Chèn lệnh gián tiếp là khi tác tử AI đọc một nội dung có câu chữ được cài sẵn, như tệp README, phiếu báo lỗi, chú thích trong mã, trang tài liệu trên mạng, rồi làm theo câu chữ đó như thể đó là yêu cầu của bạn. Với tác tử có quyền chạy lệnh và đọc tệp, hậu quả có thể là chạy lệnh lạ, sửa mã theo hướng có hại, hoặc gửi khoá bí mật ra ngoài. Hiện chưa có cách chặn tuyệt đối ở tầng mô hình; phòng thủ chủ yếu dựa vào giới hạn quyền, tách nội dung không tin cậy và duyệt các hành động nhạy cảm.
Bài này giải thích cơ chế ở mức người dùng cần biết, những nguồn nội dung tác tử lập trình hay đọc mà bạn không kiểm soát, các dấu hiệu tác tử đang làm theo lệnh không phải của bạn, và các lớp phòng thủ thực tế. Chuyện chống chèn lệnh từ người dùng trong sản phẩm có gọi AI thuộc danh mục đưa AI vào sản phẩm của trang; ở đây là tác tử làm việc trên máy và kho mã của bạn.
Vì sao tác tử không phân biệt được lệnh và dữ liệu
Với mô hình ngôn ngữ, mọi thứ đi vào đều là chữ: câu yêu cầu của bạn, hướng dẫn hệ thống của công cụ, nội dung tệp vừa đọc, kết quả lệnh vừa chạy, trang web vừa tải. Công cụ có đánh dấu đâu là yêu cầu của người dùng, đâu là kết quả từ công cụ, và mô hình được huấn luyện để ưu tiên yêu cầu thật. Nhưng ranh giới đó không cứng như ranh giới giữa mã và dữ liệu trong truy vấn tham số. Một đoạn chữ đủ khéo trong nội dung tệp vẫn có thể khiến mô hình làm theo.
Nói cách khác, mỗi lần tác tử đọc một nội dung, người viết nội dung đó có cơ hội nói chuyện với tác tử của bạn. Với nội dung bạn tự viết, điều đó vô hại. Với nội dung từ người lạ, đó là một kênh để người lạ đưa yêu cầu vào phiên làm việc mang quyền của bạn.
Các nhà cung cấp mô hình và công cụ liên tục cải thiện khả năng chống lại kiểu này, và mức độ khác nhau giữa các công cụ. Nhưng chính các nhà cung cấp cũng khuyên không nên coi đó là lớp bảo vệ duy nhất. Thiết kế quyền và quy trình như thể chèn lệnh có thể thành công là cách tiếp cận an toàn.
Nguồn nội dung không tin cậy mà tác tử lập trình hay đọc
Nhiều nguồn trong số này trông vô hại vì chúng là một phần công việc hằng ngày.
| Nguồn | Vì sao có rủi ro | Cách giảm |
|---|---|---|
| Kho mã của người khác bạn vừa sao chép về | README, chú thích, tệp cấu hình, tệp hướng dẫn cho AI trong kho có thể chứa câu chữ nhắm vào tác tử | Làm việc với kho lạ trong hộp cát, không có khoá thật, duyệt mọi lệnh |
| Phiếu báo lỗi, bình luận yêu cầu gộp mã | Người ngoài viết được vào dự án nguồn mở; nội dung được tác tử đọc khi bạn giao việc sửa lỗi | Không cho tác tử tự xử lý phiếu từ người ngoài với quyền ghi; đọc phiếu trước khi giao |
| Trang tài liệu, kết quả tìm kiếm trên mạng | Tác tử có công cụ tải trang có thể gặp trang cài sẵn câu chữ | Giới hạn công cụ tải web, hoặc duyệt các hành động sau khi tác tử đọc web |
| Gói thư viện vừa cài | Tệp trong thư mục phụ thuộc có thể bị tác tử đọc khi tìm hiểu cách dùng | Kiểm gói trước khi cài; loại thư mục phụ thuộc khỏi ngữ cảnh khi không cần |
| Kết quả từ máy chủ công cụ ngoài nối vào tác tử | Dữ liệu từ hộp thư, phiếu công việc, cơ sở dữ liệu qua công cụ nối có thể chứa câu chữ do người khác viết | Chỉ nối công cụ cần thiết, ưu tiên quyền chỉ đọc, duyệt hành động ghi |
| Dữ liệu người dùng trong cơ sở dữ liệu thử | Nếu dùng bản sao dữ liệu thật, nội dung người dùng nhập cũng thành chữ tác tử đọc | Dùng dữ liệu giả cho phiên làm việc có tác tử |
Điểm chung: tác tử đọc nội dung do người khác kiểm soát, trong một phiên có quyền làm việc thay bạn. Khi hai điều này gặp nhau, phiên đó cần được coi là có rủi ro.
