Trong các thông báo ra mắt trợ lý AI agent cá nhân, cả Meta lẫn OpenAI đều lấy quyền riêng tư làm điểm nhấn cốt lõi. Tuy nhiên, bài phân tích ngày 10/10 trên The Verge đã bày tỏ sự hoài nghi về khả năng hiện thực hóa các cam kết này ở Muse và Dots. Dù chưa đủ dữ liệu để đánh giá toàn bộ các sự cố kỹ thuật, điều này cho thấy niềm tin của người dùng đang là chiến trường chính.

Đi sâu vào hồ sơ kỹ thuật của hai công ty, vấn đề thực sự nằm ở các câu hỏi thiết thực: AI được cấp quyền truy cập và thao tác tới đâu, dữ liệu lưu chuyển theo tuyến đường nào, và cơ chế nào cho phép chặn lại những hành vi sai lệch? Lời quảng cáo về một môi trường máy tính biệt lập rõ ràng chưa đủ để giải đáp trọn vẹn các thách thức này.

Dữ liệu vẫn có thể rời hệ thống dù sử dụng máy tính riêng

Tài liệu từ Meta chỉ ra rằng mỗi người dùng Muse được cấp một máy chủ Linux riêng biệt trên điện toán đám mây. Nhằm bảo mật, môi trường vận hành agent được tách rời hoàn toàn khỏi các dịch vụ quan trọng khác, bao gồm cơ chế phê duyệt và nơi lưu trữ thông tin đăng nhập. Agent không được phép tiếp cận trực tiếp thông tin đăng nhập thực tế, các yêu cầu kết nối phải trải qua quá trình kiểm duyệt trước khi dữ liệu cần thiết được chèn vào ở ranh giới mạng.

Dù đây là giải pháp bảo vệ hữu hiệu, điều đó không bảo đảm rằng dữ liệu hoàn toàn gói gọn trong máy tính riêng. Theo Meta, một lượng dữ liệu nhất định vẫn phải gửi ra ngoài phục vụ việc xử lý của mô hình cũng như công tác giám sát vận hành.

Đáng chú ý, tài liệu đã phân biệt rõ phiên bản Muse Secure VM hiện hành với Muse Confidential VM, phiên bản đang thử nghiệm và dự kiến ra mắt theo lộ trình. Ở phiên bản hiện tại, việc ngăn nhân viên truy cập chỉ dựa trên các quy định vận hành chứ chưa thể chặn Meta can thiệp khi cần hỗ trợ, bảo vệ hay duy trì dịch vụ. Cam kết bảo mật triệt để bằng mã hóa chỉ áp dụng cho phiên bản tương lai và không phản ánh năng lực của bản hiện tại.

Phân tách ranh giới giữa quyền đọc dữ liệu và quyền thực thi hành động

Để kiểm soát thao tác tác vụ, cả Meta và OpenAI đều triển khai các cơ chế giám sát độc lập bên ngoài môi trường hoạt động của agent:

  • Sentinel từ Meta: Thành phần này độc lập với môi trường agent, chịu trách nhiệm xét duyệt, ngăn chặn hoặc yêu cầu xác nhận từ người dùng đối với các kết nối và truy vấn mạng. Quyền phê duyệt được quy định chặt chẽ theo phạm vi từng thao tác, thay vì cấp toàn quyền dựa trên một lời đồng ý chung trong hội thoại.

  • Auto-review từ OpenAI: Dots hoạt động tách biệt với hệ thống điều phối và các lớp an toàn. Hệ thống Auto-review riêng biệt sẽ kiểm tra các tác vụ có tính tác động như chỉnh sửa tệp hoặc gửi email. Agent không thể tự ý vô hiệu hóa các rào cản bắt buộc này.

Đối với tính năng nghiên cứu chủ động của Dots, hãng khẳng định tác vụ này chỉ áp dụng các công cụ chỉ đọc. Do đó, quá trình này hoàn toàn không can thiệp vào máy tính, trình duyệt, không sửa đổi nội dung ứng dụng hay phát tin nhắn; mọi thao tác kế tiếp đều phải tuân thủ quy trình kiểm soát tiêu chuẩn.

Dù đây mới chỉ là thông tin công bố từ nhà sản xuất và chưa qua các kiểm thử độc lập, chúng đặt ra vấn đề then chốt: các hạn chế an toàn được thực thi thực sự bằng phần mềm độc lập hay chỉ dừng lại ở vai trò là những câu lệnh nhắc nhở mô hình?

Khía cạnh huấn luyện mô hình trong bài toán bảo mật

Vấn đề sử dụng dữ liệu để huấn luyện mô hình đặt ra những thách thức riêng về quyền riêng tư đối với từng nhà cung cấp:

  • Chính sách của Meta: Dù cam kết không chia sẻ dữ liệu trong VM hay nội dung trò chuyện với hệ thống quảng cáo, Meta vẫn có thể sử dụng quá trình thực hiện nhiệm vụ và dữ liệu tương tác (đã loại bỏ thông tin định danh) để huấn luyện AI ngoại trừ khi người dùng chủ động tắt. Bên cạnh đó, các hành vi của agent trên các trang web bên ngoài vẫn tiềm ẩn khả năng tác động gián tiếp đến quảng cáo hiển thị.

  • Chính sách của OpenAI (Dots): Dữ liệu từ các tài khoản Enterprise, Business và Edu được miễn trừ mặc định khỏi việc huấn luyện. Ngược lại, đối với tài khoản cá nhân, khả năng tận dụng công việc và hội thoại để tối ưu mô hình sẽ phụ thuộc vào thiết lập của người dùng. Cần lưu ý rằng việc ngắt kết nối ứng dụng sẽ không tự động xóa thông tin agent đã tích lũy trong ngữ cảnh riêng, dù ngữ cảnh này có hỗ trợ cơ chế thiết lập lại.

Do đó, quyền riêng tư đối với AI agent không thể coi là một khái niệm đơn lẻ mà cần được phân tách thành nhiều khía cạnh độc lập:

  • Bảo vệ mật khẩu khỏi mô hình không thể đảm bảo rằng mô hình không tiếp cận nội dung email.

  • Cô lập môi trường thực thi không đồng nghĩa với việc chặn hoàn toàn khả năng truy cập từ nhà cung cấp.

  • Tùy chọn tắt tính năng huấn luyện không loại bỏ hoàn toàn nguy cơ rò rỉ hay gửi nhầm dữ liệu.

Khi các agent ngày càng được ủy thác nhiều quyền hạn hơn, yếu tố cốt lõi không nằm ở những tuyên bố cam kết từ các nhà phát triển. Thay vào đó, người dùng cần các bằng chứng kiểm thử thực tế, khả năng giám sát phạm vi quyền hạn và một quy trình rõ ràng để thu hồi dữ liệu lẫn quyền truy cập khi niềm tin vào hệ thống không còn.