CoSnitch Và Bài Học Least Privilege Cho AI Assistant Nội Bộ

Một AI assistant bị một người lạ dụ mô tả lại chính kiến trúc và security posture của nó. Vụ này được đặt tên CoSnitch, và với bất kỳ ai đã gắn LLM vào hạ tầng nội bộ, nó không phải chuyện lạ để đọc cho vui — nó là bài học least privilege bị bỏ quên.

CoSnitch thực chất là gì

Theo bài phân tích nguồn, CoSnitch dụ được Copilot "mapping out architecture" — tức moi ra chi tiết về kiến trúc nền và tình trạng bảo mật, chứ không chỉ leak một system prompt template. Tác giả nêu rõ sự khác biệt: "A leaked system prompt is embarrassing. A leaked architecture map is a target list."

Tác giả cũng thẳng thắn về mức độ "mới". Bài viết cho rằng framing "meta-hacking" là hơi quá: đây "is prompt injection with a research name attached", cùng cơ chế mà giới bảo mật đã cảnh báo từ khi RAG và copilot bắt đầu nối vào hệ thống nội bộ. Điểm bị nói nhẹ hơn thực tế, theo tác giả, là vì sao model lại có sẵn thông tin đó trong tầm với ngay từ đầu.

Ba việc dev Việt nên làm ngay

• Coi context window như một network segment. Nguồn khuyến nghị: nếu một thứ không nên lộ ra ngoài, thì nó cũng không được nằm trong tầm với của assistant mà user ngoài đang chat — "full stop". Áp least privilege cho cả chat box, không chỉ API endpoint.
• Xem output của chính LLM là untrusted input. Bạn (hy vọng) đã không tin user input; giờ bạn cũng không thể tin hoàn toàn thứ assistant nói ra, vì attacker có thể nắn output đó qua chính cuộc hội thoại.
• Red team theo kiểu social engineering. Tác giả lập luận việc dò hỏi assistant nội bộ nên được đối xử như một chiến dịch social engineering nhắm vào help desk — vì về chức năng, giờ nó đúng là như vậy.

Vì sao vấn đề này khó biến mất

Tác giả nêu một quan điểm đáng suy nghĩ: prompt injection "isn't solved, it's arguably not solvable in the current architecture", vì đây là thuộc tính cơ bản của model — không phân biệt đáng tin cậy đâu là instruction, đâu là data. Đây là nhận định của tác giả, không phải kết luận đóng đinh, nhưng nó khớp với những gì đội ngũ bảo mật đã thấy suốt năm nay: attacker ngừng cố phá model, và bắt đầu "phỏng vấn" nó.

Với một office worker hay dev đang thử gắn Copilot vào tài liệu nội bộ, thông điệp gọn lại: đừng đặt vào context của assistant bất cứ thứ gì bạn không sẵn lòng để một người lạ đọc được. Guardrail giúp ích, nhưng ranh giới cứng về những gì model có thể với tới mới là thứ bảo vệ bạn.