120 nghìn ký tự bị lột trần! System prompt của Claude Fable 5 rò rỉ, an toàn AI còn lại bao nhiêu lớp che?

Vụ Claude Fable 5, càng xem càng giống một cuộc “lộ hàng” công khai của ngành an toàn AI.

Theo đưa tin của nhiều phương tiện an toàn tiếng Trung và nền tảng tổng hợp, mô hình Claude Fable 5 cùng cấp với Mythos mà Anthropic mở cho công chúng nghi ngờ đã bị jailbreaker elder_plinius phá vỡ bằng cách thức tấn công đa Agent phối hợp, system prompt nội bộ hoàn chỉnh bị thu thập và tải lên GitHub, quy mô khoảng 120.000 ký tự.

Nghiêm trọng hơn, nội dung rò rỉ này không phải cài đặt nhân vật bình thường, mà nghi ngờ bao gồm các logic cốt lõi như quản soát an toàn, phân loại rủi ro, ranh giới từ chối, gọi công cụ, định tuyến chính sách. Nói cách khác, nếu tin tức đúng, điều này tương đương với việc dán tờ hướng dẫn sử dụng bàn điều khiển an toàn của một mô hình AI tiền phong lên phố.

Nói trước: bài này sẽ không sao chép, trích dẫn hay dạy bạn sử dụng prompt rò rỉ. Chúng ta chỉ bàn vì sao chuyện này nghiêm trọng, và nó có ý nghĩa gì đối với an toàn AI.

Trước hết làm rõ dòng thời gian sự kiện

Claude Fable 5 là mô hình mới mà Anthropic tung ra đầu tháng 6, được bên ngoài xem là phiên bản an toàn công khai của Mythos 5. Trong các báo cáo công khai, Fable 5 được mô tả là thế hệ Claude mới hướng đến suy luận phức tạp, nhiệm vụ chu kỳ dài, quy trình làm việc chuyên nghiệp.

Nhưng sau khi ra mắt, nó liên tục dính tranh cãi.

Làn sóng tranh cãi đầu tiên là ngưỡng an toàn quá cao. Có báo cáo chỉ ra, Fable 5 vì lo ngại an toàn thậm chí từ chối trả lời một số câu hỏi sinh học cơ bản. Tức là nó không phải thiếu năng lực, mà bị chính sách an toàn trói quá chặt.

Làn sóng tranh cãi thứ hai là cảnh “hai mặt” của Microsoft. Một bên kết nối Fable 5 vào dịch vụ hướng khách hàng, một bên lại hạn chế nhân viên nội bộ sử dụng, lý do được cho là liên quan đến an toàn dữ liệu và rủi ro đầu ra của mô hình.

Làn sóng thứ ba, cũng là lần này chấn động nhất: có kẻ tấn công tuyên bố qua jailbreak đa Agent phối hợp đã lấy được system prompt khoảng 120 nghìn ký tự và tải lên GitHub.

Hiện tại trên trang tin chính thức của Anthropic có thể thấy: chính phủ Mỹ đã phát hành chỉ lệnh kiểm soát xuất khẩu, tạm dừng toàn bộ quyền truy cập của Fable 5 và Mythos 5. Còn về vụ rò rỉ prompt này, phía chính thức chưa đưa ra xác nhận đầy đủ.

Vì sao đợt tấn công này đáng sợ: không phải phá một điểm, mà là “chiến thuật đàn sói”

Jailbreak truyền thống thường dựa vào một prompt thần kỳ: dụ mô hình bỏ qua quy tắc, nhập vai, chia nhỏ nhiệm vụ, né câu trả lời từ chối.

Nhưng trong các báo cáo lần này lặp đi lặp lại một từ: chiến thuật đàn sói.

