Trước khi đưa dữ liệu nhạy cảm vào chatbot, hãy kiểm tra nó thực sự đi tới đâu
Một báo cáo mới của Anthropic cho thấy vì sao tên model trên màn hình chưa đủ để bạn biết prompt được xử lý ở đâu. Đây là ba điều nên kiểm tra trước khi gửi mã nguồn, tài liệu công ty hoặc dữ liệu cá nhân qua dịch vụ AI trung gian.
Bạn mở một ứng dụng AI, chọn một model quen thuộc rồi dán vào đó đoạn mã nội bộ để nhờ tìm lỗi. Trên màn hình, mọi thứ trông như một cuộc trò chuyện trực tiếp giữa bạn và model đã chọn. Nhưng với một dịch vụ trung gian, câu hỏi quan trọng còn thiếu là: prompt thực sự được gửi qua những hệ thống nào trước khi câu trả lời quay lại?
Câu hỏi này đáng chú ý hơn sau báo cáo threat intelligence tháng 9/2026 của Anthropic. Công ty nói họ phát hiện một số chiến dịch distillation trái phép và các trường hợp truy vấn của người dùng bị chuyển tiếp sang Claude mà người dùng có thể không biết. Đây là phát hiện do Anthropic công bố về hệ thống của chính họ; nó không phải bằng chứng rằng mọi router, ứng dụng AI bên thứ ba hay mọi nhà cung cấp được nêu trong báo cáo đều xử lý dữ liệu người dùng theo cùng một cách.
Điều người dùng có thể làm ngay không phải là đoán dịch vụ nào đáng tin. Hãy kiểm tra đường đi của dữ liệu trước khi đưa dữ liệu nhạy cảm vào đó.
Anthropic đã công bố điều gì
Trong báo cáo ngày 10/9/2026, Anthropic mô tả các chiến dịch mà họ gọi là illicit distillation: các bên khác tìm cách thu thập đầu ra và năng lực của Claude ở quy mô lớn để phục vụ việc huấn luyện model. Báo cáo nói một số hoạt động sử dụng mạng proxy, tài khoản gian lận và dịch vụ trung gian.
Phần có hệ quả trực tiếp với người dùng là dữ liệu đi kèm các truy vấn. Anthropic nói họ quan sát thấy một số cuộc hội thoại chứa tên, email, dữ liệu công ty và thông tin nhạy cảm khác; trong một số trường hợp, truy vấn mà người dùng tưởng đang gửi tới một hệ thống khác được chuyển tiếp tới Claude. Báo cáo cũng nêu ví dụ đã che thông tin nhận dạng, gồm dữ liệu doanh nghiệp và thông tin xác thực truy cập.
Đây là cáo buộc và kết quả điều tra do Anthropic công bố. Bài này không coi chúng là phán quyết độc lập về hành vi pháp lý của các công ty được nhắc tới. Reuters đã đưa tin về những tranh luận và lo ngại an ninh liên quan đến việc sử dụng model Trung Quốc trong hệ thống của chính phủ Mỹ, nhưng điều đó cũng không chứng minh rằng một dịch vụ cụ thể bạn đang dùng tại Việt Nam đang chuyển tiếp hoặc lưu prompt của bạn.
Điểm có thể kiểm chứng ở cấp người dùng hẹp hơn nhiều: nếu bạn dùng một lớp trung gian, tên model trên giao diện không tự nó trả lời được ai nhận dữ liệu, dữ liệu được giữ bao lâu và có thể được dùng vào việc gì. Những câu trả lời đó phải đến từ tài liệu của dịch vụ bạn thực sự sử dụng và quy định của tổ chức bạn.
Ba thông tin cần tìm trước khi bấm gửi
Hãy tưởng tượng bạn chuẩn bị gửi đoạn sau vào một coding assistant bên thứ ba:
API thanh toán thỉnh thoảng trả 401. Đây là đoạn cấu hình của dự án nội bộ, URL kho riêng và token
[REDACTED]. Hãy tìm lỗi giúp tôi.
Đây là ví dụ do biên tập dựng, không phải prompt lấy từ sự cố trong báo cáo Anthropic. Trước khi gửi bản thật, dừng ở ba câu hỏi.
Ai thực sự xử lý prompt? Tìm trong tài liệu privacy, data processing, subprocessors hoặc phần mô tả model provider. Nếu dịch vụ cho phép đổi qua nhiều model, kiểm tra xem prompt được gửi thẳng tới provider, đi qua máy chủ của dịch vụ, hay có thể được định tuyến sang provider khác.
