Quản trị quyền truy cập mạng cho AI: khi nào nên cách ly mô hình

Thư ngỏ có 406 người ký đề nghị áp dụng cơ chế cô lập bảo đảm cao cho các mô hình AI có năng lực tấn công mạng, với air gap là lựa chọn mặc định trong giai đoạn đầu. Đề xuất này không yêu cầu mọi dịch vụ AI phải ngoại tuyến và cũng chưa phải nghĩa vụ pháp lý.

Với đội ngũ sản phẩm, câu hỏi thực tế là mô hình được gọi công cụ nào, dùng danh tính nào, đi tới mạng nào và đọc hoặc ghi dữ liệu ở đâu. Bốn lớp quyền đó quyết định mức độ thiệt hại khi mô hình trả lời sai hoặc bị nội dung bên ngoài tác động.

406 nhà khoa học đang đề xuất điều gì?

Thư ngỏ tháng 10/2026 của cộng đồng khoa học về AI và an ninh mạng đề nghị các tổ chức phát triển, triển khai và thử nghiệm mô hình AI có năng lực tấn công mạng dùng cơ chế cô lập bảo đảm cao, trước mắt ưu tiên air gap. Văn bản cũng kêu gọi lập một cơ quan quốc tế để xây dựng thực hành kiểm soát, theo dõi sự cố và từng bước công khai các lần cơ chế cô lập thất bại.

Cụm từ “AI có năng lực tấn công mạng” mô tả phạm vi của đề xuất, không phải nhãn dành cho mọi chatbot. Một dịch vụ hỏi đáp không có công cụ bên ngoài thường chỉ tác động qua nội dung trả về. Khi được nối với trình duyệt, máy chủ, hệ thống quản lý đám mây hoặc API ghi dữ liệu, cùng một mô hình sẽ đứng trước phạm vi hành động khác.

Thư ngỏ nêu hướng đi phòng ngừa, không đưa ra ngưỡng đo hoàn chỉnh để phân loại mô hình. Số người ký cho thấy quy mô ủng hộ tại thời điểm công bố, nhưng không chứng minh air gap hiệu quả hơn danh sách cho phép hoặc sandbox trong mọi môi trường.

Rủi ro nằm ở quyền hành động, không chỉ ở kết nối mạng

Rủi ro hình thành từ tổ hợp năng lực mô hình, công cụ, đường ra mạng, thông tin xác thực và phạm vi dữ liệu. Chỉ ghi nhận mô hình có được vào Internet hay không sẽ bỏ qua những gì nó làm được sau khi kết nối.

AI agent có thể lập kế hoạch theo nhiệm vụ, gọi công cụ rồi xử lý kết quả trả về. Prompt injection, dữ liệu độc hại hoặc lỗi suy luận sẽ nguy hiểm hơn khi agent giữ quyền vượt quá phần cần thiết. OWASP mô tả excessive agency là rủi ro do chức năng, quyền hoặc mức tự chủ của ứng dụng AI quá rộng, đồng thời khuyến nghị giới hạn quyền ở mức tối thiểu và yêu cầu con người duyệt các thao tác có tác động lớn.

Sandbox chỉ là một cơ chế giới hạn môi trường thực thi. Cần kiểm tra nó có chặn được kết nối trái phép, truy cập tệp và thao tác trên máy chủ hay không, đồng thời xem xét đường vòng qua tài khoản dịch vụ hoặc công cụ khác. Nếu chứng thực vẫn cho phép ghi cả cơ sở dữ liệu trong khi nhiệm vụ chỉ cần đọc, chặn một trình duyệt là chưa đủ.

Điểm cần truy là quy trình đã cấp quyền, không chỉ phiên bản mô hình. Đội ngũ nên biết ai phê duyệt công cụ, phạm vi đó được ghi ở đâu và khi yêu cầu thay đổi thì ai xem lại. Nhật ký thao tác giúp điều tra, nhưng không thu hồi được dữ liệu đã bị đọc hoặc thay đổi.

Ba mức kết nối cho ba nhóm nhiệm vụ

Quyền mạng thường được chia thành cô lập hoàn toàn, giới hạn điểm đến và truy cập Internet thông thường. Nhiệm vụ càng cần dữ liệu trực tiếp hoặc thao tác ngoài hệ thống, nhu cầu kết nối càng lớn; tài nguyên bị chạm tới và hậu quả khi sai càng rộng thì công cụ, danh tính và điểm đến càng phải thu hẹp.

