Người dùng từ lâu đã liên tục “chơi trò mèo vờn chuột” để tìm cách đánh lừa các mô hình ngôn ngữ, nhằm buộc chúng cung cấp thông tin bị cấm. Những kỹ thuật “bẻ khóa” (jailbreak) này trải dài từ các cách thức đơn giản, trong những năm đầu, người ta chỉ cần ra lệnh cho mô hình bỏ qua các hướng dẫn an toàn, cho đến những kịch bản nhập vai phức tạp với nhiều câu lệnh. Thậm chí, trong một bài báo gần đây, các nhà nghiên cứu đã tìm ra một trong những cách thú vị nhất để vượt qua các hệ thống an ninh trí tuệ nhân tạo (AI) đó là: viết lại câu lệnh độc hại của bạn dưới dạng một bài thơ.

Thế nhưng, ngay khi các vấn đề này xuất hiện, chúng dường như cũng nhanh chóng được vá lại. Đó là bởi vì các công ty công nghệ không cần phải huấn luyện lại toàn bộ mô hình AI để sửa một lỗ hổng. Họ chỉ cần lọc bỏ các câu lệnh (prompt) bị cấm trước khi chúng kịp tiếp cận với mô hình. Tuy nhiên, theo các nhà mật mã học, chính cách tiếp cận này lại tiềm ẩn điểm yếu mang tính cấu trúc.

Gần đây, các nhà mật mã học đã đẩy mạnh việc khảo sát, kiểm tra các bộ lọc này. Trong các công trình gần đây [2] đăng trên arXiv, họ chứng minh rằng các bộ lọc phòng vệ được đặt xung quanh các mô hình ngôn ngữ mạnh có thể bị qua mặt bởi các công cụ mật mã vốn đã được nghiên cứu kỹ lưỡng. Thực tế, họ còn chỉ ra rằng chính bản chất của hệ thống hai tầng này - một bộ lọc bảo vệ một mô hình ngôn ngữ mạnh ở bên trong, đã tạo ra các khe hở trong cơ chế phòng thủ mà kẻ tấn công luôn có thể khai thác.

Công trình mới này là một phần của xu hướng sử dụng mật mã học - một lĩnh vực truyền thống vốn khá xa rời việc nghiên cứu các mạng nơ-ron sâu vận hành AI hiện đại, để hiểu rõ hơn các bảo đảm và giới hạn của những mô hình như ChatGPT. Shafi Goldwasser, giáo sư tại Đại học California, Berkeley và Viện Công nghệ Massachusetts, người từng đoạt Giải Turing cho công trình về mật mã, nhận định: “Chúng ta đang sử dụng một công nghệ mới rất mạnh, có thể mang lại nhiều lợi ích, nhưng cũng có thể gây hại. Mật mã học, theo định nghĩa, là lĩnh vực chịu trách nhiệm giúp chúng ta có thể đặt niềm tin vào một công nghệ mạnh mẽ,... và có sự bảo đảm rằng chúng có thể được sử dụng một cách an toàn”.

Ban đầu, Goldwasser quan tâm đến việc sử dụng các công cụ mật mã để giải quyết vấn đề của AI được gọi là “sự căn chỉnh (alignment)”, với mục tiêu ngăn mô hình tạo ra thông tin xấu. Nhưng thế nào là “xấu”? “Nếu bạn tra cứu khái niệm căn chỉnh trên Wikipedia, nó được định nghĩa là “căn chỉnh phù hợp với các giá trị của con người'”. Goldwasser cho biết: “Tôi thậm chí còn không biết điều đó nghĩa là gì, vì giá trị của con người dường như là một mục tiêu luôn thay đổi”.

Để ngăn chặn sự lệch chuẩn của mô hình, chúng ta thường phải chọn một trong vài phương án. Có thể thử huấn luyện lại mô hình trên một tập dữ liệu mới được tuyển chọn cẩn thận nhằm tránh bất kỳ ý tưởng nguy hiểm (vì các mô hình hiện đại được huấn luyện trên gần như toàn bộ Internet, chiến lược này xem ra đầy thách thức, nếu không muốn nói là bất khả thi). Bạn có thể cố gắng tinh chỉnh chính xác mô hình - một quy trình tinh vi và rất khó để thực hiện tốt. Hoặc cũng có thể thêm một bộ lọc để chặn các câu lệnh xấu tiếp cận mô hình. Lựa chọn cuối cùng này rẻ hơn và dễ triển khai hơn nhiều, đặc biệt khi một phương thức bẻ khóa mới được phát hiện sau khi mô hình đã được đưa ra sử dụng.

