Đầu độc dữ liệu (data poisoning) là việc cố ý đưa thông tin sai hoặc có cài cắm vào nguồn mà AI học hay tra cứu, để sau đó AI trả lời lệch theo ý người đầu độc. Với doanh nghiệp nhỏ, chỗ dễ bị đầu độc nhất không phải mô hình gốc của các hãng lớn, mà là kho tài liệu, câu hỏi thường gặp và dữ liệu phản hồi mà chính bạn nạp cho chatbot.
Bài này giải thích các tầng có thể bị đầu độc, tầng nào bạn kiểm soát được, và cách giữ cho nguồn kiến thức của chatbot công ty sạch. Nội dung theo nguyên lý, không đi vào kỹ thuật tấn công. Nếu bạn chỉ là người dùng chatbot thông thường, phần cuối bài nói cách nhận ra câu trả lời có thể đến từ nguồn đã bị cài.
Hiểu đầu độc dữ liệu qua cuốn sổ tay của quán ăn
Một quán ăn có cuốn sổ tay ghi công thức, tỉ lệ gia vị, nhà cung cấp. Đầu bếp mới vào học theo sổ. Nếu có người lén sửa một dòng, ví dụ đổi tỉ lệ muối, mọi món nấu theo sổ từ hôm đó đều mặn, và đầu bếp mới không có lý do gì để nghi ngờ vì họ làm đúng theo sổ. Người sửa không cần vào bếp, không cần đụng tay vào nồi; chỉ cần sửa nguồn mà người khác tin.
AI hoạt động tương tự. Mô hình học từ dữ liệu huấn luyện; chatbot doanh nghiệp tra cứu kho tài liệu được nạp; một số hệ thống còn học thêm từ phản hồi của người dùng. Ai thay đổi được những nguồn này thì thay đổi được câu trả lời, mà không cần xâm nhập vào phần mềm theo nghĩa thông thường.
Điểm khiến đầu độc dữ liệu đáng ngại là nó rất khó thấy. Hệ thống không báo lỗi, không có cảnh báo, câu trả lời vẫn trôi chảy. Chỉ có một số câu, về một số chủ đề, bị lệch theo hướng người đầu độc muốn. Nếu không ai đối chiếu, sai lệch có thể tồn tại rất lâu.
Các tầng có thể bị đầu độc và phần bạn kiểm soát
Không phải tầng nào doanh nghiệp nhỏ cũng tác động được. Bảng dưới giúp bạn biết nên dồn sức vào đâu.
| Tầng | Ai kiểm soát | Khả năng xảy ra với doanh nghiệp nhỏ | Bạn làm được gì |
|---|---|---|---|
| Dữ liệu huấn luyện mô hình gốc | Hãng phát triển mô hình | Thấp, và không do bạn quyết | Chọn nhà cung cấp có trách nhiệm, không coi mô hình là nguồn sự thật tuyệt đối |
| Dữ liệu tinh chỉnh riêng | Bạn hoặc đơn vị tích hợp | Trung bình nếu có tinh chỉnh | Kiểm nguồn dữ liệu đưa vào tinh chỉnh, lưu bản gốc |
| Kho tài liệu chatbot tra cứu | Bạn | Cao nhất | Phân quyền ai được thêm, sửa; duyệt trước khi nạp; lưu lịch sử thay đổi |
| Phản hồi, đánh giá của người dùng | Người dùng, cả người lạ | Cao nếu hệ thống tự học từ phản hồi | Không cho tự học không qua duyệt |
| Trang web mà AI tìm kiếm rồi trích | Người viết trang | Trung bình, tuỳ chủ đề | Ưu tiên nguồn chính thức, kiểm lại thông tin quan trọng |
Phần lớn sức lực nên dồn vào hàng thứ ba và thứ tư: kho tài liệu và cơ chế học từ phản hồi. Đó là chỗ bạn có quyền quyết định và cũng là chỗ dễ bị lợi dụng nhất.
