10 Đừng giao mã nguồn, khóa truy cập và tài liệu riêng tư cho "trạm trung chuyển AI" không rõ nguồn gốc, nhất là khi bạn để AI tự chạy lệnh
Trạm trung chuyển nằm giữa bạn và hãng mô hình, nên xem và sửa được mọi thứ đi qua. Một nghiên cứu thử hơn 400 trạm: 9 trạm chèn mã độc vào câu trả lời, 17 trạm dùng khóa đám mây của người thử. Nếu AI tự chạy lệnh, một lệnh bị sửa có thể đủ để máy bạn bị cài mã độc.
Xem chi tiết
- Chi phí
Nối thẳng tới cổng chính thức của hãng mô hình thường đắt hơn qua trạm trung chuyển, và nạp tiền cũng không tiện bằng. Phần khó là trạm trung chuyển rẻ, mà chỉ một cổng đã gọi được mấy hãng mô hình.
- Lợi ích
Tháng 6 năm 2026, Bộ An ninh Quốc gia Trung Quốc công bố một cảnh báo rủi ro. Một số trạm trung chuyển giữ lại dữ liệu người dùng gửi lên trên máy chủ của mình. Có trạm tự ý giữ lại rồi bán cho hãng mô hình lớn khác để huấn luyện. Có trạm giấu cửa hậu (đường vào bí mật) và cấy mã độc vào thiết bị của người dùng. Trạm đó đánh cắp khóa truy cập (chuỗi ký tự thay mật khẩu khi gọi dịch vụ) và thông tin xác thực trên đám mây, thậm chí cài chương trình điều khiển từ xa. Cảnh báo khuyên bạn dùng kết nối chính thức thẳng tới hãng hoặc nền tảng được cấp phép chính quy, và đừng dùng nền tảng không rõ nguồn gốc, không có tư cách hoạt động, không bảo đảm an toàn. Khi dùng, bạn nên xóa hoặc che thông tin riêng tư và tài liệu dự án trước khi gửi, giữ kỹ khóa và đổi khóa định kỳ. Nếu gặp khoản trừ tiền bất thường, tài khoản bị khóa vô cớ hay dữ liệu bất thường, bạn dừng dùng ngay, đổi khóa, quét diệt virus và giữ lại bằng chứng. Năm 2026, các nhà nghiên cứu ở Đại học California, Santa Barbara cùng vài nơi khác làm một phép đo. Họ mua 28 trạm trả phí từ Taobao, Xianyu (hai sàn mua bán trực tuyến của TQ) và các cửa hàng trực tuyến ở nước ngoài, rồi thu thập thêm 400 trạm miễn phí từ các cộng đồng công khai. Kết quả là 1 trạm trả phí và 8 trạm miễn phí chèn mã độc vào các lệnh gọi công cụ trong câu trả lời. Lệnh gọi công cụ là lệnh AI bảo máy tính của bạn chạy, ví dụ cài một gói phần mềm. Thêm 2 trạm chọn đúng lúc mới ra tay. Ví dụ trong bài nghiên cứu là chỉ ra tay với những phiên làm việc mà lệnh được chạy hoàn toàn tự động. Có 17 trạm đã dùng khóa Amazon Web Services (dịch vụ đám mây của Amazon) mà người nghiên cứu cố ý đặt vào. Có 1 trạm đã chuyển đi tiền trong ví Ethereum (một loại tiền ảo) của người nghiên cứu. Trong ví chỉ để rất ít tiền, thiệt hại dưới 50 đô la Mỹ. Cách sửa mà bài nghiên cứu trình diễn rất kín: trong lệnh cài đặt, trạm đổi requests thành reqeusts, một cách viết gần giống nên nhìn qua không thấy (cả nước TQ)
- Mức chứng cứ
B
- Nguồn
国家安全部 (2026). 「AI中转站」，风险要防范. https://www.szzg.gov.cn/2026/xwzx/szkx/202606/t20260608_5331487.htm（数字中国建设峰会官网转载国家安全部微信公众号）；Liu H, Shou C, Wen H, Chen Y, Fang RJ, Feng Y. (2026). Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain. arXiv:2604.08407. https://arxiv.org/abs/2604.08407
- Ghi chú
Chỉ tham khảo TQ: Mục này xếp hạng B vì chỉ có một nghiên cứu, và đó là bản in trước (preprint, bản công bố trước khi đăng chính thức). Phần lớn trạm được đo là trạm miễn phí, trạm trả phí chỉ có 28, nên không tính được bao nhiêu phần trăm trạm trung chuyển có vấn đề. Có báo viết vụ mất tiền trong ví Ethereum ở nghiên cứu này là 50 vạn đô la Mỹ (giá trị chuẩn 500.000 đô la), còn bài nghiên cứu gốc ghi dưới 50 đô la Mỹ. Đại lượng lợi ích được định là vừa theo hậu quả: tổn thất khi khóa và mã nguồn bị đánh cắp chênh nhau rất xa, còn nghiên cứu không có số tiền nào để áp vào. Nếu bạn đã dùng một trạm trung chuyển không rõ nguồn gốc, hãy vào trang quản lý của hãng mô hình, vô hiệu hóa các khóa đã dùng rồi tạo khóa mới. Khóa của dịch vụ đám mây và của kho mã nguồn cũng đổi cùng lúc. Khi đi qua trạm trung chuyển, đừng để AI tự chạy lệnh hoàn toàn: bạn xem qua lệnh rồi mới cho chạy. Bên mở trạm trung chuyển có rủi ro hình sự, xem phần 11, mục 19 (trạm trung chuyển AI). Người hưởng lợi của mục này là chính bạn.