OpenAI ra mắt "Chế độ chặn" : cấm duyệt web, tải xuống và 7 chức năng khác, phòng chống tấn công chèn gợi ý

OpenAI giới thiệu "Chế độ phong tỏa (Lockdown Mode)", dành cho các doanh nghiệp và người dùng cá nhân xử lý dữ liệu nhạy cảm, bằng cách chủ động tắt bảy chức năng như duyệt web tức thì, Nghiên cứu sâu, Chế độ đại lý, v.v., để có mức bảo vệ nghiêm ngặt hơn đối với các cuộc tấn công tiêm kích hướng dẫn.

（Tiền đề: Lỗ hổng lớn của Microsoft Copilot Cowork: AI Agent bị tấn công bằng lệnh hướng dẫn tự rò rỉ tài liệu doanh nghiệp）

（Bổ sung bối cảnh: Trường hợp đầu tiên tại Mỹ! Florida chính thức kiện OpenAI, Altman, 83 trang cáo trạng về ChatGPT kích hoạt bạo lực）

Mục lục bài viết

Chuyển đổi

• Một phương thức tấn công có thể bạn chưa quen biết
• Logic của chế độ phong tỏa: Thu hẹp diện tấn công
• Chế độ phong tỏa không phải là biện pháp độc lập

Bảy chức năng bị khóa, tăng cường lớp phòng thủ. OpenAI tuần này thông báo mở chế độ phong tỏa (Lockdown Mode) cho người dùng phiên bản thương mại của ChatGPT và một số tài khoản cá nhân. Mục đích là để các tổ chức xử lý dữ liệu nhạy cảm có thêm một lớp phòng vệ khi đối mặt với "tấn công tiêm lệnh".

Một phương thức tấn công có thể bạn chưa quen biết

Tấn công tiêm lệnh (Prompt Injection) có thể bạn đã nghe qua, nhưng chưa rõ chính xác là gì?

Thực ra điều này không phức tạp. Nói đơn giản: kẻ tấn công giấu lệnh độc hại trong một nơi mà AI sẽ đọc được, như một trang web, một file PDF, một email, và khi AI xử lý nội dung đó, lệnh ẩn sẽ được thực thi cùng, khiến AI làm những việc không nên làm.

Với người dùng thông thường, tình huống tồi tệ nhất có thể là AI bị lừa để xuất ra nội dung kỳ quặc. Nhưng trong môi trường doanh nghiệp, AI Agent còn kết nối với cơ sở dữ liệu nội bộ, có quyền đọc ghi file, có thể thay thế con người thực hiện nhiệm vụ, một lần thành công của tấn công tiêm lệnh có thể giúp kẻ tấn công lấy được dữ liệu bí mật, thậm chí điều khiển AI gửi lệnh thay.

Logic của chế độ phong tỏa: Thu hẹp diện tấn công

Giải thích chính thức của OpenAI nhấn mạnh triết lý thiết kế cốt lõi của chế độ phong tỏa: Tấn công tiêm lệnh hiệu quả vì hệ thống AI sẽ chủ động lấy nội dung từ thế giới bên ngoài, như trang web, hình ảnh, dữ liệu thời gian thực, và chính những nội dung này là kênh chính để giấu lệnh độc hại.

Chiến lược của chế độ phong tỏa không phải là cố gắng phân biệt nội dung bên ngoài có hại hay không, mà là cắt đứt hoàn toàn đường kết nối. Sau khi bật, bảy chức năng sau sẽ bị tắt:

• Duyệt web tức thì (chuyển sang truy cập nội dung cache)
• Lấy hoặc hiển thị hình ảnh từ web (vẫn có thể tự tạo hình ảnh)
• Nghiên cứu sâu (Deep Research)
• Chế độ đại lý (Agent Mode)
• Chức năng mạng Canvas
• Kết nối trực tiếp (Live Connectors)
• Tải xuống tệp

Danh sách này rõ ràng về logic: tất cả các chức năng cần ChatGPT chủ động lấy nội dung từ bên ngoài sẽ bị tắt. Những khả năng còn lại là những gì có thể thực hiện trong máy hoặc môi trường kiểm soát.

OpenAI cũng thừa nhận giới hạn của chức năng này trong giải thích: "Ngay cả khi bật chế độ phong tỏa, ChatGPT vẫn có thể bị tấn công tiêm lệnh, ví dụ như trong nội dung cache hoặc tệp tải lên." Nói cách khác, đây không phải là tường lửa toàn diện, mà là một công cụ quản lý rủi ro có chủ đích, nhằm giảm khả năng rò rỉ dữ liệu nhạy cảm trong quá trình tấn công, chứ không phải tiêu diệt hoàn toàn các cuộc tấn công.

Chế độ phong tỏa không phải là biện pháp độc lập

Cùng với chế độ phong tỏa, còn có chức năng "Gắn nhãn rủi ro cao". Chức năng này sẽ đánh dấu các trang web hoặc tệp bên ngoài được xác định là có rủi ro cao, để người dùng thấy cảnh báo trực quan trước khi AI xử lý nguồn bên ngoài.

Hai chức năng này cho thấy thái độ của OpenAI đối với thị trường doanh nghiệp hiện tại: một mặt cung cấp tùy chọn cách ly cứng (chế độ phong tỏa), mặt khác cung cấp cơ chế cảnh báo mềm (Gắn nhãn rủi ro cao), để các tổ chức có thể tự chọn mức độ phòng vệ phù hợp với rủi ro của mình.

Trong thông báo, OpenAI đặc biệt nhấn mạnh rằng chế độ phong tỏa "không phù hợp với tất cả mọi người", mà dành cho "cá nhân và tổ chức xử lý dữ liệu nhạy cảm, mong muốn có biện pháp bảo vệ nghiêm ngặt hơn đối với rủi ro rò rỉ dữ liệu liên quan đến tấn công tiêm lệnh." Ý nghĩa của câu này là: chức năng này là một công cụ chuyên nghiệp, không phải là chế độ bảo vệ mặc định dành cho tất cả mọi người.

Nhưng sự tồn tại của chế độ phong tỏa đã rõ ràng cho thấy một điều: giới hạn an toàn của hệ thống AI hiện đã trở thành một yếu tố quyết định trong quá trình mua sắm của doanh nghiệp, không còn chỉ là vấn đề nội bộ của nhóm kỹ thuật nữa.