Nhóm tấn công khai thác AI trong tìm kiếm thông tin và mua sắm

Nhóm tấn công đang khai thác khả năng của AI trong tìm kiếm thông tin và mua sắm. Các nhà nghiên cứu đã phát hiện các kỹ thuật như injección của prompts và envenenamiento SEO. Google và các nhà sản xuất khác đã phát hành các bản vá để giảm thiểu rủi ro.

Nội dung chính

• Nhóm tấn công sử dụng kỹ thuật như injección của prompts và envenenamiento SEO để khai thác AI.
• Guardio Labs và Microsoft đã thực hiện các nghiên cứu về rủi ro liên quan đến AI trong tìm kiếm và mua sắm.
• OpenAI và Anthropic đã công nhận rằng AI có thể tạo ra rủi ro mới và đề xuất hạn chế quyền truy cập.
• Các nhà nghiên cứu đã phát hiện các trường hợp AI mở trang web giả mạo và thực hiện các hành động có thể gây tổn thất.

Chi tiết sự việc

Các công ty an ninh mạng đã thực hiện các thử nghiệm cho thấy tình huống tương tự đã xảy ra trong môi trường kiểm soát. Trong tháng 8 năm 2025, Guardio Labs, một công ty chuyên về an ninh cho trình duyệt, đã công bố một trong những nghiên cứu đầu tiên về trình duyệt được hỗ trợ bởi trí tuệ nhân tạo (AI). Trong một thử nghiệm, các nhà nghiên cứu yêu cầu Comet, trình duyệt của Perplexity, mua một sản phẩm từ một cửa hàng giả được tạo đặc biệt cho thí nghiệm. Trong một số trường hợp, công cụ đã từ chối hoàn thành hành động hoặc yêu cầu sự can thiệp của người dùng, nhưng trong một số trường hợp khác, nó đã thêm sản phẩm vào giỏ hàng và hoàn thành thông tin đã lưu trữ trước đó, như địa chỉ hoặc thông tin thanh toán.

Trong một thử nghiệm khác, trình duyệt đã theo dõi liên kết từ một email giả mạo, tự xưng là thông báo từ Wells Fargo, và mở một trang giả mạo trang đăng nhập, yêu cầu người dùng nhập thông tin đăng nhập. Theo các nhà nghiên cứu, khi các công nghệ này phát triển nhanh chóng, kết quả phản ánh hành vi được quan sát trong thời điểm thử nghiệm và không nhất thiết phản ánh trạng thái hiện tại của công cụ.

Trong tháng 5 năm 2026, Microsoft công bố một nghiên cứu cho thấy cách thức này có thể phát triển ra khỏi phòng thí nghiệm. Theo các nhà nghiên cứu của Microsoft, kẻ tấn công đã tạo ra các trang web mô phỏng các chương trình hợp pháp như CrystalDiskInfo, HWMonitor và PDFgear, hướng đến người dùng có card đồ họa cao cấp. Qua các kỹ thuật SEO độc hại, các trang web này đã đứng đầu trong kết quả tìm kiếm.

Nghiên cứu này cũng đề cập đến các báo cáo về người dùng nhận được liên kết đến các trang web do kẻ tấn công kiểm soát khi yêu cầu đề xuất tải xuống từ trợ lý AI. Các tệp tải xuống cài đặt ban đầu là ScreenConnect, một công cụ truy cập từ xa hợp pháp được quản trị viên IT sử dụng rộng rãi, sau đó được sử dụng để triển khai phần mềm khai thác tiền điện tử.

Các nhà nghiên cứu nhấn mạnh rằng kết luận của họ dựa trên các mẫu quan sát và dữ liệu liên quan. Họ cũng giải thích rằng ví dụ về câu chuyện chatbot trong báo cáo chỉ là minh họa và không chứng minh một vấn đề hệ thống trong một nền tảng AI cụ thể. Tuy nhiên, trường hợp này cho thấy cách một kỹ thuật đã ảnh hưởng đến các công cụ tìm kiếm trong nhiều năm cũng có thể được chuyển sang các trợ lý sử dụng thông tin từ web.

Vấn đề không giới hạn ở các trang web giả mạo. Năm 2025, The Washington Post và Digital Trends đã báo cáo các trường hợp trong đó tóm tắt AI của Google hiển thị số điện thoại sai hoặc giả mạo cho dịch vụ chăm sóc khách hàng của một số công ty. Google cho biết họ đã nhận thức được tình huống và đã thực hiện các biện pháp để sửa chữa một phần kết quả.

Nếu trang hoặc tài liệu chính xác ra lệnh cho AI?

Có một nguy cơ khác không phụ thuộc vào việc AI đề xuất một địa chỉ giả mạo. Trong một số trường hợp, nội dung của một trang web, email hoặc tài liệu có thể cố gắng ảnh hưởng đến hành vi của trợ lý.

