Đưa dữ liệu cho AI: thông tin sẽ đi đâu, quyền đến đâu?

Tình huống giả định: Bạn đưa một tài liệu nội bộ cho trợ lý AI để tóm tắt. Sau đó, bạn kết nối kho tài liệu và hộp thư để trợ lý tìm thông tin, soạn phản hồi. Nhìn trên giao diện, đây vẫn là một cuộc trò chuyện. Nhưng hệ thống có thể đang nhận thêm dữ liệu, truy cập nhiều nguồn và có khả năng thực hiện những việc khác hẳn việc viết một bản tóm tắt.

Để hiểu điều được trao cho AI, cần phân biệt thông tin hệ thống được xử lý, cách thông tin được lưu và sử dụng, cùng quyền hệ thống được thực hiện. Bài này tập trung vào các ứng dụng dùng mô hình ngôn ngữ để đọc nội dung, trả lời và gọi công cụ.

1. Đưa dữ liệu để trả lời khác với cho phép lưu hoặc huấn luyện

Khi bạn gửi câu hỏi hoặc tài liệu, hệ thống cần xử lý phần thông tin liên quan để tạo câu trả lời. Việc đó khác với lưu tài liệu lâu dài, ghi nhớ một sở thích hoặc dùng nội dung để huấn luyện mô hình. Bốn mục đích thường dễ bị gom chung thành “AI đã học dữ liệu của tôi”:

Xử lý, lưu trữ và huấn luyện là ba hoạt động cần được xác định riêng. Dịch vụ có thể xử lý để trả lời, giữ dữ liệu phục vụ vận hành và đồng thời không dùng chúng để huấn luyện. Chính sách và thiết lập cho biết các mục đích áp dụng; việc AI trả lời đúng một chi tiết cho thấy kết quả phù hợp với thông tin được cung cấp, chưa xác nhận có huấn luyện lại.

Mỗi cam kết trả lời một câu hỏi khác nhau. “Không dùng cho huấn luyện” giới hạn mục đích học, còn việc lưu bao lâu, ai truy cập và công cụ nào nhận nội dung cần thông tin riêng. “Không lưu sau khi xử lý” nói về giai đoạn sau xử lý, nên vẫn có việc xử lý trước đó. Đọc đúng phạm vi giúp tránh gom các cam kết thành một lời bảo đảm chung.

Lịch sử, bộ nhớ ứng dụng và tệp đính kèm có thể được quản lý riêng. Xóa một cuộc trò chuyện không tự chứng minh một mục bộ nhớ hay bản sao ở dịch vụ khác cũng đã bị xóa. Thu hồi kết nối có thể ngăn các lần truy cập tiếp theo nhưng không tự thu hồi nội dung đã được gửi hoặc xuất ra trước đó. Cách xóa và thời điểm xóa phụ thuộc cơ chế, chính sách của từng thành phần.

Các điều kiện này có thể khác theo sản phẩm, gói tài khoản, tính năng, cấu hình và thời điểm. Một gói có trả phí không tự đồng nghĩa với gói doanh nghiệp; cùng tên mô hình cũng không bảo đảm cùng chính sách dữ liệu. Việc chủ động gửi phản hồi hoặc báo lỗi có thể có điều kiện sử dụng nội dung riêng, nên một cam kết chung cần được đọc cùng các ngoại lệ và phạm vi áp dụng.

Lời chatbot nói “Tôi sẽ không lưu dữ liệu của bạn” là một câu trả lời, không tự trở thành chính sách của dịch vụ. Căn cứ về xử lý dữ liệu nằm ở tài liệu chính thức, điều khoản và thiết lập thực sự áp dụng cho tài khoản, tính năng đang dùng. Một lời hứa trong hội thoại không tự thay đổi cách ứng dụng lưu trữ hoặc vận hành.

2. Tài liệu đi qua ứng dụng, không chỉ qua mô hình

Một mô hình ngôn ngữ là thành phần xử lý đầu vào và tạo đầu ra. Ứng dụng còn có thể gồm nơi tiếp nhận tệp, bộ phận đọc tài liệu, hệ thống tìm đoạn liên quan, kho lưu trữ, công cụ kết nối và giao diện hiển thị. Có thành phần do cùng một đơn vị vận hành, có thành phần thuộc dịch vụ khác. Không phải ứng dụng nào cũng có toàn bộ các bước này.

