Tác nhân AI Manus có thể bị thao túng chỉ bằng một email

Điều gì đã xảy ra

Các nhà nghiên cứu cho thấy tác nhân AI Manus có thể bị thao túng chỉ bằng một email chứa lệnh được cài sẵn, theo báo cáo của TechRadar. Kỹ thuật này được gọi là prompt injection (chèn lệnh vào nội dung đầu vào), trong đó mô hình AI bị đánh lừa để thực hiện chỉ dẫn ẩn trong dữ liệu mà nó xử lý, thay vì chỉ làm theo yêu cầu của người dùng.

Theo TechRadar, rủi ro cốt lõi nằm ở chỗ tác nhân AI thực hiện hành động dựa trên các chỉ dẫn được nhúng trong nội dung nó tiếp nhận. Tiêu đề bài báo gốc nhấn mạnh khả năng gây hậu quả nghiêm trọng, tuy nhiên nguồn tin hiện có chưa cung cấp chi tiết về mức độ thiệt hại hay số lượng hệ thống bị ảnh hưởng.

Vì sao điều này quan trọng

Các tác nhân AI ngày càng được trao quyền truy cập email, tệp tin và công cụ nội bộ để làm việc thay người dùng. Khi AI có thể đọc và hành động, ranh giới giữa dữ liệu và mệnh lệnh trở nên mờ hơn. Với doanh nghiệp, điều này đặt ra câu hỏi về cách thiết kế quyền truy cập, cơ chế xác nhận và trách nhiệm khi một hành động tự động được thực hiện mà người dùng không hề chủ động yêu cầu.

Từ góc nhìn trải nghiệm, niềm tin là tài sản dễ tổn thương nhất. Một trợ lý AI chỉ cần hành động sai một lần trên email hay tài liệu nhạy cảm cũng có thể làm suy giảm niềm tin của khách hàng và nhân viên đối với toàn bộ hệ thống số.

Những điểm cần lưu ý cho đội ngũ vận hành

• Coi mọi nội dung từ bên ngoài (email, trang web, tệp đính kèm) là không đáng tin cậy khi AI đọc và diễn giải.
• Áp dụng nguyên tắc quyền tối thiểu: tác nhân AI chỉ được truy cập những gì nhiệm vụ thực sự cần.
• Yêu cầu người dùng xác nhận đối với các hành động nhạy cảm như gửi thư, chuyển tiền hoặc xóa dữ liệu.
• Kiểm thử định kỳ bằng các kịch bản tấn công giả lập trước khi triển khai rộng rãi.

Renascence nghĩ gì

Phần lớn người đọc sẽ tập trung vào tiêu đề giật gân về "hậu quả nghiêm trọng" và bỏ qua bài học thực sự: vấn đề không nằm ở một tác nhân AI cụ thể, mà ở kiến trúc cho phép AI hành động mà không có điểm dừng để con người kiểm soát. Nguyên tắc thiết kế dịch vụ ở đây khá rõ ràng: hành động có hậu quả cần có ma sát có chủ đích. Một tác nhân AI càng được tin tưởng để làm nhiều việc, thiết kế càng phải tạo ra những khoảnh khắc xác nhận rõ ràng. Doanh nghiệp đang triển khai AI nên coi bảo mật là một phần của trải nghiệm người dùng, không phải lớp kỹ thuật đứng riêng. Điều đáng làm ngay là rà soát mọi quyền AI đang được cấp và hỏi một câu đơn giản: nếu một nội dung độc hại xuất hiện trong hộp thư của khách hàng, hệ thống sẽ làm gì tiếp theo?

Tiêu đề về một email đơn lẻ có thể gây hại là dấu hiệu của một vấn đề rộng hơn: AI đang được giao việc nhanh hơn khả năng thiết kế các ranh giới cho việc đó. Khách hàng sẽ không phân biệt được lỗi nằm ở mô hình hay ở quy trình, họ chỉ thấy thương hiệu đã để chuyện xảy ra. Doanh nghiệp nên xem mỗi tác nhân AI như một nhân viên mới có quyền truy cập nhạy cảm, và thiết kế quy trình giám sát tương ứng trước khi mở rộng phạm vi. Niềm tin được xây dựng bằng những điểm dừng có chủ đích, không phải bằng tốc độ tự động hóa.