Dữ liệu được giữ và dùng thế nào? Tìm thời gian lưu, logging, quyền dùng dữ liệu để cải thiện dịch vụ hoặc huấn luyện, và lựa chọn opt-out nếu có. Đừng thay câu trả lời bằng giả định kiểu “gói trả phí chắc sẽ riêng tư hơn”. Chính sách của gói và tài khoản đang dùng mới là thứ cần đọc.
Tổ chức của bạn có cho phép đường đi đó không? Một dịch vụ có thể có chính sách rõ ràng nhưng vẫn không nằm trong danh sách công cụ được công ty, trường học hoặc khách hàng cho phép xử lý dữ liệu. Với mã nguồn riêng, thông tin khách hàng, tài liệu tài chính, hồ sơ nhân sự hoặc khóa truy cập, câu hỏi này có thể quan trọng hơn việc model nào trả lời hay hơn.
Nếu một trong ba câu trả lời còn mơ hồ, kết quả của lượt kiểm tra không phải là “dịch vụ này nguy hiểm”. Kết quả chính xác hơn là chưa đủ thông tin để gửi dữ liệu nhạy cảm qua đường này.
Quyết định có thể thay đổi chỉ vì một trường dữ liệu
Với prompt giả lập ở trên, bạn có thể vẫn dùng công cụ đó sau khi bỏ URL kho riêng, bí mật truy cập và các chi tiết nhận dạng dự án, rồi thay bằng một ví dụ tối thiểu có thể tái hiện lỗi. Nếu vấn đề chỉ xuất hiện với cấu hình nội bộ thật, lựa chọn hợp lý hơn có thể là chuyển sang công cụ AI đã được tổ chức phê duyệt hoặc môi trường có hợp đồng và kiểm soát dữ liệu phù hợp.
Sự khác biệt nằm ở dữ liệu bạn định gửi, không phải ở việc gắn nhãn toàn bộ một sản phẩm là an toàn hay không an toàn. Một câu hỏi công khai về cú pháp có mức rủi ro khác hẳn một file chứa dữ liệu khách hàng hoặc credential đang hoạt động.
Đây cũng là lý do việc “xóa token sau khi đã gửi” không phải chiến lược tốt. Nếu một bí mật thật đã được đưa vào kênh không phù hợp, hãy làm theo quy trình sự cố của tổ chức; với credential, thông thường cần coi nó là đã lộ và xử lý theo chính sách bảo mật nội bộ thay vì chỉ xóa tin nhắn trên giao diện.
Báo cáo này không cho phép kết luận điều gì
Báo cáo Anthropic không chứng minh rằng mọi dịch vụ AI trung gian bán hội thoại, rằng mọi model của một quốc gia có cùng chính sách dữ liệu, hay rằng người dùng Việt Nam trong một dịch vụ cụ thể đã bị ảnh hưởng. Nó cũng không thay thế điều khoản, tài liệu kỹ thuật và hợp đồng hiện hành của công cụ bạn đang dùng.
Vì vậy, tránh biến phát hiện mới thành một danh sách đen theo thương hiệu. Cách dùng thông tin hữu ích hơn là thêm một bước kiểm tra vào thời điểm rủi ro nhất: ngay trước khi dữ liệu không công khai rời khỏi máy hoặc hệ thống của bạn.
Nếu chỉ nhớ một việc, hãy nhớ việc này: trước khi dán mã nguồn riêng, dữ liệu khách hàng, tài liệu nội bộ hoặc credential vào một chatbot qua lớp trung gian, tìm bằng chứng cho ba câu hỏi — ai nhận prompt, họ giữ/dùng nó thế nào, và đường đi đó có được tổ chức của bạn cho phép hay không. Không tìm được câu trả lời là lý do để đổi kênh hoặc giảm dữ liệu, không phải lý do để đoán.
Nguồn
- Anthropic — Detecting and countering misuse of AI: September 2026 (10/9/2026): nguồn sơ cấp cho các phát hiện và cáo buộc của Anthropic về distillation, proxy/reseller, chuyển tiếp truy vấn và dữ liệu nhạy cảm quan sát trong các cuộc trao đổi. Các tuyên bố về hành vi của bên thứ ba trong bài được quy rõ là theo Anthropic.
- Reuters — 17/9/2026: nguồn báo chí độc lập cho bối cảnh tranh luận an ninh quanh việc triển khai model AI qua các hệ thống trung gian/chính phủ; không được dùng để chứng minh rằng một router cụ thể đang chuyển tiếp prompt của người đọc.