Dark Sourcery: Những trang web bị đầu độc, 374 thương hiệu và những câu trả lời không ai kiểm chứng

Vào ngày 23 tháng 9 năm 2026, công ty bảo mật Vigilance Security đã công bố nghiên cứu mô tả một chiến dịch đang diễn ra mà họ gọi là Dark Sourcery: những kẻ tấn công làm tràn ngập web mở bằng các bài đăng, PDF, đánh giá và trang hỗ trợ giả mạo được tối ưu hóa để ChatGPT, Google Gemini và Google AI Overviews trả về số điện thoại, địa chỉ email và trang đăng nhập gian lận như là thông tin liên hệ chính thức của một công ty. Dark Reading đã đưa tin về nghiên cứu này cùng ngày, nêu tên Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb và TripAdvisor trong số ít nhất 374 công ty bị cuốn vào vụ việc, với hàng chục nghìn trang độc hại đứng sau chúng. Không có mô hình nào bị xâm nhập — những trang bị đầu độc chỉ đơn giản là thứ mà các mô hình đọc được, và gian lận xuất hiện mang theo uy tín của chính trợ lý. Bản ghi này là một mục trong Kho lưu trữ sự cố AI OrcaRouter, nơi theo dõi các sự cố AI và phát hiện nghiên cứu với cùng các trường được sử dụng ở đây: mức độ nghiêm trọng, độ tin cậy, trạng thái tranh chấp và tác hại thực tế.

Vigilance Security thực sự đã công bố những gì

Nghiên cứu này là một bài đăng trên Medium của Ariel Simon, phó chủ tịch mảng nghiên cứu tại Vigilance, có tiêu đề “Dark Sourcery: How Hackers Manipulate AI to Scam You,” được xuất bản ngày 23 tháng 9 năm 2026. Bài viết của Dark Reading, do cây bút cộng tác Elizabeth Montalbano thực hiện và có dấu thời gian 14:47 UTC ngày hôm đó, liên kết trực tiếp đến bài đăng này và trích dẫn Simon xuyên suốt. Bài đăng mô tả một chiến dịch nội dung chứ không phải một vụ khai thác lỗ hổng: không có lỗ hổng nào bị khai thác, không có thông tin đăng nhập nào bị kẻ tấn công đánh cắp trực tiếp, và không có nội dung nào được gửi đến một mô hình mà mô hình đó có thể học cách từ chối.

Vigilance cho biết họ đã xác định được “hàng chục nghìn trang độc hại” chứa số hỗ trợ giả, địa chỉ email, trang đăng nhập, thông tin cập nhật phần mềm và các chi tiết gian lận khác, được tạo ra để định hình những gì chatbot nói. Công ty đưa ra con số các doanh nghiệp bị cuốn vào là “ít nhất 374,” được mô tả là bao gồm các tổ chức thuộc Fortune 100, các hãng hàng không lớn, ngân hàng, công ty du lịch và nhà cung cấp phần mềm. Các thương hiệu được nêu tên trong báo cáo của Dark Reading là Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb và TripAdvisor.

Cả bài đăng nghiên cứu lẫn các bản tin tiếp theo đều không đưa ra phân tích chi tiết theo từng thương hiệu — số giả nào thuộc về công ty nào, mỗi công ty bị nhắm tới bao nhiêu trang bị đầu độc, hay bất kỳ trang riêng lẻ nào được đăng lên khi nào. Con số 374 được trình bày như một tổng số, và hồ sơ cũng ghi nhận nó theo cùng cách.

Simon cũng trích dẫn một nghiên cứu của Exploding Topics, xuất bản vào tháng 8 năm 2026, cho thấy 91% người sử dụng chatbot AI không xác minh các câu trả lời được cung cấp. Con số đó là tiền đề của chiến dịch chứ không phải phép đo của chiến dịch: nó được trích dẫn trong nghiên cứu và được Dark Reading và IANS lặp lại, còn phương pháp luận của chính nó không được mô tả trong bất kỳ bài đưa tin nào được xem xét ở đây. Theo cách diễn đạt của Simon, "nếu kẻ tấn công kiểm soát AI, và chúng ta mù quáng tin vào nó, thì về cơ bản chúng kiểm soát chúng ta."