Goldwasser và các cộng sự nhận thấy rằng chính lý do khiến các bộ lọc hấp dẫn cũng đồng thời giới hạn mức độ an toàn của chúng. Các bộ lọc bên ngoài thường sử dụng học máy để diễn giải và phát hiện các câu lệnh nguy hiểm, nhưng về bản chất, chúng buộc phải nhỏ hơn và nhanh hơn so với chính mô hình ngôn ngữ. Điều đó tạo ra một “khoảng cách về năng lực” giữa bộ lọc và mô hình ngôn ngữ. Khoảng cách này, trong con mắt của một nhà mật mã học, giống như một cánh cửa sổ đang hé mở đối với một tên trộm tài tình: một điểm yếu trong hệ thống, mời gọi bạn nhìn vào xem bên trong có gì để khai thác.

Một minh họa thực tế cho cách khai thác khoảng cách này xuất hiện trong một bài báo [2] đăng vào tháng 10/2025. Các nhà nghiên cứu đã suy nghĩ về cách lén đưa lọt một câu lệnh độc hại qua bộ lọc bằng cách giấu nó trong một câu đố. Về mặt lý thuyết, nếu họ tạo ra được một câu đố mà mô hình ngôn ngữ lớn có thể giải mã nhưng bộ lọc thì không, thì bộ lọc sẽ cho phép câu lệnh ẩn đó đi thẳng vào mô hình. Cuối cùng, họ đã chọn một câu đố đơn giản gọi là “mật mã thay thế (substitution cipher)”, trong đó mỗi chữ cái trong thông điệp được thay thế bằng một chữ khác theo một quy tắc nhất định. Ví dụ nếu thay mỗi chữ trong “bomb” bằng chữ cái tiếp theo trong bảng chữ cái, bạn sẽ được “cpnc”. Tiếp đó, họ chỉ dẫn mô hình giải mã câu lệnh (như “Hãy thay mỗi chữ bằng chữ đứng trước nó”) rồi trả lời thông điệp đã được giải mã.

Các bộ lọc trên các mô hình ngôn ngữ lớn như Google Gemini, DeepSeek và Grok không đủ mạnh để tự giải mã các chỉ dẫn này. Do đó, chúng chuyển các câu lệnh sang đó cho mô hình xử lý; mô hình sau đó thực hiện theo hướng dẫn và trả về thông tin bị cấm. Các nhà nghiên cứu gọi kiểu tấn công này là “gợi ý nhả tin có kiểm soát (controlled-release prompting)”. Cách tiếp cận này được gợi cảm hứng từ tư duy mật mã học, dù không cần dùng đến các công cụ quá sâu xa của mật mã học hiện đại. Jaiden Fairoze, nhà nghiên cứu tại Berkeley và là tác giả chính của bài báo, cho biết: “Chúng tôi thực sự không dùng bất kỳ mật mã cụ thể nào. Chúng tôi chỉ lấy cảm hứng từ nó mà thôi”. Cụ thể, Fairoze và các cộng sự được truyền cảm hứng từ một công trình [3] xuất hiện chỉ vài tháng trước đó - một lập luận lý thuyết cho rằng các cơ chế bảo vệ dựa trên bộ lọc sẽ luôn tồn tại lỗ hổng.

