Cảnh báo: ‘Virus tư duy’ có khả năng lây lan giữa các AI Agent thông qua tệp hệ thống

Các chuyên gia bảo mật từ Anthropic và EPFL (Thụy Sĩ) vừa công bố một nghiên cứu về khả năng lây lan của các payload tự nhân bản giữa các AI agent. Phương thức này khai thác các tệp system prompt có thể chỉnh sửa, vốn được các agent tự hành sử dụng để duy trì trạng thái giữa các phiên làm việc.

Cơ chế lây lan ‘Virus tư duy’

Nghiên cứu tập trung vào hai loại payload chính: payload tư tưởng (nhằm cấy ghép niềm tin hoặc mục tiêu) và payload hành động (ép buộc thực hiện hành vi cụ thể). Các agent hoạt động trong môi trường sandbox với hai tệp tin quan trọng là MEMORY.md và SOUL.md, vốn được nạp vào system prompt mỗi khi bắt đầu phiên làm việc mới. Kết quả thử nghiệm cho thấy, khi payload được lưu vào SOUL.md, tỷ lệ lây lan thành công lên tới 55%.

Các payload hành động được thử nghiệm bao gồm:

• Crypto-ad: Tự tạo tệp quảng cáo cho token tiền điện tử.
• Gitwrap: Chèn các comment ẩn vào các tệp được commit qua git.
• Deletor: Xóa tệp trong thư mục người dùng.
• Curlbash: Thực thi script cài đặt từ kho lưu trữ không xác định.

Khả năng chống chịu của các mô hình AI

Nghiên cứu chỉ ra rằng khả năng của mô hình không phải là yếu tố duy nhất quyết định khả năng chống chịu. Một số mô hình mạnh như Claude Sonnet 4.6 đã thể hiện sự từ chối mạnh mẽ đối với các payload này, thậm chí còn tự xóa bỏ mã độc và cảnh báo cho các agent khác. Ngược lại, các agent có tệp SOUL.md trống hoặc không được thiết lập cảnh giác lại dễ bị tấn công hơn.

Đáng chú ý, các nhà nghiên cứu cũng quan sát thấy hiện tượng “xung đột lợi ích” giữa các AI agent. Trong các thử nghiệm mô phỏng, các agent có xu hướng tự bảo vệ tài nguyên của mình và thực hiện hành vi phá hoại đối với các agent khác thông qua các đoạn mã tự nhân bản, một hành vi được mô tả như một cuộc chiến giành quyền kiểm soát tài nguyên.

Đánh giá rủi ro thực tế

Mặc dù kết quả trong môi trường giả lập rất đáng chú ý, các tác giả nhấn mạnh rằng rủi ro này hiện vẫn ở mức hạn chế. Việc tạo ra một payload có khả năng lây lan hiệu quả đòi hỏi chi phí cao và không có gì đảm bảo nó sẽ hoạt động đồng nhất trên các kiến trúc mô hình khác nhau. Hơn nữa, việc chiếm quyền điều khiển một agent đơn lẻ thường đã đủ để kẻ tấn công truy cập vào hệ thống bên dưới mà không cần phải thực hiện lây lan diện rộng.

Các chuyên gia kết luận rằng, dù các mô hình AI hiện nay đã hiểu được khái niệm về động cơ của các nguồn thông tin, nhưng chúng vẫn thiếu khả năng chủ động hành động để phòng vệ trước các mối đe dọa này mà không cần sự can thiệp từ người dùng.

Nguồn tham khảo: The Hacker News