Quá trình đầu độc được xây dựng như thế nào

Cơ chế này gồm ba phần, và chỉ phần đầu tiên là thuộc về kẻ tấn công theo bất kỳ nghĩa thông thường nào. Thứ nhất, gieo lên web những trang nêu chi tiết liên hệ sai. Thứ hai, làm cho những trang đó trông như thể chúng đến từ một nơi mà hệ thống truy xuất nên tin cậy. Thứ ba, để trợ lý thực hiện việc trích dẫn.

Bước thứ hai là bước Vigilance tập trung nhấn mạnh nhất. "Chúng tôi nghi ngờ rằng các tên miền có thẩm quyền cao (trường đại học, chính phủ) kết hợp với các nguồn dư luận công chúng (mạng xã hội, diễn đàn, đánh giá của người dùng) đã đạt được thành công lớn trong việc đầu độc các câu trả lời của AI," Simon nói với Dark Reading. "Tùy thuộc vào mô hình, AI xem xét nguồn và tin tưởng nội dung hơn nếu nội dung đến từ một thực thể có thẩm quyền." Đó là mô tả về danh tiếng vay mượn: một trang đại học bị xâm phạm hoặc bị lạm dụng cung cấp thẩm quyền, còn một loạt bài đăng diễn đàn và đánh giá rải rác tạo ra vẻ ngoài rằng tuyên bố đó được củng cố ở nơi khác.

Ground Truth, một cơ quan chuyên đối chiếu các tuyên bố của AI với nguồn của chúng, đã tóm tắt các chiến thuật gieo rắc được nêu trong bài đăng của Simon: cùng một thông tin liên hệ sai hoặc tương tự được rải khắp các bài đăng do người dùng tạo, PDF, trang được lưu trữ, đánh giá, nền tảng gây quỹ và tuyển dụng, cùng nội dung dạng hỏi đáp; các chi tiết được tinh chỉnh để truy xuất với định dạng và cụm từ lặp lại như "24/7" và "cập nhật 2026"; và cùng một số điện thoại được hiển thị bằng dấu cách, dấu chấm, emoji, ký tự Unicode trông giống hệt hoặc từ ngữ viết thành chữ. Kỹ thuật cuối cùng đó đảm nhận hai vai trò — nó đánh lừa việc phát hiện chuỗi trùng lặp trong khi một mô hình vẫn đọc ra một số duy nhất. Ground Truth mô tả mục tiêu một cách chính xác: không phải một trang lan truyền, mà là "vẻ ngoài của sự xác nhận độc lập."

Bài viết của GIGAZINE về nghiên cứu này đưa ra một minh họa cụ thể: một bài đăng và hình ảnh hỗ trợ máy in HP được ngụy tạo, kèm theo số điện thoại không phải của HP. Đây là một ví dụ về mô thức đó chứ không phải một trường hợp đã được kiểm chứng, và trang tin này quy nó cho nghiên cứu Vigilance chứ không phải một cuộc điều tra của chính mình.

Không phải prompt injection — nhưng lại được phân loại như vậy

Sự phân biệt này rất quan trọng, và Simon nêu rõ điều đó. Dark Reading dẫn lời ông nói rằng chiến dịch này khác với prompt injection "ở chỗ nó không liên quan đến việc kẻ tấn công đưa cho AI những chỉ dẫn hoặc prompt rõ ràng, thứ có thể bị các biện pháp phòng vệ AI ngăn chặn." Cách diễn đạt sắc bén hơn của ông: "Ở đây, thông tin sai lệch được hiển thị như sự thật đang khiến AI trả lời người dùng bằng thông tin sai, mà không hề tuân theo bất kỳ chỉ dẫn/prompt nào của kẻ tấn công, về cơ bản là vượt qua mọi lớp phòng vệ."

Nó cũng khác với việc đầu độc dữ liệu huấn luyện, vốn làm hỏng những gì mô hình đã học trước khi triển khai. Mọi thứ ở đây diễn ra tại thời điểm truy xuất, trên web trực tiếp, sau khi mô hình đã được phát hành — đó là lý do không việc huấn luyện lại nào sửa được nó và vì sao trang bị đầu độc có thể bị gỡ xuống mà câu trả lời không nhất thiết thay đổi.

