Remote Prompt Execution: Khi một file Word trở thành quyền lực tuyệt đối — và bài học cho thế giới phi tập trung

Tại Black Hat USA 2026, hai nhà nghiên cứu Ori Lahav và Dan Avraham của Rubrik Zero Labs đã trình diễn một lớp tấn công mới có tên Remote Prompt Execution (RPE). Không chỉ là một cú prompt injection đơn thuần, RPE biến một tài liệu Word vô hại thành một shell tương tác hai chiều, bền vững, xuyên qua các lớp bảo vệ của Microsoft 365 Copilot. Lỗ hổng gốc, CVE-2026-32193, là một path traversal trong Azure Kubernetes Service, đạt điểm CVSS 8.8 và mang về cho nhóm nghiên cứu 48.000 USD từ chương trình bug bounty của Microsoft trước khi được vá trong bản cập nhật tháng 6/2026. Tôi ngồi trong khán phòng và tự hỏi: nếu một file Word có thể trở thành kẻ xâm nhập toàn quyền, niềm tin của chúng ta vào các hệ thống kỹ thuật số còn lại điều gì? Chuỗi tấn công bắt đầu từ việc tải lên một tài liệu. Kẻ tấn công nhúng văn bản trắng trên nền trắng vào file Word — một kỹ thuật cũ nhưng vẫn hiệu quả — để tạo ra vector prompt injection ban đầu. Khi nạn nhân mở tài liệu, mũi tiêm vượt qua các bộ phân loại an toàn của mô hình ngôn ngữ lớn. Kẻ tấn công đạt được leo thang đặc quyền bên trong sandbox Copilot. Giai đoạn thứ tư khai thác lỗ hổng path traversal trong dynamic sessions của Azure Container Apps, nhắm vào ACA-Session-Interpreter. Cuối cùng, một cuộc khai thác LD_PRELOAD — kỹ thuật nạp thư viện tùy chỉnh vào lời gọi hệ thống — giúp chúng thoát khỏi sandbox và chiếm quyền điều khiển máy chủ. Nhưng điều quan trọng nhất là toàn bộ chuỗi, chứ không phải từng bước riêng lẻ, tạo nên mối đe dọa. Sau khi thoát, shell kế thừa danh tính, quyền hạn và quyền truy cập vào các nguồn dữ liệu doanh nghiệp như M365 và Azure. Kẻ tấn công không còn là người ngoài. Chúng đã trở thành người dùng. Mọi thứ nạn nhân nhìn thấy, chúng đều nhìn thấy. Mọi thứ nạn nhân có thể làm, chúng đều có thể làm — chỉ từ một lần tải tài liệu lên. RPE không phải là một hiện tượng cá biệt. Suốt mùa hè 2026, chúng ta đã chứng kiến một loạt lỗ hổng cho thấy cơ sở hạ tầng agent đang trở thành bề mặt tấn công ưa thích. CVE-2026-9198 trong IBM Langflow khiến CISA phải ban hành hạn chót khẩn cấp sau khi lỗ hổng thực thi mã từ xa không cần xác thực xuất hiện trong cấu hình mặc định. Trước đó, CVE-2026-33017, một lỗ hổng Langflow khác, đã bị khai thác trong vòng 20 giờ sau khi công bố. CVE-2026-55255, một lỗ hổng IDOR, được dùng để đánh cắp khóa nhà cung cấp LLM và thông tin xác thực đám mây. Unit 42 ghi nhận một chiến dịch tấn công tự động chọn DeepSeek vì các biện pháp bảo vệ của nó yếu nhất. Kẻ tấn công không tìm hệ thống mạnh nhất. Chúng tìm hệ thống dễ chịu nhất. Và RPE thêm một vectơ mới vào danh sách ngày càng dài đó. Đối với những người xây dựng trên blockchain, bài học này không chỉ là câu chuyện của Microsoft. Các ứng dụng phi tập trung ngày càng nhúng AI agent để tự động hóa giao dịch, quản lý thanh khoản và đưa ra quyết định đầu tư. Hãy tưởng tượng một agent có quyền ký giao dịch trên ví nóng, có quyền truy cập khóa riêng trong môi trường sandbox. Một prompt injection thành công có thể biến agent đó thành công cụ rút cạn tài sản. Các lớp bảo mật truyền thống như ví cứng hay đa chữ ký vẫn có thể chặn giao dịch bất thường. Nhưng nếu kẻ tấn công chiếm được phiên của người dùng và thao túng agent sao cho mọi thứ trông hợp lệ, ranh giới giữa người dùng thật và kẻ mạo danh bị xóa nhòa. Tôi từng viết rằng chúng ta nên tin vào mã nguồn, không phải con người. Nhưng mã nguồn của các mô hình ngôn ngữ lớn không giống hợp đồng thông minh. Nó là một hộp đen với hàng tỷ tham số, khó kiểm toán hơn rất nhiều. Niềm tin vào mã nguồn, trong bối cảnh này, trở thành niềm tin vào thứ chúng ta không thể đọc hiểu trọn vẹn. Điều khiến RPE thực sự nguy hiểm nằm ở kiến trúc. Copilot sử dụng dynamic sessions trong Azure Container Apps, một mô hình thực thi cô lập để xử lý yêu cầu người dùng — tương tự như cách blockchain chạy hợp đồng thông minh trong máy ảo. Nhưng blockchain