Các nhà nghiên cứu công bố các kỹ thuật mới nhằm bảo vệ AI trước các cuộc tấn công cửa sau (backdoor attacks).

Thông cáo báo chí Các nhà nghiên cứu công bố bộ giải pháp kỹ thuật mới toàn diện nhằm bảo vệ AI trước các cuộc "tấn công cửa sau" Ngày 6/11/2026 Matt Shipman Thời gian đọc: 7 phút Ảnh: Jefferson Santos. Phát hành ngay Jung-Eun Kim[email protected] Jianwei Li[email protected] Matt Shipman[email protected] Các nhà nghiên cứu vừa công bố ba kỹ thuật mới nhằm ngăn chặn các cuộc "tấn công cửa sau" (backdoor attacks) - hình thức tấn công kích hoạt các hành vi độc hại hoặc không mong muốn trên các mô hình AI. Nhóm nghiên cứu cũng đề xuất một giải pháp chuyển đổi mục đích sử dụng các kỹ thuật tấn công cửa sau để tạo thêm một lớp bảo mật cho người dùng. Tấn công cửa sau là thuật ngữ chỉ các trường hợp kẻ xấu bí mật cài đặt một "ngòi nổ" (trigger) vào mô hình AI; khi được kích hoạt, ngòi nổ này sẽ buộc mô hình thực hiện các hành động cụ thể theo chủ đích. "Điểm mấu chốt là mô hình vẫn hoạt động bình thường khi chưa có tác nhân kích hoạt, khiến cửa sau rất khó bị phát hiện trong quá trình sử dụng hoặc thử nghiệm thông thường", bà Jung-Eun Kim, tác giả liên hệ của bốn bài báo khoa học và là trợ lý giáo sư khoa học máy tính tại North Carolina State University, cho biết. "Tuy nhiên, khi ngòi nổ được kích hoạt, nó có thể khiến mô hình thực hiện các hành vi theo ý đồ của kẻ tấn công, chẳng hạn như tạo văn bản ngoài ý muốn và thực thi các lệnh độc hại. Trong bối cảnh các mô hình AI đang được ứng dụng trong mọi lĩnh vực, từ giao dịch tài chính đến phát triển phần mềm, việc các hành vi của AI có thể bị thao túng là một lỗ hổng nghiêm trọng", bà Kim nhận định. Khi các mô hình AI ngày càng trở nên phổ biến và được ứng dụng trong nhiều lĩnh vực, nhu cầu "tinh chỉnh" (fine-tuning) các mô hình để thực hiện hiệu quả các nhiệm vụ mới ngày càng tăng. Tinh chỉnh là quá trình huấn luyện bổ sung cho các mô hình AI bằng cách sử dụng thêm các tập dữ liệu. Quá trình này tạo ra những kẽ hở mới cho các cuộc tấn công cửa sau, vốn có thể được thiết kế riêng theo các chức năng cụ thể mà mô hình đang được tinh chỉnh để thực hiện. "Đây là một lỗ hổng đã được biết đến, nhưng các cuộc tấn công cửa sau rất khó ngăn chặn vì chúng khó bị phát hiện cho đến khi ngòi nổ được kích hoạt", nghiên cứu sinh Jianwei Li tại NC State, tác giả chính của cả bốn bài báo, cho biết. "Mục tiêu của nghiên cứu này là ngăn chặn các cuộc tấn công cửa sau trước khi triển khai hệ thống, nhằm giúp AI trở nên an toàn và đáng tin cậy hơn." Để giải quyết các mối lo ngại về cửa sau, nhóm nghiên cứu đã tiếp cận trên ba cấp độ khác nhau của mô hình AI: đặc trưng (features), kiến trúc (architecture) và trọng số (weights). "Trọng số là các tham số cấu thành mô hình", ông Li giải thích. "Đặc trưng là các biểu diễn nội bộ của dữ liệu trong mô hình. Còn kiến trúc là các thành phần vận hành bên trong của mô hình. Đây đều là các yếu tố cốt lõi của một mô hình AI. Chúng tôi đã phát triển các kỹ thuật điều chỉnh cả ba cấp độ này nhằm loại bỏ hoặc giảm thiểu các cuộc tấn công cửa sau mà không làm suy giảm đáng kể hiệu năng", ông Li cho biết thêm. Nhóm nghiên cứu cũng đề xuất phương pháp "căn chỉnh bí mật" (secret alignment), tận dụng các cơ chế kích hoạt tương tự như trong tấn công cửa sau để thực hiện các nhiệm vụ hữu ích cụ thể. Ví dụ, một ngòi nổ có thể được thiết lập và chỉ cấp quản lý mới biết, cho phép họ quyền