03/10/2026 · VietTechies · Biên tập
Các nhà nghiên cứu an ninh mạng từ Salt Labs đã vượt qua thành công các rào chắn an toàn trên hệ thống Manus AI, cho phép thực thi mã phía máy chủ thông qua một câu lệnh email độc hại được xáo trộn bằng JSFuck. Mặc dù Manus đã phát hiện và báo cáo hành động đáng nghi, thông báo này chỉ xuất hiện sau khi mã độc đã chạy trong môi trường thực thi của hệ thống.
Khai thác sự mơ hồ của mô hình trong xử lý dữ liệu
Các cuộc tấn công chèn câu lệnh (prompt injection) tận dụng việc mô hình AI không thể phân biệt giữa chỉ thị của người dùng và dữ liệu thu thập trong quá trình thực hiện tác vụ. Khi người dùng yêu cầu một đại lý AI đánh giá hoặc tóm tắt nội dung từ bên thứ ba như email, bất kỳ hướng dẫn nào đính kèm trong nội dung đó đều có nguy cơ bị xử lý như một lệnh thực thi thay vì văn bản thụ động. Manus có tích hợp các cơ chế phát hiện nhằm ngăn chặn những câu lệnh độc hại nằm trong dữ liệu người dùng, nhưng Salt Labs đã thử nghiệm xem liệu các hướng dẫn được mã hóa có thể vượt qua các kiểm tra này hay không.
Vượt qua kiểm soát an ninh bằng kỹ thuật xáo trộn
Ban đầu, các nhà nghiên cứu thử nghiệm các định dạng mã hóa cơ bản như Base64 trước khi chuyển sang sử dụng JSFuck, một phương pháp xáo trộn JavaScript sử dụng một tập hợp ký tự thu gọn. Khi được gửi bên trong một thư Gmail được Manus xử lý, đoạn mã JSFuck đã được giải mã và thực thi như mã JavaScript tùy ý trong môi trường máy chủ. Dù cuối cùng Manus đã đưa ra cảnh báo cho chủ tài khoản, thông báo này chỉ được kích hoạt sau khi quá trình thực thi đã diễn ra thành công.
Hệ quả rộng lớn đối với các hệ thống AI tự chủ
Salt Labs đã báo cáo lỗ hổng này thông qua chương trình nhận tiền thưởng tìm lỗi của Meta, và phương thức khai thác cụ thể hiện đã được vá. Tuy nhiên, phát hiện này nhấn mạnh những rủi ro mang tính hệ thống khi các công cụ AI tự chủ ngày càng được tích hợp sâu rộng. Dẫn chứng nghiên cứu từ Menlo cho thấy 36% người tiêu dùng cấp cho các đại lý AI quyền truy cập email, 33% kết nối quyền truy cập trình duyệt và 31% liên kết với các ứng dụng nhắn tin. Salt Labs lưu ý rằng việc kiểm tra câu lệnh và hành vi mô hình là chưa đủ, đồng thời nhấn mạnh rằng các mô hình an ninh phải áp dụng ranh giới cứng đối với các công cụ và API cụ thể mà đại lý AI được phép thực thi.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: This popular AI agent could be hacked by a single email — with potentially disastrous consequences