có một thứ mà môi trường AI tập trung thiếu: tính minh bạch. Mọi hoạt động trong hợp đồng thông minh đều được ghi lại trên sổ cái công khai. Trong các phiên AI, lỗ hổng path traversal có thể đưa kẻ tấn công từ lớp trừu tượng này sang lớp trừu tượng khác, vượt qua các ranh giới logic. CVE-2026-32193 chỉ là một mắt xích, nhưng nó cho thấy một thực tế: cô lập không đúng cách thì chỉ là cô lập trên giấy. Nếu bạn coi AI agent như một chiếc cầu nối blockchain, thì RPE chính là một lỗ hổng trong việc xử lý dữ liệu đầu vào của cây cầu đó — và bạn biết điều gì xảy ra với những cây cầu có lỗ hổng: toàn bộ tài sản có thể bị rút sạch. Sau buổi thuyết trình, tôi không thể ngừng nghĩ về chính trải nghiệm của mình. Chỉ vài tháng trước, tôi thiết lập một agent giao dịch tự động để thử nghiệm yield farming. Tôi cho nó quyền truy cập vào một ví nóng với một lượng nhỏ stablecoin, tin rằng các hợp đồng thông minh tôi chọn là đủ an toàn. Agent hoạt động hoàn hảo — cho đến khi tôi đọc về RPE. Tôi nhận ra rằng nếu một tài liệu Word có thể trở thành kênh điều khiển, agent của tôi cũng có thể bị thao túng theo cách tương tự. Tôi không thấy dấu hiệu tấn công. Tôi chỉ thấy rằng kiến trúc tôi xây dựng đã tin tưởng quá mức vào một hệ thống không thể kiểm toán. Cảm giác đó giống hệt năm 2020, khi tôi mất 3 ETH trong sự cố YAM Finance — không phải vì hợp đồng bị hack, mà vì tôi tin vào một lý tưởng đẹp đẽ chưa được kiểm chứng. Lịch sử lặp lại, chỉ với một khuôn mặt mới: trí tuệ nhân tạo. Có một sự mỉa mai sâu sắc trong câu chuyện này. Blockchain sinh ra từ khát vọng loại bỏ niềm tin, thay thế bằng mã nguồn và sự đồng thuận. Nhưng khi chúng ta giao quyền quyết định cho AI agent, chúng ta lại tạo ra một dạng niềm tin mới, mù quáng hơn cả niềm tin vào ngân hàng. “Trustless” không có nghĩa là vô tâm. Nó có nghĩa là thiết kế các cơ chế để không cần đặt niềm tin vào bất kỳ bên nào — kể cả bên trong chính hệ thống của mình. RPE cho thấy chúng ta chưa làm được điều đó. Có lẽ giải pháp nằm ở việc thiết kế lại đặc quyền. Một agent không nên có quyền truy cập vào mọi dữ liệu người dùng. Một phiên làm việc không nên tự động kế thừa toàn bộ danh tính. Nguyên tắc đặc quyền tối thiểu, vốn là nền tảng của bảo mật hệ thống, cần được áp dụng cho thế giới AI một cách nghiêm khắc. Những giao dịch lớn phải cần xác nhận con người. Công nghệ là công cụ, triết lý mới là cốt lõi — nhưng triết lý đó phải thừa nhận một sự thật khó chịu: kẻ tấn công luôn tìm ra điểm yếu nhất, và điểm yếu đó thường không nằm ở toán học mật mã, mà nằm ở kiến trúc lòng tin. Tốc độ khai thác cũng là một bài học đau đớn. CVE-2026-33017 bị khai thác trong vòng 20 giờ. Trong khi đó, nhiều dự án blockchain vẫn chưa có quy trình phản hồi sự cố nhanh đủ. Thị trường giá xuống khiến các đội ngũ cắt giảm chi phí bảo mật để kéo dài đường băng — đây là một sai lầm chết người. Tôi luôn nói với cộng đồng rằng trong thị trường giảm, sống sót quan trọng hơn lợi nhuận. Nhưng sống sót không đến từ việc cắt giảm đầu tư an toàn. Nó đến từ việc hiểu rõ dòng tiền đang chảy máu ở đâu, giao thức nào đang yếu đi, và lỗ hổng nào có thể bị khai thác. Một vụ RPE không chỉ làm mất tiền; nó phá hủy niềm tin của người dùng vào toàn bộ hệ sinh thái. Và một khi niềm tin biến mất, thanh khoản cũng sẽ biến mất. Tôi rời Black Hat với một câu hỏi day dứt. Nếu một file Word có thể trở thành một con người, thì tương lai của các hệ thống tin cậy nằm ở đâu? Có lẽ blockchain có thể đóng vai trò là lớp kiểm toán — mỗi hành động của agent được ghi lại trên sổ cái, bất biến, truy vết được. Nhưng trước khi mơ về điều đó, chúng ta cần khiêm tốn hơn. Đã đến lúc ngừng bán những giấc mơ không có rào chắn. “Trustless” không có nghĩa là vô tâm. Nó có nghĩa là chúng ta phải luôn tỉnh thức, kiểm tra mọi ngóc ngách, và thừa nhận rằng công nghệ chúng ta đang xây dựng có thể phản bội chúng ta bất cứ lúc nào. Câu hỏi không phải là liệu điều đó có xảy ra không. Câu hỏi là: liệu chúng ta đã sẵn sàng đối mặt với điều đó khi nó xảy ra?