• Cô lập hoàn toàn hoặc air gap: phù hợp với đánh giá năng lực rủi ro cao, thử nghiệm mô hình chưa công bố và dữ liệu nhạy cảm. Đường ra mạng bên ngoài bị cắt, nhưng nhập xuất dữ liệu, thiết bị lưu trữ, kênh quản trị và thao tác của nhân sự vẫn cần kiểm soát.
• Giới hạn điểm đến bằng danh sách cho phép: phù hợp khi nhiệm vụ chỉ cần một số nguồn công khai hoặc API đã duyệt. Quy tắc nên nêu rõ đường dẫn API, thao tác, tần suất, trường dữ liệu và danh tính thực thi; giới hạn tên miền đơn thuần chưa đủ.
• Truy cập Internet thông thường: dành cho nhiệm vụ tác động thấp đã được đánh giá, cần tìm kiếm rộng hoặc nhiều dịch vụ ngoài. Tính linh hoạt tăng cùng số nội dung, dịch vụ và đối tác kết nối, kéo theo tải giám sát và xử lý sự cố.

Chẳng hạn, công cụ tóm tắt tài liệu đã nhập không cần mạng ngoài. Trợ lý nghiên cứu thời gian thực cần đọc các trang đã chọn nhưng không nhất thiết được tải tệp thực thi hoặc ghi nội dung. Agent thử nghiệm an ninh mạng chỉ nên hoạt động trong mục tiêu được cấp phép và tách khỏi môi trường sản xuất.

Tại Việt Nam thì sao

Doanh nghiệp ở Việt Nam khi thiết kế quyền mạng cho AI cần đối chiếu ít nhất hai lớp: pháp luật về AI và quy định về dữ liệu, an ninh mạng áp dụng cho hoạt động cụ thể. Cổng Thông tin điện tử Chính phủ ghi Luật Trí tuệ nhân tạo số 134/2025/QH15 được ban hành ngày 10 tháng 12 năm 2025 và có hiệu lực từ ngày 1 tháng 3 năm 2026. Đây là mốc để bộ phận pháp chế và công nghệ kiểm tra bản luật hiện hành thay vì dùng các bài viết cũ nói về dự thảo.

Cục Công nghệ số và Trí tuệ nhân tạo liệt kê Luật Trí tuệ nhân tạo cùng Nghị định số 142/2026/NĐ-CP trong khung pháp lý AI. Khi một agent được phép đọc dữ liệu khách hàng, gọi API nội bộ hoặc tạo thay đổi trong hệ thống, doanh nghiệp nên tra văn bản hướng dẫn đang áp dụng, xác định cơ quan đầu mối và ghi lại căn cứ cho từng quyền. Chưa nên suy ra rằng một mô hình được phép truy cập mạng chỉ vì nó đã được đăng ký như một sản phẩm phần mềm.

Đối với dữ liệu cá nhân, Nghị định 13/2023/NĐ-CP về bảo vệ dữ liệu cá nhân được đăng trên Cổng Thông tin điện tử Chính phủ là một điểm tra cứu quan trọng. Trước khi nối AI với hệ thống chăm sóc khách hàng, nhân sự hoặc camera, đội ngũ cần lập danh mục dữ liệu, mục đích xử lý, bên được cấp quyền và đường dữ liệu đi qua. Nếu tác vụ chỉ cần trường dữ liệu đã giảm định danh, không nên cấp cả hồ sơ gốc.

Về chi phí, không có một mức giá chung cho air gap, gateway hoặc dịch vụ giám sát tại Việt Nam. Giá phụ thuộc vào hạ tầng đã có, số lượng máy chủ, yêu cầu lưu nhật ký, nhân sự trực và việc tách môi trường thử nghiệm. Doanh nghiệp nên lấy báo giá theo cùng một bảng yêu cầu: số điểm kết nối, loại API, thời gian lưu log, thời gian phản ứng sự cố và trách nhiệm hỗ trợ. Cách hỏi này giúp so sánh giải pháp mà không biến giá quảng cáo của một nhà cung cấp thành chuẩn thị trường.

Người phụ trách có thể bắt đầu từ website của Chính phủ, cổng văn bản pháp luật và trang của cơ quan chuyên trách AI để kiểm tra hiệu lực, văn bản hướng dẫn và đầu mối liên hệ. Với dự án xử lý dữ liệu cá nhân hoặc vận hành hạ tầng quan trọng, bộ phận pháp chế nên xác nhận thêm nghĩa vụ ngành trước khi mở quyền ghi. Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy một bảng giá chính thức của cơ quan chức năng Việt Nam cho các mô hình triển khai air gap, danh sách cho phép hoặc gateway AI; con số cụ thể cần lấy từ hồ sơ kỹ thuật và báo giá có phạm vi rõ ràng.

Bộ tiêu chí cấp quyền cho đội ngũ sản phẩm

Hãy bắt đầu từ nhiệm vụ, năng lực, tài nguyên và hậu quả khi sai, rồi cấp quyền thấp nhất đáp ứng được mục tiêu. Giới hạn phải được thực thi ở gateway API, hệ điều hành, danh tính đám mây hoặc lớp mạng; không nên chỉ yêu cầu mô hình tự tuân thủ hướng dẫn bằng ngôn ngữ.

