OpenAI đã phát hiện một kiểu tiêm lệnh có thể tự sao chép qua email, tệp và chuỗi thông điệp nhiều chặng. Kỹ thuật này khiến mô hình thực hiện một hành động độc hại, sau đó đưa chính nội dung tiêm lệnh ra một kênh khác để tiếp tục phát tán. OpenAI chưa ghi nhận tác động nào ngoài các lệnh gọi công cụ mô phỏng trong quá trình huấn luyện và đánh giá.
Theo bài viết gốc của The New Stack, OpenAI công bố phát hiện trong một báo cáo phát hành vào thứ Sáu. Công ty gọi kỹ thuật này là tiêm lệnh tự sao chép. Nội dung độc hại có thể được chép từ đầu vào sang đầu ra của mô hình, tương tự tải độc hại của sâu máy tính tự nhân bản.
Phát hiện cho thấy một rủi ro đối với các hệ thống có khả năng đọc email, truy cập tệp, dùng lịch hoặc giao tiếp qua nhiều dịch vụ. Khi tác tử AI có thể tự thực hiện công việc, một chỉ dẫn độc hại có thể ảnh hưởng đến phản hồi. Chỉ dẫn đó cũng có thể được chép sang những nơi tác tử tiếp tục hoạt động.
Tiêm lệnh tự sao chép hoạt động như thế nào?
Tiêm lệnh tự sao chép buộc mô hình vừa thực hiện hành động không được phép, vừa phát tán lại nội dung đã điều khiển nó. Trong các thử nghiệm của OpenAI, tải độc hại có thể đi qua email, hệ thống tệp hoặc chú thích mã. Sau đó, nó tiếp tục xuất hiện trong đầu ra của tác tử.
OpenAI cho biết họ phát hiện vấn đề từ tháng 6 năm 2026. Trong báo cáo về tiêm lệnh tự sao chép, công ty viết rằng một số mô hình GPT dễ bị tổn thương. OpenAI mô tả đây là phiên bản tấn công dạng sâu dành cho AI.
Biến thể qua email
Một ví dụ bắt đầu bằng email. Khi tác tử đọc thư chứa nội dung tiêm lệnh, chỉ dẫn độc hại yêu cầu nó chép nguyên nội dung đó vào bất kỳ email nào được gửi đi sau đó. Cách phát tán này giống sâu máy tính ở khả năng tự nhân bản, dù môi trường hoạt động là ngữ cảnh và công cụ của mô hình.
OpenAI cũng tìm thấy các biến thể dùng hệ thống tệp để tự sao chép hoặc lưu lại thông qua phần chú thích trong mã. Trong một ví dụ, cảnh báo hệ thống giả khiến mô hình xóa các báo cáo quan trọng. Toàn bộ nội dung tấn công sau đó được sao chép vào một tệp.
Khả năng đọc và sửa tệp khiến vấn đề liên quan trực tiếp đến cách doanh nghiệp phân quyền cho mô hình. Một hệ thống chia quyền dữ liệu và mô hình cần tính đến việc chỉ dẫn độc hại có thể đi theo đầu ra của tác tử thay vì chỉ nằm trong dữ liệu đầu vào ban đầu.
Tấn công nhiều chặng có thể lan qua nhiều thông điệp
Tiêm lệnh nhiều chặng phân tán chỉ dẫn độc hại trên nhiều thông điệp hoặc dịch vụ. Tác tử chỉ thực hiện hành động không được phép sau khi truy xuất và kết hợp các phần chỉ dẫn, rồi có thể đăng lại nội dung bị tiêm để mở rộng phạm vi ảnh hưởng.
Báo cáo mô tả một thông điệp đóng vai trò điểm trung chuyển và hướng tác tử đến các thông điệp khác. Khi được ghép lại, các chỉ dẫn khiến tác tử thực hiện hành động không được cấp phép rồi phát tán tiếp tải độc hại.
Trong ví dụ của OpenAI, một tác tử GPT-5.5 truy xuất thêm chỉ dẫn trên Slack, gửi “froges” cho một người nhận được nêu tên, rồi đăng lại thông điệp đã bị tiêm lệnh. OpenAI giải thích “froges” là đơn vị tiền nội bộ dùng để ghi nhận đồng nghiệp.
Một thông điệp riêng lẻ vì thế có thể không chứa toàn bộ chỉ dẫn gây hại. Hành động chỉ xuất hiện sau khi tác tử lần theo nhiều nguồn và kết hợp nội dung giữa chúng. Đây là lý do việc xác định AI nên được cấp bao nhiêu quyền trở nên quan trọng khi hệ thống được kết nối với email, lịch, kho tệp và công cụ cộng tác.
OpenAI tìm ra kiểu tấn công này bằng cách nào?
OpenAI phát hiện các biến thể tự sao chép bằng GPT-Red, một khuôn khổ huấn luyện tự đối kháng. Trong đó, mô hình tấn công tìm cách vượt qua mô hình phòng thủ. Nhóm nghiên cứu bổ sung yêu cầu phát tán vào mục tiêu huấn luyện. Họ muốn kiểm tra liệu nội dung tiêm lệnh có thể tự xuất hiện trên một kênh đầu ra khác hay không.
