Phân quyền và an toàn thông tin khi đưa AI vào vận hành

Câu hỏi đầu tiên mà một giám đốc CNTT tỉnh táo sẽ hỏi khi bạn đề xuất đưa AI vào hệ thống nội bộ: "Nó đọc được những gì?"

Đây là câu hỏi đúng, và câu trả lời phải là một câu ngắn:

Trợ lý đọc đúng những gì người đang hỏi nó được phép đọc. Không hơn một dòng.

Nghe hiển nhiên. Trên thực tế, đây là chỗ hầu hết các bản tích hợp AI vội vàng đều sai — vì đường đi của AI thường được dựng bên cạnh hệ thống phân quyền chứ không xuyên qua nó.

Vì sao lỗ hổng này hay xảy ra

Cách nhanh nhất để cho một trợ lý truy cập dữ liệu là cấp cho nó một tài khoản dịch vụ có quyền đọc rộng. Nó chạy được ngay. Demo rất ấn tượng.

Và nó có nghĩa là: bất kỳ nhân viên nào hỏi trợ lý cũng đang hỏi qua một tài khoản mạnh hơn tài khoản của chính họ.

Nhân viên kinh doanh hỏi "tổng quỹ lương tháng này bao nhiêu?" và nhận được câu trả lời — không phải vì họ được phép, mà vì trợ lý được phép. Không có exception, không có bản ghi từ chối. Chỉ là một câu trả lời hữu ích cho một người lẽ ra không được nghe.

Điều làm nó nguy hiểm: không có gì báo lỗi. Bạn chỉ phát hiện ra khi ai đó vô tình nhắc tới một con số trong cuộc họp.

Bốn trục phải áp cho mọi câu hỏi

Một trợ lý dùng được trong doanh nghiệp phải đi qua cùng bốn cổng với giao diện người dùng:

1. Quyền năng — người này được làm hành động này không? Đọc hoá đơn, sửa hoá đơn, duyệt chi là ba quyền khác nhau. Trợ lý không được gộp chúng thành "truy cập tài chính".

2. Mô-đun — doanh nghiệp đã mua tính năng này chưa? Một câu hỏi về bảng lương phải bị từ chối nếu tổ chức chưa dùng mô-đun lương — kể cả khi dữ liệu tồn tại trong cơ sở dữ liệu.

3. Phạm vi dữ liệu — trên tập bản ghi nào? Đây là trục hay bị bỏ sót nhất. Một nhân viên kinh doanh có quyền "đọc cơ hội bán hàng" thường chỉ được đọc cơ hội của mình, không phải của cả công ty. Nếu trợ lý áp quyền năng mà quên phạm vi, nó trả lời đúng loại dữ liệu nhưng sai tập dữ liệu — và đó là dạng rò rỉ khó thấy nhất, vì câu trả lời trông hoàn toàn hợp lý.

4. Trường dữ liệu — trong bản ghi đó, trường nào? Một hồ sơ nhân viên có tên, chức danh, và cũng có số CCCD, lương, đánh giá hiệu suất. Quyền xem hồ sơ không phải quyền xem mọi trường trong đó.

Bốn trục này phải áp ở tầng dữ liệu, không phải ở tầng hiển thị. Ẩn một trường trên giao diện trong khi API vẫn trả nó về là bảo mật bằng cách hy vọng không ai mở tab Network.

Ba câu hỏi để đánh giá một tích hợp AI

Khi ai đó chào bạn một trợ lý cắm vào hệ thống nội bộ, ba câu này lộ ra gần hết:

"Trợ lý dùng danh tính nào để đọc dữ liệu?" Câu trả lời phải là "danh tính của người đang hỏi". Nếu là một tài khoản dịch vụ, mọi trục phân quyền phía trên đã bị bỏ qua.

"Cho tôi xem một lượt bị từ chối." Một hệ thống có phân quyền thật sẽ từ chối đúng lúc và ghi lại việc từ chối. Nếu không ai dựng được ví dụ từ chối, khả năng cao là cổng chưa từng chạy.

"Dữ liệu của tôi có rời khỏi hệ thống không, và đi đâu?" Trợ lý gọi mô hình bên ngoài thì có dữ liệu đi ra. Câu hỏi không phải "có hay không" mà là cái gì: id bản ghi hay nội dung? Có tên người không? Có được dùng để huấn luyện không? Ai lưu, lưu bao lâu?

Nguyên tắc gửi ít nhất có thể

Ngay cả khi phân quyền hoàn hảo, vẫn nên hỏi: câu hỏi này thật sự cần gửi gì cho mô hình?

Phần lớn tác vụ phân tích chỉ cần con số và cấu trúc, không cần danh tính. "Ba khách hàng có công nợ quá hạn lớn nhất" tính được từ id và số tiền; tên khách chỉ cần khi hiển thị kết quả cho người dùng — và bước đó xảy ra sau khi mô hình đã trả lời.

Nguyên tắc thực hành:

• Gửi định danh (id, mã chứng từ), không gửi nội dung tự do trừ khi tác vụ đòi.
• Chuỗi tìm kiếm của người dùng và tên người không nên nằm trong bản ghi audit — audit trả lời "ai đọc bản ghi nào", không cần đọc lại nội dung.
• Mỗi lượt gọi mô hình ghi rõ đã gửi loại dữ liệu gì, có chứa dữ liệu cá nhân hay không. Người dùng có quyền biết.

Điều kiện tối thiểu để bật lên trong tổ chức

Trước khi cho một trợ lý chạm dữ liệu thật, tối thiểu phải có:

• Đúng bốn cổng ở trên, áp ở tầng dữ liệu.
• Mặc định là đề xuất. Hành động ghi phải được bật chủ đích, từng loại một.
• Dấu vết đầy đủ: ai hỏi, đọc bản ghi nào, đề xuất gì, ai duyệt.
• Công tắc tắt. Một cờ tắt được toàn tổ chức, không cần deploy — vì đường lùi rẻ nhất là đường bạn không phải viết code để dùng.
• Tách khoá theo tổ chức. Dữ liệu của khách hàng này không bao giờ nằm cùng không gian truy vấn với khách hàng khác.

Kết

Rủi ro lớn nhất khi đưa AI vào doanh nghiệp không phải mô hình trả lời sai — sai thì người dùng thấy và bỏ qua.

Rủi ro lớn nhất là mô hình trả lời đúng, cho sai người. Câu trả lời đó trông hoàn hảo, không ai nghi ngờ, và không có dòng log nào ghi lại rằng một ranh giới vừa bị vượt qua.

Vì thế phân quyền không phải phần làm sau khi AI chạy được. Nó là phần quyết định AI có được chạy hay không.