Ví dụ giả định về đường đi một tài liệu: Bạn tải báo cáo lên một ứng dụng. Ứng dụng nhận tệp, đọc văn bản; nếu báo cáo là ảnh chụp, nó có thể dùng công cụ nhận dạng chữ. Hệ thống chọn các đoạn liên quan đến câu hỏi rồi gửi vào mô hình để tạo bản tóm tắt. Tệp gốc, phần văn bản đã đọc và bản tóm tắt có thể được lưu theo những cơ chế khác nhau. Nếu sau đó dùng công cụ gửi bản tóm tắt qua thư, nội dung còn đi đến hệ thống thư và người nhận.

Trong tình huống ấy, “mô hình chỉ nhận các đoạn liên quan” không đồng nghĩa “toàn bộ ứng dụng chưa từng nhận tệp gốc”. Tương tự, thấy câu trả lời ngắn không cho biết đã có bao nhiêu dữ liệu được xử lý ở các bước trước. Giao diện thể hiện kết quả, không nhất thiết thể hiện đầy đủ đường đi của dữ liệu.

Một kết nối, thường gọi là connector, giúp ứng dụng trao đổi với một nguồn hay dịch vụ khác, chẳng hạn kho tài liệu hoặc hộp thư. Nội dung đọc được từ nguồn có thể trở thành đầu vào cho mô hình. Khi gọi một công cụ khác, ứng dụng cũng có thể gửi một phần nội dung cần thiết cho công cụ đó. Phạm vi phụ thuộc tính năng và quyền thực tế, không chỉ tên gọi “đã kết nối”.

Đường đi cụ thể của dữ liệu quyết định những chính sách cần xem. Nhà cung cấp mô hình, phần tiếp nhận tệp, hệ thống tìm kiếm và công cụ ngoài có thể có cách xử lý riêng. Cần xác định thành phần thực sự tham gia, thay vì áp chính sách của một bên cho toàn bộ ứng dụng.

Thông tin nhạy cảm có thể xuất hiện cả trong đầu ra. Một bản tóm tắt, bảng phân tích hoặc thư nháp có thể giữ giá trị hợp đồng, tên khách hàng hoặc thông tin nội bộ của tài liệu gốc. Đổi định dạng hoặc rút gọn nội dung không tự làm mất tính nhạy cảm. Nếu bản tóm tắt được chia sẻ rộng hơn tệp gốc, phạm vi người tiếp cận thông tin đã thay đổi.

Bỏ tên cũng chưa bảo đảm không nhận diện được đối tượng. Khi các chi tiết còn lại đủ đặc trưng, chúng có thể được ghép với thông tin khác để suy ra đối tượng. Chẳng hạn, trong một tình huống giả định, một bản mô tả không ghi tên nhưng giữ chức vụ duy nhất, đơn vị công tác và sự kiện riêng vẫn có thể làm lộ người được nói đến.

Chạy mô hình trên thiết bị của mình có thể giảm việc gửi dữ liệu cho dịch vụ mô hình từ xa. Nhưng nếu ứng dụng vẫn gọi tìm kiếm, xử lý tệp hoặc công cụ trực tuyến, các luồng trao đổi đó vẫn cần được phân biệt. “Mô hình chạy cục bộ” là thông tin về vị trí xử lý của một thành phần, không tự mô tả toàn bộ ứng dụng.

3. Quyền đọc, quyền hành động và sự cho phép của người dùng

Đưa một tệp cho AI xử lý khác với kết nối một kho dữ liệu để AI tìm kiếm. Cho phép đọc kho dữ liệu cũng khác với cho phép sửa, xóa hoặc gửi nội dung ra ngoài. Những quyền này mở ra các khả năng và hậu quả khác nhau.

Quyền truy cập kỹ thuật cho biết ứng dụng có khả năng thực hiện điều gì với tài khoản và công cụ hiện có. Sự cho phép trong nhiệm vụ cho biết người dùng đã giao điều gì. Hai lớp này cần cùng được xét. Một tài khoản có quyền gửi thư không có nghĩa yêu cầu “soạn giúp tôi phản hồi” đã cho phép gửi thư ấy đi.

Giới hạn có thể nằm ở nguồn dữ liệu, tài khoản kết nối, công cụ được mở hoặc lớp kiểm soát của ứng dụng. Quyền của hệ thống thực tế được ràng buộc bởi các lớp đó. Một câu trong hội thoại không tự tạo ra quyền truy cập đang thiếu; ngược lại, một lời hứa “chỉ đọc” cũng không tự gỡ công cụ gửi hay sửa nếu ứng dụng vẫn để công cụ ấy hoạt động.