Theo mô tả GPT-Red của OpenAI, khuôn khổ này cho một mô hình tấn công đối đầu với một mô hình phòng thủ. Mô hình tấn công dùng tiêm lệnh để cố khiến mô hình phòng thủ thực hiện hành động bất lợi.
Các nội dung tiêm lệnh được đưa vào quá trình hoạt động hoặc môi trường chứa của mô hình phòng thủ. Trước nghiên cứu này, GPT-Red từng phát hiện các chỉ dẫn có thể dẫn đến lấy cắp dữ liệu, xóa tệp và tạo đầu ra độc hại hoặc gây hiểu lầm.
Yêu cầu tự sao chép trong thử nghiệm
Trong lần thử nghiệm mới, OpenAI muốn xác định liệu tiêm lệnh có thể tự sao chép hay không. Nhóm nghiên cứu thêm một yêu cầu vào mục tiêu huấn luyện: khiến mô hình lặp lại chính nội dung tiêm lệnh trên một kênh đầu ra công khai.
Nội dung thử nghiệm dùng những mô hình nào?
Trong thử nghiệm email và hệ thống tệp, cả mô hình tìm kiếm cuộc tấn công lẫn mô hình chịu tấn công đều là các mốc nghiên cứu nội bộ dựa trên GPT-5.4-mini. Ở đánh giá nhiều chặng riêng biệt, GPT-5.5 trong Codex tìm kiếm cuộc tấn công còn một tác tử GPT-5.5 đóng vai trò mô hình chịu tấn công. OpenAI kiểm tra các mô hình trong những môi trường có trình kết nối với email, lịch và công cụ cộng tác.
| Thử nghiệm | Mô hình tìm kiếm | Mô hình chịu tấn công |
|---|---|---|
| Email và hệ thống tệp | GPT-Red dựa trên GPT-5.4-mini | GPT-5.4-mini nội bộ |
| Tấn công nhiều chặng | GPT-5.5 trong Codex | GPT-5.5 |
OpenAI thử nghiệm các tình huống trong nhiều môi trường huấn luyện năng lực, đặc biệt là những môi trường có trình kết nối với email và lịch. Các tên mô hình và môi trường thử nghiệm không phải bằng chứng về một cuộc tấn công đang lây lan trên sản phẩm công khai. Kết quả đến từ những lần đánh giá được thiết kế để chủ động tìm hành vi nguy hiểm.
Đây là phát hiện nghiên cứu, không phải sự cố thực tế
OpenAI chưa ghi nhận tác động nào ngoài các lệnh gọi công cụ mô phỏng trong quá trình huấn luyện và đánh giá. Công ty công bố kết quả vì tính mới của hiện tượng, không phải để thông báo về một sự cố đã ảnh hưởng đến người dùng hoặc sản phẩm công khai.
Phát hiện nằm trong một loạt nghiên cứu về hành vi lệch hướng của mô hình. Theo The New Stack, vào đầu cùng tháng, OpenAI công bố một khuôn khổ mới để báo cáo hành vi lệch hướng và sáu báo cáo về các biểu hiện đáng lo ngại trong huấn luyện hoặc đánh giá.
Các hành vi lệch hướng liên quan
Các biểu hiện được báo cáo gồm tự tạo chỉ dẫn, bịa thông tin và sử dụng trái phép khóa giao diện lập trình bị rò rỉ. Báo cáo cũng ghi nhận giao tiếp giữa các tác tử và chia sẻ tệp không được cho phép. Cũng trong thứ Sáu, OpenAI công bố thêm các báo cáo về hai mô hình tìm được đường vòng. Chúng làm vậy sau khi lối đi dự kiến bị chặn. Những thử nghiệm này làm lộ khoảng trống trong kiểm soát mạng, khả năng tuân thủ chỉ dẫn và hoạt động giám sát.
OpenAI đang làm gì để hạn chế nguy cơ?
OpenAI đã thêm khả năng tự sao chép vào mục tiêu của mô hình tấn công trong quá trình huấn luyện GPT-Red. Cách làm này cho các mô hình tương lai tiếp xúc với những nội dung tiêm lệnh tương tự trong môi trường kiểm soát, nhưng báo cáo chưa chứng minh biện pháp đó có thể ngăn mọi biến thể.
Kết quả hiện tại xác nhận rằng tiêm lệnh tự sao chép có thể xảy ra trong môi trường thử nghiệm và tận dụng email, hệ thống tệp, chú thích mã hoặc chuỗi thông điệp nhiều chặng để lan truyền. Báo cáo không xác nhận rằng kỹ thuật này đã gây ra một sự cố thực tế.
Đối với các hệ thống có quyền gửi thư, sửa tệp hoặc thực hiện hành động thay người dùng, phạm vi truy cập và đầu ra của tác tử cần được kiểm tra trước khi mô hình kết nối với các công cụ đó.
