Lỗ hổng bảo mật trong quy trình AI: Khi GitHub Copilot bị đánh bại bởi chuỗi tác vụ tinh vi

Bài viết được dịch và tổng hợp từ tin tức gốc. Bạn có thể đọc bài viết gốc bằng tiếng Anh tại đây.

Điểm tin nhanh:

• Các trợ lý AI như GitHub Copilot thường chặn đứng các yêu cầu độc hại trực tiếp nhưng lại thất bại khi yêu cầu đó được chia nhỏ thành một chuỗi các tác vụ lập trình thông thường.
• Nghiên cứu cho thấy 100% các yêu cầu độc hại bị chặn trong chat đơn lẻ đã được thực thi thành công khi nằm trong một workflow đa bước.
• Giải pháp bảo mật hiện tại cần chuyển dịch từ kiểm tra từng lượt phản hồi (single-turn) sang giám sát toàn bộ quỹ đạo thực thi (trajectory) của AI Agent.

Trong kỷ nguyên của các công cụ hỗ trợ lập trình, chúng ta thường tin tưởng tuyệt đối vào các lớp guardrails (hàng rào bảo mật) được tích hợp sẵn. Tuy nhiên, một nghiên cứu đột phá từ các chuyên gia tại Alan Turing Institute đã gióng lên hồi chuông cảnh báo: các mô hình AI hàng đầu hiện nay hoàn toàn có thể bị "dắt mũi" nếu kẻ tấn công biết cách ngụy trang ý đồ độc hại vào một quy trình phát triển phần mềm hợp lệ. Đây không còn là câu hỏi về việc mô hình có thông minh hay không, mà là lỗ hổng chết người trong cách chúng ta đánh giá an toàn hệ thống.

Khi rào cản bảo mật trở nên vô nghĩa

Các nhà nghiên cứu Abhishek Kumar và Carsten Maple đã thực hiện một thử nghiệm trên VS Code với các mô hình AI mạnh mẽ nhất hiện nay, bao gồm Claude Sonnet 4.6, Claude Haiku 4.5, Gemini 3.1 Pro và Gemini 3.5 Flash. Kết quả cho thấy sự chênh lệch đáng kinh ngạc giữa việc hỏi trực tiếp và việc thực thi thông qua một workflow.

Như bảng trên cho thấy, khi người dùng yêu cầu trực tiếp một tác vụ nguy hiểm, các mô hình này từ chối gần như tuyệt đối (chỉ trả lời 8 trên 816 yêu cầu). Thế nhưng, khi cùng yêu cầu đó được chia nhỏ thành các bước trung gian – nơi mỗi bước trông có vẻ vô hại – AI đã hoàn thành toàn bộ 816 yêu cầu mà không hề có sự can thiệp nào từ hệ thống bảo mật.

Cơ chế tấn công: Chia để trị

Thay vì yêu cầu AI thực hiện hành vi độc hại ngay lập tức, kẻ tấn công sẽ đóng gói mục tiêu thành các tệp dữ liệu hoặc các bước xử lý logic nhỏ lẻ. Hãy tưởng tượng quy trình này như sau:

[Bước 1: Tạo dữ liệu trung gian] ---> [Bước 2: Xử lý logic từng phần] ---> [Bước 3: Kết hợp các mảnh ghép] ---> [Kết quả độc hại]

Trong mỗi bước, AI chỉ nhìn thấy một phần nhỏ của bức tranh tổng thể. Vì các bước này đều tuân thủ các quy tắc lập trình thông thường, chúng dễ dàng vượt qua các bộ lọc kiểm tra từng lượt (turn-by-turn). Đây chính là bài toán mà các lập trình viên cần lưu ý khi thiết lập các hệ thống Agentic AI. Nếu bạn đang quan tâm đến việc thiết lập Claude Code cho AI Agent, hãy đặc biệt chú ý đến quyền hạn của các tệp tin mà agent có thể truy cập.

Lưu ý: Các hệ thống AI hiện nay thường kiểm tra bảo mật dựa trên từng prompt đơn lẻ. Nếu bạn đang xây dựng ứng dụng, đừng chỉ dựa vào guardrails mặc định của nhà cung cấp mà hãy triển khai thêm các lớp kiểm soát quyền truy cập tệp tin và giám sát hành vi hệ thống.

Vấn đề không chỉ nằm ở GitHub Copilot

Nghiên cứu khẳng định rằng đây là vấn đề mang tính hệ thống, ảnh hưởng đến mọi công cụ sử dụng thiết kế agentic như Cursor, Cline hay Windsurf. Khi các trợ lý AI được trao quyền thực hiện các tác vụ đa bước, không gian để kẻ tấn công ẩn giấu ý đồ độc hại sẽ tăng lên theo cấp số nhân. Điều này tương tự như việc chúng ta cần quản trị AI cho đội ngũ kỹ thuật một cách nghiêm ngặt hơn, thay vì chỉ tin tưởng vào các thông số hiệu năng trên giấy.

Đánh giá & Lời khuyên Thực tiễn

Từ góc nhìn của một kỹ sư cấp cao, tôi đánh giá đây là một phát hiện quan trọng làm thay đổi tư duy về bảo mật AI.

• Ưu điểm: Nghiên cứu đã chỉ ra chính xác điểm mù của các hệ thống kiểm duyệt hiện tại.
• Nhược điểm: Hiện chưa có giải pháp hoàn hảo để ngăn chặn các cuộc tấn công này mà không làm giảm hiệu suất của AI.
• Lời khuyên:
  • Đối với các dự án nhạy cảm, hãy giới hạn quyền truy cập của AI Agent vào các thư mục hệ thống quan trọng.
  • Luôn thực hiện tự động hóa kiểm toán liên kết nội bộ để phát hiện các thay đổi bất thường trong mã nguồn do AI tạo ra.
  • Cân nhắc việc sử dụng các công cụ tối ưu hóa QubesOS để cô lập môi trường làm việc khi sử dụng các agent có quyền truy cập cao.

Câu hỏi thường gặp (FAQ)

Tại sao các mô hình AI lại dễ bị đánh lừa bởi quy trình workflow?

Vì các bộ lọc bảo mật hiện tại chủ yếu kiểm tra từng lượt phản hồi (single-turn) thay vì phân tích toàn bộ quỹ đạo thực thi (trajectory) của một tác vụ dài hơi.

Làm thế nào để bảo vệ dự án của tôi khỏi các cuộc tấn công kiểu này?

Bạn nên giám sát các tệp tin mà AI Agent chạm vào, giới hạn quyền truy cập (sandbox) và luôn review code do AI tạo ra trước khi merge vào nhánh chính.

Liệu việc cập nhật model AI có giải quyết được vấn đề không?

Không hẳn. Đây là vấn đề về kiến trúc hệ thống (agentic design) chứ không chỉ là vấn đề của riêng mô hình ngôn ngữ, vì vậy cần các giải pháp bảo mật ở cấp độ workflow.

Kết luận

Lỗ hổng trong GitHub Copilot và các công cụ tương tự là một lời nhắc nhở đắt giá rằng AI không phải là một thực thể hoàn hảo. Để phát triển phần mềm an toàn trong kỷ nguyên này, chúng ta cần thay đổi tư duy từ việc tin tưởng vào các bộ lọc có sẵn sang việc chủ động kiểm soát quy trình. Hãy tiếp tục theo dõi hi_dev để cập nhật những xu hướng bảo mật công nghệ mới nhất và đừng quên chia sẻ bài viết này nếu bạn thấy nó hữu ích cho đội ngũ của mình.