Những con đường đầu độc gần với cửa hàng, văn phòng nhất
Tài liệu sai lọt vào kho kiến thức. Một nhân viên tải lên bản chính sách cũ, một tệp nhận từ đối tác có thông tin không đúng, hoặc một người có quyền cố ý sửa điều khoản bảo hành. Chatbot không phân biệt được tài liệu nào là bản chuẩn.
Đánh giá và bình luận giả. Nếu chatbot được nạp đánh giá của khách để trả lời câu hỏi về chất lượng sản phẩm, một loạt đánh giá giả có thể khiến nó khen hoặc chê sai.
Phản hồi giả để dạy chatbot. Một số hệ thống cho người dùng bấm câu trả lời này đúng, câu trả lời này sai, rồi dùng làm dữ liệu cải thiện. Người có ý đồ có thể lặp lại phản hồi giả nhiều lần để lái chatbot.
Thông tin mạo danh được cài lên mạng. Với chatbot có tìm kiếm trên mạng, kẻ xấu có thể đăng trang giả mạo cửa hàng với thông tin liên hệ, số tài khoản sai. Khi khách hỏi AI về cửa hàng, AI có thể trích trang giả.
Dữ liệu hết hạn không được gỡ. Không phải đầu độc cố ý, nhưng hậu quả giống: giá cũ, chương trình khuyến mãi đã kết thúc, chính sách đã đổi vẫn nằm trong kho và được chatbot trả lời như thật.
Giữ kho kiến thức của chatbot sạch
Các bước sau áp dụng cho chatbot trả lời khách lẫn trợ lý nội bộ đọc tài liệu công ty:
- Chỉ định người giữ kho. Một hoặc hai người được quyền thêm, sửa, xoá tài liệu trong kho kiến thức. Mọi người khác muốn thay đổi thì gửi đề xuất.
- Mỗi tài liệu có ngày hiệu lực và người chịu trách nhiệm. Ghi ngay trong tài liệu hoặc trong danh sách quản lý. Tài liệu quá hạn tự động được rà soát.
- Duyệt trước khi nạp. Tài liệu từ bên ngoài, nhất là do đối tác hay khách gửi, không nạp thẳng vào kho. Người giữ kho đọc và đối chiếu với bản chuẩn trước.
- Lưu lịch sử thay đổi. Biết ai sửa gì, khi nào, để khi phát hiện câu trả lời sai có thể lần lại nguồn và khôi phục bản đúng.
- Tắt tự học không qua duyệt. Nếu hệ thống có tính năng học từ hội thoại hay phản hồi, chuyển sang chế độ gom đề xuất để người duyệt, thay vì cập nhật tự động.
- Che dữ liệu nhạy cảm trước khi nạp. Kho kiến thức không cần thông tin cá nhân của khách hay bí mật kinh doanh; xoá chúng trước, vì kho càng sạch càng ít thứ để lộ hay bị lợi dụng.
Ví dụ giả định: chính sách bảo hành bị sửa
Một tiệm sửa điện lạnh dùng chatbot trả lời khách về giá dịch vụ và chính sách bảo hành. Kho kiến thức là một thư mục tài liệu chung mà cả năm thợ đều có quyền sửa, để ai cũng cập nhật được giá vật tư. Một thợ nghỉ việc trong không vui, trước khi đi sửa thời hạn bảo hành từ ba tháng thành mười hai tháng và thêm dòng cam kết đổi máy mới nếu sửa không được.
Chatbot trả lời khách đúng như tài liệu mới. Vài tuần sau, khách mang máy đến đòi quyền lợi theo những gì chatbot đã nói, kèm ảnh chụp hội thoại. Chủ tiệm mất nhiều thời gian giải thích, phải chịu một phần chi phí để giữ uy tín, và mất thêm thời gian truy xem ai sửa tài liệu khi nào vì thư mục không lưu lịch sử.
Nếu kho chỉ một người giữ, có lịch sử thay đổi, và tài khoản của thợ nghỉ việc được thu hồi ngay, sự việc hoặc không xảy ra, hoặc được phát hiện trong ngày. