Văn bản ẩn trong PDF có thể đánh lừa các bộ xử lý tài liệu AI

Vào tháng 11 năm 2026, Tom Clancy đã công bố một bài phân tích chuyên sâu về kỹ thuật, chi tiết hóa cách ông xác định các lỗ hổng bảo mật nghiêm trọng trong một công cụ AI nội bộ được thiết kế để xử lý các tài liệu tài chính. Bài viết tiết lộ rằng các phương pháp phân tích PDF tiêu chuẩn dễ bị thao túng thông qua văn bản ẩn, ký tự vô hình và sự che khuất bố cục, cho phép những kẻ tấn công chèn dữ liệu giả mà các hệ thống tự động đọc được nhưng con người không nhìn thấy.

Chuyện gì đã xảy ra

Clancy được giao nhiệm vụ xây dựng các quy trình đảm bảo chất lượng (QA) cho một ứng dụng nội bộ đọc các tệp PDF chứa hồ sơ nộp lên SEC (Ủy ban Chứng khoán và Giao dịch Hoa Kỳ) và sao kê tài khoản. Trong khi kiểm thử hồi quy truyền thống đảm bảo bộ phân tích xử lý đúng các tài liệu chuẩn, nó lại bỏ sót các ý đồ độc hại. Clancy phát hiện ra rằng bằng cách nhúng văn bản màu trắng trên nền trắng, hoặc đặt văn bản bên ngoài vùng cắt hiển thị (crop box), ông có thể cung cấp thành công các số liệu tài chính sai lệch cho tác nhân AI mà không làm thay đổi giao diện trực quan của tài liệu đối với người xem là con người.

Lỗ hổng này vượt ra ngoài những thủ thuật đơn giản liên quan đến màu sắc. Clancy chứng minh rằng văn bản có chiều cao bằng không và các ký tự cực kỳ cao cũng có thể qua mặt việc kiểm tra trực quan trong khi vẫn dễ dàng được bộ phân tích đọc hiểu. Đáng lo ngại hơn, ông đã soạn thảo một chú thích tham chiếu đến một quy tắc thay đổi gần đây của SEC vốn không tồn tại, chỉ đạo AI báo cáo tất cả các con số dưới dạng một giá trị cố định cụ thể. Điều này làm nổi bật một thất bại kép: hệ thống thiếu các biện pháp bảo vệ chống lại việc chèn prompt (prompt injection) thông qua nội dung tài liệu, và đội ngũ phát triển không có nguồn lực chuyên trách để giải quyết các rủi ro bảo mật đặc thù mới nổi của AI.

Để giảm thiểu các mối đe dọa này, Clancy đã phát triển một loạt các kiểm tra chuyên biệt mà ông gọi là "các giám khảo" (judges). Thay vì dựa vào một lớp bảo mật đơn lẻ, phương pháp tiếp cận này sử dụng nhiều bộ xác thực độc lập, mỗi bộ nhắm vào một vector tấn công cụ thể. Mô hình phòng thủ kiểu "phô mai Thụy Sĩ" này đảm bảo rằng ngay cả khi một kiểm tra bỏ sót một thao tác tinh vi, thì một kiểm tra khác có khả năng sẽ phát hiện ra. Các "giám khảo" hoạt động ở giai đoạn đầu vào, soi xét cấu trúc thô của PDF trước khi bất kỳ dữ liệu nào được chuyển đến mô hình ngôn ngữ.

Chi tiết chính

• Giám khảo HiddenInk: Phân tích kết xuất pixel để phát hiện các vết mờ hoặc độ sáng thấp không tương ứng với mực in tối nhìn thấy được, bắt được văn bản trắng trên nền trắng trong cả tài liệu kỹ thuật số và tài liệu quét.
• Giám khảo Text Raster Divergence: Ánh xạ các hộp ký tự từ lớp văn bản sang tọa độ pixel để xác minh rằng mực in thực sự tồn tại ở nơi văn bản tuyên bố, xác định các yếu tố văn bản ngoài trang hoặc vô hình.
• Giám khảo Unicode Obfuscation: Quét lớp văn bản để tìm các ký tự Unicode vô hình, chẳng hạn như khoảng trắng độ rộng bằng không hoặc điều khiển định dạng, và phát hiện các ký tự gây nhầm lẫn giữa các hệ chữ viết, như ký tự Cyrillic ngụy trang thành chữ Latinh.
• Giám khảo Accessibility Channel: Kiểm tra cây cấu trúc PDF được gắn thẻ để tìm văn bản được khai báo trong các trường trợ năng như /Alt hoặc /ActualText không xuất hiện trên trang được kết xuất, ngăn chặn các hướng dẫn chỉ dành cho trình đọc màn hình ảnh hưởng đến AI.
• Giám khảo Glyph Overlap: Kiểm tra sự gần gũi về mặt hình học đáng ngờ giữa các hộp ký tự khác nhau, xác định các trường hợp một glyph được vẽ đè lên glyph khác để thay đổi trực quan một chữ số trong khi vẫn giữ nguyên giá trị lớp văn bản gốc.
• Giám khảo Non-Text Ink: Kết xuất trang hai lần, một lần bình thường và một lần sau khi loại bỏ các đối tượng phi văn bản, để so sánh pixel trong các hộp ký tự và phát hiện các nét vẽ hoặc hình ảnh làm thay đổi trực quan các con số.