Nguyên tắc quyền tối thiểu cần thiết là chỉ mở dữ liệu và khả năng phục vụ nhiệm vụ được giao. Ví dụ giả định: Để tóm tắt một báo cáo đã xác định, trợ lý cần đọc báo cáo đó. Quyền đọc toàn bộ kho tài liệu hoặc gửi thư đến bất kỳ người nào là phạm vi rộng hơn nhiệm vụ đang cần. Thu hẹp phạm vi giúp giới hạn thông tin và hành động có thể bị ảnh hưởng nếu hệ thống hiểu sai yêu cầu hoặc bị điều hướng.

Quyền chỉ đọc có thể ngăn một số hành động sửa hoặc xóa khi được thực thi đúng ở lớp truy cập. Nó không tự bảo đảm nội dung không bị tiết lộ qua câu trả lời, bản xuất hay một luồng chia sẻ khác. Cũng cần phân biệt “chỉ đọc kho tài liệu” với “toàn bộ ứng dụng không có quyền gửi dữ liệu”: một kết nối chỉ đọc có thể cùng tồn tại với một công cụ gửi thư.

Khi có bước người dùng duyệt hành động, điều được duyệt cần rõ: hành động nào, nội dung nào, đối tượng nào và phạm vi nào. Duyệt một bản nháp không tự cho phép thêm người nhận hoặc đổi nội dung sau đó. Lời xác nhận chung như “cứ làm tiếp” cũng có thể không đủ rõ cho một hành động khác với nhiệm vụ ban đầu. Giá trị của bước duyệt nằm ở việc người dùng biết kết quả cụ thể sẽ được thực hiện.

4. Prompt injection: khi nội dung bị nhầm thành chỉ dẫn

AI đọc nội dung bằng khả năng xử lý ngôn ngữ, cũng nhận nhiệm vụ qua ngôn ngữ. Điều này tạo ra một ranh giới dễ bị nhầm: đâu là dữ liệu cần phân tích, đâu là chỉ dẫn có quyền điều khiển công việc?

Prompt injection có thể hiểu là chèn chỉ dẫn để điều hướng AI: nội dung được đưa vào khiến hệ thống bị kéo sang hành vi không đúng nhiệm vụ hoặc giới hạn. Với prompt injection gián tiếp, chỉ dẫn nằm trong tài liệu, trang web, thư hoặc kết quả công cụ mà AI đọc. Người dùng có thể chỉ yêu cầu tóm tắt một nguồn bình thường; người gây điều hướng là bên kiểm soát một phần nội dung nguồn đó.

Tình huống giả định: Người dùng yêu cầu AI so sánh hai tài liệu. Trong một tài liệu có đoạn tự nhận là hướng dẫn quản trị, đòi chuyển bản tóm tắt đến một người nhận khác. Đoạn ấy vẫn là nội dung của tài liệu, chưa có thẩm quyền thay người dùng giao nhiệm vụ. Nếu hệ thống coi nó là lệnh và chuyển nội dung theo yêu cầu đó, ranh giới giữa nguồn để đọc và nguồn có quyền chỉ đạo đã bị vượt qua.

Rủi ro không đòi hỏi tài liệu phải chứa chương trình thực thi. Một đoạn văn bản cũng có thể làm lệch quá trình xử lý nếu bị nhận sai vai trò. Nội dung có thể đến qua công cụ được kết nối hợp lệ: công cụ lấy đúng tài liệu không bảo đảm mọi chỉ dẫn trong tài liệu đều đáng tin hoặc được phép thực hiện.

Tuy nhiên, không phải mọi câu mệnh lệnh trong tài liệu đều là một cuộc tấn công. Một hướng dẫn sử dụng, đoạn hội thoại được trích hoặc câu cần dịch có thể chứa lời yêu cầu. AI vẫn có thể phân tích, trích lại hoặc dịch câu đó như dữ liệu. Vấn đề xuất hiện khi câu ấy được nâng thành chỉ dẫn điều khiển hệ thống, vượt phạm vi nhiệm vụ đã được giao.

Cũng cần tách độ tin cậy của thông tin khỏi thẩm quyền chỉ đạo. Một tài liệu có dữ kiện chính xác có thể là căn cứ tốt cho bản tóm tắt, nhưng không vì thế được quyền đổi người nhận thư hoặc mở rộng truy cập. Nguồn hữu ích để trả lời không tự trở thành người giao việc.

Hậu quả phụ thuộc dữ liệu và công cụ thực tế. Nếu chỉ tạo văn bản, hệ thống có thể bị làm lệch câu trả lời hoặc bỏ nội dung cần nêu. Nếu có thể đọc thông tin nội bộ và gửi nội dung đi, nguy cơ còn gồm tiết lộ thông tin. Nếu có quyền sửa dữ liệu, sự điều hướng có thể dẫn đến thay đổi không được giao. Một nội dung gây nhiễu không tự chứng minh mọi hậu quả này đã xảy ra.

Prompt injection gián tiếp có thể xảy ra ngay lúc vận hành, khi nội dung ngoài được đưa vào ngữ cảnh. Nó không cần chờ nội dung được dùng để huấn luyện lại mô hình. Đây là điểm khác với việc can thiệp vào dữ liệu huấn luyện để làm thay đổi mô hình về lâu dài.

5. Bảo vệ dữ liệu cần cả cách AI phản hồi lẫn giới hạn của hệ thống

Một lời nhắc yêu cầu AI bỏ qua chỉ dẫn trong tài liệu có thể giúp mô hình giữ nhiệm vụ, nhưng không tự là một hàng rào quyền truy cập. Tách rõ nguồn nội dung, phát hiện chỉ dẫn gây nhiễu và kiểm soát công cụ giải quyết những phần khác nhau của vấn đề. Cách AI xử lý ngôn ngữ cần đi cùng cơ chế giới hạn điều hệ thống có thể đọc, gửi và thay đổi.

Trong một môi trường nghiên cứu công bố năm 2024, 97 nhiệm vụ người dùng được kết hợp thành 629 tình huống kiểm tra bảo mật trên dữ liệu mô phỏng. Khi thử trợ lý dùng GPT-4o, việc giới hạn công cụ cần cho nhiệm vụ trước khi đọc dữ liệu ngoài giúp giảm thành công của các hành vi bị điều hướng. Cách này hiệu quả ở nhiều tình huống chỉ cần đọc, còn hành vi không được giao đòi quyền ghi hoặc gửi. Nó vẫn có giới hạn khi công cụ cần cho nhiệm vụ cũng đủ thực hiện hành vi đó. Đây là kết quả trong môi trường thử cụ thể, không bảo đảm an toàn cho mọi ứng dụng hiện tại.

Ý nghĩa của dẫn chứng nằm ở phạm vi có thể thực hiện, không chỉ ở khả năng nhận diện một đoạn văn đáng ngờ. Nếu nhiệm vụ chỉ cần đọc và công cụ gửi không được mở, một chỉ dẫn trong nguồn không tự biến thành hành động gửi qua công cụ ấy. Nhưng giới hạn công cụ không tự sửa một bản tóm tắt đã bị làm lệch, cũng không giải quyết mọi luồng tiết lộ thông tin.

Ngược lại, một hệ thống nhận diện tốt nhiều chỉ dẫn gây nhiễu vẫn cần kiểm soát quyền và bước thực hiện. Khả năng phát hiện có thể bỏ sót tình huống mới. Thông tin về người nhận, nội dung gửi và phạm vi thay đổi vì vậy cần được kiểm tra ở nơi hành động thực sự được thực thi, thay vì chỉ dựa vào lời giải thích của mô hình.

Riêng tư dữ liệu tập trung vào việc thông tin được thu thập, xử lý, lưu và sử dụng theo phạm vi nào. An toàn của hành động tập trung vào việc hệ thống có thể và được phép làm gì. Một ứng dụng không dùng dữ liệu để huấn luyện vẫn có thể gặp rủi ro nếu nội dung bị gửi sai người. Một trợ lý không được quyền sửa tệp vẫn có thể tạo bản tóm tắt làm lộ thông tin. Các cam kết này bổ sung cho nhau, không thay thế nhau.

Khi đưa dữ liệu và quyền cho AI, điều được trao cần được hiểu ở cấp toàn bộ hệ thống: nội dung nào đi vào, thành phần nào xử lý và lưu, công cụ nào được mở, hành động nào đã được giao. Phân biệt rõ những lớp này giúp hiểu vì sao cùng một mô hình có thể được dùng trong các ứng dụng với phạm vi dữ liệu và mức rủi ro rất khác nhau.