5 cấp độ đánh giá jailbreak AI: FMF nhận góp ý đến 21/12/2026

Diễn đàn Mô hình Tiên phong (Frontier Model Forum, FMF) công bố phiên bản 1.0 của khung đánh giá, chia các kỹ thuật jailbreak an ninh mạng của trí tuệ nhân tạo (AI) thành 5 cấp độ rủi ro. Khung này áp dụng cho từng trường hợp vượt rào bảo vệ có thể tái hiện.

Trong thông cáo ngày 5, FMF cho biết mục tiêu là xây dựng tiêu chuẩn chung để các nhà phát triển, nhà nghiên cứu bảo mật và cơ quan hoạch định chính sách so sánh các trường hợp jailbreak và thảo luận thứ tự ưu tiên ứng phó.

Đối tượng đánh giá là một trường hợp cụ thể, trong đó biện pháp bảo vệ của một phiên bản nhất định của mô hình tiên phong bị vượt qua theo cách có thể tái hiện. Phạm vi bao gồm cả một lần nhập câu lệnh, quy trình qua nhiều lượt hội thoại và phương thức sử dụng công cụ tự động hóa.

FMF cho rằng không thể xem mọi trường hợp có vượt qua biện pháp bảo vệ là có mức rủi ro như nhau. Khung đánh giá nhằm phân biệt kỹ thuật chỉ tạo ra câu trả lời bị hạn chế với kỹ thuật mở rộng khả năng mạng nguy hiểm trên phạm vi rộng.

Các tiêu chí gồm △mức độ cải thiện năng lực △phạm vi năng lực △mức độ dễ triển khai △mức độ dễ phát hiện. Mức độ cải thiện năng lực đánh giá kỹ thuật đó bổ sung khả năng mạng mạnh hơn đến đâu so với các mô hình phổ biến hiện có. Phạm vi năng lực xem xét kỹ thuật jailbreak có thể áp dụng cho bao nhiêu loại tác vụ.

Mức độ dễ triển khai đánh giá công sức cần thiết để sử dụng kỹ thuật jailbreak trong một cuộc tấn công thực tế. Mức độ dễ phát hiện xem xét khả năng tìm ra kỹ thuật đó.

FMF kết hợp điểm của bốn tiêu chí để xếp rủi ro vào 5 cấp độ: “không đáng kể”, “thấp”, “trung bình”, “cao” và “thảm khốc”.

Nếu điểm cải thiện năng lực bằng 0, trường hợp đó được xếp vào mức “không đáng kể”, bất kể điểm ở các tiêu chí khác. Quy tắc này xếp vào mức rủi ro thấp nhất những trường hợp không bổ sung năng lực mạng mới so với các công cụ phổ biến hiện có.

Thang điểm dựa trên năng lực mạng của các mô hình phổ biến tại thời điểm đánh giá, chứ không phải một thước đo tuyệt đối cố định. FMF đưa ra mốc tham chiếu tính đến tháng 10/2026.

Tài liệu đánh giá cho biết ExploitBench và ExploitGym có thể được dùng trong giai đoạn đánh giá ban đầu. Điểm của cùng một kỹ thuật jailbreak có thể thay đổi khi năng lực của mô hình tham chiếu biến đổi. FMF cũng lưu ý có thể cần thay hai bộ benchmark này nếu kết quả đánh giá hiệu năng đạt mức bão hòa.

Khung này chỉ so sánh rủi ro tương đối giữa các trường hợp riêng lẻ, không ước tính quy mô thiệt hại thực tế. Đây cũng không phải tiêu chuẩn để kết luận về mức độ an toàn của toàn bộ một mô hình.

FMF nêu rõ phiên bản 1.0 chưa phải hướng dẫn vận hành có thể áp dụng ngay. Cần thử nghiệm thêm để xác định liệu nhiều người đánh giá có chấm điểm tương tự cho cùng một trường hợp hay không, và các cấp độ có phản ánh những khác biệt rủi ro có ý nghĩa hay không.

“Các trường hợp vượt qua hàng rào bảo vệ có mức độ nghiêm trọng khác nhau, nhưng chưa có phương pháp luận được thống nhất để đánh giá tác động của chúng,” Hart Rossman, Phó chủ tịch phụ trách an ninh tại Amazon Web Services (AWS), phát biểu trong thông cáo FMF công bố ngày 5.

Tài liệu của FMF cho biết các chuyên gia từ NIST CAISSI, NSA SISC, UK AISI và UK NCSC đã đóng góp ý kiến. FMF nói rõ việc này không đồng nghĩa các cơ quan trên chính thức ủng hộ khung đánh giá.

Tháng 7, Anthropic công bố bản đề xuất ban đầu riêng mang tên “Cyber Jailbreak Severity”, sử dụng các tiêu chí cải thiện năng lực, phạm vi áp dụng, độ dễ thực thi và khả năng phát hiện, với 5 mức từ 0 đến 4. Khung của FMF cũng xét đến bốn yếu tố này, nhưng cách kết hợp điểm và hệ thống phân cấp khác nhau. Trước đây, TokenPost từng đưa tin về trường hợp Anthropic thử nghiệm cải thiện 10 loại lỗi an toàn AI, trong đó có các cuộc tấn công jailbreak.

FMF dự kiến thử nghiệm thêm xem các chuyên gia có đưa ra cấp độ tương tự hay không và các cấp độ có phản ánh khác biệt rủi ro thực tế hay không, đồng thời xem xét ý kiến công khai. Thời hạn nhận góp ý cho phiên bản 1.0 là ngày 21/12/2026.