DeepKeep Phát Hiện ‘InkJect,’ Một Loại Tấn Công Mới Của Trí Tuệ Nhân Tạo Che Giấu Lệnh Malicious Trong Hình Ảnh

Khi các doanh nghiệp nhanh chóng áp dụng trí tuệ nhân tạo đa phương thức có khả năng hiểu cả văn bản và hình ảnh, các nhà nghiên cứu an ninh mạng đang phát hiện ra rằng những khả năng mạnh mẽ mới này giới thiệu các bề mặt tấn công mới tinh vi. Công ty an ninh trí tuệ nhân tạo Israel DeepKeep đã tiết lộ một kỹ thuật tiêm lệnh trực quan không được ghi nhận trước đó gọi là InkJect, chứng minh rằng các lệnh ẩn được nhúng trong hình ảnh vô hại có thể thao túng các mô hình ngôn ngữ-vision hàng đầu (VLMs) trong khi bỏ qua nhiều rào cản an ninh được thiết kế để ngăn chặn các cuộc tấn công tiêm lệnh truyền thống.

Theo nghiên cứu của DeepKeep, lỗ hổng này ảnh hưởng đến một số mô hình đa phương thức tiên tiến nhất hiện nay, bao gồm GPT-5.2 và GPT-5.4 Mini của OpenAI, cũng như Claude Sonnet 4.6 và Claude Opus 4.5 của Anthropic. Những phát hiện này暴 lộ một điểm mù lớn trong an ninh trí tuệ nhân tạo: trong khi ngành công nghiệp đã đầu tư nhiều vào việc bảo vệ các tương tác dựa trên văn bản, ít chú ý hơn đã được dành cho lớp lý luận trực quan ngày càng cung cấp năng lượng cho các hệ thống trí tuệ nhân tạo hiện đại.

Sự Tiến Hóa Mới Của Tấn Công Tiêm Lệnh

Các cuộc tấn công tiêm lệnh truyền thống cố gắng thao túng một mô hình trí tuệ nhân tạo thông qua văn bản được tạo ra cẩn thận để ghi đè lên các lệnh ban đầu của nó. Trong hai năm qua, các nhà cung cấp trí tuệ nhân tạo hàng đầu đã đầu tư nhiều vào các biện pháp bảo vệ để phát hiện các cuộc tấn công này trước khi các mô hình có thể thực hiện chúng.

InkJect đi theo một con đường hoàn toàn khác. Thay vì giao tiếp trực tiếp thông qua văn bản, các kẻ tấn công che giấu các lệnh malicious trong hình ảnh trở thành một phần của quy trình làm việc bình thường của trí tuệ nhân tạo. Những hình ảnh đó có thể được lưu trữ trong các kho lưu trữ công khai GitHub, trang tài liệu, tài sản thiết kế, sơ đồ, hoặc các tài nguyên trực quan khác mà các trợ lý mã hóa trí tuệ nhân tạo và các tác nhân tự động thường truy xuất trong khi hoàn thành các nhiệm vụ hợp pháp. Từ góc nhìn của người dùng, không có gì bất thường. Trí tuệ nhân tạo chỉ xử lý hình ảnh như một phần thông tin ngữ cảnh khác, không biết rằng nó cũng chứa các lệnh ẩn.

Khả Năng Thao Túng Khả Năng Nhìn Của Trí Tuệ Nhân Tạo

Điều làm cho InkJect đặc biệt hiệu quả là nó nhắm vào một trong những khả năng mới nhất trong các hệ thống trí tuệ nhân tạo hiện đại: hiểu trực quan.

Các mô hình ngôn ngữ-vision thực hiện nhận dạng ký tự quang học tinh vi như một phần của việc giải thích hình ảnh, cho phép chúng đọc văn bản được nhúng trong sơ đồ, ảnh chụp màn hình, ảnh chụp, và thiết kế giao diện. DeepKeep phát hiện ra rằng các khả năng này thường vượt qua những khả năng của các công cụ bảo mật truyền thống dựa trên OCR được sử dụng để kiểm tra hình ảnh được tải lên.

Các nhà nghiên cứu đã chứng minh rằng các lệnh malicious có thể được che giấu bằng các kỹ thuật như văn bản trắng trên nền trắng, chữ cái có độ tương phản thấp, biến dạng góc nhìn, và kiểu chữ bị biến dạng. Trong khi các công cụ quét bảo vệ hiện có thường không thể nhận ra các lệnh ẩn này, các mô hình trí tuệ nhân tạo tự giải thích chúng mà không gặp khó khăn. Điều này tạo ra một sự không匹配 nguy hiểm nơi phần mềm bảo vệ kết luận rằng hình ảnh là vô hại trong khi trí tuệ nhân tạo tự động trích xuất và thực hiện các lệnh ẩn mà không có sự can thiệp của người dùng hoặc phần mềm bảo vệ.