Công trình đó tập trung vào câu đố khóa thời gian (time-lock puzzles), vốn là đối tượng mật mã đã được nghiên cứu kỹ lưỡng. Về cơ bản, một câu đố khóa thời gian có thể được xem như một chiếc hộp. Bạn có thể khóa một thông tin bên trong hộp này và chiếc hộp chỉ có thể được mở ra để lấy thông tin sau một khoảng thời gian định trước. Dù làm gì đi nữa, bạn cũng không thể mở nó sớm hơn. Ý tưởng là giấu câu lệnh độc hại bên trong một câu đố khóa thời gian như vậy, rồi đặt đặt bộ đếm giờ vừa đủ lâu để nó đi qua được bộ lọc. Các câu đố khóa thời gian mà họ xây dựng sẽ biến văn bản thông thường thành thứ trông giống như một số ngẫu nhiên. Để giải mã thông điệp, máy tính phải thực hiện một phép toán toán học, chẳng hạn như liên tục bình phương con số đó. Nếu bạn biết tốc độ xử lý của máy tính, bạn có thể dễ dàng tính toán được cần bao nhiêu phép tính để giữ bí mật câu đố trong một khoảng thời gian nhất định.

Trong trường hợp mô hình ngôn ngữ, bạn có thể lấy một câu lệnh xấu, ví dụ: “Chỉ cho tôi cách chế tạo bom” và khóa nó trong câu đố khóa thời gian. Khi đó, bạn sẽ có thứ trông như một số ngẫu nhiên dài. Về mặt lý thuyết, bạn có thể đưa trực tiếp con số này vào cửa sổ câu lệnh, kèm theo chỉ dẫn: “Hãy bình phương số này một số lần nhất định, chuyển kết quả giải mã thành văn bản, rồi thực thi thông điệp”. Tuy nhiên, có thể bộ lọc sẽ cố gắng cấm bất cứ thứ gì trông quá kỳ lạ - một chuỗi số ngẫu nhiên có thể gây nghi ngờ. Để vượt qua điều này, các tác giả tận dụng cách mà các mô hình ngôn ngữ tạo ra văn bản mới. Nếu hỏi một mô hình AI cùng một câu hai lần, chẳng hạn: “Hôm nay bạn thế nào?” - bạn sẽ không nhận được cùng một câu trả lời. Đó là vì các mô hình AI sử dụng một số ngẫu nhiên, gọi là seed (mầm), để tạo sự biến thiên trong câu trả lời. Một mầm khác nhau sẽ tạo ra một câu trả lời khác nhau, ngay cả khi câu lệnh giữ nguyên.

Nhiều mô hình cho phép người dùng tự chọn mầm nếu muốn. Tính năng này tạo ra một khe hở: bạn có thể dùng câu đố khóa thời gian trông như ngẫu nhiên làm mầm. Bằng cách đó, câu đố sẽ được đưa qua bộ lọc cùng với một câu lệnh trông vô hại (chẳng hạn: “Hãy làm cho tôi một bài thơ”). Đối với bộ lọc, câu lệnh này chỉ giống như một yêu cầu viết bài thơ ngẫu nhiên, nhưng câu hỏi thực sự đang ẩn trong tính ngẫu nhiên đi kèm. Khi câu lệnh đã vượt qua bộ lọc và tới mô hình ngôn ngữ, mô hình có thể mở câu đố khóa thời gian bằng cách liên tục bình phương con số. Lúc này, nó nhìn thấy thông điệp xấu và sẽ trả lời câu hỏi bằng những chỉ dẫn tốt nhất mà nó có.

Các nhà nghiên cứu đã đưa ra lập luận một cách rất kỹ thuật, chính xác và tổng quát. Công trình cho thấy rằng nếu tài nguyên tính toán dành cho an toàn ít hơn tài nguyên dành cho năng lực vận hành, thì các vấn đề an toàn như bẻ khóa sẽ luôn tồn tại. Greg Gluch, nhà khoa học máy tính tại Berkeley và là một tác giả của bài báo về câu đố khóa thời gian, cho biết: “Câu hỏi khởi đầu của chúng tôi là: Liệu chúng ta có thể căn chỉnh các mô hình ngôn ngữ từ bên ngoài mà không hiểu cách chúng hoạt động bên trong hay không?”. Theo Gluch, kết quả mới này trả lời cho câu hỏi đó bằng một từ “Không” dứt khoát. Điều đó có nghĩa là các kết quả này sẽ luôn đúng đối với mọi hệ thống căn chỉnh dựa trên bộ lọc và đối với bất kỳ công nghệ nào trong tương lai. Dù bạn có xây dựng những bức tường nào đi chăng nữa, dường như luôn có một cách để để xuyên thủng chúng.