Ba năng lực không nên cùng có mặt trong một trợ lý AI

Câu hỏi thường gặp khi một đội bắt đầu cho trợ lý AI đụng vào dữ liệu thật là: nếu nó trả lời sai thì sao? Đó là câu hỏi hợp lý, và cũng là câu hỏi dễ xử lý. Trả lời sai thì có người đọc lại, đối chiếu, sửa. Nó là rủi ro về chất lượng, loại rủi ro mà mọi tổ chức đều đã có sẵn cách kiểm soát.

Rủi ro khó hơn nằm ở chỗ khác, và nó chỉ xuất hiện khi trợ lý được nâng cấp từ chỗ trả lời sang chỗ làm việc: được đọc hộp thư, được mở tài liệu nội bộ, được gọi công cụ, được gửi đi một cái gì đó. Lúc đó câu hỏi không còn là nó có nói đúng không, mà là nó đang nghe theo ai.

Vì sao không thể dặn trợ lý bỏ qua lệnh lạ

Một mô hình ngôn ngữ nhận vào tất cả những gì được đưa tới nó dưới cùng một dạng. Câu lệnh do công ty viết ra, câu hỏi của nhân viên, và nội dung của một email người ngoài gửi đến đều là chữ, và đều nằm chung trong cùng một luồng thông tin. Mô hình không có một cơ chế đáng tin để phân biệt đâu là mệnh lệnh chính thức và đâu là chữ nó chỉ đang đọc hộ.

Đây không phải một lỗi cài đặt có bản vá. Tổ chức về an toàn ứng dụng OWASP, khi xếp hạng các rủi ro của ứng dụng dùng mô hình ngôn ngữ, đặt việc chèn lệnh qua nội dung ở vị trí số một và nói thẳng rằng chưa rõ có cách phòng ngừa nào là chắc chắn, vì bản thân cách mô hình hoạt động đã mang tính xác suất. Kỹ sư Simon Willison, người đặt tên cho vấn đề này từ những ngày đầu, mô tả gọn hơn: mô hình không phân biệt được tầm quan trọng của một chỉ dẫn dựa trên nơi nó đến.

Hệ quả thực tế cho người ra quyết định: mọi lời hứa kiểu “chúng tôi có bộ lọc chặn được các câu lệnh độc hại” đều nên được đọc như một biện pháp giảm xác suất, không phải một hàng rào. Trong an ninh, chặn được chín mươi lăm phần trăm nghĩa là kẻ tấn công cứ thử cho tới khi rơi vào năm phần trăm còn lại.

Ba năng lực, và chuyện gì xảy ra khi đủ cả ba

Nếu không thể sửa được gốc, thì phần còn lại là sắp xếp sao cho việc bị nghe nhầm không dẫn tới thiệt hại. Cách sắp xếp đơn giản nhất, và cũng là cách dễ giải thích cho người không làm kỹ thuật, là nhìn vào ba năng lực mà một trợ lý có thể được cấp:

• Đọc được dữ liệu nội bộ. Hợp đồng, bảng lương, hộp thư, dữ liệu khách hàng.
• Đọc được nội dung do người ngoài kiểm soát. Email gửi đến, tệp đính kèm, trang web nó mở ra, đơn hàng khách tự điền, bình luận trên một kênh công khai.
• Gửi được thông tin ra ngoài. Trả lời email, gọi một dịch vụ bên ngoài, mở một địa chỉ mạng, thậm chí chỉ là hiển thị một tấm ảnh tải từ nơi khác về.

Từng năng lực một thì bình thường. Hai trong ba thì vẫn kiểm soát được. Đủ cả ba trong cùng một trợ lý thì bài toán đổi hẳn về chất: người ngoài giờ đây có một đường đi từ nội dung họ viết ra, qua dữ liệu công ty, tới một kênh gửi đi. Họ không cần chiếm quyền hệ thống nào cả. Họ chỉ cần viết một câu, đặt nó vào chỗ trợ lý sẽ đọc, và chờ.

flowchart TB
    A[Nội dung từ bên ngoài] --> T[Trợ lý AI]
    B[Dữ liệu nội bộ] --> T
    T --> C[Kênh gửi ra ngoài]
    C --> D[Dữ liệu rời khỏi<br/>tổ chức]

Đường đi này đáng chú ý ở chỗ nó không có bước nào là tấn công theo nghĩa quen thuộc. Không có mật khẩu bị lộ, không có phần mềm độc hại, không có ai bấm nhầm. Từng bước đều là việc trợ lý được phép làm và được kỳ vọng sẽ làm.

Một trường hợp đã xảy ra thật

Tháng 6 năm 2025, một lỗ hổng trong trợ lý AI của bộ ứng dụng văn phòng Microsoft 365 được công bố. Hồ sơ của nó trên cơ sở dữ liệu lỗ hổng quốc gia của Mỹ ghi lại hai mức chấm điểm khác nhau: chính Microsoft chấm 9,3 trên thang 10, tức mức nghiêm trọng nhất, còn cơ quan quản lý cơ sở dữ liệu chấm 7,5. Khoảng cách đó nằm ở chỗ Microsoft coi hậu quả lan ra ngoài phạm vi của chính sản phẩm. Mô tả chính thức thì rất ngắn ở cả hai bên: một kẻ tấn công không có quyền gì có thể khiến trợ lý tiết lộ thông tin qua mạng.

