Các nhà nghiên cứu phát hiện một phương thức tấn công mang tên BioShocking, có thể khiến trình duyệt tích hợp AI hiểu nhầm rằng những hành động nguy hiểm ngoài đời thực chỉ là một phần của trò chơi. Trong thử nghiệm, 6 sản phẩm trình duyệt AI không nhận diện được yêu cầu truy xuất thông tin đăng nhập nhạy cảm là hành vi nguy hiểm.
Biến trò chơi thành cái bẫy đánh cắp dữ liệu
Ngày 30/6/2026, nhóm nghiên cứu bảo mật LayerX đã xây dựng một thử nghiệm nhằm kiểm tra khả năng chống lại hình thức tấn công thao túng chỉ dẫn AI, thường được gọi là prompt injection.
Phương thức này được đặt tên là BioShocking, lấy cảm hứng từ trò chơi điện tử BioShock. Thay vì trực tiếp yêu cầu AI đánh cắp thông tin, kẻ tấn công tạo ra một tình huống giả tưởng để khiến AI dần chấp nhận những hành động vốn không được phép trong môi trường thực tế.
Trong thử nghiệm, các nhà nghiên cứu tạo một trang web có nội dung giống trò chơi giải đố theo chủ đề BioShock. Trò chơi đưa ra những quy tắc bất thường, trong đó các câu trả lời sai lại được xem là lựa chọn đúng để tiếp tục. Khi AI làm theo những quy tắc này, nó dần điều chỉnh cách suy luận theo bối cảnh của trò chơi thay vì duy trì các nguyên tắc an toàn thông thường.
Phương thức này được đặt tên là BioShocking, lấy cảm hứng từ trò chơi điện tử BioShock. Thay vì trực tiếp yêu cầu AI đánh cắp thông tin, kẻ tấn công tạo ra một tình huống giả tưởng để khiến AI dần chấp nhận những hành động vốn không được phép trong môi trường thực tế.
Trong thử nghiệm, các nhà nghiên cứu tạo một trang web có nội dung giống trò chơi giải đố theo chủ đề BioShock. Trò chơi đưa ra những quy tắc bất thường, trong đó các câu trả lời sai lại được xem là lựa chọn đúng để tiếp tục. Khi AI làm theo những quy tắc này, nó dần điều chỉnh cách suy luận theo bối cảnh của trò chơi thay vì duy trì các nguyên tắc an toàn thông thường.
Ở bước cuối, AI được yêu cầu truy cập một kho mã nguồn trên GitHub và sao chép, chia sẻ dữ liệu trong đó. Theo kịch bản thử nghiệm, đường dẫn được sử dụng dẫn tới kho mã nguồn công việc của người dùng, nơi có thể chứa thông tin đăng nhập SSH nhạy cảm. Vấn đề nằm ở chỗ AI xem việc lấy thông tin đăng nhập là nhiệm vụ cần hoàn thành để chiến thắng trò chơi, thay vì nhận diện đây là hành động có nguy cơ làm lộ dữ liệu. Như vậy, bối cảnh giả tưởng trở thành công cụ để thao túng cách AI đánh giá yêu cầu.
6 trình duyệt AI không nhận diện được yêu cầu nguy hiểm
LayerX đã thử nghiệm phương thức BioShocking trên 6 sản phẩm: ChatGPT Atlas, Comet, Fellou, Genspark Browser, Sigma Browser và tiện ích Claude Chrome của Anthropic. Theo nhóm nghiên cứu, cả 6 sản phẩm đều không nhận diện được yêu cầu truy xuất thông tin đăng nhập là hành vi trái với các nguyên tắc an toàn trong kịch bản thử nghiệm.
Tuy nhiên, cần lưu ý rằng đây là thử nghiệm chứng minh khả năng xảy ra của phương thức tấn công, không phải bằng chứng cho thấy toàn bộ các sản phẩm trên đã bị tin tặc khai thác ngoài thực tế. Môi trường thử nghiệm cũng không thực hiện hành vi đánh cắp dữ liệu thực sự.
LayerX cho biết đã thông báo phát hiện này tới các nhà cung cấp từ tháng 10/2025. Theo báo cáo được BleepingComputer dẫn lại, OpenAI là đơn vị đã triển khai biện pháp khắc phục được nhóm nghiên cứu đánh giá là có hiệu quả đối với BioShocking trên ChatGPT Atlas. Anthropic cũng thử vá lỗi nhưng LayerX cho rằng biện pháp này chưa ngăn được thử nghiệm. Perplexity đóng báo cáo mà không khắc phục, trong khi ba nhà cung cấp còn lại không phản hồi nhóm nghiên cứu.
Tuy nhiên, cần lưu ý rằng đây là thử nghiệm chứng minh khả năng xảy ra của phương thức tấn công, không phải bằng chứng cho thấy toàn bộ các sản phẩm trên đã bị tin tặc khai thác ngoài thực tế. Môi trường thử nghiệm cũng không thực hiện hành vi đánh cắp dữ liệu thực sự.
LayerX cho biết đã thông báo phát hiện này tới các nhà cung cấp từ tháng 10/2025. Theo báo cáo được BleepingComputer dẫn lại, OpenAI là đơn vị đã triển khai biện pháp khắc phục được nhóm nghiên cứu đánh giá là có hiệu quả đối với BioShocking trên ChatGPT Atlas. Anthropic cũng thử vá lỗi nhưng LayerX cho rằng biện pháp này chưa ngăn được thử nghiệm. Perplexity đóng báo cáo mà không khắc phục, trong khi ba nhà cung cấp còn lại không phản hồi nhóm nghiên cứu.