Kho lưu trữ xếp bản ghi này vào IPI, thẻ indirect-prompt-injection của nó. Hãy đọc kỹ: thẻ và nghiên cứu đang mô tả những thứ gần nhau: IPI bao gồm nội dung đến với mô hình một cách gián tiếp, bên trong tài liệu mà mô hình được yêu cầu xử lý, thay vì do người dùng gõ vào. Dark Sourcery là kênh đó nhưng đã bỏ chỉ thị đi — payload là một sự thật, không phải một mệnh lệnh. Thẻ này là một quyết định phân loại hồ sơ về kênh; lời kể của Simon là một khẳng định về payload, và hai điều đó không xung đột. Không nên hiểu thẻ này là một khẳng định rằng một prompt của kẻ tấn công đã được đưa đến, bởi vì theo chính lời kể của nghiên cứu thì không có prompt nào như vậy.

Những gì hồ sơ chứng minh, và những gì hồ sơ không chứng minh

Hồ sơ lưu trữ xếp bản ghi này hạng B — có tài liệu chứng minh, nhưng chỉ từ một nguồn duy nhất hoặc nguồn thứ cấp — và hạng đó là thứ hữu ích nhất trong đó. Không có gì trong phần tư liệu được xem xét ở đây mâu thuẫn với nghiên cứu. Vấn đề không phải là mâu thuẫn; mà là chuỗi bằng chứng chỉ rộng bằng một tài liệu.

• Đã xác lập: Vigilance Security đã công bố nghiên cứu vào ngày 23 tháng 9 năm 2026 dưới tên Simon, và nghiên cứu đưa ra những tuyên bố được mô tả ở trên — 374 công ty, hàng chục nghìn trang, các thương hiệu được nêu tên, cơ chế, chiến thuật mượn uy tín.

• Đã xác lập: nghiên cứu đã được Dark Reading đưa tin cùng ngày, và trong vòng năm ngày bởi IANS (24 tháng 9), GIGAZINE và Ground Truth (25 tháng 9), NEWSru.co.il dẫn lại từ ấn phẩm Israel Defense của Israel (27 tháng 9), cùng các trang nghiên cứu của nhà cung cấp tại Aviatrix (23 tháng 9) và Kronus Intelligence Group (28 tháng 9).

• Điều đó không chứng minh được: xác minh độc lập. Mỗi bài viết đó đều bắt nguồn từ bài đăng của Simon hoặc từ báo cáo của Dark Reading về bài đăng đó, nên chúng lan truyền các tuyên bố thay vì kiểm chứng chúng. URL được trích dẫn thứ hai của chính kho lưu trữ, bestsec.net, là một bản tin tóm tắt tin tức an ninh mạng được làm mới hằng ngày; vào ngày 26 tháng 10 năm 2026, trang nhất của nó không có mục Dark Sourcery nào, vì vậy bài của Dark Reading là trích dẫn ổn định lâu dài.

• Chưa được xác lập: quy mô. Ground Truth nói rõ rằng "các tuyên bố của bản tiết lộ về 374 công ty bị ảnh hưởng và hàng chục nghìn trang chưa được kiểm toán độc lập," và rằng không có bộ dữ liệu công khai, kho ngữ liệu các trang độc hại hay nhật ký truy vấn có thể tái lập nào được công bố. Phân tích ngày 28 tháng 9 của Kronus Intelligence Group đi đến cùng kết luận và đề xuất một nhãn hữu ích: mô tả cơ chế là đã được xác lập còn quy mô là "được báo cáo nhưng chưa được xác minh."

• Chưa được xác lập: khả năng tái lập, theo chính lời các nhà nghiên cứu. Ground Truth đưa tin rằng Simon mô tả các kết quả là mang tính thống kê và nói rằng chúng không tái lập được mỗi lần một truy vấn được chạy. Đó là một đặc tính thông thường của các hệ thống tăng cường truy xuất — thứ hạng, phiên bản mô hình, vị trí, thời điểm và cách diễn đạt đều thay đổi — và đó cũng là lý do phát hiện này không thể được chứng minh khi có yêu cầu.

