Rủi ro AI tạo sinh: mười nhóm và việc kiểm soát ban đầu

Đăng ngày 25/10/2026

Tóm tắt và điều cần nhớ

Rủi ro AI tạo sinh gồm thông tin sai, dữ liệu bị lộ, đầu vào làm lệch hành vi và quyền hành động vượt mục đích. Cách kiểm soát cần đi từ việc doanh nghiệp định giao cho hệ thống, dữ liệu nó được đọc và hậu quả có thể xảy ra. Bài chuyển các nhóm OWASP thành ví dụ cùng việc khởi đầu ít tốn nguồn lực, không bảo đảm đó là biện pháp đủ cho mọi hệ thống.

• Rủi ro không chỉ đến từ người tấn công; đầu ra thiếu căn cứ và người dùng quá tin cũng có thể gây hại.
• Danh sách tên rủi ro giúp đặt câu hỏi, không thay việc kiểm cấu hình và luồng dữ liệu thực tế.
• Tách quyền đọc, soạn nháp và thực hiện hành động giúp nhóm biết cần kiểm thêm điều gì.
• Biện pháp khởi đầu nên có người phụ trách và bằng chứng thực hiện, thay vì chỉ một câu nhắc mô hình.
• Ví dụ và trình tự ưu tiên của bài là đề xuất chưa kiểm định, chỉ nhằm hỗ trợ rà soát phòng vệ.

Vì sao cần xét hậu quả trước một tỷ lệ chung?

Hồ sơ AI tạo sinh NIST AI 600-1, công bố tháng 7/2024, mô tả các nhóm như nội dung sai được trình bày tự tin, quyền riêng tư, toàn vẹn thông tin và tích hợp thành phần. Rủi ro phụ thuộc bối cảnh, kiến trúc và cách sử dụng. Tài liệu tự nguyện này giúp tổ chức câu hỏi rà soát; không phải chứng nhận mọi sản phẩm đã đáp ứng một mức an toàn chung [1].

Bài đề xuất mô tả một tình huống gây hại trước khi chọn công cụ kiểm. Ví dụ giả định, trợ lý AI nói sai điều kiện bán hàng có thể làm khách hiểu nhầm cam kết; một trợ lý khác có quyền gửi thông báo sẽ đưa cùng nội dung tới nhiều người ngay. Loại thông tin sai có thể giống nhau, nhưng quyền thực hiện và phạm vi người nhận làm thay đổi công việc cần kiểm soát.

Khảo sát năm 2025 do Đại học Melbourne phối hợp KPMG dẫn dắt có hơn 48.000 người ở 47 nước; trang giới thiệu nêu 46% sẵn sàng tin hệ thống AI. Dữ liệu thu trực tuyến từ tháng 11/2024 đến giữa tháng 1/2025. Đây là thái độ tự báo cáo, không phải tỷ lệ hệ thống AI an toàn hoặc số doanh nghiệp Việt Nam có sự cố [2].

IBM công bố chi phí trung bình toàn cầu của một vụ xâm phạm dữ liệu trong báo cáo 2026 là 4,99 triệu USD. Không thể lấy số này làm thiệt hại dự kiến của một cửa hàng khi dùng AI, hoặc coi toàn bộ chi phí là do AI gây ra. Trang giới thiệu do hãng bán giải pháp bảo mật cung cấp, chưa đủ phương pháp gốc để tính chi phí riêng cho doanh nghiệp đang đọc bài [3].

Tiêm lệnh: dữ liệu không có quyền ra lệnh

OWASP mô tả tiêm lệnh có thể đến trực tiếp từ yêu cầu hoặc gián tiếp qua nội dung bên ngoài như tệp, website. Theo tài liệu, kết nối truy xuất hoặc thay trọng số vẫn chưa là biện pháp triệt để. Khi mô hình AI đọc một đoạn nội dung, cần phân biệt dữ liệu được tham khảo với chỉ dẫn có thẩm quyền; câu nhắc giữ nguyên nhiệm vụ không thay được giới hạn ở lớp ứng dụng [4].