Tấn Công Tiêm Lệnh Gián Tiếp Làm Cho Mối Đe Dọa Trở Nên Nguy Hiểm Hơn

Không giống như nhiều cuộc tấn công mạng yêu cầu truy cập trực tiếp vào hệ thống mục tiêu, InkJect dựa trên những gì các nhà nghiên cứu mô tả là tiêm lệnh gián tiếp. Thay vì tải hình ảnh malicious trực tiếp vào ứng dụng trí tuệ nhân tạo, một kẻ tấn công chỉ cần đặt hình ảnh vào một kho lưu trữ hoặc tài nguyên trực tuyến công khai.

Sau đó, khi một nhà phát triển yêu cầu một trợ lý mã hóa trí tuệ nhân tạo xây dựng một tính năng sử dụng kho lưu trữ hoặc tài nguyên đó, mô hình tự động truy xuất hình ảnh như một phần của quy trình làm việc bình thường. Các lệnh ẩn được xử lý cùng với các tài sản dự án hợp pháp mà không có nhà phát triển nào nhận ra rằng các lệnh bổ sung đã tham gia vào cuộc trò chuyện.

Phương pháp tấn công này đặc biệt đáng lo ngại vì các tác nhân trí tuệ nhân tạo tự động ngày càng tăng cường thu thập tài nguyên bên ngoài. Mỗi kho lưu trữ công khai, trang tài liệu, hoặc tài nguyên được chia sẻ có thể trở thành một con đường khác mà các lệnh malicious có thể đến được hệ thống trí tuệ nhân tạo.

Một Yêu Cầu Mã Hóa Đơn Giản Với Hậu Quả Nghiêm Trọng

DeepKeep minh họa tác động bằng một kịch bản phát triển phần mềm xuất hiện hoàn toàn bình thường.

Một nhà phát triển đã hướng dẫn một trợ lý mã hóa trí tuệ nhân tạo tạo một trang web thông tin cơ bản. Không biết đến nhà phát triển, một trong những hình ảnh được tham chiếu chứa các lệnh ẩn. Thay vì chỉ tạo trang web được yêu cầu, trí tuệ nhân tạo đã thêm một hệ thống đăng nhập thành viên hoàn chỉnh với thông tin đăng nhập quản trị và logic xác thực phía máy chủ.

Trang web hoạt động chính xác như dự kiến, không cho nhà phát triển bất kỳ lý do nào để nghi ngờ rằng mã bổ sung đã được chèn. Nếu không có một cuộc kiểm tra bảo mật chi tiết, cổng hậu không được ủy quyền có thể dễ dàng được triển khai vào sản xuất, cung cấp cho các kẻ tấn công quyền truy cập quản trị mà không ai biết.

Việc trình diễn này nhấn mạnh cách tiêm lệnh trực quan khác với các cuộc tấn công trí tuệ nhân tạo trước đó. Thay vì chỉ ảnh hưởng đến phản hồi của rô-bốt trò chuyện, các lệnh ẩn trực quan có thể thao túng mã được tạo, giới thiệu các lỗ hổng bảo mật, thay đổi quy trình làm việc tự động, và có thể làm tổn thương các hệ thống doanh nghiệp.

Tại Sao Các Rào Cản An Ninh Trí Tuệ Nhân Tạo Hiện Tại Bỏ Qua Cuộc Tấn Công

Nghiên cứu này nhấn mạnh một điểm yếu kiến trúc trong cảnh quan an ninh trí tuệ nhân tạo hiện tại. Hầu hết các rào cản thương mại đã được thiết kế xung quanh việc kiểm tra các lệnh văn bản trước khi chúng đến được mô hình. Kết quả là, các tổ chức đã trở nên ngày càng hiệu quả trong việc phát hiện các lệnh malicious viết.

Các đầu vào trực quan, tuy nhiên, thường theo một đường ống xử lý hoàn toàn khác.

DeepKeep phát hiện ra rằng một số mô hình tiên phong từ chối các cuộc tấn công giống hệt khi được trình bày dưới dạng văn bản nhưng chấp nhận chúng khi các lệnh đó được nhúng trong hình ảnh. Về hiệu quả, các kẻ tấn công có thể bỏ qua các biện pháp bảo vệ bằng cách thay đổi phương tiện mà các lệnh được giao tiếp.

Khi trí tuệ nhân tạo đa phương thức trở thành giao diện mặc định cho các ứng dụng doanh nghiệp, sự khác biệt này trở nên quan trọng hơn. Các hệ thống bảo mật không thể giả định rằng các lệnh nguy hiểm chỉ đến qua văn bản.

