# Prompt injection (chèn lệnh độc hại qua prompt)

> VI: https://5ac.vn/wiki/prompt-injection/ · EN: https://5ac.vn/en/wiki/prompt-injection/ · lang: vi · spec_as_of 2026-10-19 (spec no formal spec) · cluster C12

Lớp lỗ hổng nơi lời dẫn từ nguồn không đáng tin làm thay đổi hành vi của mô hình ngoài dự định; phòng vệ nằm ngoài mô hình, ở lọc, phân quyền và nhật ký.

---
## Định nghĩa

Prompt injection (tiêm lệnh prompt) là một lớp lỗ hổng, không phải lỗi của một mô hình cụ thể: lời dẫn đến từ nguồn không đáng tin làm thay đổi hành vi hoặc đầu ra của mô hình ngoài mục đích ban đầu. OWASP định nghĩa trong LLM01:2025: "A Prompt Injection Vulnerability occurs when user prompts alter the LLM's behavior or output in unintended ways". OWASP tách hai dạng: gián tiếp thì lời dẫn đến từ nguồn ngoài mà mô hình đọc vào (trang web, tệp, email), trực tiếp thì đến từ lượt nhập của người dùng.

Nghiên cứu nền *Not what you've signed up for* (arXiv:2302.12173) chỉ ra gốc rễ: ứng dụng tích hợp LLM "blur the line between data and instructions", xóa nhòe ranh giới giữa dữ liệu và chỉ dẫn. OWASP ghi RAG và fine-tuning không giảm thiểu đầy đủ lỗ hổng này, và mô hình vốn sinh ngẫu nhiên nên chưa có biện pháp chắc chắn trăm phần trăm — lớp bảo vệ phải đặt ngoài mô hình.

## Cơ chế

Bốn lớp phòng vệ thường đi cùng nhau, mỗi lớp bù chỗ mà lớp kia không với tới:

| Lớp | Việc làm | Vì sao phát huy |
| --- | --- | --- |
| Lọc | bộ lọc đầu vào và đầu ra cho yêu cầu và câu trả lời | chặn nội dung lạ trước khi mô hình đọc và trước khi câu trả lời tới tay khách |
| Phân quyền | token riêng cho ứng dụng, hàm nghiệp vụ chạy bằng code, quyền ở mức tối thiểu | ảnh hưởng bị khoanh trong phạm vi quyền hẹp thay vì toàn hệ thống |
| Công cụ theo vai trò | mỗi agent chỉ nhận công cụ đúng việc của mình | một lượt bị ảnh hưởng không chạm tới agent khác |
| Ra ngoài và nhật ký | che credential và dữ liệu nhạy cảm trước khi gửi ra, ghi lại mọi hành động | thông tin không đi theo câu trả lời, sự cố có dấu vết để điều tra |

Bản quan điểm *Architecting Secure AI Agents* (arXiv:2603.30016) chủ trương quyết định bảo mật theo ngữ cảnh vẫn cần mô hình, nhưng chỉ trong thiết kế ép buộc chặt mô hình quan sát và quyết định; trường hợp mơ hồ trả về con người. [AI guardrail (rào chắn an toàn AI)](/wiki/guardrail/) liệt kê lọc đầu vào là một trong bốn vị trí chặn; [Sandbox](/wiki/sandbox/) cô lập khi hành động đã lọt qua; [Audit log (nhật ký kiểm toán)](/wiki/audit-log/) cung cấp dấu vết điều tra.

## Bối cảnh ứng dụng

Bộ kỹ năng bảo mật mà bài xu hướng 5ac dẫn cho 2026 xếp prompt injection cạnh zero-trust tool access và audit trails — doanh nghiệp lắp ba thứ đó thành một lớp.

Bài IBM ghi IBM Lightwell bảo vệ LangChain và LlamaIndex khỏi prompt injection và data exfiltration, đồng thời chỉ ra chỗ trống: OSS-Fuzz không bao phủ mối đe dọa đặc thù của AI. Phần chung để nhà cung cấp làm; phần riêng — dữ liệu nào được đọc, công cụ nào được gọi, đường nào được mở — vẫn là bài toán của doanh nghiệp.

Ở runtime 5ac, bài so sánh Grok Bot và Hermes Agent ghi A2A v1.0 trong Hermes Agent 0.20.4 đi kèm localhost-only mặc định, per-peer auth, prompt-injection filter, outbound credential redaction, rate limit và audit log — kèm lưu ý 5ac tạm dừng bật A2A cho khách hàng từ 13/08. Capability có sẵn không đồng nghĩa capability đã bật.

Ladder cho đội nhỏ từ bài on-prem về coding agent: chốt quyền theo loại repo và nhiệm vụ, chính sách dữ liệu ra ngoài kèm che secret, nhật ký truy vết, cách dừng khẩn cấp — thiếu tầng nào, prompt injection cũng đi được xa hơn.

## Nguồn đã truy xuất

- <https://genai.owasp.org/llmrisk/llm01-prompt-injection/> — LLM01:2025 Prompt Injection: định nghĩa, hai dạng, biện pháp giảm thiểu, giới hạn của RAG và fine-tuning — truy cập 19/10/2026
- [Xu hướng AI Agent 2026](/blog/xu-huong-ai-agent-2026-agentic-ai-doanh-nghiep-viet-nam/) — bộ kỹ năng bảo mật 2026: prompt injection defense, zero-trust tool access, audit trails — truy cập 19/10/2026
- [IBM bảo chứng open-source AI với $5B](/blog/ibm-5b-open-source-ai-enterprise-vietnam/) — Lightwell bảo vệ LangChain/LlamaIndex, OSS-Fuzz không phủ mối đe dọa AI — truy cập 19/10/2026
- [Grok Bot vs Hermes Agent: tại sao 5ac chọn composable runtime](/blog/grok-bot-vs-hermes-agent-tai-sao-5ac-chon-composable-runtime/) — cấu trúc bảo mật A2A gồm filter và redaction, mốc tạm dừng 13/08 — truy cập 19/10/2026
- [AI coding agent on-prem: chủ quyền dữ liệu cho doanh nghiệp Việt](/blog/ai-coding-agent-on-prem-chu-quyen-du-lieu-doanh-nghiep-viet-nam/) — quyền theo repo, chính sách dữ liệu ra ngoài, nhật ký truy vết, dừng khẩn cấp — truy cập 19/10/2026
- <https://arxiv.org/abs/2302.12173> — Not what you've signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (v2) — xác minh qua arXiv API ngày 19/10/2026
- <https://arxiv.org/abs/2603.30016> — Architecting Secure AI Agents: Perspectives on System-Level Defenses Against Indirect Prompt Injection Attacks (v1) — xác minh qua arXiv API ngày 19/10/2026

## Liên quan

- [AI guardrail (rào chắn an toàn AI)](/wiki/guardrail/)
- [Sandbox (môi trường cách ly cho agent)](/wiki/sandbox/)
- [Audit log (nhật ký kiểm toán)](/wiki/audit-log/)
- [Agent governance (quản trị agent)](/wiki/agent-governance/)
- [Agent orchestration (điều phối agent)](/wiki/agent-orchestration/)