Dán bí mật vào ô chat AI

Huỳnh Thiện Tống

Kỹ sư IT

Tháng trước, một doanh nghiệp nhờ tôi rà lại hệ thống sau khi họ nghi bị lộ hợp đồng khách hàng.

Tôi đã hình dung ra một cuộc tấn công. Nhưng không có dấu vết xâm nhập. Không mã độc, không đăng nhập lạ, không một cảnh báo nào từ đống thiết bị bạc tỷ trong phòng máy.

Thứ tôi tìm thấy nằm ở một dòng rất đỗi bình thường. Một nhân viên chăm sóc khách hàng dán nguyên bản hợp đồng, kèm số căn cước và số điện thoại khách, vào ô chat một công cụ AI, chỉ để nhờ viết lại cái email cho lịch sự hơn.

Tường lửa không chặn: với máy móc, đó chỉ là một lượt vào web bình thường tới một trang hợp pháp. Các công cụ chống thất thoát dữ liệu (DLP) phần lớn cũng không nhận ra, vì chị ấy sao chép rồi dán chứ không gửi tệp nào đi.

Dữ liệu đã ra khỏi công ty. Và không một cái đèn đỏ nào bật lên.

Nghịch lý nằm đúng ở đó. Đúng lúc luật về an ninh mạng và dữ liệu cá nhân siết chặt hơn bao giờ hết từ giữa năm nay, AI lại lặng lẽ mở thêm một cánh cửa cho dữ liệu đi ra, mà gần như không hệ thống phòng thủ nào của doanh nghiệp được dựng để nhìn cánh cửa đó.

Con số nói thẳng hơn tôi. Báo cáo Cost of a Data Breach 2025 của IBM, khảo sát 600 tổ chức từng bị rò rỉ, cho thấy cứ năm vụ thì một vụ có bàn tay của Shadow AI, những công cụ AI mà nhân viên tự dùng ngoài tầm kiểm soát. 63% tổ chức chưa có bất kỳ quy định nào về việc dùng AI. Ở Việt Nam, mọi thứ còn đi trước một bước: Chỉ số Xu hướng Công việc 2026 của Microsoft ghi nhận người lao động Việt đang ứng dụng AI nhanh hơn chính tổ chức của mình. Nhân viên đã ở tương lai, còn bộ máy quản trị vẫn loay hoay ở hiện tại.

Cần công bằng: Shadow AI không phải chuyện của nhân viên cẩu thả hay bất mãn. Nó là chuyện của những người đang cố làm cho xong việc. Một bạn kế toán dán bảng số nhờ tổng hợp. Một lập trình viên quăng đoạn code vào hỏi vì sao chạy lỗi. Một trợ lý nhờ dịch vội bản hợp đồng trước giờ họp. Họ không cố ý làm rò rỉ dữ liệu, chỉ cố làm xong việc nhanh hơn, thậm chí tốt hơn. Và chính vì bình thường đến thế, ta không thể chặn nó bằng một câu nhắc nhở.

Phản xạ đầu tiên của phần lớn ban giám đốc là cấm. Chặn sạch. Ra thông báo nghiêm cấm ChatGPT, Gemini, DeepSeek. Đó là phản ứng dễ hiểu, và một phần đúng: có những dữ liệu không bao giờ được rời khỏi hệ thống, với chúng thì chặn là lựa chọn duy nhất.

Nhưng một lệnh cấm dán lên toàn công ty hiếm khi giết được thói quen. Nó chỉ đẩy thói quen xuống chỗ khuất hơn. Bạn cấm nhân viên mang tài liệu ra khỏi công ty, họ chuyển sang chụp màn hình bằng điện thoại riêng. Tài liệu vẫn ra ngoài, chỉ là bạn không còn thấy nó ra bằng đường nào. Lệnh cấm không xóa nhu cầu, chỉ xóa dấu vết.

Về kỹ thuật, chặn cũng khó hơn nhiều người tưởng. Chặn địa chỉ một công cụ AI thì nhân viên bật 4G trên điện thoại, ra ngoài tầm nhìn của mạng công ty. Kể cả khi họ còn trong mạng, bản trả phí cho doanh nghiệp và bản cá nhân miễn phí thường dùng chung một địa chỉ (domain), nên nhìn từ lớp mạng, luồng an toàn và luồng rò rỉ gần như giống hệt nhau. Vẫn có cách tách ra, nhưng đều đụng chuyện riêng tư, hiệu năng và chi phí, và phần lớn doanh nghiệp Việt chưa làm tới.