Ví dụ giả định, trợ lý AI đọc tài liệu được gửi đến để rút ý chính nhưng trong tài liệu có lời yêu cầu thay đổi cách làm. Việc khởi đầu do bài đề xuất là giữ công cụ ở quyền đọc, tách rõ nguồn ngoài và thử tình huống vô hại trong môi trường được phép. Nếu hành động có hậu quả, cần một bước kiểm quyền riêng trước thực hiện; không dùng tài liệu nguồn để tự mở quyền.

Lộ thông tin: kiểm dữ liệu trước khi gửi

Trong mục lộ thông tin nhạy cảm, OWASP nêu dữ liệu cá nhân, tài chính, sức khỏe, bí mật kinh doanh và thông tin xác thực. Hướng dẫn nhấn mạnh giới hạn quyền và nguồn dữ liệu; chỉ nhắc mô hình không tiết lộ có thể không đủ. Rủi ro AI tạo sinh cần được xét ở cả dữ liệu người dùng nhập và phần hệ thống tự lấy thêm [5].

Ví dụ giả định, nhân viên muốn AI viết lại thư phản hồi nhưng dán cả danh sách khách ở cuối cuộc trao đổi. Việc khởi đầu do tác giả đề xuất là có bản dữ liệu mẫu đã loại thông tin không cần thiết và công cụ được phép dùng cho loại việc đó. Người phụ trách cần biết dữ liệu nào đã được gửi đi khi xử lý sự cố; che tên ở bản trả lời không xóa việc đã gửi dữ liệu đầu vào.

Chuỗi cung ứng: biết thành phần nào đang chạy

OWASP xem rủi ro chuỗi cung ứng của hệ thống AI rộng hơn lỗi thư viện truyền thống, còn gồm mô hình, dữ liệu và nền tảng của bên thứ ba. Nguồn đề xuất kiểm nhà cung cấp, điều khoản, nguồn gốc và danh mục thành phần. Bài chỉ sử dụng nhóm vấn đề này, không tự xác nhận một kho công khai hoặc hãng lớn luôn bảo đảm toàn bộ thành phần an toàn [6].

Ví dụ giả định, đội thử một tiện ích AI rồi giữ nó sau khi đã đổi công cụ chính. Biện pháp khởi đầu do bài đề xuất là ghi danh sách tiện ích, người sở hữu và quyền còn được cấp, rồi thu hồi phần không dùng. Mã nguồn mở cũng cần kiểm đúng phiên bản và nguồn phát hành. Cụm từ mở không tự cho biết giấy phép, dữ liệu sử dụng hoặc mức bảo trì hiện tại.

Dữ liệu bị đầu độc: giữ nguồn và lịch sử thay đổi

Mục dữ liệu và mô hình bị đầu độc của OWASP mô tả việc dữ liệu ở huấn luyện, tinh chỉnh hoặc nhúng bị thao túng, ảnh hưởng tính toàn vẹn. Hướng dẫn nêu kiểm nguồn, theo dõi thay đổi và kiểm đầu ra với nguồn tin cậy. Đây không đồng nghĩa một bộ lọc có thể phát hiện mọi tài liệu gây sai lệch trước khi mô hình AI đọc [7].

Ví dụ giả định, kho hỏi đáp sản phẩm nhận thêm tệp chưa được chủ nghiệp vụ duyệt. Một cách khởi đầu là chỉ nhận nguồn đã chỉ định, lưu phiên bản và cho người có trách nhiệm kiểm phần thay đổi trước khi mở rộng. Nếu trợ lý AI đột ngột trả lời khác, nhóm có căn cứ so bản trước và bản sau. Không nên sửa câu trả lời bằng tay rồi bỏ qua câu hỏi nguồn đã đổi ở đâu.