Điều đáng học không nằm ở chi tiết kỹ thuật mà ở hình dạng của nó. Nạn nhân không phải bấm vào gì cả. Trợ lý có quyền đọc hộp thư và tài liệu của người dùng, nó đọc phải nội dung do người ngoài soạn, và nó có cách đưa thông tin ra ngoài. Đủ ba chân. Sản phẩm đó do một trong những nhà cung cấp có năng lực bảo mật lớn nhất thế giới xây dựng, nên kết luận hợp lý không phải là chọn nhà cung cấp cẩn thận hơn, mà là ba năng lực này chồng lên nhau thì tự nó đã là một cấu hình rủi ro.

Bỏ bớt một chân

Phần dùng được của cách nhìn này là nó biến một vấn đề an ninh mơ hồ thành một quyết định cấu hình rõ ràng. Với mỗi trợ lý đang chạy hoặc sắp bật, câu hỏi là: nó có đủ cả ba năng lực không, và nếu có thì bỏ được cái nào.

Bỏ đường ra là lựa chọn thường rẻ nhất. Một trợ lý đọc mọi thứ nhưng chỉ được ghi kết quả vào một nơi con người sẽ xem, không được tự gửi đi đâu, vẫn hữu ích gần như nguyên vẹn cho phần lớn công việc phân tích và soạn thảo. Lưu ý là “gửi ra ngoài” rộng hơn người ta tưởng: một liên kết tự động mở, một tấm ảnh tải về từ địa chỉ do nội dung chỉ định, đều là đường ra.

Bỏ nội dung bên ngoài hợp với những trợ lý chỉ làm việc trên kho tài liệu đã được duyệt. Chi phí là trợ lý không dùng được cho hộp thư và cho những gì khách hàng tự nhập vào, tức là mất đúng những trường hợp hấp dẫn nhất.

Bỏ dữ liệu nội bộ hợp với trợ lý đối mặt khách hàng: nó đọc thứ khách gửi, trả lời khách, nhưng không được nối vào kho dữ liệu chung. Đây thường là cách chia đúng nhất, và cũng là cách hay bị phá vỡ nhất khi ai đó muốn trợ lý “thông minh hơn một chút” bằng cách cho nó xem thêm dữ liệu.

Khi cả ba đều thực sự cần thiết, thứ thay thế không phải là một bộ lọc tốt hơn mà là một điểm dừng có con người: hành động nào đưa thông tin ra khỏi tổ chức thì cần một người xác nhận, và người đó phải nhìn thấy nội dung cụ thể sắp được gửi chứ không chỉ nhìn thấy một nút đồng ý. Đây là chỗ đắt, nên đáng để tính vào chi phí ngay từ khi quyết định làm, thay vì phát hiện ra sau.

Điều này thay đổi gì trong cách duyệt một dự án

Cách duyệt quen thuộc hỏi về mô hình nào, nhà cung cấp nào, dữ liệu lưu ở đâu. Những câu đó vẫn cần, nhưng chúng không chạm tới rủi ro vừa mô tả. Ba câu hỏi chạm tới nó:

Trợ lý này đọc được những gì mà người ngoài tổ chức có thể tác động vào? Câu trả lời hay bị đánh giá thấp, vì hộp thư, biểu mẫu, tệp đính kèm và trang web đều tính.

Nó chạm được vào dữ liệu nội bộ nào, và có đúng là cần chừng đó không? Quyền hay được cấp một lần cho rộng rãi để đỡ phải quay lại xin, rồi ở nguyên như vậy.

Nó có cách nào để thông tin đi ra ngoài mà không qua mắt người? Kể cả những cách gián tiếp.

Ba câu hỏi này không cần biết mô hình hoạt động ra sao, nên chúng đặt được ở mức quản lý, trong lần duyệt đầu tiên, khi thay đổi còn rẻ. Về sau, khi trợ lý đã nằm trong quy trình hằng ngày, việc rút bớt một năng lực sẽ được xem là làm hỏng một thứ đang chạy tốt.

Điều đáng nhớ

An ninh cho trợ lý AI ít khi là câu chuyện của một bức tường vững hơn. Nó là câu chuyện của việc năng lực nào được đặt cạnh năng lực nào. Đọc dữ liệu nội bộ, đọc nội dung ngoài, và gửi được ra ngoài: mỗi thứ riêng lẻ đều lành, gộp cả ba thì thành một đường ống, và không có bộ lọc nào đáng tin cậy đứng chắn giữa. Quyết định đúng thường không phải là chọn công cụ khác, mà là chấp nhận rằng một trợ lý bớt quyền hơn thì bớt tiện hơn, và đó là cái giá phải trả có ý thức chứ không phải một sự cố bất ngờ.