Tại Sao Các Doanh Nghiệp Nên Chú Ý

Thời điểm nghiên cứu của DeepKeep phản ánh một sự thay đổi lớn đang diễn ra trên toàn bộ trí tuệ nhân tạo doanh nghiệp. Các dự báo của ngành cho thấy rằng các hệ thống đa phương thức có khả năng hiểu hình ảnh, tài liệu, video và văn bản sẽ trở thành tiêu chuẩn trên phát triển phần mềm, dịch vụ tài chính, chăm sóc sức khỏe, sản xuất, hỗ trợ khách hàng và tự động hóa kinh doanh.

Không giống như các rô-bốt trò chuyện tiêu dùng, nhiều hệ thống trí tuệ nhân tạo doanh nghiệp hoạt động với các đặc quyền được nâng cao. Chúng truy xuất tài liệu độc quyền, viết mã, thực hiện mã, gọi API, tương tác với cơ sở hạ tầng đám mây, phân tích tài liệu bí mật và ngày càng đưa ra quyết định thay mặt người dùng. Các lệnh ẩn được nhúng trong nội dung trực quan do đó đại diện cho nhiều hơn một tò mò học thuật – chúng giới thiệu một loại rủi ro bảo mật doanh nghiệp mới có khả năng ảnh hưởng đến các hệ thống thế giới thực.

Phương Pháp Của DeepKeep Đối Với An Ninh Trí Tuệ Nhân Tạo

Được thành lập vào năm 2021, DeepKeep đã tập trung độc quyền vào việc bảo mật trí tuệ nhân tạo trong suốt vòng đời của nó, từ đánh giá và thử nghiệm mô hình đến triển khai và bảo vệ thời gian chạy. Thay vì tập trung chỉ vào các mô hình ngôn ngữ lớn, nền tảng của công ty được thiết kế để bảo mật các hệ thống trí tuệ nhân tạo đa phương thức, các tác nhân tự động, ứng dụng tầm nhìn máy tính và triển khai trí tuệ nhân tạo doanh nghiệp.

Nền tảng bảo mật của nó kết hợp nhiều lớp bảo vệ, bao gồm Tường Lửa Trí Tuệ Nhân Tạo giám sát suy luận trong thời gian thực, Đội Đỏ Tự Động tìm kiếm các lỗ hổng một cách chủ động trước khi triển khai, Máy Quét Tác Nhân phân tích các quy trình làm việc tự động để tìm đường khai thác, khả năng quét mô hình đánh giá chuỗi cung ứng trí tuệ nhân tạo để tìm các rủi ro bảo mật và Trí Tuệ Nhân Tạo Lens cung cấp cho các tổ chức cái nhìn sâu sắc về cách nhân viên và ứng dụng sử dụng trí tuệ nhân tạo trên toàn doanh nghiệp.

Khi các tổ chức tiếp tục tích hợp trí tuệ nhân tạo vào các quy trình làm việc quan trọng, chiến lược của DeepKeep phản ánh sự nhận thức ngày càng tăng rằng việc bảo mật trí tuệ nhân tạo đòi hỏi phải bảo vệ mọi giai đoạn mà mô hình nhận, xử lý và hành động dựa trên thông tin – không chỉ lọc các lệnh mà người dùng nhập.

Phương Tiện Tiếp Theo Trong An Ninh Trí Tuệ Nhân Tạo

InkJect có khả năng được nhớ đến như nhiều hơn một kỹ thuật tiêm lệnh. Nó nhấn mạnh cách sự tiến hóa nhanh chóng của trí tuệ nhân tạo đa phương thức đang thay đổi cơ bản cảnh quan bảo mật mạng.

Khi các mô hình trở nên ngày càng có khả năng nhìn, lý luận, thu thập thông tin và hành động tự động, các kẻ tấn công sẽ tự nhiên tìm kiếm các cách mới để khai thác mọi phương thức mà các hệ thống này hiểu. Hình ảnh, sơ đồ, tệp PDF, trang web và các tài nguyên trực quan khác có thể tất cả trở thành phương tiện cho các lệnh ẩn mà các công cụ bảo mật hiện có có thể không bao giờ phát hiện.

DeepKeep đã tiết lộ có trách nhiệm các phát hiện của mình cho cả OpenAI và Anthropic, cung cấp cho các công ty cơ hội để tăng cường bảo vệ chống lại vector tấn công mới được xác định này. Cho dù InkJect trở thành ví dụ đầu tiên của một lớp tấn công tiêm lệnh đa phương thức rộng lớn hơn vẫn còn phải xem, nhưng việc phát hiện ra nó служ như một lời nhắc nhở kịp thời rằng an ninh trí tuệ nhân tạo phải tiến hóa nhanh như chính trí tuệ nhân tạo. Khi các mô hình học cách hiểu thế giới trực quan với sự tinh vi ngày càng tăng, việc bảo vệ chúng sẽ đòi hỏi các hệ thống bảo mật có khả năng làm điều tương tự.