Xử lý đầu ra: câu trả lời chưa phải lệnh được chấp thuận

OWASP phân biệt xử lý đầu ra không phù hợp với việc người dùng quá tin nội dung. Vấn đề ở đây là đầu ra AI được chuyển sang thành phần khác mà thiếu kiểm tra hoặc xử lý theo ngữ cảnh. Nguồn đề xuất xem mô hình như một đầu vào cần kiểm, thay vì cho đầu ra đặc quyền chỉ vì nó được ứng dụng tự sinh [8].

Ví dụ giả định, trợ lý AI sinh đoạn nội dung cho trang giới thiệu. Việc khởi đầu do bài đề xuất là hiển thị như nội dung phù hợp với giao diện và kiểm trước khi dùng ở hệ thống khác. Nếu đầu ra chứa đường dẫn hoặc dữ liệu cho biểu mẫu, cần xác thực loại và phạm vi tại nơi tiếp nhận. Một câu trả lời đúng ngữ pháp không chứng minh nó được phép thực thi.

Quyền quá mức: chỉ cấp phần việc cần làm

OWASP chỉ ra ba nguồn của quyền hành động quá mức: chức năng dư, quyền dư và mức tự chủ dư. Hệ thống AI có thể gây hại khi thực hiện hành động dựa trên đầu ra bất ngờ hoặc bị thao túng. Hướng dẫn đề xuất thu hẹp công cụ, xác thực quyền ở hệ thống phía sau và kiểm thao tác có tác động lớn; nhật ký chỉ giúp theo dõi, không thay giới hạn quyền [9].

Ví dụ giả định, nhóm chỉ cần trợ lý AI tìm sản phẩm nhưng tài khoản kết nối còn có quyền sửa thông tin bán hàng. Biện pháp đầu tiên là bỏ quyền không cần trước khi thử thêm chức năng. Nếu sau này cần cập nhật thật, phải có người chịu trách nhiệm cùng điều kiện kiểm cụ thể. Không nên đợi mô hình mắc lỗi rồi mới phát hiện tài khoản thử đã có toàn bộ quyền quản trị.

Chỉ dẫn hệ thống: không cất bí mật trong lời nhắc

OWASP nhấn mạnh chỉ dẫn hệ thống không nên được coi là kho bí mật hay cơ chế bảo mật. Thông tin xác thực, phân quyền và giới hạn quan trọng cần được bảo vệ ở các hệ thống độc lập với mô hình AI. Vì vậy chỉ yêu cầu đừng tiết lộ lời nhắc không giải quyết việc dữ liệu nhạy cảm đã bị đặt vào nơi mô hình có thể tiếp cận [10].

Ví dụ giả định, đội muốn trợ lý AI biết cách kết nối một dịch vụ nội bộ. Một lựa chọn tác giả gợi ý là để thông tin xác thực ở phần quản lý riêng, chỉ cung cấp một công cụ có chức năng hẹp được kiểm quyền. Khi kiểm bản thử, cần xem cả lỗi hiển thị và nhật ký, vì thông tin có thể xuất hiện ở những nơi ngoài cửa sổ chat. Không dùng bí mật thật trong bộ câu hỏi trình diễn.

Kho vector: nội dung gần nghĩa vẫn phải đúng quyền

Mục vector và embedding của OWASP mô tả nguy cơ truy cập trái phép, rò giữa các nhóm dùng chung và dữ liệu nguồn bị thao túng. Hướng dẫn đề xuất kiểm nguồn cùng khả năng tách dữ liệu theo phạm vi được đọc. Trong một trợ lý AI có truy xuất, tìm đoạn phù hợp về chủ đề là yêu cầu khác với xác nhận người hỏi được phép xem đoạn đó [11].

Ví dụ giả định, hai nhóm kinh doanh có tài liệu riêng, nhưng hệ thống AI nhập tất cả vào cùng kho rồi chỉ ẩn tên nhóm ở giao diện. Biện pháp khởi đầu là thử bằng tài khoản của từng nhóm và câu hỏi không được đọc, kiểm cả đoạn gửi vào ngữ cảnh. Không nên dùng duy nhất tài khoản quản trị để chứng minh phân quyền đã đúng với mọi nhân viên.

Thông tin sai: kiểm phát biểu thay vì giọng tự tin

OWASP nêu thông tin sai lệch có thể xuất phát từ bịa nội dung, dữ liệu thiếu hoặc thiên lệch, và trở nên nghiêm trọng hơn khi người dùng tin quá mức. Nguồn đề xuất kiểm chéo, giám sát của con người và truyền đạt giới hạn. Bài không đưa một tỷ lệ ảo giác chung vì chưa có phép đo phù hợp với mọi tác vụ và mô hình AI được doanh nghiệp sử dụng [12].

Ví dụ giả định, AI soạn nội dung năng lực và tự thêm chứng chỉ cho công ty. Việc khởi đầu là yêu cầu nguồn cho phát biểu kiểm chứng được và giao người biết hồ sơ duyệt trước công bố. Đánh dấu là nội dung có hỗ trợ AI không biến một thành tích thiếu căn cứ thành thông tin được phép khẳng định. Phần suy luận cần được phân biệt với dữ kiện đã xác minh.

Tiêu thụ không giới hạn: đặt điểm dừng từ trước

OWASP mô tả tiêu thụ tài nguyên không được kiểm soát có thể làm giảm khả năng phục vụ hoặc tăng chi phí của ứng dụng mô hình ngôn ngữ. Nguồn đề xuất giới hạn đầu vào, số yêu cầu, thời gian và tài nguyên. Biện pháp này cần được cấu hình ở ứng dụng hoặc dịch vụ liên quan; chỉ yêu cầu AI đừng dùng quá nhiều không thay được giới hạn thực thi [13].

Ví dụ giả định, một tác vụ AI gặp lỗi rồi tự gọi lại liên tục mà không có người nhận cảnh báo. Việc khởi đầu do bài đề xuất là có số lần thử tối đa, thời gian dừng và người kiểm khi đạt giới hạn. Nên diễn tập trong phạm vi nhỏ được phép. Không đo khả năng chịu tải bằng cách gửi hàng loạt yêu cầu tới một hệ thống thật khi chưa có kế hoạch và ủy quyền phù hợp.

Theo quy mô: chọn phần kiểm trước mà không bỏ phần còn lại

Với hộ kinh doanh hoặc nhóm nhỏ, bài đề xuất bắt đầu ở dữ liệu đưa vào AI và nội dung gửi khách. Chọn một người quản lý danh sách công cụ được phép, một nguồn thông tin bán hàng và một đường báo lỗi. Chi phí khởi đầu thường là công tổ chức, nhưng không nên gọi miễn phí vì vẫn tiêu tốn thời gian và có thể cần hỗ trợ chuyên môn khi việc chạm dữ liệu hoặc quyền quan trọng.

Với doanh nghiệp nhỏ và vừa, nên lập danh sách các luồng AI đang dùng, kể cả tiện ích trình duyệt và kết nối thử. Tác giả đề xuất xếp ưu tiên theo hậu quả khó khôi phục, dữ liệu nhạy cảm và phạm vi người nhận. Mỗi luồng cần biết chủ nghiệp vụ cùng người thu hồi quyền. Mua một công cụ bảo mật không tự giải quyết việc không ai biết đơn vị đang dùng những kết nối nào.

Với tập đoàn và tổ chức nhiều đơn vị, cần phối hợp nhóm dữ liệu, vận hành, mua sắm và nghiệp vụ. Một cấu hình AI trung tâm không chứng minh mọi đơn vị dùng cùng mục đích hoặc cùng nguồn. Hướng dẫn của NCSC đặt an toàn trong vòng đời từ thiết kế tới phát triển, triển khai và vận hành. Bài tham khảo cách chia vòng đời đó, không nhận đã kiểm toàn bộ hướng dẫn chi tiết cho một hệ thống [14].

