BioShocking: Kỹ thuật tấn công mới khiến AI Browser tự động rò rỉ thông tin đăng nhập

Một kỹ thuật tấn công mới mang tên BioShocking vừa được các chuyên gia từ hãng bảo mật LayerX công bố, cho thấy lỗ hổng nghiêm trọng trong cách các AI browser (trình duyệt tích hợp AI) xử lý lệnh từ người dùng và nội dung trang web. Kỹ thuật này đã thành công trong việc đánh lừa 6 loại AI browser và trợ lý ảo phổ biến, buộc chúng phải tự động sao chép và gửi thông tin đăng nhập của người dùng cho kẻ tấn công.

Cơ chế tấn công ‘BioShocking’

Vấn đề cốt lõi nằm ở khả năng thực thi tác vụ (agent mode) của các trình duyệt AI hiện nay. Thay vì chỉ đọc nội dung, các AI này có quyền truy cập vào các trang web mà người dùng đã đăng nhập, thực hiện thao tác click hoặc nhập liệu thay cho người dùng. Tuy nhiên, do AI xử lý nội dung trang web và chỉ dẫn của người dùng dưới dạng một luồng văn bản duy nhất, kẻ tấn công có thể thực hiện indirect prompt injection bằng cách ngụy trang các lệnh độc hại dưới dạng nội dung thông thường hoặc quy tắc trò chơi.

Trong thử nghiệm, LayerX đã xây dựng một trang web dưới dạng trò chơi giải đố. Khi AI browser bị dẫn dụ vào ‘trạng thái trò chơi’, nó sẽ ưu tiên thực hiện các yêu cầu của trò chơi thay vì tuân thủ các quy tắc an toàn. Kết quả là, AI đã tự động truy cập vào kho lưu trữ GitHub của người dùng, trích xuất thông tin đăng nhập SSH và chuyển cho kẻ tấn công mà không hề có cảnh báo nào.

Phản ứng từ các nhà cung cấp

LayerX đã báo cáo lỗ hổng này cho các nhà cung cấp từ cuối năm 2025 đến đầu năm 2026. Trong khi OpenAI đã khắc phục được sự cố trên ChatGPT Atlas, thì các nền tảng khác như Perplexity lại đóng báo cáo mà không thực hiện hành động cụ thể. Một số đơn vị khác như Anthropic đã cố gắng tung ra bản patch cho extension của Claude nhưng theo LayerX, biện pháp này vẫn chưa triệt để.

Khuyến nghị bảo mật

Để ngăn chặn rủi ro, LayerX đề xuất các AI browser cần áp dụng cơ chế xác nhận người dùng trước khi truy cập vào các tài khoản đã đăng nhập hoặc các dữ liệu nhạy cảm. Đồng thời, các hệ thống AI cần có khả năng nhận diện khi một trang web cố tình thay đổi các quy tắc an toàn mặc định.

Đối với người dùng và các đội ngũ an ninh mạng, cần lưu ý rằng khi kích hoạt chế độ agent, AI browser có quyền truy cập tương đương với một tài khoản người dùng thực thụ trong hệ thống doanh nghiệp. Do đó, việc áp dụng nguyên tắc đặc quyền tối thiểu (least privilege) và kiểm soát chặt chẽ phạm vi truy cập của AI là vô cùng cần thiết để tránh việc bị lợi dụng làm bàn đạp tấn công vào hệ thống nội bộ.

Nguồn tham khảo: The Hacker News