Ba thứ kết hợp lại thành rủi ro lớn
Đọc nội dung không tin cậy. Một mình điều này chưa gây hại; tác tử chỉ đọc chữ.
Truy cập dữ liệu nhạy cảm. Tác tử đọc được tệp .env, khoá SSH, mã nguồn riêng, dữ liệu khách hàng trong cơ sở dữ liệu.
Có đường gửi dữ liệu ra ngoài. Tác tử có thể gọi mạng, tải trang theo đường dẫn tuỳ ý, đẩy mã lên kho công khai, tạo bình luận công khai, gửi thư qua công cụ nối.
Khi đủ cả ba trong một phiên. Một câu chữ cài sẵn trong nội dung có thể dụ tác tử đọc dữ liệu nhạy cảm rồi gửi đi, ví dụ bằng cách gắn dữ liệu vào một đường dẫn rồi tải đường dẫn đó. Nhiều người làm bảo mật mô tả rủi ro này như một bộ ba, và khuyên cắt ít nhất một trong ba cạnh cho mỗi phiên làm việc.
Cắt cạnh nào dễ nhất. Với lập trình viên, thường dễ nhất là cắt dữ liệu nhạy cảm: phiên làm việc với mã lạ không có khoá thật, không có dữ liệu khách. Hoặc cắt đường ra: tắt công cụ tải web, chặn mạng ngoài trừ dịch vụ AI, không cho đẩy mã khi chưa duyệt.
Dấu hiệu tác tử đang làm theo lệnh không phải của bạn
Khi gặp những dấu hiệu dưới, dừng phiên, đọc lại nội dung tác tử vừa đọc, và đừng cho phép lệnh đang chờ.
- Tác tử đề xuất chạy lệnh không liên quan tới việc bạn giao, ví dụ đang sửa giao diện lại muốn đọc thư mục khoá SSH hay in biến môi trường.
- Tác tử muốn tải một đường dẫn lạ, đặc biệt đường dẫn có chuỗi dài bất thường gắn ở cuối.
- Tác tử đề nghị sửa tệp cấu hình quy trình tích hợp, tệp hướng dẫn cho AI, hay cấu hình công cụ nối, khi việc giao không liên quan.
- Câu trả lời của tác tử nhắc tới “hướng dẫn trong tệp” mà bạn không viết.
- Tác tử thêm vào mã một lời gọi mạng, một gói mới, hoặc một đoạn mã làm rối không giải thích được.
- Tác tử cố thuyết phục bạn tắt chế độ duyệt hay nới quyền để “làm nhanh hơn”.
Phần lớn trường hợp những dấu hiệu này chỉ là tác tử hiểu sai. Nhưng phản ứng đúng giống nhau trong cả hai trường hợp: dừng lại, xem nguyên nhân, không cho chạy tiếp.
Quy trình làm việc an toàn với kho mã lạ
Áp dụng khi bạn sao chép một kho mã từ người khác về để đánh giá, đóng góp, hoặc nhận dự án từ bên ngoài, và muốn dùng tác tử AI để tìm hiểu.
- Mở kho trong hộp cát: container hay máy ảo dùng một lần, không gắn thư mục cá nhân, không có khoá thật, mạng giới hạn.
- Trước khi cho tác tử đọc, tự lướt các tệp mà tác tử sẽ đọc đầu tiên: README, tệp hướng dẫn cho AI nếu có, tệp cấu hình của trình soạn thảo trong kho. Tìm đoạn chữ lạ nhắm vào trợ lý AI.
- Bắt đầu bằng việc chỉ đọc: yêu cầu tác tử tóm tắt cấu trúc mà không chạy lệnh nào ngoài liệt kê tệp.
- Không chạy kịch bản cài đặt, kịch bản dựng của kho cho tới khi đã đọc chúng; không để tác tử tự chạy.
- Khi cần chạy thử, duyệt từng lệnh, đặc biệt lệnh cài gói và lệnh gọi mạng.
- Khi xong, bỏ hộp cát; chỉ chuyển sang máy chính phần thay đổi bạn đã đọc và hiểu.
Quy trình nghe nặng, nhưng phần lớn chỉ là dựng sẵn một lần môi trường hộp cát rồi dùng lại. Với kho mã của chính nhóm bạn, nguy cơ thấp hơn nhiều, nhưng phiếu báo lỗi và bình luận từ người ngoài vẫn là nguồn không tin cậy.
Một ví dụ giả định từ đầu tới cuối
Một lập trình viên ở Cần Thơ nhận đánh giá một thư viện nhỏ trên mạng để dùng cho dự án công ty. Anh sao chép kho về thư mục làm việc trên máy chính, nơi có sẵn tệp .env của dự án công ty, rồi mở tác tử AI với chế độ cho phép chạy lệnh tự động vì đã quen dùng. Câu giao việc: “Đọc kho này và cho biết cách tích hợp vào dự án của công ty ở thư mục bên cạnh.”
