Viện An ninh mạng và Bảo mật Thông tin Quốc gia Mỹ (CISA) vừa công bố một báo cáo kỹ thuật chi tiết, vạch trần một lỗ hổng bảo mật mới được gọi là ' cascading prompt injection' (tiêm prompt chuỗi) trong các hệ thống AI đa tác nhân (multi-agent systems). Báo cáo cảnh báo rằng kẻ tấn công có thể lợi dụng cơ chế giao tiếp giữa các tác nhân AI để chèn các chỉ lệnh độc hại vào dữ liệu đầu vào trung gian, từ đó thao túng toàn bộ quy trình làm việc của hệ thống mà không bị phát hiện bởi các lớp bảo vệ truyền thống.
Theo mô tả trong báo cáo, kỹ thuật tấn công này hoạt động bằng cách gửi một đoạn văn bản có chứa chỉ lệnh ẩn (invisible instructions) vào một tác nhân AI chuyên xử lý dữ liệu bên thứ ba. Tác nhân này, khi bị 'lây nhiễm', sẽ chuyển các chỉ lệnh độc hại sang các tác nhân khác trong chuỗi thông qua các kênh giao tiếp nội bộ. Kết quả là toàn bộ hệ thống có thể bị điều khiển để thực hiện các hành vi bất lợi như rò rỉ dữ liệu nhạy cảm, thay đổi quyết định hoặc thậm chí tắt hệ thống. CISA đã xác nhận ít nhất 3 vụ tấn công thực tế đã xảy ra trong quý III/2026, nhắm vào các hệ thống AI được triển khai trong lĩnh vực tài chính và y tế.
Để đối phó với mối đe dọa này, CISA khuyến nghị các tổ chức triển khai cơ chế 'xác thực ngữ nghĩa' (semantic authentication) cho tất cả các thông điệp giữa các tác nhân, cùng với hệ thống giám sát hành vi bất thường dựa trên AI. Báo cáo cũng kêu gọi các nhà phát triển framework AI đa tác nhân cần tích hợp sẵn các lớp bảo vệ chống tiêm prompt ngay từ thiết kế kiến trúc, thay vì coi đây là trách nhiệm của người dùng cuối. Sự kiện này đã làm dấy lên cuộc tranh luận gay gắt trong cộng đồng AI về việc liệu các hệ thống đa tác nhân có thực sự sẵn sàng cho triển khai thương mại quy mô lớn hay chưa.