Vậy nên gốc rễ không nằm ở con người hay kỹ thuật, mà ở quản trị. Nói cho cùng, vấn đề không phải AI, cũng không phải nhân viên, mà là cách một công ty quản trị dữ liệu của mình. Chừng nào chưa phân loại đâu là dữ liệu tuyệt đối không được rời hệ thống, chưa nói rõ nhân viên được dùng AI vào việc gì, chưa cấp cho họ một công cụ AI chính thức đủ tốt để khỏi đi đường vòng, thì Shadow AI sẽ luôn quay lại, bất kể tường lửa mạnh đến đâu.

Cấm chỉ trả lời cho câu hỏi làm sao chặn. Câu hỏi đúng phải là: dữ liệu của mình đang đi đâu, và ai chịu trách nhiệm cho nó?

Thế giới đã đi qua khúc này. Năm 2023, chỉ 20 ngày sau khi được phép dùng ChatGPT, kỹ sư Samsung ba lần dán nhầm tài sản mật vào công cụ này, từ mã nguồn tới biên bản một cuộc họp nội bộ. Samsung cấm ngay, nhưng không dừng ở đó: họ tự xây một công cụ AI nội bộ chạy trên hạ tầng của mình, kèm quy định rõ dữ liệu nào được đưa vào, dữ liệu nào không. Điều đáng nhớ không phải là lệnh cấm, mà ở chỗ họ hiểu cấm chỉ là bước đầu, quản trị mới là đích. Các tập đoàn lớn giờ không tranh luận có nên dùng AI hay không; họ tranh luận quản trị nó thế nào.

Và đây là điều tôi muốn nói nhất. Nhiều năm qua, an ninh doanh nghiệp được dựng lên để giữ thiết bị và đường mạng. Tường lửa, phần mềm bảo vệ máy trạm (endpoint), các hệ thống dò và chặn xâm nhập, tất cả đều đứng canh ở vành đai và hỏi cùng một câu: kẻ xấu có lọt vào được không.

AI lật ngược câu hỏi ấy. Mối nguy bây giờ không phải ai đi vào, mà là dữ liệu đi ra, một cách hợp lệ, qua tay chính người của mình. Kỷ nguyên AI buộc an ninh đổi trọng tâm: từ giữ hạ tầng sang giữ dữ liệu. Ai không trả lời được dữ liệu của mình đang ra ngoài bằng đường nào sẽ mãi canh kỹ thứ mình thấy, và để hở đúng thứ quý nhất mình không thấy.

Ở Việt Nam, sức ép đó không còn là tự nguyện. Luật An ninh mạng năm 2025, tức Luật số 116/2025, hiệu lực từ 1/7, cùng Luật Bảo vệ dữ liệu cá nhân 91/2025 áp dụng từ đầu năm, đặt nghĩa vụ bảo vệ dữ liệu trực tiếp lên tổ chức và người đứng đầu. Nghĩa là khi chị nhân viên dán hợp đồng vào cửa sổ chat, người phải trả lời trước pháp luật lại là lãnh đạo doanh nghiệp, người gần như chắc chắn không biết chuyện vừa xảy ra.

Sẽ có người bảo tôi đang trầm trọng hóa. Nhân viên dùng AI cho nhanh thì có gì sai. Không sai. Nhưng chính chỗ không sai đó mới là vấn đề. Một kẻ tấn công phải phá tường lửa, để lại dấu vết, làm chuông báo động kêu lên. Còn chị nhân viên kia chỉ cần Ctrl+C rồi Ctrl+V, một thao tác không vi phạm quy định nào của công ty, bởi công ty chưa từng có quy định. Cái rò rỉ hiền lành nhất lại đúng là cái mà cả hệ thống phòng thủ hướng ra ngoài chưa từng được thiết kế để nhìn thấy.

Buổi rà soát hôm đó khép lại: không thủ phạm để chỉ mặt, không cuộc tấn công để dựng lại. Chỉ còn một công ty vừa nhận ra rằng nhiều tháng qua, dữ liệu quý nhất của mình đã đi ra bằng cửa trước, giữa ban ngày, qua tay chính người của họ.

Huỳnh Thiện Tống