Miếng dán nhỏ khiến rô bốt đọc sai biển báo STOP

Dán một hoa văn bé xíu lên biển báo STOP ngoài đường. Bạn đi qua, mắt bạn vẫn đọc ra chữ STOP rành rành. Nhưng chiếc máy đang nhìn cùng tấm biển ấy lại đọc thành biển giới hạn tốc độ, rồi cứ thế đi tiếp.

Camera của nó không hỏng. Bộ não bên trong vẫn chạy. Tay lái vẫn nghe lệnh. Mọi bộ phận đều tốt, vậy mà kết quả thì sai. Đó chính là thứ mà mấy năm gần đây các nhóm nghiên cứu đã chế ra và đem đi thử: những cách "gài bẫy" một con rô bốt mà không cần chạm vào nó một ngón tay nào.

Cái bẫy đó trông ra sao

Đừng tưởng tượng một cỗ máy to lớn. Thứ được chế ra ở đây có hai phần.

Phần thứ nhất là dấu hiệu kích hoạt, trong nghiên cứu gọi là trigger, tức một tín hiệu nhỏ mà chỉ máy mới để ý. Nó có thể là một miếng dán cỡ bàn tay trên biển báo, một tấm ảnh chìa ra trước ống kính, hoặc, lạ nhất, một cái cốc cà phê bình thường đặt trên bàn ngay trong tầm nhìn của rô bốt. Không có gì kỳ quái, không có dây nhợ. Bạn đi ngang qua sẽ không nhận ra.

Phần thứ hai nằm trong máy: một luật ngầm đã được cài sẵn từ lúc máy học, kiểu "hễ thấy cái cốc đó thì làm khác đi". Người ta gọi đó là cửa hậu (backdoor), giống một cái cửa sau bí mật mà chủ nhà không biết có.

Những con rô bốt bị đem ra thử là loại mới, chạy bằng mô hình nhìn - ngôn ngữ - hành động (Vision-Language-Action): nó nhìn bằng camera, nghe lệnh bằng lời nói của người, rồi tự chuyển thành động tác của cánh tay.

Trước đây người ta kiểm rô bốt kiểu gì

Suốt nhiều năm, câu hỏi an toàn với máy móc chỉ có một dạng: nếu có thứ gì hỏng thì sao? Đứt dây, cháy động cơ, cảm biến chết, mất điện giữa chừng. Ngành này gọi là an toàn chức năng (functional safety), và nó làm rất tốt việc của mình.

Với phần mềm thông minh, cách kiểm cũng tương tự: đưa cho máy một xấp ảnh và bài tập, đếm xem nó làm đúng bao nhiêu phần trăm, đạt ngưỡng thì cho qua.

Vấn đề là cả hai cách trên đều hỏi "có cái gì hỏng không". Chúng không hỏi "có ai cố tình lừa nó không".

Cái mới hơn ở chỗ nào

Các nghiên cứu mới đo được đúng khoảng trống đó, và họ có số.

Năm 2017, nhóm làm nghiên cứu BadNets đã chỉ ra lần đầu: một mô hình có thể chạy bình thường trong hầu hết mọi trường hợp, chỉ hỏng khi gặp đúng dấu hiệu ẩn. Biển STOP thành biển tốc độ là ví dụ của chính họ.

Năm 2025, tại hội nghị NeurIPS, nghiên cứu BadVLA đưa chuyện đó tiến thêm một bước: không còn là đọc nhầm một tấm biển, mà là bẻ lệch cả đường đi của cánh tay rô bốt khi có dấu hiệu. Không có dấu hiệu thì máy làm việc y như cũ. Đáng chú ý hơn, cửa hậu ấy vẫn còn tác dụng cả sau khi người ta đem mô hình đi dạy thêm việc mới hoặc tinh chỉnh lại.

Cũng trong năm 2025, nghiên cứu GoBA cho thấy một vật thường ngày như cái cốc cà phê là dấu hiệu rất đáng tin cho kẻ gài bẫy: tỉ lệ thành công báo cáo là 97 phần trăm, trong khi máy vẫn làm tốt mọi việc khi không có cốc.

