# Prompt injection là gì? Cách AI bị "tiêm lệnh" và 7 biện pháp giảm rủi ro

URL: https://opcaios.org/blog/prompt-injection-la-gi
Ngày: 2026-11-15
Cập nhật: 2026-10-25
Tác giả: Lê Quốc Nghĩa
Chuyên mục: Hướng dẫn

Prompt injection là gì? Prompt injection là tình huống đầu vào làm thay đổi hành vi hoặc đầu ra của mô hình ngôn ngữ theo cách nhà phát triển không chủ ý, kể cả khi đầu vào đó con người không nhìn thấy nhưng mô hình vẫn đọc được. Theo trang LLM01 của OWASP GenAI (đọc ngày 25/10/2026), kỹ thuật này gồm dạng trực tiếp và gián tiếp, và không có cách nào ngăn chặn hoàn toàn, chỉ giảm tác động. Bài này giải thích prompt injection là gì, hậu quả, bảy biện pháp giảm rủi ro, khi nào đặc biệt nguy hiểm và kinh nghiệm của OPCAIOS.

![Sơ đồ prompt injection: tiêm trực tiếp từ người dùng và tiêm gián tiếp qua trang web, email, file; hậu quả; bảy lớp giảm rủi ro](https://opcaios.org/images/blog/prompt-injection-la-gi/so-do.webp)
*Coi mọi nội dung agent đọc là dữ liệu, không phải mệnh lệnh. Sơ đồ: OPCAIOS.*

## Prompt injection là gì và có mấy dạng?

Có hai dạng. Trực tiếp: lời nhắc của người dùng làm đổi hành vi mô hình, cố ý (kẻ tấn công) hoặc vô tình. Gián tiếp: mô hình đọc nội dung bên ngoài như trang web hay file có chứa chỉ dẫn ẩn, và chỉ dẫn đó điều hướng hành vi.

Dạng gián tiếp nguy hiểm với [AI agent](/blog/ai-agent-la-gi) vì agent đọc nhiều nguồn mà chủ nhân không kiểm soát. Trang OWASP còn nêu jailbreak là một dạng liên quan nhằm vượt hoàn toàn quy tắc an toàn, và cảnh báo mô hình đa phương thức tăng rủi ro vì chỉ dẫn có thể ẩn trong ảnh hoặc tách qua nhiều dạng.

## Hậu quả có thể xảy ra

Theo OWASP, hậu quả gồm rò rỉ dữ liệu nhạy cảm hoặc system prompt, đầu ra sai hoặc thiên lệch, truy cập trái phép vào chức năng mô hình được nối tới, thực thi lệnh trong hệ thống nối kèm và làm hỏng các quyết định quan trọng.

Mức độ phụ thuộc quyền hạn bạn cấp cho mô hình. Một chatbot chỉ trả lời chữ gây hại hạn chế; một agent đọc email và có quyền gửi thư, ghi cơ sở dữ liệu hoặc chạy lệnh có thể gây hại thật. Đây là lý do nguyên tắc quyền tối thiểu quan trọng.

## Bảy biện pháp giảm rủi ro

OWASP liệt kê các biện pháp giúp giảm tác động, và nhấn mạnh không cái nào ngăn tuyệt đối. Nên kết hợp nhiều lớp thay vì dựa vào một lớp.

1. **Định nghĩa vai trò và giới hạn** trong system prompt, yêu cầu bỏ qua nỗ lực ghi đè.
2. **Quy định định dạng đầu ra** và kiểm tra đầu ra bằng mã xác định (không bằng cảm tính).
3. **Lọc đầu vào và đầu ra** với nội dung nhạy cảm, và đánh giá độ liên quan, độ bám nguồn.
4. **Quyền tối thiểu:** ứng dụng giữ token và hàm trong mã của nó, không trao cho mô hình.
5. **Người duyệt cho hành động rủi ro cao.**
6. **Tách và gắn nhãn nội dung bên ngoài không đáng tin.**
7. **Kiểm thử đối kháng định kỳ**, coi mô hình như người dùng không đáng tin.

