Rủi ro bảo mật AI agent: Prompt injection và lạm dụng công cụ

Đây là gì

Các mô hình ngôn ngữ lớn không phân biệt một cách đáng tin cậy giữa chỉ dẫn từ bên vận hành và chỉ dẫn được nhúng trong dữ liệu mà chúng xử lý. Prompt injection trực tiếp xảy ra khi người dùng nhập các chỉ dẫn được thiết kế để vượt qua quy tắc của hệ thống. Prompt injection gián tiếp xảy ra khi mô hình đọc nội dung bên ngoài, chẳng hạn trang web, email, tài liệu hoặc ticket hỗ trợ, có chứa chỉ dẫn ẩn, ví dụ để tiết lộ dữ liệu hoặc gọi một công cụ. Các rủi ro khác làm vấn đề trầm trọng thêm. Thông tin nhạy cảm có thể bị rò rỉ khi mô hình có quyền truy cập vào dữ liệu mà người dùng không được phép xem. Quyền tự chủ quá mức (excessive agency) phát sinh khi agent nắm giữ quyền công cụ rộng, chẳng hạn khả năng gửi email hoặc xóa bản ghi, mà không cần xác nhận. Xử lý đầu ra không đúng cách xảy ra khi đầu ra của mô hình được chuyển thẳng vào mã, truy vấn hoặc trang web mà không qua kiểm tra hợp lệ. Rủi ro chuỗi cung ứng đến từ các mô hình, plugin và connector của bên thứ ba. OWASP Top 10 for LLM Applications (phiên bản 2025) liệt kê các rủi ro này cùng những hạng mục liên quan, như rò rỉ system prompt và tiêu thụ tài nguyên không giới hạn, và OWASP GenAI Security Project cũng công bố hướng dẫn dành riêng cho các ứng dụng agentic. Vì hiện chưa có kỹ thuật nào ngăn chặn hoàn toàn prompt injection, thiết kế nên giả định rằng một số chỉ dẫn bị chèn sẽ thành công và giới hạn những gì chúng có thể làm.

Dành cho ai

Hướng dẫn này phù hợp với:

• Đội ngũ xây dựng agent sử dụng công cụ, API hoặc dữ liệu của doanh nghiệp
• Doanh nghiệp triển khai trợ lý AI cho khách hàng hoặc nhân viên
• Người phụ trách bảo mật và rủi ro được yêu cầu phê duyệt một tính năng AI
• Chủ sở hữu sản phẩm tích hợp nền tảng hoặc connector AI của bên thứ ba

Giúp làm rõ điều gì

Rà soát các rủi ro này giúp làm rõ:

• Agent có thể đọc dữ liệu nào và mọi người dùng có quyền truy cập dữ liệu đó hay không
• Agent có thể thực hiện hành động nào và hành động nào cần con người xác nhận
• Nội dung không đáng tin cậy đến được mô hình bằng cách nào và có thể tác động đến điều gì
• Đầu ra của mô hình đi tiếp đến đâu và có được kiểm tra hợp lệ hay không

Những gì được bao gồm

• Lập danh mục mọi công cụ, connector và nguồn dữ liệu mà agent có thể truy cập
• Áp dụng đặc quyền tối thiểu: cấp cho mỗi công cụ quyền hẹp nhất và giới hạn phạm vi theo người dùng hiện tại
• Yêu cầu con người xác nhận đối với các hành động gửi, xóa, thanh toán, đăng tải hoặc thay đổi quyền
• Coi nội dung được truy xuất, email, tệp và trang web là đầu vào không đáng tin cậy
• Tách biệt chỉ dẫn hệ thống khỏi nội dung của người dùng và nội dung được truy xuất ở mức rõ ràng nhất mà nền tảng cho phép
• Kiểm tra hợp lệ và mã hóa đầu ra của mô hình trước khi đưa vào mã, truy vấn hoặc trang web
• Thực thi kiểm soát truy cập ở tầng dữ liệu, không phải trong prompt
• Đặt giới hạn về tần suất, chi phí và số lượng hành động trong mỗi phiên
• Ghi log prompt, lệnh gọi công cụ và kết quả với các biện pháp bảo vệ quyền riêng tư phù hợp, và rà soát chúng
• Kiểm thử với đầu vào mang tính đối kháng, bao gồm injection gián tiếp qua tài liệu và liên kết
• Xác định cách vô hiệu hóa nhanh một công cụ hoặc agent nếu phát hiện lạm dụng

Những gì không được bao gồm

• Khẳng định rằng prompt injection có thể được ngăn chặn hoàn toàn
• Chứng nhận hoặc phê duyệt theo quy định đối với một hệ thống AI
• Tư vấn pháp lý về quy định AI
• Giám sát liên tục các agent đang chạy production, trừ khi được thống nhất riêng

Khi nào nên chọn

Hãy xử lý các rủi ro này trước khi agent được kết nối với công cụ hoặc dữ liệu thật, và lặp lại mỗi khi bổ sung công cụ, nguồn dữ liệu hoặc nhóm người dùng mới. Một agent an toàn khi còn là prototype nội bộ chỉ đọc có thể không còn an toàn khi nó có thể gửi email cho khách hàng. Nếu một nhà cung cấp cung cấp nền tảng agent, hãy hỏi họ xử lý quyền công cụ, các bước xác nhận, việc ghi log và cách ly dữ liệu như thế nào.

Phương pháp của chúng tôi

Hãy thiết kế theo hướng khoanh vùng thay vì ngăn chặn tuyệt đối. Hãy đặt câu hỏi kết quả xấu nhất có thể xảy ra trên thực tế là gì nếu một chỉ dẫn bị chèn thành công, sau đó thu hẹp quyền hạn và bổ sung các bước xác nhận cho đến khi kết quả đó ở mức chấp nhận được. Hãy giữ các quyết định phân quyền trong mã xác định (deterministic) nằm ngoài mô hình. LLM & AI Agent Security Review của chúng tôi xem xét các hệ thống AI đã thống nhất về prompt injection, lộ dữ liệu, đầu ra không an toàn, rủi ro truy xuất, quyền công cụ và ranh giới chuyển giao cho con người, và cung cấp các phát hiện bằng văn bản kèm khuyến nghị được ưu tiên. Khi bạn vẫn đang thiết kế agent, dịch vụ Secure AI Agent Integration có thể xây dựng agent với dữ liệu được phê duyệt, công cụ được giới hạn phạm vi và các điểm rà soát ngay từ đầu, và dịch vụ AI Governance, Policy & Data Safety có thể xác định các quy tắc sử dụng xung quanh agent. Hãy thực hiện lại việc đánh giá khi mô hình, công cụ hoặc nguồn dữ liệu thay đổi, vì hành vi có thể thay đổi theo từng yếu tố.

LLM & AI Agent Security Review

Câu hỏi thường gặp

Bài viết liên quan