Lỗ hổng bảo mật: Cách tin tặc đánh cắp quy trình suy luận riêng tư của các mô hình AI

Việc bảo mật AI thường đòi hỏi phải mã hóa cứng (hardcoding) các quyền truy cập vào mã nguồn ứng dụng cho từng máy chủ MCP, hoặc sử dụng các API token tĩnh để cấp quyền theo kiểu "được tất cả hoặc không được gì" (và hy vọng rằng LLM của bạn không đi chệch khỏi các hành động dự định).

Teleport loại bỏ những vấn đề này bằng giải pháp tích hợp MCP không cần mã (zero-code), áp dụng các nguyên tắc bảo mật zero trust tương tự như cách bạn áp dụng cho các kỹ sư con người:

Kiểm soát truy cập theo nguyên tắc đặc quyền tối thiểu (least privilege), mặc định từ chối các công cụ mới.

Yêu cầu truy cập tức thời (JIT - Just-in-time) đối với các công cụ có rủi ro cao.

Nhật ký cho mọi hành động – với đầy đủ thông tin kiểm toán và ngữ cảnh định danh.

Truy cập zero trust cho các máy chủ MCP, cơ sở dữ liệu và cụm Kubernetes.

Không cần viết mã ủy quyền, không cần viết lại các máy chủ MCP hay hạn chế công việc của tác nhân (agent).

Tìm hiểu thêm.

Khi một mô hình AI xử lý một câu hỏi khó, nó tạo ra ba phần văn bản riêng biệt:

Phần đầu tiên là câu trả lời hiển thị trên màn hình.

Phần thứ hai là một khối ngắn hơn, thường được gắn nhãn là suy nghĩ (thinking) hoặc lập luận (reasoning), xuất hiện trong khi câu trả lời đang được tổng hợp.

Phần thứ ba là toàn bộ quá trình lập luận của mô hình, phần này không bao giờ được hiển thị.

Phần văn bản thứ hai là bản tóm tắt của phần thứ ba. Nó được tạo riêng biệt và hiển thị thay cho quá trình lập luận gốc. Quá trình lập luận đầy đủ có độ dài lớn hơn và chứa cả những nội dung mà bản tóm tắt đã lược bỏ. Hầu hết các nhà cung cấp lớn đều giữ lại phần này. Tuy nhiên, thay vì cung cấp toàn bộ quá trình, một phiên bản mã hóa sẽ được chia sẻ với khách hàng trong suốt cuộc hội thoại.

Vào tháng 8 năm 2026, một nhóm nghiên cứu tại MATS Research, Viện ELLIS Tübingen và Viện Hệ thống Thông minh Max Planck muốn kiểm tra xem các khối lập luận được mã hóa mà Anthropic, OpenAI và Google gửi lại cho khách hàng có thực sự giữ cho quá trình lập luận đó ở chế độ riêng tư hay không. Họ đã chứng minh rằng các khối này có thể được phát lại (replay) vào một mô hình rẻ hơn trong cùng dòng, và mô hình đó sẽ xuất ra phần lập luận ẩn dưới dạng văn bản thuần (plaintext). Nói cách khác, những suy nghĩ của mô hình AI đã bị đánh cắp, làm lộ ra những thông tin lẽ ra phải được ẩn đi.

Trong bài viết này, chúng tôi sẽ đề cập đến những gì các nhà nghiên cứu đã phát hiện ra:

Các dấu vết lập luận (reasoning traces) và sự khác biệt của chúng so với câu trả lời và bản tóm tắt.

Lý do tại sao các nhà cung cấp giữ lại phần lập luận.

Vấn đề lưu trữ phát sinh từ đó và hai cách để giải quyết.

Nội dung của khối mã hóa và những gì nó xác thực.

Ba hình thức tương thích đi kèm.

Phương pháp trích xuất và cách xác minh.

Bốn vectơ tấn công.

Những phát hiện từ việc quét các nhật ký phiên làm việc đã được công bố.

Các bản sửa lỗi được đề xuất và những hạn chế còn tồn tại.

Tuyên bố miễn trừ trách nhiệm: Bài viết này dựa trên các chi tiết được chia sẻ công khai từ nhiều nguồn khác nhau. Tài liệu tham khảo ở cuối bài. Vui lòng để lại bình luận nếu bạn phát hiện bất kỳ điểm nào không chính xác.