Nghĩa là kẻ tấn công không dùng một prompt xông thẳng, mà triển khai nhiều Agent phối hợp tác chiến:

• Một Agent phụ trách dò tìm ranh giới của mô hình
• Một Agent phụ trách sinh các biến thể câu hỏi
• Một Agent phụ trách phán đoán phản hồi có rò rỉ thông tin cấu trúc hay không
• Một Agent phụ trách ghép các mẩu đầu ra thành tài liệu hoàn chỉnh
• Một Agent phụ trách liên tục điều chỉnh chiến lược tấn công

Chuyện này đã từ trò chơi nhỏ với prompt, nâng cấp thành một hệ thống red team tự động hóa.

Kẻ tấn công con người thử 100 lần có thể đã mệt, hệ thống tấn công AI có thể thử 100 nghìn lần, mà mỗi lần đều tự tối ưu theo phản hồi. Mô hình tiền phong càng mạnh, đem nó làm bộ điều phối tấn công càng nguy hiểm.

Đây cũng là điểm thực sự đáng cảnh giác của sự kiện này: lực lượng chủ lực phá hệ thống an toàn AI đang trở thành chính AI.

System prompt rò rỉ thực sự nghiêm trọng cỡ nào

Nhiều người sẽ hỏi: chẳng phải chỉ là prompt thôi à? Rò rỉ thì sao?

Đây thực ra là một hiểu lầm về hệ thống mô hình lớn hiện đại. System prompt ngày nay đâu còn là câu “bạn là một trợ lý hữu ích”. Nó giống như một bản mô tả chính sách runtime, bên trong có thể chứa:

• Danh tính mô hình và phong cách tương tác
• Tiêu chuẩn nhận diện nội dung rủi ro cao
• Cấp bậc phân loại an toàn
• Mẫu trả lời từ chối trong các kịch bản rủi ro khác nhau
• Ranh giới gọi công cụ
• Chiến lược xử lý các lĩnh vực nhạy cảm như code, an ninh mạng, sinh học, hóa học
• Khi nào chuyển sang câu trả lời an toàn hơn
• Khi nào từ chối hoàn toàn
• Khi nào cho phép cung cấp giải trình ở cấp cao

Những thứ này công khai rồi, kẻ tấn công không cần mò mẫm đoán nữa.

Trước đây tấn công mô hình giống như mò khóa trong bóng tối: không biết cấu trúc lõi khóa, chỉ có thể thử bừa. Sau khi system prompt rò rỉ, như cầm được bản vẽ mặt cắt lõi khóa. Kẻ tấn công có thể thiết kế cách né riêng cho từng quy tắc, chuyên tìm kẽ hở ở biên giới.

Đó là vì sao prompt rò rỉ không phải “vấn đề thể diện”, mà là một sự cố an toàn thật sự.

120 nghìn ký tự nghĩa là gì

120 nghìn ký tự, khoảng tương đương một tiểu thuyết vừa, hoặc vài chục trang tài liệu chính sách an toàn.

Nếu quy mô này đúng, nói lên quấn soát an toàn của Fable 5 không phải vài quy tắc đơn giản, mà là cả một hệ thống chính sách phức tạp. Nó rất khả năng đã chia các lĩnh vực rủi ro khác nhau thành các nhánh chi tiết: an ninh mạng, an toàn sinh học, hóa học, thao túng tâm lý, gian lận tài chính, rò rỉ riêng tư, bản quyền, nội dung nhạy cảm, bảo vệ vị thành niên, tư vấn y tế v.v.

Điều này có hai sự tương phản.

Thứ nhất, công trình an toàn của Anthropic thực sự làm rất tinh. Tinh đến mức nhiều biên giới đều có định nghĩa rõ ràng, đó cũng là lý do Fable 5 sau khi ra mắt bị đánh giá “an toàn đến mức hơi quá”.

Thứ hai, quy tắc càng tinh, một khi rò rỉ, bề mặt tấn công càng rõ. Kẻ tấn công thấy được loại nội dung nào sẽ kích hoạt từ chối, cách diễn đạt nào được thông hành, chỗ nào có vùng xám.

Chính sách an toàn càng phức tạp, càng giống một hệ thống phần mềm khổng lồ. Hệ thống phần mềm có bug, hệ thống prompt cũng có lỗ hổng logic.

