Từ tấn công Prompt Injection đến kiểm soát dai dẳng: Bảo vệ AI Agent khỏi mã độc Trojan

Nội dung dịch chi tiết

Các tác nhân LLM (LLM agents) đang dần chuyển đổi từ chatbot trò chuyện đơn thuần sang các công cụ vận hành trong môi trường làm việc thực tế. Trong các hệ thống tác nhân cục bộ, LLM có khả năng đọc và ghi tệp, gọi công cụ và duy trì trạng thái làm việc qua nhiều phiên. Mặc dù các tính năng này nâng cao hiệu suất, chúng cũng mở ra một bề mặt tấn công mới.

Kẻ tấn công có thể nhúng các lệnh prompt injection vào tệp tin hoặc kết quả đầu ra của công cụ. Tác nhân có thể đọc, lưu trữ và thực thi các hướng dẫn ẩn này sau đó. Trong mô hình tấn công Trojan đa bước này, mỗi bước riêng lẻ có vẻ vô hại, nhưng khi kết hợp lại, chúng có thể biến văn bản không đáng tin cậy thành nội dung kiểm soát bền vững.

Các biện pháp phòng thủ hiện tại thường kiểm tra từng bước một cách riêng biệt. Kết quả là, chúng có thể chặn được các hành động gây hại rõ ràng nhưng lại thất bại trong việc phát hiện các thao tác ghi tệp ban đầu dùng để cài cắm cửa sau (backdoor).

Để làm rõ mối đe dọa này, nhóm nghiên cứu đã giới thiệu ClawTrojan, một bộ tiêu chuẩn đánh giá được thiết kế để xác định các cuộc tấn công Trojan đa bước trong môi trường tác nhân cục bộ. Trong môi trường mô phỏng OpenClaw với GPT-5.4, ClawTrojan đạt tỷ lệ tấn công thành công (ASR) lên tới 95,5%, trong khi các cuộc tấn công prompt injection đơn lẻ gần như không đạt được kết quả nào.

Để giải quyết vấn đề này, các tác giả đề xuất DASGuard. Hệ thống này quét các văn bản có tính chất điều khiển trong các tệp cục bộ nhạy cảm, truy xuất nguồn gốc của chúng và loại bỏ các nội dung điều khiển không xuất phát từ nguồn tin cậy.

Kết quả thực nghiệm cho thấy DASGuard đạt được khả năng phòng thủ động mạnh mẽ bằng cách kết hợp việc chặn tấn công trong thời gian thực với việc làm sạch dữ liệu trước khi lưu vào không gian làm việc.