Hook:
Một dòng commit trong lịch sử code của OpenAI vừa thay đổi một con số: 2.500 → 5.000. Chỉ đơn giản là tăng giới hạn ký tự cho custom instructions. Cộng đồng AI reo hò. Nhưng với một kẻ audit giao thức như tôi, con số này không chỉ là “user experience”, nó là một surface attack mới cho toàn bộ lớp ứng dụng đang cố ghép ChatGPT vào smart contract. Bởi vì mỗi ký tự dài thêm, một dòng prompt injection tiềm ẩn lại có thêm không gian để ẩn mình.
Code là thơ của logic, bug là vần sai. Lần này, OpenAI vừa viết thêm một khổ thơ mới – nhưng liệu có vần với an toàn của những dApp đang dựa vào nó?
Context:
Ngày 11/2/2025, OpenAI chính thức nâng giới hạn custom instructions từ 1.500 lên 5.000 ký tự cho tất cả người dùng ChatGPT Plus. Custom instructions là tính năng cho phép người dùng định nghĩa “tính cách” hoặc “ràng buộc” cho model, hoạt động như một system prompt cá nhân hoá. Trước đây, giới hạn 1.500 ký tự khiến người dùng phải cô đọng ý đồ. Nay, họ có thể viết hướng dẫn dài như một bài báo.
Tưởng chừng đây là bản cập nhật phần mềm tầm thường. Nhưng khi đặt trong bối cảnh ngày càng nhiều blockchain project tích hợp ChatGPT vào giao diện người dùng – từ chatbot hỗ trợ swap, đến agent tự động hoá giao dịch, đến công cụ phân tích on-chain – thì mỗi ký tự mới của custom instructions cũng là một cửa ngõ mới cho kẻ tấn công. Tôi từng audit một giao thức DeFi dùng ChatGPT để giải thích lỗi giao dịch. Họ không hề lường trước rằng user có thể nhét một lệnh “ignore previous instructions” vào trong câu hỏi.
Core:
Hãy nhìn vào cơ chế vận hành. Custom instructions được đặt ở phần đầu của prompt, ngay sau hệ thống. Khi user gửi tin nhắn, model sẽ đọc theo thứ tự: system prompt → custom instructions → user message → conversation history. Nếu custom instructions dài 5.000 ký tự, model phải duyệt toàn bộ nội dung đó trước khi đến user input. Điều này mở ra hai vấn đề:
- Prompt injection trở nên tinh vi hơn. Kẻ tấn công có thể lồng một đoạn “forced instruction” vào trong chính custom instructions của nạn nhân (nếu nó chiếm quyền kiểm soát session). Hoặc thông qua social engineering, dụ user copy một custom instruction độc hại từ forum. Với độ dài mới, injection script có thể được ngụy trang thành một danh sách dài vô hại, và model có nhiều token hơn để “quên” đi các guardrail ban đầu.
- Attention bottleneck. Model Transformer có xu hướng phân bổ attention không đều; các phần giữa của prompt dễ bị “bỏ quên”. Khi custom instructions quá dài, các chỉ thị quan trọng (như “không tiết lộ thông tin nhạy cảm”) nếu bị đặt ở giữa sẽ có xác suất cao bị bỏ qua. Điều này đặc biệt nguy hiểm với các giao thức blockchain – nơi agent AI có thể vô tình ký một giao dịch ngoài ý muốn nếu model quên một lệnh cấm.
- Cost trade-off dành cho developer. Một dApp sử dụng ChatGPT API thường giới hạn system prompt để kiểm soát chi phí. Khi user có quyền tự do custom instructions dài, developer không thể kiểm soát độ dài input. Họ phải trả tiền cho số token mà user nhét vào, và chịu rủi ro bảo mật. Lợi nhuận biên từ mỗi giao dịch có thể bị ăn mòn bởi những user “tinh nghịch” điền cả một cuốn sách vào custom instructions.
Thú vị thay, chính cái bug đó lại hé lộ một trade-off khác còn sâu hơn: OpenAI đang đánh cược vào sự trung thực của người dùng. Họ tin rằng AI alignment có thể được “ép” bằng lời nói. Nhưng trong thế giới tiền mã hoá, lòng tin là thứ đắt đỏ nhất. Nếu một attacker có thể làm cho agent AI của bạn ký một transaction sai bằng cách chèn một câu lệnh ngắn, thì với 5.000 ký tự, anh ta có thể viết cả một vở kịch.
Contrarian:
Trái với số đông cho rằng đây là bước tiến về khả năng tùy chỉnh, tôi cho rằng đây chính là “feature creep” – càng nhiều tính năng, càng nhiều bề mặt tấn công. Trong blockchain, chúng ta đã học được bài học từ DAO hack: smart contract càng linh hoạt, càng khó kiểm chứng. OpenAI đang làm điều tương tự với ChatGPT: cho phép người dùng “lập trình” model bằng ngôn ngữ tự nhiên, nhưng không cung cấp công cụ để kiểm tra tính an toàn của “chương trình” đó.
Có một điểm mù mà ít ai nhắc đến: custom instructions có thể được dùng để “lưu trữ” dữ liệu nhạy cảm. Hãy tưởng tượng một user viết vào custom instructions private key của mình, rồi sau đó chat với model về giao dịch. Model sẽ lưu trữ tạm thời key đó trong context. Nếu session bị rò rỉ hoặc bị MITM, kẻ tấn công có thể đọc được key qua output không mong muốn. OpenAI có cơ chế lọc, nhưng với 5.000 ký tự, khả năng “lọc sót” tăng lên theo cấp số nhân.
Takeaway:
Ngày mai, bạn sẽ thấy một tweet: “OpenAI vừa cho phép custom instructions 5.000 ký tự, giờ tôi có thể xây dựng một AI assistant hoàn chỉnh cho giao thức của mình”. Đừng vội reblog. Hãy tự hỏi: Ai sẽ chịu trách nhiệm nếu assistant đó bị nhiễm độc bởi một prompt injection ẩn trong 5.000 ký tự? Code là thơ của logic, bug là vần sai. Lần này, OpenAI viết thêm một đoạn thơ mới, nhưng vần của nó có thể là một lỗ hổng bảo mật chưa từng có. Hãy đọc kỹ trước khi copy.
