp vẫn rất quan trọng. OpenAI cam kết liên tục nghiên cứu những tác động của kỹ thuật xã hội đối với các mô hình AI và phát triển các biện pháp phòng thủ tiên tiến. Những phát hiện này được tích hợp vào cả kiến trúc bảo mật ứng dụng của họ và các quy trình huấn luyện liên tục cho các mô hình AI của họ, đảm bảo một cách tiếp cận chủ động và thích ứng với bảo mật AI trong một bối cảnh mối đe dọa không ngừng phát triển. Chiến lược tư duy tiến bộ này nhằm mục đích làm cho các đặc vụ AI vừa mạnh mẽ vừa đáng tin cậy một cách cố hữu, lặp lại những nỗ lực nhằm tăng cường bảo mật trên toàn bộ hệ sinh thái AI, bao gồm các sáng kiến như [ngăn chặn việc sử dụng AI độc hại](/vi/disrupting-malicious-ai-uses).