Khi một đại diện AI xử lý một trang, tin nhắn hoặc tệp, nó có thể hiểu các chỉ thị ẩn như các lệnh hợp pháp của người dùng. Loại tấn công này được gọi là việc tiêm prompt (prompt injection) và được ghi nhận trong các tài liệu tham khảo như OWASP. Những chỉ thị này có thể giấu kín cho con người, ví dụ bằng văn bản không thể nhìn thấy hoặc các yếu tố được thiết kế để không gây chú ý, nhưng vẫn được AI hiểu.

OpenAI đề cập đến một ví dụ trong đó một agente tìm thấy một bình luận độc hại trong quá trình tìm kiếm và nhận lệnh để lấy mã khôi phục mật khẩu và gửi đến một trang web do nhóm tấn công kiểm soát. Trong khi đó, Guardio Labs mô tả một biến thể gọi là PromptFix, nơi các lệnh ẩn sau một CAPTCHA giả mạo khiến agente nhấp vào nút và tải xuống một tệp. Trong các cuộc thử nghiệm của các nhà nghiên cứu, tệp này không gây hại, nhưng trong một kịch bản thực tế, nó có thể là malware. AI cho rằng mình đang thực hiện một hành động hợp pháp, như giải quyết một kiểm tra an ninh, khi thực tế đang tương tác với một trang web độc hại hoặc trang phishing.

Emails và tài liệu cũng có thể được sử dụng như phương tiện cho các cuộc tấn công tương tự. Trong năm 2025, Aim Security công bố một lỗ hổng nghiêm trọng trong Microsoft 365 Copilot gọi là EchoLeak (CVE-2025-32711), nơi một email chứa lệnh ẩn có thể khiến trợ lý tiết lộ thông tin nội bộ của tổ chức mà không cần hành động của người dùng. Microsoft đã sửa lỗi vào tháng 6 năm 2025 và không có bằng chứng về việc tấn công thực tế.

Kính-invitations của lịch cũng có thể trở thành vector tấn công, đặc biệt là đối với agente có khả năng duyệt và hành động thay cho người dùng. Trong một nghiên cứu trình bày năm 2026, Zenity Labs mô tả một lớp lỗ hổng gọi là PleaseFix, nơi các lệnh ẩn trong một invitation của lịch ảnh hưởng đến hành vi của Comet, agente của Perplexity, mà không cần tương tác của người dùng. Theo các nhà nghiên cứu, nguy cơ thực sự xuất hiện khi một lệnh độc hại được kết hợp với một nhiệm vụ hợp pháp để trông như một bước cần thiết để hoàn thành.

Tóm lại, các lệnh lừa dối không cần phải xuất hiện chỉ trên một trang web. Chúng cũng có thể ẩn trong emails, tài liệu, invitation của lịch hoặc thậm chí là liên kết chia sẻ qua mạng xã hội.

OpenAI và Anthropic có quan điểm như thế nào về các agente AI?

Những nhà phát triển chính của các agente AI thừa nhận rằng các công cụ này bao gồm các rủi ro mới. Chế độ agente của ChatGPT, do OpenAI phát triển, sử dụng một trình duyệt để tương tác với trang web và hoàn thành các nhiệm vụ cho người dùng. Theo công ty, nó bao gồm các biện pháp an ninh như yêu cầu xác nhận trước các hành động có ảnh hưởng cao, cơ chế phát hiện cố gắng lừa dối thông qua injecciñn của prompts và kiểm soát bổ sung ở các trang được coi là nhạy cảm. Tuy nhiên, công ty cũng thừa nhận rằng các biện pháp này không loại bỏ hoàn toàn rủi ro và khuyến nghị giới hạn quyền truy cập cho agente và tránh các hoạt động nhạy cảm khi có thể.

Anthropic, phát triển Claude, mô tả vấn đề tương tự trong Claude trong Chrome, một mở rộng có thể nhấp vào nút và hoàn thành các biểu mẫu. Công ty cảnh báo rằng các trang web, emails và tài liệu có thể ẩn các lệnh thiết kế để AI hành động mà không cần biết của người dùng, ví dụ như xóa tệp, tiết lộ thông tin hoặc thực hiện giao dịch tài chính. Trong một bài viết tháng 11 năm 2025, Anthropic thông báo về tiến bộ trong các cơ chế bảo vệ của họ, nhưng nhấn mạnh rằng vấn đề vẫn còn chưa được giải quyết và không có agente trình duyệt nào là bất khả xâm phạm.

Đối tượng bị ảnh hưởng

Rủi ro này ảnh hưởng đến người dùng khi họ sử dụng các công cụ AI để tìm kiếm thông tin và mua sắm trực tuyến.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn WeLiveSecurity Español. Vui lòng đối chiếu bài gốc trước khi sử dụng.