Một lỗ hổng đến từ… ngữ pháp sai lệch

Chúng ta thường nghĩ rằng để “jailbreak” một chatbot AI cần những prompt tinh vi, mã hóa cầu kỳ hay mánh kỹ thuật cao siêu. Nhưng nghiên cứu mới từ nhóm Unit 42 (Palo Alto Networks) lại cho thấy: chỉ cần viết một câu thật dài, không có dấu chấm, ngữ pháp lộn xộn – là đủ để đánh lừa lớp bảo vệ.

Cách tấn công nghe có vẻ ngây ngô này lại vô cùng hiệu quả. Hệ thống vốn được huấn luyện để ngăn nội dung nguy hiểm sẽ bị trượt “bánh lái”, và chatbot sẵn sàng trả lời những điều mà bình thường nó phải từ chối.

Các nhà nghiên cứu gọi hiện tượng này là “refusal-affirmation logit gap”: lớp bảo vệ chỉ làm giảm xác suất mô hình sinh ra câu trả lời gây hại, chứ không triệt tiêu hoàn toàn. Một câu prompt khéo léo có thể “chèn” vào khoảng hở này và mở toang cánh cửa.

AI không thông minh như ta tưởng

Điều cần nhớ: Mô hình ngôn ngữ lớn không thực sự hiểu ngôn ngữ, cũng không có ý thức. Chúng chỉ mô phỏng thống kê dựa trên hàng tỷ ví dụ trong dữ liệu huấn luyện.

Các lớp bảo vệ — những “hàng rào an toàn” — được chắp thêm sau cùng. Nhưng chính vì thế, chúng có thể bị đánh lừa bằng những chiêu cực kỳ đơn giản. “Đừng kết thúc câu” – theo lời các nhà nghiên cứu – đã trở thành một trong những mẹo jailbreak hiệu quả nhất hiện nay.

80–100% tỷ lệ thành công chỉ với một prompt

Kết quả thử nghiệm gây sốc: các mô hình phổ biến như Meta Llama, Google Gemma, Qwen 2.5 và Qwen 3 (70B tham số) đều có thể bị phá vỡ với tỷ lệ thành công từ 80 đến 100%, chỉ bằng một prompt duy nhất.

Không cần tinh chỉnh, không cần lặp lại nhiều lần. Một cú thử là đủ. Và điều này làm dấy lên câu hỏi: phải chăng chúng ta đang quá ảo tưởng về mức độ an toàn của chatbot AI?

Phòng thủ nhiều lớp: chưa đủ nhưng vẫn cần

Để đối phó, nhóm nghiên cứu đề xuất những cơ chế mới như “sort-sum-stop” (phân tích nhanh, ít tốn tài nguyên hơn beam search) và logit-gap steering (một thước đo định lượng khả năng bị tấn công).

Tuy vậy, ngay cả các kỹ thuật này cũng chỉ là biện pháp vá tạm. Theo Billy Hewlett, Giám đốc Nghiên cứu AI tại Palo Alto Networks, bản chất của LLM là vẫn giữ nguyên khả năng sinh ra nội dung gây hại. Những lớp phủ an toàn chỉ “che” đi phần nào, chứ không thay đổi sự thật bên trong.

Giải pháp bền vững nhất, theo Hewlett, là “defense-in-depth” — kết hợp nhiều tầng phòng thủ: lọc đầu vào, giám sát đầu ra, tường lửa AI, và quan trọng nhất là xây tính an toàn ngay từ khâu huấn luyện mô hình gốc, thay vì chắp thêm lớp bảo vệ sau cùng.

Tầm ảnh hưởng

Ưu điểm:

• Khám phá độc đáo nhưng cực kỳ đơn giản: Thủ thuật “một câu dài, không chấm câu” cho thấy việc jailbreak LLM không cần kiến thức kỹ thuật phức tạp.
• Tỉ lệ thành công cao: Các thử nghiệm trên nhiều mô hình lớn (Llama, Gemma, Qwen…) đạt từ 80–100% chỉ trong một lần thử.
• Đóng góp cho nghiên cứu an toàn AI: Phát hiện này giúp cộng đồng hiểu rõ hơn về giới hạn của các lớp bảo vệ và tạo tiền đề cho các cơ chế phòng thủ mới.
• Khả năng ứng dụng phòng thủ: Các phương pháp như sort-sum-stop và logit-gap steering cung cấp công cụ đo lường, giúp cải thiện khả năng giám sát.

Nhược điểm:

• Phơi bày sự mong manh của lớp bảo vệ hiện tại: Người dùng dễ dàng bypass hệ thống mà không cần kỹ năng chuyên sâu.
• Tác động rộng: Các mô hình phổ biến đều bị ảnh hưởng, nghĩa là vấn đề mang tính hệ thống chứ không phải cục bộ.
• Giải pháp chưa đủ bền vững: Các biện pháp phòng thủ hiện tại vẫn chỉ là “vá lỗi”, không giải quyết triệt để bản chất của mô hình.
• Nguy cơ lạm dụng: Với prompt đơn giản, bất kỳ ai cũng có thể khai thác để tạo ra nội dung bị hạn chế hoặc nguy hiểm.

Đánh giá cuối cùng:

Khám phá của Palo Alto Networks vừa buồn cười vừa đáng lo: chỉ một câu dài vô tận cũng có thể biến chatbot AI thành nguồn phát tán nội dung độc hại. Nó cho thấy khoảng cách lớn giữa “AI thông minh” trong tưởng tượng và thực tế những mô hình ngôn ngữ xác suất đầy lỗ hổng. Các nỗ lực phòng thủ mới là cần thiết, nhưng vẫn chỉ như đặt thêm ổ khóa bên ngoài cánh cửa vốn yếu ớt. Về lâu dài, ngành AI cần hướng đến xây an toàn ngay từ lõi mô hình, thay vì chỉ trông cậy vào lớp bảo vệ mỏng manh.

Một lời cảnh báo rõ ràng rằng AI hôm nay chưa hề an toàn tuyệt đối. Và đôi khi, để đánh bại chatbot hàng tỷ đô, bạn chỉ cần… viết một câu thật dài.

Lời cảnh báo cho kỷ nguyên chatbot AI

Câu chuyện “một câu dài phá vỡ AI” nghe buồn cười, nhưng lại là hồi chuông cảnh tỉnh. Nó nhắc chúng ta rằng: AI hiện tại không phải cỗ máy toàn năng, mà chỉ là người bắt chước ngôn ngữ xác suất cao.

Nếu một câu văn lủng củng cũng có thể khiến chatbot bật ra điều nguy hiểm, thì rõ ràng chúng ta chưa thể an tâm đặt AI vào mọi lĩnh vực nhạy cảm.

Trước khi nghĩ đến chuyện thay thế con người, có lẽ đã đến lúc ngành AI cần thành thật hơn: những cỗ máy ngôn ngữ này còn mong manh, dễ vỡ — và việc bảo vệ chúng vẫn chỉ mới ở giai đoạn sơ khai.