Vì sao trình duyệt AI có thể trở thành mục tiêu tấn công?
Khác với trình duyệt truyền thống chủ yếu hiển thị nội dung để người dùng tự thao tác, trình duyệt AI có thể được giao nhiệm vụ tự tìm kiếm thông tin, mở trang web, đọc dữ liệu và thực hiện các bước tiếp theo theo yêu cầu. Tùy sản phẩm và quyền được cấp, AI có thể làm việc với các phiên đăng nhập hoặc tài nguyên mà người dùng đang truy cập.
Điều này tạo ra một nguy cơ mới: nếu AI bị thao túng bởi nội dung độc hại, nó có thể sử dụng chính những quyền hợp lệ được người dùng cấp để thực hiện hành động ngoài dự kiến.
BioShocking cho thấy vấn đề không chỉ nằm ở việc AI có hiểu nội dung một trang web hay không, mà còn ở khả năng phân biệt giữa yêu cầu trong một tình huống giả tưởng và hành động có hậu quả thực tế. Khi ranh giới này bị xóa nhòa, những chỉ dẫn tưởng như chỉ phục vụ trò chơi có thể khiến AI tiếp cận dữ liệu nhạy cảm.
Rủi ro càng đáng lưu ý khi trình duyệt AI được sử dụng trong môi trường làm việc, nơi người dùng thường đăng nhập email, kho mã nguồn, hệ thống quản lý công việc hoặc các dịch vụ nội bộ. Nếu AI được phép truy cập những tài nguyên này, việc thao túng nó có thể làm tăng nguy cơ lộ thông tin.
Điều này tạo ra một nguy cơ mới: nếu AI bị thao túng bởi nội dung độc hại, nó có thể sử dụng chính những quyền hợp lệ được người dùng cấp để thực hiện hành động ngoài dự kiến.
BioShocking cho thấy vấn đề không chỉ nằm ở việc AI có hiểu nội dung một trang web hay không, mà còn ở khả năng phân biệt giữa yêu cầu trong một tình huống giả tưởng và hành động có hậu quả thực tế. Khi ranh giới này bị xóa nhòa, những chỉ dẫn tưởng như chỉ phục vụ trò chơi có thể khiến AI tiếp cận dữ liệu nhạy cảm.
Rủi ro càng đáng lưu ý khi trình duyệt AI được sử dụng trong môi trường làm việc, nơi người dùng thường đăng nhập email, kho mã nguồn, hệ thống quản lý công việc hoặc các dịch vụ nội bộ. Nếu AI được phép truy cập những tài nguyên này, việc thao túng nó có thể làm tăng nguy cơ lộ thông tin.
Người dùng cần làm gì để hạn chế rủi ro?
Người dùng không nhất thiết phải ngừng sử dụng trình duyệt AI, nhưng cần kiểm soát chặt chẽ quyền truy cập và những hành động mà công cụ được phép tự thực hiện.
- Giới hạn quyền truy cập: Không cấp cho trình duyệt AI quyền truy cập những tài khoản, trang web hoặc dữ liệu nhạy cảm nếu không cần thiết.
- Kiểm tra trước khi cho phép hành động quan trọng: Với thao tác liên quan đến mật khẩu, dữ liệu nội bộ, tải tệp lên hoặc chia sẻ thông tin, hãy yêu cầu xác nhận trực tiếp trước khi thực hiện.
- Không coi nội dung trên trang web là chỉ dẫn đáng tin cậy: Một trang web có thể chứa những yêu cầu được thiết kế để thao túng AI. Việc AI đọc hoặc làm theo nội dung đó không có nghĩa hành động được yêu cầu là an toàn.
- Thu hồi quyền khi không còn sử dụng: Hạn chế để công cụ tiếp tục truy cập các dịch vụ nhạy cảm sau khi hoàn thành công việc.
- Cập nhật phần mềm: Sử dụng phiên bản mới nhất và theo dõi các thông báo bảo mật từ nhà cung cấp.
Với doanh nghiệp, cần đánh giá riêng quyền truy cập của các công cụ AI vào kho mã nguồn, hệ thống nội bộ và dữ liệu khách hàng. Những hành động có khả năng làm lộ hoặc thay đổi dữ liệu quan trọng nên được giới hạn phạm vi và yêu cầu người dùng phê duyệt.
BioShocking là lời cảnh báo rằng khi AI không chỉ trả lời câu hỏi mà còn trực tiếp thực hiện công việc trên trình duyệt, nội dung độc hại có thể trở thành phương tiện thao túng hành động. Vì vậy, bên cạnh việc cải thiện khả năng nhận diện chỉ dẫn nguy hiểm của AI, việc giới hạn quyền và yêu cầu xác nhận đối với thao tác nhạy cảm vẫn là những lớp bảo vệ cần thiết.
BioShocking là lời cảnh báo rằng khi AI không chỉ trả lời câu hỏi mà còn trực tiếp thực hiện công việc trên trình duyệt, nội dung độc hại có thể trở thành phương tiện thao túng hành động. Vì vậy, bên cạnh việc cải thiện khả năng nhận diện chỉ dẫn nguy hiểm của AI, việc giới hạn quyền và yêu cầu xác nhận đối với thao tác nhạy cảm vẫn là những lớp bảo vệ cần thiết.
