Chỉ cần hỏi Grok bằng mật mã, nó sẽ giao dữ liệu của bạn ra ngoài
Các nhà nghiên cứu phát hiện: giấu một câu lệnh độc hại sau một kiểu mã hoá đơn giản là đủ để lách qua lớp an toàn của Grok và khiến nó trao dữ liệu người dùng. Ổ khoá chưa bao giờ bị phá. Nó chỉ không nhận ra chìa.
Kể lại cho dễ hình dung. Bạn dùng một trợ lý AI. Nó đọc được tài liệu, trang web, email bạn dán vào. Đâu đó trong đống chữ ấy, một người khác đã cài sẵn một câu lệnh không nói với bạn mà nói với cái máy: gửi dữ liệu của người này sang chỗ kia. Trợ lý lẽ ra phải từ chối. Cái sự từ chối đó chính là toàn bộ câu chuyện an toàn của chatbot hiện đại.
Giờ hãy mã hoá câu lệnh ấy. Không phải mã hoá cấp quân sự — chỉ là trò đổi chữ kiểu trẻ con chơi, các chữ cái được thay theo một quy tắc mà mô hình tự đoán ra. Ars Technica đưa tin trong tháng này: khi câu lệnh thù địch đến dưới dạng đã mã hoá, Grok giải mã, hiểu, và làm theo. Kỹ thuật này giờ đã có tên: cryptographic context injection. Và nó chỉ là mục mới nhất trong một danh sách rất dài những cách đi vòng qua rào chắn.
Phần khó chịu không nằm ở chỗ có một lỗi. Nó nằm ở chỗ lỗi đó phơi bày cách các hệ thống này được canh giữ. Lớp an toàn của mô hình hoạt động bằng cách nhận ra ý đồ xấu trong câu chữ. Gói đúng ý đồ ấy vào một mật mã mà mô hình đủ thông minh để mở ra, thì phần nhận diện thất bại còn phần vâng lời vẫn nguyên. Hoá ra lời từ chối chỉ là đối chiếu mẫu câu.
An toàn dựa trên việc mô hình không hiểu yêu cầu thì không phải an toàn. Đó là may mắn được truyền thông tốt.
Chuyện này mỗi tháng một nặng hơn, vì trợ lý đang được trao chìa khoá. Chúng đọc hộp thư, tệp tin, lịch làm việc, cả tab trình duyệt của bạn. Mỗi kết nối mới là thêm một chỗ để kẻ tấn công để lại mẩu giấy mà mô hình sẽ đọc còn bạn thì không bao giờ thấy. Người dùng không còn là bên duy nhất ra lệnh nữa — tài liệu cũng ra lệnh, và mô hình coi cả hai đều là lời của ai đó cần được giúp.
Và vá lỗi này thật sự khó. Không thể chặn thẳng văn bản đã mã hoá: khả năng giải mật mã, dịch thuật, suy luận qua lớp nguỵ trang chính là thứ người ta bỏ tiền ra mua. Vá kiểu mã này thì mai có kiểu mã khác — base64, một ngoại ngữ, một bảng chữ cái tự chế được định nghĩa ở ba đoạn phía trên. Suốt ba năm qua, mọi câu chuyện prompt injection đều kết thúc giống nhau: mẹo cụ thể thì được vá, còn cả họ tấn công thì không.
Bất kỳ ai dán mọi thứ vào chatbot mà không nghĩ thêm lần hai — cái CV có địa chỉ nhà, bản hợp đồng với khách, ảnh chụp tin nhắn ngân hàng mà bạn muốn nhờ giải thích. Sinh viên và người làm tự do chạy nửa khối lượng công việc qua trợ lý là nhóm hở nhất, vì họ dán nhiều nhất, kết nối nhiều nhất, và vì không có gì trong giao diện cảnh báo rằng chữ cũng có thể mang mệnh lệnh. Nó cũng chạm tới những người đã cho trợ lý vào email hay kho lưu trữ đám mây: dữ liệu của bạn có thể ra ngoài qua một cửa bạn chưa từng mở, kích hoạt bởi một tệp do người khác viết. Và chạm tới cả những người đang dựng một việc kinh doanh nhỏ trên các công cụ này, đặt cược rằng lớp an toàn kia là có thật.
Có hai thứ đáng theo dõi. Thứ nhất, xAI có tung bản vá và mô tả nó không — một bộ lọc cụ thể, hay một thay đổi về cấu trúc tách bạch giữa lệnh do người dùng đưa ra và chữ mà mô hình chỉ tình cờ đọc được. Thứ hai, và nói lên nhiều hơn: liệu đúng mẹo mật mã ấy có ăn được ở các trợ lý lớn khác. Nếu vài tuần nữa giới nghiên cứu công bố như vậy, đây thôi là chuyện của Grok và thành chuyện của cả ngành. Hãy nhìn phản hồi của nhà cung cấp chứ đừng nhìn tiêu đề: vá một kiểu mã hoá nghĩa là cả họ tấn công vẫn còn để ngỏ.
Mọi cách lách rào chắn trước đây rồi cũng bị vá, và sau mỗi bản vá lại xuất hiện một cách lách mới. Chưa ai trong ngành tuyên bố đã giải được vấn đề gốc: một mô hình ngôn ngữ không phân biệt được một cách đáng tin cậy đâu là chữ nó nên đọc và đâu là chữ nó nên nghe theo. Chừng nào chưa có ai làm được, hãy xem mọi chatbot như một đồng nghiệp sẵn sàng tin bất cứ mẩu giấy nào để trên bàn.
Nguồn: Ars Technica, tháng 8/2026 ("Grok exfiltrates user data when malicious instructions are encrypted").