1. Nhiệm vụ cần gì? Ghi rõ điểm đến, trường dữ liệu, thao tác đọc hoặc ghi, công cụ và điều kiện hoàn thành. Nếu không cần dữ liệu trực tiếp hay thao tác bên ngoài, mặc định không cấp công cụ mạng.
2. Mô hình thể hiện năng lực nào? Thử nghiệm với prompt đại diện, dữ liệu bên ngoài và tổ hợp công cụ thực tế; ghi lại phiên bản, cấu hình và quyền. Một lần thử không đại diện cho mọi phiên bản.
3. Tài nguyên nào bị chạm tới? Kiểm kê khóa API, danh tính, tệp, cơ sở dữ liệu, dịch vụ đám mây và mạng nội bộ. Danh sách cho phép phải đi cùng danh tính và phạm vi dữ liệu.
4. Sai lầm gây hậu quả gì? Tách riêng nguy cơ rò rỉ, sửa dữ liệu, gián đoạn dịch vụ và chạm nhầm mục tiêu thử nghiệm. Tác vụ có ảnh hưởng lớn cần phê duyệt trước, môi trường tách biệt và điều kiện dừng.

NIST AI Risk Management Framework đặt quản trị, lập bản đồ bối cảnh, đo lường và quản lý rủi ro ở trung tâm; khung này mang tính tự nguyện, không thay thế luật về quyền truy cập mạng. Đội ngũ tại Việt Nam có thể dùng các nhóm công việc đó để nối bảng quyền, hồ sơ phê duyệt, nhật ký và quy trình ứng phó với chương trình an ninh đang có.

Muốn biến khuyến nghị thành cơ chế quản trị cần gì?

Cần định nghĩa năng lực, lần cô lập thất bại, đánh giá độc lập và trách nhiệm báo cáo sự cố trước khi đặt ra chuẩn chung. Thư ngỏ đưa ra hướng ưu tiên nhưng chưa cung cấp bộ phân loại, quy trình thử nghiệm hoặc nghĩa vụ pháp lý dùng ngay cho mọi tổ chức.

Đánh giá phải bao phủ cả hệ thống gồm mô hình, prompt, công cụ, chứng thực, mạng và dữ liệu. Báo cáo “sandbox đạt” không đủ để tái lập kết luận nếu không nêu mô hình đe dọa, đường dữ liệu, điểm ra mạng và điều kiện thành công. Sự cố cũng nên phân biệt lần thử bất thành, cấp sai quyền, ảnh hưởng hệ thống ngoài và rò rỉ dữ liệu.

Nhóm phát triển có thể chọn một nhiệm vụ, lập danh sách điểm đến và thao tác cần thiết, rồi thử lần lượt ba mức kết nối. Mỗi ngoại lệ nên có người duyệt, thời hạn, lý do, biện pháp bù trừ và ngày xem lại. Nhật ký, cảnh báo và nút dừng khẩn cấp phải gắn với người trực cùng quyền thao tác thực tế.

• Thư ngỏ tập trung vào mô hình có năng lực tấn công mạng, đề xuất cô lập bảo đảm cao và ưu tiên air gap nhưng chưa tạo ra nghĩa vụ pháp lý.
• Đánh giá quyền AI phải đồng thời xem mô hình, công cụ, chứng thực, dữ liệu và đường ra mạng; danh sách tên miền không đồng nghĩa với quyền tối thiểu.
• Doanh nghiệp ở Việt Nam cần đối chiếu Luật Trí tuệ nhân tạo, văn bản hướng dẫn và quy định dữ liệu hiện hành trước khi mở quyền đọc hoặc ghi.

Câu hỏi thường gặp

406 nhà khoa học có yêu cầu mọi AI lập tức ngắt mạng không?

Không. Đề xuất nhắm tới mô hình có năng lực tấn công mạng trong giai đoạn phát triển, triển khai và thử nghiệm. Phạm vi đó không đồng nghĩa với mọi dịch vụ AI.

Air gap có xóa hết rủi ro an ninh mạng không?

Không. Cách ly cắt một nhóm đường kết nối bên ngoài, nhưng vẫn cần quản lý nhập xuất dữ liệu, thiết bị lưu trữ, mạng nội bộ, chứng thực, giao diện quản trị và quy trình của nhân sự.

Chỉ dùng danh sách mạng cho phép đã đủ chưa?

Thường chưa đủ. Cần giới hạn thêm thao tác API, danh tính thực thi, trường dữ liệu và chức năng công cụ. Một tên miền được cho phép vẫn có thể dẫn tới quyền ghi rộng hơn nhiệm vụ.

Nhật ký kết nối có thay thế được cách ly hoặc phê duyệt thủ công không?

Không. Nhật ký hỗ trợ kiểm tra và điều tra sau sự cố; nó cần đi cùng quyền tối thiểu, cách ly phòng ngừa, phê duyệt thao tác có ảnh hưởng lớn và cơ chế dừng ngay.