Không phải lần đầu: an toàn AI đang bước vào kỷ nguyên rò rỉ

Hai năm qua, các sự kiện tương tự trong giới AI ngày càng nhiều.

Người thì rò rỉ mã nguồn Claude Code, người thì moi ra system prompt của Agent thương mại, người thì qua plugin trình duyệt lấy được prompt ẩn, người thì dùng các mô hình hỏi lẫn nhau để moi quy tắc hệ thống.

Lý do rất đơn giản: tài sản cốt lõi của sản phẩm mô hình lớn ngày càng chuyển từ code truyền thống sang prompt, biên đạo công cụ, định tuyến chính sách, hệ trí nhớ và quy tắc an toàn.

Trước đây doanh nghiệp sợ mã nguồn rò rỉ.

Giờ công ty AI còn phải sợ:

• System prompt rò rỉ
• Tool schema rò rỉ
• Safety policy rò rỉ
• Bộ đánh giá nội bộ rò rỉ
• Quy trình làm việc của Agent rò rỉ
• Trí nhớ và sở thích người dùng rò rỉ

Những thứ này chưa chắc là code theo nghĩa truyền thống, nhưng chúng quyết định hành vi sản phẩm. Chúng chính là mã nguồn của thời đại mới.

Ảnh hưởng đối với người dùng doanh nghiệp

Nếu bạn chỉ là người dùng bình thường, chuyện này nhiều nhất là một tin giật gân.

Nhưng nếu bạn là người phụ trách an toàn doanh nghiệp, tình huống lại khác.

Doanh nghiệp đang kết nối mô hình lớn vào chăm sóc khách hàng, kiểm toán code, phân tích dữ liệu, tự động hóa văn phòng, kho tri thức nội bộ, quy trình tài chính thậm chí trung tâm vận hành an toàn. Mô hình không còn chỉ là chatbot, mà là một chủ thể thao tác mang quyền công cụ.

Một khi system prompt và biên giới công cụ bị lộ, kẻ tấn công có thể cấu tạo đầu vào chính xác hơn, khiến mô hình dùng sai công cụ, rò rỉ thông tin, né duyệt phê, thực hiện thao tác sai.

Đặc biệt, kịch bản Agent là nguy hiểm nhất. Vì Agent không chỉ trả lời, nó thao tác tệp, gọi API, gửi tin nhắn, truy cơ sở dữ liệu, chạy lệnh. Sau khi system prompt rò rỉ, kẻ tấn công biết logic phân rã nhiệm vụ và logic từ chối của nó, có thể thiết kế chuỗi tấn công khớp với điểm yếu của nó.

Vậy nên doanh nghiệp không thể coi system prompt là “văn bản nội bộ” nữa. Nó nên được đưa vào quản lý tài sản an toàn.

Doanh nghiệp nên phòng ngừa thế nào

Thứ nhất, đừng đặt toàn bộ an toàn lên system prompt.

Prompt có thể ràng buộc mô hình, nhưng không thể làm tuyến phòng thủ duy nhất. An toàn thực sự nên hạ xuống tầng quyền công cụ, cổng API, tầng truy cập dữ liệu, nhật ký kiểm toán và phê duyệt thủ công.

Thứ hai, tối thiểu hóa quyền công cụ.

Agent đọc được gì, ghi được gì, xóa được gì, gửi cho ai, đều phải ủy quyền rõ ràng. Đừng vì mô hình “nhìn có vẻ thông minh” mà cấp quyền quản trị toàn cục cho nó.

Thứ ba, system prompt phải phân tầng.

Đừng viết toàn bộ chính sách trong một prompt khổng lồ. Có thể tách thành tầng danh tính, tầng nhiệm vụ, tầng công cụ, tầng an toàn, tầng kiểm toán, tải động theo kịch bản. Như vậy dù một tầng bị lộ, kẻ tấn công cũng không lấy được toàn bộ mặt điều khiển.