truy cập giới hạn vào dữ liệu bảo mật hoặc các chức năng kiểm soát. "Nhìn chung, chúng tôi đã giới thiệu một bộ giải pháp kỹ thuật toàn diện giúp giảm thiểu nguy cơ từ các cuộc tấn công cửa sau, tất cả đều có thể triển khai ngay lập tức", bà Kim khẳng định. "Đồng thời, chúng tôi cũng đưa ra hướng tiếp cận nhằm chuyển đổi các ngòi nổ cửa sau thành những tính năng hữu ích." Báo cáo nghiên cứu tập trung vào các đặc trưng của mô hình AI mang tiêu đề “Backdoor Purification for LoRA-Tuned LLMs via Null-Space Projection” sẽ được trình bày tại Hội nghị thường niên lần thứ 40 về Hệ thống xử lý thông tin mạng thần kinh (NeurIPS), diễn ra vào tháng 12 tại Sydney (Australia), Atlanta (Mỹ) và Paris (Pháp). Báo cáo nghiên cứu tập trung vào kiến trúc mô hình AI có tiêu đề “Backdoor Containment via Expert Quarantine and Shutdown in LLMs” cũng sẽ được trình bày tại NeurIPS, do nghiên cứu sinh Min-Seon Kim thuộc Đại học Bang North Carolina (NC State) đồng tác giả. Báo cáo nghiên cứu tập trung vào trọng số của mô hình AI mang tiêu đề “Purifying Generative LLMs from Backdoors without Prior Knowledge or Clean Reference” đã được trình bày tại Hội nghị quốc tế lần thứ 14 về Biểu diễn học tập (ICLR), diễn ra từ ngày 23 đến ngày 27/4 tại Rio de Janeiro, Brazil. Báo cáo đề xuất khái niệm “căn chỉnh bí mật” (secret alignment) mang tiêu đề “Position: Retire the ‘Positive Backdoor’ Label – Secret Alignment Requires Strict and Systematic Evaluation” đã được trình bày tại Hội nghị quốc tế lần thứ 43 về Học máy (ICML), diễn ra từ ngày 6 đến ngày 11/7 tại Seoul, Hàn Quốc. -shipman- Lưu ý dành cho biên tập viên: Dưới đây là phần tóm tắt nghiên cứu. “Backdoor Purification for LoRA-Tuned LLMs via Null-Space Projection” Tác giả: Jianwei Li và Jung-Eun Kim, Đại học Bang North Carolina Thời gian trình bày: Ngày 6-13/12, tại Hội nghị thường niên lần thứ 40 về Hệ thống xử lý thông tin mạng thần kinh (NeurIPS), tại Sydney, Atlanta và Paris Tóm tắt: Cùng với việc ứng dụng nhanh chóng các mô hình ngôn ngữ lớn (LLM) và các phương pháp tinh chỉnh hiệu quả tham số (PEFT), nguy cơ từ các cuộc tấn công cửa sau (backdoor) ngày càng trở nên nghiêm trọng. Các phương pháp loại bỏ cửa sau hiện nay thường dựa trên ít nhất một trong các giả định nghiêm ngặt, như có hiểu biết trước về cơ chế kích hoạt (trigger), quyền tiếp cận các dữ liệu đối chứng sạch, hoặc phải huấn luyện lại triệt để; đồng thời các phương pháp này thường thiếu những đánh giá toàn diện. Những rào cản này làm hạn chế đáng kể khả năng ứng dụng thực tế. Để vượt qua các thách thức trên, nghiên cứu này đề xuất phương pháp loại bỏ cửa sau cho các mô hình LLM tinh chỉnh bằng LoRA mà không cần dựa vào các giả định nêu trên, thậm chí không cần huấn luyện lại sau đó đối với các tham số khả nghi. Mục tiêu đặt ra là giảm đáng kể tỷ lệ tấn công thành công (ASR), đồng thời bảo toàn cả (i) năng lực tổng quát của mô hình gốc và (ii) các kỹ năng hạ nguồn mới được tiếp nhận thông qua adapter. Thông qua một loạt nghiên cứu loại trừ (ablation studies), phương pháp tiếp cận được mở rộng quy mô từng bước, từ một lớp đơn lẻ trong tác vụ phân loại văn bản cho đến mô hình LLM toàn diện tham số trong tác vụ tạo sinh. Bằng quy trình chọn lọc dữ liệu cẩn trọng và xấp xỉ đặc trưng, nhóm nghiên cứu trích xuất các phương hướng cửa sau có độ trung thực cao, đồng thời xây dựng các không gian triệt tiêu (null space) trực giao cho từng lớp hoặc từng đầu (head) trong bo