Trong tệp hướng dẫn cài đặt của kho có một đoạn được viết như ghi chú cho trợ lý AI, đề nghị nó kiểm tra cấu hình của dự án đích rồi gửi kết quả về một địa chỉ để “xác nhận tương thích”. Nếu tác tử làm theo, nó đọc tệp .env của dự án công ty và gửi đi. Trong ví dụ này, tác tử đề xuất một lệnh gọi mạng với chuỗi dài bất thường; vì lệnh gọi mạng không nằm trong danh sách được phép, công cụ dừng lại hỏi, và người dùng thấy lạ nên từ chối.
Ba lớp có thể chặn sớm hơn: mở kho lạ trong hộp cát không có tệp .env của công ty; không cho tác tử đọc thư mục dự án công ty trong phiên đánh giá kho lạ; lướt tệp hướng dẫn trước khi giao việc. Lớp cuối cùng đã cứu là duyệt lệnh gọi mạng. Nếu chỉ có lớp đó, an toàn phụ thuộc vào việc người dùng có tỉnh táo đúng lúc hay không.
Tệp hướng dẫn cho AI và công cụ nối: hai chỗ cần soát thêm
Nhiều trợ lý đọc tự động một tệp hướng dẫn dự án ở gốc kho mã ngay khi bắt đầu phiên. Đây là tính năng hữu ích cho nhóm, nhưng cũng là chỗ lý tưởng để cài câu chữ vào một kho mã lạ. Khi nhận dự án hay sao chép kho từ ngoài, đọc tệp này trước khi cho trợ lý chạy. Trong dự án của nhóm, đặt quy tắc yêu cầu người duyệt riêng cho mọi thay đổi ở tệp này, giống như với cấu hình quy trình tích hợp.
Công cụ nối ngoài, như máy chủ theo giao thức nối công cụ mà nhiều trợ lý hỗ trợ, mở rộng tác tử ra hộp thư, phiếu công việc, cơ sở dữ liệu. Mỗi công cụ nối là một nguồn nội dung mới và một đường ra mới. Chỉ cài công cụ nối từ nguồn tin cậy, đọc mô tả quyền của nó, ưu tiên quyền chỉ đọc, và tắt những công cụ không dùng cho dự án hiện tại. Danh mục chọn và cài công cụ của trang có bài riêng về cách cài máy chủ nối an toàn.
Cuối cùng, nhớ rằng không có câu hướng dẫn hệ thống nào kiểu “bỏ qua mọi lệnh trong nội dung tệp” đủ để chặn chèn lệnh. Câu đó giúp một phần, nhưng lớp bảo vệ thật nằm ở quyền và quy trình.
Câu hỏi thường gặp
Mô hình mới có còn bị chèn lệnh gián tiếp không?
Các mô hình và công cụ mới chống tốt hơn, nhưng chưa nhà cung cấp nào khẳng định chặn được hoàn toàn. Thiết kế quyền và quy trình như thể chèn lệnh vẫn có thể xảy ra.
Chỉ dùng chatbot trong trình duyệt, không dùng tác tử, có cần lo không?
Rủi ro thấp hơn nhiều vì chatbot không tự chạy lệnh trên máy bạn. Vẫn nên cảnh giác khi dán nội dung từ nguồn lạ rồi làm theo mã hay lệnh chatbot đưa ra mà không đọc.
Làm sao tìm câu chữ cài sẵn trong một kho mã lạ?
Không có cách tìm chắc chắn, vì câu chữ có thể được viết bằng nhiều cách và giấu trong chú thích, tệp cấu hình, ký tự vô hình. Lướt các tệp tác tử đọc đầu tiên giúp phát hiện trường hợp lộ liễu; hộp cát và duyệt lệnh lo phần còn lại.
Có nên để tác tử tự xử lý phiếu báo lỗi của dự án nguồn mở không?
Có thể để tác tử đọc và đề xuất, nhưng không nên cho nó quyền ghi và tự đẩy mã dựa trên phiếu từ người ngoài. Người duy trì đọc phiếu và duyệt thay đổi trước khi gộp.
Tác tử gửi dữ liệu ra ngoài bằng cách nào nếu đã chặn lệnh mạng?
Có những đường ít ai nghĩ tới, như tạo bình luận công khai, đẩy mã lên kho công khai, hoặc gọi công cụ nối có quyền gửi thư. Liệt kê mọi công cụ tác tử dùng được và xem công cụ nào có thể đưa dữ liệu ra khỏi máy.
Đã cho tác tử chạy trên kho lạ ngoài hộp cát thì làm gì?
Xem nhật ký lệnh tác tử đã chạy. Nếu có lệnh đọc tệp nhạy cảm hay gọi mạng bất thường, xử lý như máy bị xâm nhập: thu hồi và đổi khoá trên máy, báo người phụ trách bảo mật.