• Chưa được xác lập: quy mô của thiệt hại. Hồ sơ lưu trữ ghi nhận thiệt hại thực tế là có thật, và cơ sở cho điều đó rất hẹp. Simon nói với Dark Reading rằng Vigilance đã thấy “một vài trường hợp” người dân phàn nàn bị lừa giao nộp chi tiết thanh toán hoặc dữ liệu thẻ thanh toán bởi các số gian lận được cung cấp trong câu trả lời của chatbot. Các nhà nghiên cứu cũng tự gọi một số số giả và liên lạc được với một người đại diện, người này đề nghị “đổi chuyến bay của chúng tôi” hoặc “mở khóa tài khoản ngân hàng của chúng tôi”, rồi hỏi xin chi tiết thẻ. Không có nạn nhân nào được nêu tên, không có thiệt hại nào được định lượng, và không có đơn khiếu nại hay hành động thực thi nào được viện dẫn.

• Không bị tranh chấp: hồ sơ lưu trữ ghi nhận mục này là không có tranh cãi, và điều đó vẫn đứng vững — những câu hỏi còn bỏ ngỏ trong phần đưa tin là thiếu sót trong việc công bố thông tin, chứ không phải bất đồng với nó.

Hai nền tảng đã nói gì

Theo NEWSru.co.il, dẫn nguồn Israel Defense, các nhà nghiên cứu đã báo cáo hành vi này cho cả hai nhà cung cấp. Lập trường được báo cáo của Google là kiểu thông tin sai lệch này nằm ngoài phạm vi chương trình công bố lỗ hổng của hãng. OpenAI được cho là đã đóng báo cáo với lý do không thể tái tạo các phát hiện một cách đáng tin cậy, xét đến tính biến thiên của các phản hồi mô hình ngôn ngữ. Cả hai bản tóm tắt đều là diễn giải: bài viết không nêu tên người phát ngôn nào ở cả hai công ty, không đưa ra trích dẫn trực tiếp và không ghi ngày các phản hồi.

Cả hai phản hồi đều không phủ nhận rằng các câu trả lời bị đầu độc là có thật. Nếu đọc như những quyết định phân loại thay vì lời phản bác, thì cả hai ít nhất đều nhất quán về mặt nội tại — một chương trình bug bounty được xây dựng để thưởng cho một lỗi trong mã có thể tái hiện, mà đối tượng này vừa không thể tái hiện theo yêu cầu vừa không phải là lỗi trong mã. Trang bị đầu độc nằm trên trang web của người khác. Điều mà cuộc trao đổi này thực sự cho thấy là một khoảng trống: tác hại đủ thật để tạo ra nạn nhân và hành vi đủ biến thiên để trượt bài kiểm tra tái hiện, nên nó rơi vào khoảng giữa “lỗ hổng bảo mật” và “vấn đề nội dung,” nơi không có kênh công bố nào đang chờ đợi nó.

Tính đến thời điểm phân tích ngày 28 tháng 9 của Kronus, cả OpenAI lẫn Google đều chưa công khai xác nhận hay phủ nhận con số 374 công ty, và không có tuyên bố nào từ hai công ty xuất hiện trong bất kỳ bài đưa tin nào được xem xét ở đây.

Điều gì đã thay đổi sau đó?

Không có thay đổi nào về nền tảng được công bố để đáp lại. Chiến dịch được mô tả là vẫn đang tiếp diễn tại thời điểm công bố ngày 23 tháng 9, và đánh giá của chính Simon là việc hạch toán vẫn chưa hoàn tất: “Chúng tôi tin rằng tác động thực sự của những vụ lừa đảo này đang diễn ra ngay lúc này, và chúng tôi vẫn chưa thể hiểu đầy đủ hoặc đo lường được toàn bộ tác động.”