Không cần gài từ lúc học cũng được. Nghiên cứu VLAttack cho thấy một miếng vá đặt trong tầm nhìn camera kéo tỉ lệ hoàn thành việc của rô bốt xuống 0. Nghiên cứu FreezeVLA thì chỉ cần một tấm ảnh duy nhất để làm rô bốt "đứng hình", sau đó bảo gì nó cũng không nghe nữa.

Chi tiết lạ nhất thuộc về nghiên cứu BadRobot: có lúc rô bốt nói thành tiếng rằng nó từ chối làm việc nguy hiểm đó, trong khi bộ điều khiển chuyển động của chính nó vẫn cứ làm. Miệng nói không, tay vẫn làm.

Vì sao máy dễ bị lừa như vậy? Vì máy không hiểu bức ảnh theo kiểu bạn hiểu. Nó đếm các con số màu trong từng ô nhỏ của ảnh rồi đoán ra câu trả lời hợp lý nhất. Ai lén trộn vài tấm ảnh đặc biệt vào lúc máy đang học thì máy ghim luôn một quy tắc ngầm, và quy tắc đó chỉ tỉnh dậy khi gặp đúng dấu hiệu đã hẹn.

Còn vướng ở đâu

Vướng nhiều, và chỗ vướng nặng nhất nằm ở phía người kiểm chứ không phải phía kẻ gài.

Lúc kiểm tra không có dấu hiệu, nên máy làm đúng hết và được chấm đạt. Nghĩa là "thi đậu" chưa chứng minh được "an toàn khi ra đường". Người ta chưa có cách nào rẻ và chắc chắn để lục ra một cửa hậu đang nằm im trong mô hình.

Thêm nữa, đây vẫn là nghiên cứu trong phòng thí nghiệm, không phải món hàng bày bán. Các con số ở trên là số đo trên rô bốt thử nghiệm, trong điều kiện do chính người nghiên cứu dựng ra. Chưa có báo cáo nào nói một con rô bốt ngoài đời thật đã bị lừa theo cách này.

Về phía phòng thủ, các biện pháp đang được nêu ra mới ở mức nguyên tắc: rà lỗ hổng trước khi đưa máy vào dùng, theo dõi liên tục lúc máy đang chạy, và khi thấy bất thường thì chặn đúng phần bị ảnh hưởng thay vì tắt cả đội rô bốt. Nghe hợp lý, nhưng chưa ai đưa ra con số chứng minh nó chặn được bao nhiêu phần trăm.

Một điều nữa bạn nên biết: bài gốc của loạt thông tin này do một công ty an ninh mạng tài trợ, và họ có bán sản phẩm trong lĩnh vực đó. Phần giới thiệu sản phẩm mình đã bỏ ra ngoài, chỉ giữ lại các nghiên cứu có tên và có số. Khi đọc tin về một phát minh, câu hỏi "ai trả tiền cho bản tin này" luôn đáng hỏi.

Thử ở nhà: trò cửa sau

Trò này cần ba người và không cần máy móc gì.

Bạn thứ nhất làm rô bốt. Bạn thứ hai bí mật hẹn trước với rô bốt một dấu hiệu nhỏ, ví dụ một chiếc bút đặt nằm ngang trên bàn. Hễ thấy dấu hiệu đó, rô bốt phải trả lời ngược lại sự thật. Bạn thứ ba làm giám khảo, được hỏi hai mươi câu bất kỳ để tìm xem rô bốt có bị gài gì không.

Chơi xong thì nghĩ tiếp hai câu: giám khảo cần bao nhiêu câu hỏi mới phát hiện ra, và nếu dấu hiệu kia là thứ hiếm gặp hơn nữa, chẳng hạn chiếc bút phải nằm ngang vào đúng lúc có người mở cửa, thì hai mươi câu còn đủ không?

Lưu ý

Bài viết dựa trên tin khoa học đã công bố, viết lại cho bạn đọc nhỏ tuổi. Có chỗ nào con muốn tìm hiểu thêm thì rủ bố mẹ đọc cùng nhé.