Các mô hình tiên tiến hiện đại trước tiên tạo ra một chuỗi văn bản nội bộ mở rộng trước khi đưa ra câu trả lời hiển thị. Ví dụ, nếu chúng ta yêu cầu mô hình giải một câu hỏi toán học khó, mô hình có thể tạo ra hai nghìn từ để khám phá, đi vào ngõ cụt và sửa lỗi, điều này cuối cùng giúp nó viết ra một câu trả lời ngắn gọn gồm hai trăm từ. Chuỗi khám phá dài hơn này chính là dấu vết lập luận, hay còn được gọi là chuỗi suy nghĩ (chain of thought).

Dấu vết này lưu giữ các giả thuyết trung gian mà mô hình có thể đã thử và từ bỏ. Nó chứa kết quả thô của bất kỳ công cụ nào đã được gọi, dữ liệu của người dùng khi mô hình xử lý và bất kỳ bí mật ngữ cảnh nào có trong phiên làm việc. Không có gì ngạc nhiên khi dấu vết này dày đặc và tiết lộ nhiều thông tin hơn so với kết quả cuối cùng đã được trau chuốt.

Ví dụ, nếu chúng ta yêu cầu một tác nhân lập trình (coding agent) xóa các thông tin xác thực được mã hóa cứng khỏi kho lưu trữ mã nguồn, tác nhân đó phải đọc các thông tin xác thực đó để thực hiện công việc. Nói cách khác, các thông tin xác thực này đi qua dấu vết lập luận trước khi bất kỳ câu trả lời nào được tạo ra.

Tại sao các nhà cung cấp mô hình lại ẩn các dấu vết lập luận này?

Có hai động cơ riêng biệt:

Thứ nhất là về thương mại. Đối thủ cạnh tranh có thể thu thập một lượng lớn dấu vết từ một mô hình mạnh để tạo tài liệu đào tạo nhằm xây dựng một phiên bản bắt chước rẻ hơn. Điều này là do câu trả lời cuối cùng chỉ cung cấp điểm kết thúc của một quá trình tính toán, trong khi dấu vết cung cấp phương pháp luận đằng sau câu trả lời đó.

Thứ hai là về an toàn. Đôi khi một mô hình phải tạo ra lập luận về một chủ đề độc hại để từ chối. Việc lọc để biến một dấu vết hoàn chỉnh thành một câu trả lời hiển thị an toàn được thực hiện sau khi dấu vết đã tồn tại. Việc công bố dấu vết sẽ bỏ qua bộ lọc đó và cho phép người dùng nhìn thấy thông tin đó.

Việc không để dấu vết đến tay người dùng không có nghĩa là dấu vết đó không cần thiết. Trong một cuộc hội thoại nhiều lượt, lập luận từ lượt trước phải khả dụng cho lượt tiếp theo. Ví dụ, một yêu cầu gửi đến API của mô hình không mang theo bộ nhớ về những gì đã xảy ra trước đó. Sự liên tục mà chúng ta thấy trong cửa sổ trò chuyện được tái tạo bởi việc máy khách gửi lại toàn bộ lịch sử với mỗi tin nhắn. Tuy nhiên, máy chủ là không trạng thái (stateless), nghĩa là nó không lưu trữ bất cứ thứ gì giữa các yêu cầu.

Điều này để lại cho chúng ta hai lựa chọn:

Lựa chọn đầu tiên là giữ trạng thái trên máy chủ. Nhà cung cấp lưu trữ dấu vết trong cơ sở dữ liệu của riêng họ, trả về một định danh vô nghĩa cho máy khách và tra cứu nó khi tin nhắn tiếp theo đến. Cách này đơn giản nhưng tốn kém vì nó đòi hỏi phải lưu trữ trạng thái cho mọi cuộc hội thoại của mọi người dùng trên một dịch vụ toàn cầu.

Lựa chọn thứ hai là mã hóa dấu vết và trả về cho máy khách, máy khách sẽ lưu trữ khối đó và gửi lại cùng với mỗi yêu cầu tiếp theo. Trong trường hợp này, nhà cung cấp không lưu trữ bất cứ thứ gì.