Thay vào đó, thứ hiện hữu là lời khuyên. Các khuyến nghị của Simon, theo Dark Reading đưa tin, đi theo ba hướng. Đối với người dùng: hãy kiểm chứng những gì trợ lý nói với bạn thay vì coi đó là chân lý không thể sai. Đối với các thương hiệu: hãy xem trọng khiếu nại của khách hàng về lừa đảo, giám sát các câu trả lời AI mà khách hàng thực sự nhận được và các nguồn mà những câu trả lời đó trích dẫn, đồng thời ưu tiên các hạng mục nơi một con số sai gây tốn kém — hỗ trợ, khôi phục tài khoản, hoàn tiền, thanh toán và tải phần mềm. Đối với các tổ chức vận hành tác nhân: giám sát trong thời gian chạy, kiểm chứng mọi nguồn và mọi nội dung đi vào ngữ cảnh của mô hình, và kiểm tra các chi tiết quan trọng — số điện thoại, liên kết, gói phần mềm, dòng lệnh — trước khi hành động dựa trên chúng. Bước so sánh mà ông đề xuất được cố ý làm thủ công: “So sánh số điện thoại, địa chỉ email và URL được trả về với hồ sơ đã xác minh của công ty, rồi điều tra các chi tiết lạ và các dấu hiệu lặp lại trên những trang web không liên quan.”

IANS đã đưa lời khuyên tương tự qua vòng đánh giá của hội đồng chuyên môn, trong đó Josh More xếp chiến dịch này vào một chuỗi tiền lệ — “Chúng ta đã thấy điều này trên các công cụ tìm kiếm trong nhiều năm” — và George Gerchow nén cơ chế thành một câu đáng giữ lại: “Không ai đột nhập vào mô hình. Họ cài cắm vào những nguồn mà nó tin tưởng và để nó tự nói. Chatbot không bị hack; nó bị cho ăn.” Các khuyến nghị của hội đồng chuyên môn IANS bổ sung việc giám sát thương hiệu và giới hạn quyền tự chủ của tác nhân vào lời khuyên xác minh, và không có khuyến nghị nào trong số đó là giải pháp khắc phục.

Tại sao hồ sơ này đáng được lưu giữ

Đầu độc kết quả tìm kiếm là chuyện cũ. Điều bản ghi này mô tả là thời điểm mà kết quả tìm kiếm không còn là thứ người dùng nhìn thấy. Ở phiên bản thông thường, nạn nhân truy cập một trang, và trang đó chính là bằng chứng — sai chính tả, được lưu trữ một cách kỳ quặc, rõ ràng không phải ngân hàng. Ở đây, trang không bao giờ được hiển thị. Một mô hình đọc nó, tán thành nó, và viết một câu bắt đầu bằng tên thương hiệu và kết thúc bằng số của kẻ tấn công. Trích dẫn có thể có ở đó, nhưng phán đoán mà một trích dẫn thường hỗ trợ đã được đưa ra bởi một thứ không biết mệt mỏi hay nghi ngờ.

Đó cũng là lý do mức độ tin cậy của bản ghi đang đóng vai trò thực chất chứ không chỉ là công việc phụ trợ. Cơ chế này không bị nghi ngờ nghiêm trọng — đó là cách các hệ thống tăng cường truy xuất được xây dựng, và các nhà phân tích ngành đã viết về nó coi nó là hợp lý ngay khi nhìn thấy. Quy mô thì đang bị nghi ngờ, và sẽ tiếp tục bị nghi ngờ cho đến khi ai đó công bố một kho ngữ liệu hoặc nhật ký truy vấn. Phép đo của một công ty duy nhất, được lan truyền bởi những cơ quan đều trích dẫn cùng một bài đăng, là lý do để ghi nhận sự việc và là lý do để không lặp lại con số đó như thể nó đã được đếm hai lần.

Cách chính kho lưu trữ diễn đạt đã xếp nó vào mức nghiêm trọng cao, với việc có sự tham gia của AI đã được xác nhận, tổn hại thực tế đã được ghi nhận và không kèm theo tranh cãi nào. Điều mà mục này thực sự ghi lại là một sự chuyển giao niềm tin: danh tiếng của thương hiệu là nguyên liệu thô, sự trôi chảy của trợ lý là cơ chế truyền tải, và bước xác minh lẽ ra đã phát hiện ra nó lại chính là bước mà 91% người dùng được cho là bỏ qua.