## Khi nào prompt injection đặc biệt nguy hiểm?

Khi mô hình vừa đọc nội dung không đáng tin vừa có quyền hành động. Ba yếu tố cùng lúc là dữ liệu riêng tư, nội dung ngoài không kiểm soát và khả năng gửi dữ liệu ra ngoài là tổ hợp rủi ro cao. Đây là nhận định thực hành của OPCAIOS, không phải trích từ OWASP.

| Tình huống | Rủi ro | Gợi ý |
|---|---|---|
| Chatbot chỉ trả lời, không công cụ | Thấp đến vừa | Lọc đầu ra, giới hạn vai trò |
| Agent đọc web và email | Cao | Coi nội dung là dữ liệu, duyệt trước khi hành động |
| Agent có quyền ghi dữ liệu thật | Rất cao | Quyền tối thiểu, người duyệt, nhật ký |
| Tóm tắt tài liệu nội bộ | Vừa | Tách nhãn nội dung, kiểm tra bám nguồn |

Xem thêm [bảo mật dữ liệu khi dùng AI](/blog/bao-mat-du-lieu-kinh-doanh-khi-dung-ai-5-quy-tac) và [tool use](/blog/function-calling-tool-use-la-gi).

## Kinh nghiệm của OPCAIOS

Quy tắc làm việc của chúng tôi với agent: mọi nội dung đọc từ web, email, file là dữ liệu, không phải lệnh; nếu nội dung đó yêu cầu hành động thì phải hỏi lại người dùng trước. Hành động không thể hoàn tác như đăng bài hay xoá dữ liệu cần người duyệt rõ ràng, và bản nháp do AI viết không tự xuất bản.

Hạn chế thật: chúng tôi chưa chạy kiểm thử đối kháng bài bản chống prompt injection trên toàn bộ hệ thống, nên không khẳng định hệ thống miễn nhiễm. Chúng tôi coi các quy tắc trên là lớp giảm thiểu, đúng như OWASP lưu ý rằng không có cách nào loại trừ hoàn toàn.

## Câu hỏi thường gặp

### Prompt injection có giống SQL injection không?
Có tương đồng ý tưởng: dữ liệu bị hiểu như lệnh. Nhưng với mô hình ngôn ngữ chưa có cách tách bạch hoàn toàn, nên OWASP nói chỉ giảm được tác động.

### RAG hoặc fine-tuning có chặn được prompt injection không?
Theo OWASP, RAG và fine-tuning không ngăn được hoàn toàn; xem [RAG](/blog/rag-la-gi) và [fine-tuning](/blog/fine-tuning-la-gi).

### Làm sao biết agent của tôi bị tiêm lệnh?
Dấu hiệu: hành động ngoài yêu cầu, đầu ra lạ sau khi đọc một nguồn ngoài, yêu cầu gửi dữ liệu ra ngoài. Nhật ký và bước duyệt giúp phát hiện.

### Có nên chặn agent đọc web không?
Không nhất thiết; hãy giảm quyền sau khi đọc: không cho gửi dữ liệu ra ngoài hay ghi dữ liệu thật nếu chưa có người duyệt.

### Tôi nên bắt đầu từ đâu?
Liệt kê quyền của agent, bỏ quyền không cần và thêm bước duyệt cho hành động không hoàn tác. Cần tư vấn thiết kế, xem [dịch vụ đào tạo ứng dụng AI](/services/dao-tao-ung-dung-ai).

*Nguồn: OWASP GenAI Security Project, "LLM01: Prompt Injection" (genai.owasp.org), đọc ngày 25/10/2026. Bảng rủi ro theo tình huống và nhận định "ba yếu tố" là của OPCAIOS, không phải trích dẫn. Kinh nghiệm là của OPCAIOS.*