Góc nhìn AI: từ chatbot sang tác tử cần thêm điều kiện gì?

Chatbot chỉ tạo câu trả lời để người đọc cân nhắc có phạm vi hậu quả khác tác tử được phép dùng công cụ. Khi một kết luận AI được chuyển thành dữ liệu cho hành động, đội phải kiểm cả đối tượng, quyền và điều kiện nghiệp vụ. Bài đề xuất lập danh sách từng hành động được phép, thay vì cấp một nhóm quyền chung rồi để mô hình tự quyết việc nào nằm trong mục đích sử dụng.

Ví dụ giả định, tác tử AI soạn thư nhắc lịch có thể cần tên và thời điểm; quyền gửi thật còn cần kiểm người nhận và người cho phép gửi. Nếu được nối tiếp sang sửa hợp đồng, phạm vi tăng thêm đáng kể. Một kết quả thử soạn văn bản không phải bằng chứng đã kiểm được hành động sửa dữ liệu. Cần thiết kế thao tác xem trước đủ cụ thể để người duyệt hiểu điều gì sắp xảy ra.

OWASP xem giới hạn chức năng, quyền và tự chủ là những điểm riêng khi giảm hành động quá mức. Đội triển khai có thể dùng sự phân biệt đó để hỏi vì sao một công cụ AI cần quyền đang xin. Không nên suy rằng nhật ký đầy đủ cho phép cấp quyền không cần thiết: nhật ký giúp tìm lại việc đã xảy ra, nhưng không tự đảo được một thông tin đã gửi ra ngoài [9].

Bài đề xuất tăng phạm vi theo bằng chứng: đọc nguồn đã được phép, soạn nháp có kiểm, rồi mới cân nhắc hành động hẹp có điều kiện. Mỗi bước cần có cách dừng cùng đầu mối tiếp nhận ngoại lệ, theo phương án tác giả soạn, không phải trình tự bắt buộc cho mọi công cụ. Nếu rủi ro đã được kiểm theo cách khác phù hợp, vẫn cần lưu căn cứ để người phụ trách đánh giá.

Với tác vụ nhiều bước, cần xem lại phần việc hoàn thành cùng phần chưa chắc. Một tác tử AI không nên tự báo thành công chỉ vì đã gọi công cụ mà chưa kiểm kết quả. Tác giả đề xuất người vận hành xác định bằng chứng hoàn tất từ trước, gồm nơi đọc trạng thái và điều kiện chuyển xử lý tay. Nhờ đó câu trả lời tự tin cuối phiên không thay thế nội dung thật trong hệ thống đích.

Việt Nam: tham khảo khung đạo đức và đọc nghĩa vụ đúng phạm vi

Văn bản số 05/2026/TT-BKHCN, ban hành ngày 10/03/2026, có nội dung về an toàn, giám sát con người và bảo vệ dữ liệu trong Khung đạo đức AI. Cần phân biệt nhóm ứng dụng cho dịch vụ công, quản lý nhà nước với các nhóm chỉ được khuyến khích áp dụng. Doanh nghiệp tại Việt Nam có thể tham khảo cách đặt câu hỏi nhưng không tự gọi việc đọc khung là đã tuân thủ mọi nghĩa vụ [15].

Luật số 134/2025/QH15 đặt ra các trách nhiệm liên quan đến minh bạch khi cung cấp và vận hành hệ thống AI. Tại Việt Nam, cần xem vai trò, mục đích và điều khoản thực sự áp dụng trước quyết định. Danh sách rủi ro OWASP không tự xác định mức rủi ro pháp lý theo luật trong nước. Bài không kết luận nghĩa vụ hay cách xử lý cho một trường hợp cụ thể, không nêu mức phạt chưa đối chiếu [16].