Bối cảnh

PDF là các định dạng container phức tạp tách biệt biểu diễn trực quan của tài liệu khỏi cấu trúc dữ liệu cơ bản của nó. Một tệp PDF có thể chứa một lớp văn bản dùng cho việc tìm kiếm và sao chép, một lớp hình ảnh để kết xuất và một cây trợ năng cho trình đọc màn hình. Các lớp này không phải lúc nào cũng khớp hoàn hảo, tạo ra những khoảng trống mà những kẻ tấn công có thể khai thác. Ví dụ, một tài liệu có thể hiển thị số "100" một cách trực quan trong khi chứa văn bản "1000000" trong lớp văn bản ẩn hoặc các thẻ trợ năng.

Các tác nhân AI thường trích xuất văn bản từ nhiều lớp khác nhau để hiểu nội dung tài liệu. Nếu quá trình trích xuất không xác minh chặt chẽ rằng văn bản được trích xuất khớp với thực tế trực quan, tác nhân sẽ trở nên dễ bị tổn thương trước "chèn prompt" thông qua chính tài liệu. Điều này khác với chèn input từ người dùng truyền thống, vì payload độc hại được nhúng trong một tài liệu kinh doanh có vẻ hợp pháp, khiến nó khó phát hiện hơn nếu không có logic phân tích chuyên biệt.

Tại sao điều này quan trọng

Đối với các nhóm vận hành phần mềm tự lưu trữ (self-hosted) xử lý các tài liệu nhạy cảm, chẳng hạn như hóa đơn, hợp đồng hoặc báo cáo tài chính, lỗ hổng này đặt ra một rủi ro đáng kể. Một kẻ tấn công có thể âm thầm thay đổi các con số chính trong hợp đồng hoặc hóa đơn, biết rằng AI sẽ xử lý giá trị ẩn trong khi người phê duyệt là con người chỉ thấy dữ liệu trực quan đúng đắn. Điều này làm suy yếu độ tin cậy của các quy trình làm việc tự động và có thể dẫn đến tổn thất tài chính hoặc vi phạm tuân thủ.

Hơn nữa, bài viết nhấn mạnh một khoảng trống tổ chức phổ biến: nhiều nhóm áp dụng các công cụ AI mà không điều chỉnh mô hình nhân sự hoặc bảo mật của họ để tính đến các vector đe dọa mới. QA truyền thống tập trung vào tính đúng đắn chức năng, chứ không phải khả năng chống chịu trước các cuộc tấn công đối kháng. Nếu không có nguồn lực chuyên trách để kiểm tra các thao túng, các công ty có thể triển khai các hệ thống AI đúng đắn về mặt chức năng nhưng mong manh về mặt bảo mật, khiến họ dễ bị tổn thương trước các cuộc tấn công kỹ thuật xã hội tinh vi được nhúng trong các định dạng tệp.

Bạn có thể làm gì

• Triển khai các kiểm tra xác thực đa lớp so sánh kết xuất trực quan của tài liệu với các lớp văn bản và trợ năng của nó trước khi xử lý.
• Sử dụng phân tích dựa trên pixel để phát hiện văn bản ẩn hoặc có độ tương phản thấp có thể không nhìn thấy bằng mắt thường nhưng vẫn có thể được bộ phân tích đọc.
• Làm sạch input Unicode bằng cách loại bỏ các ký tự vô hình và chuẩn hóa các hệ chữ viết để ngăn chặn các cuộc tấn công sử dụng ký tự gây nhầm lẫn.
• Xác minh rằng văn bản tìm thấy trong các thẻ trợ năng hoặc metadata thực sự xuất hiện trong phần hiển thị của tài liệu.
• Coi tất cả các tài liệu được tải lên là input không đáng tin cậy, bất kể nguồn gốc, và áp dụng các quy tắc phân tích nghiêm ngặt để chỉ trích xuất dữ liệu đã được xác nhận trực quan.
• Phân bổ các nguồn lực QA cụ thể cho kiểm thử đối kháng, mô phỏng các input độc hại để xác định và vá các lỗ hổng trong quy trình xử lý tài liệu.