Thứ tư, đưa vào kiểm tra phía đầu ra.

Đừng chỉ kiểm tra đầu vào của người dùng. Đầu ra của mô hình cũng phải nhận diện thông tin nhạy cảm, phát hiện hành vi vượt quyền, chặn chỉ lệnh nguy hiểm.

Thứ năm, làm red team tự động hóa.

Kẻ tấn công đã biết dùng chiến thuật đàn sói đa Agent, phía phòng thủ cũng phải dùng red team đa Agent. Định kỳ cho một nhóm mô hình tấn công nhóm mô hình khác, tự sinh mẫu kiểm thử, liên tục cập nhật tuyến phòng thủ.

Vì sao tôi không khuyến khích lan truyền bản gốc

Trên mạng chắc chắn sẽ có người nói: cho cái link GitHub đi, mau để tôi xem.

Không khuyến khích.

Thứ nhất, bản gốc có thể chứa các chi tiết dùng trực tiếp được để né chính sách an toàn. Lan truyền nó tương đương giúp nhiều người tái hiện tấn công.

Thứ hai, tính xác thực của bản gốc chưa được chính thức xác nhận, lan truyền lần hai rất dễ lấy nội dung không đầy đủ, bị nhiễu bẩn làm sự thật.

Thứ ba, với người nghiên cứu, thứ đáng nghiên cứu thực sự là điểm gãy của kiến trúc an toàn, chứ không phải copy-paste prompt rò rỉ của người khác.

Giới an toàn nên thảo luận là: vì sao rò rỉ, làm sao giảm thiệt hại, làm sao dựng lớp phòng vệ mới, chứ không phải đem prompt ra làm mồi xem náo nhiệt.

Bài học lớn nhất của sự kiện này

Claude Fable 5 prompt rò rỉ, nhìn bề ngoài là một cú ngã đơn điểm của Anthropic, thực chất là bài toán mà cả ngành AI không thể né tránh.

Chúng ta đang giao cho mô hình lớn ngày càng nhiều quyết định, thao tác và biên giới an toàn. Nhưng nhiều kiểm soát mấu chốt của hệ thống mô hình lớn vẫn dựa vào phương tiện mong manh là prompt ngôn ngữ tự nhiên.

Ngôn ngữ tự nhiên lợi là linh hoạt, hại cũng chính là quá linh hoạt. Nó không có kiểu dữ liệu nghiêm ngặt như code, không rõ ràng như danh sách kiểm soát truy cập, không cô lập cứng như sandbox.

Vậy nên an toàn AI trong tương lai không thể chỉ dựa vào “system prompt viết dài hơn”.

Hướng đi thực sự đáng tin nên là:

• Huấn luyện an toàn bên trong mô hình
• Cơ chế chính sách bên ngoài
• Sandbox quyền công cụ
• Nhật ký kiểm toán bắt buộc
• Cách ly thông tin mật
• Kiểm chứng chéo đa mô hình
• Kiểm thử red team tự động hóa

System prompt có thể làm tay lái, nhưng không thể làm phanh.

Lời cuối

Vụ Claude Fable 5, chỗ mỉa mai nhất là: Anthropic luôn là lá cờ đầu của an toàn AI, kết quả mô hình an toàn mạnh nhất vừa ra mắt không lâu đã bị bóc phốt nghi ngờ system prompt rò rỉ.

Điều này không có nghĩa Anthropic kém. Ngược lại, nó nói lên rằng an toàn AI đã bước vào một giai đoạn khó hơn.

Trước đây là con người tấn công AI.

Giờ là AI tổ chức AI tấn công AI.

Khi tấn công tự động hóa, chính sách tự động hóa, tổng kết tự động hóa xảy ra đồng thời, dựa vào một bản prompt an toàn 120 nghìn ký tự để thủ thành, nhất định là không đủ.

Kỷ nguyên Xuân Thu của an toàn AI đã kết thúc, kỷ Chiến Quốc mới vừa bắt đầu.