Các bước ưu tiên kiểm và bằng chứng bàn giao

Để giảm rủi ro AI tạo sinh, bài đề xuất một buổi rà soát theo luồng công việc. Nhóm ghi việc đang làm, dữ liệu, quyền, hậu quả và người chịu trách nhiệm, rồi chọn điều kiện cần xử lý trước. Một bảng có đủ tên rủi ro nhưng không có người sửa sẽ ít giúp vận hành. Không cần chờ có điểm số hoàn hảo để thu hồi một quyền rõ ràng không dùng đến.

• Bước 1: ghi từng công cụ và kết nối AI được dùng trong công việc, kèm người sở hữu.
• Bước 2: vẽ luồng dữ liệu vào, kết quả ra và quyền thay đổi hệ thống mà công cụ đang có.
• Bước 3: đối chiếu mười nhóm rủi ro, chọn tình huống giả định có hậu quả đáng quan tâm.
• Bước 4: thử biện pháp trong môi trường được phép, lưu bằng chứng và phần chưa kiểm được.
• Bước 5: chỉ định đầu mối quản lý phiên bản, tiếp nhận lỗi và quyết định dừng hoặc thu hồi quyền.

Hỏi đáp về rủi ro AI tạo sinh

OWASP Top 10 LLM có phải danh sách mọi rủi ro không? Không. Đó là cách phân nhóm những vấn đề đáng quan tâm ở ứng dụng mô hình ngôn ngữ, cần đọc cùng bối cảnh hệ thống. Không thấy một tên trong danh sách không chứng minh vấn đề đó không quan trọng. Bài dùng danh sách để tổ chức câu hỏi, còn quyết định ưu tiên phải xét hậu quả và bằng chứng của luồng thực tế.

Có thể chỉ yêu cầu AI không làm lộ dữ liệu không? Câu nhắc có thể giúp mô tả mục tiêu nhưng chưa thay việc kiểm dữ liệu được gửi và quyền được cấp. Bài đề xuất hạn chế nguồn, quyền cùng thông tin đầu vào theo nhu cầu, rồi thử bằng các tài khoản có phạm vi khác nhau. Cần kiểm nơi dữ liệu đi qua, bao gồm phần kết nối và nhật ký.

Dùng tài khoản công ty có hết rủi ro không? Tên tài khoản không xác định mọi điều kiện sử dụng. Cần xem hợp đồng, thiết lập dữ liệu, quyền kết nối và việc nhân viên thực sự làm với AI. Bài không đánh giá hay khuyên mua một gói dịch vụ cụ thể. Người phụ trách nên đọc cấu hình đang chạy cùng phạm vi dữ liệu được cho phép trong quy định nội bộ.

Shadow AI có nghĩa là gì trong bài này? Bài dùng để chỉ việc dùng công cụ hoặc kết nối AI trong công việc ngoài danh mục và cách quản lý mà tổ chức đã biết, chấp thuận. Đây là mô tả vận hành, không phải thuật ngữ pháp lý thống nhất. Không đưa một tỷ lệ chung khi chưa đọc đủ phương pháp và mẫu số của nguồn gốc để đối chiếu.

Doanh nghiệp nhỏ nên xử lý rủi ro nào đầu tiên? Tác giả đề xuất xem dữ liệu nhạy cảm, hành động khó khôi phục và nội dung có thể tạo cam kết với khách. Thứ tự cụ thể phụ thuộc công việc và quyền đang có. Có thể bắt đầu bằng thu hồi kết nối không dùng và giao đầu mối kiểm, nhưng cần hỗ trợ phù hợp nếu vấn đề vượt năng lực đội nội bộ.

Nguồn và phương pháp

Bài có hỗ trợ AI, biên tập ngày 24/10/2026, không phải bản dịch. Đã đọc các trang chi tiết OWASP được dùng và phần được ghi của nguồn khác, không nhận kiểm toàn bộ mọi khung. Ví dụ, biện pháp khởi đầu và trình tự là đề xuất chưa kiểm chứng thực địa. KPMG, IBM bán dịch vụ liên quan; bài không nhận tài trợ. Nội dung chỉ là thông tin chung, không phải tư vấn pháp lý hoặc đánh giá an toàn riêng.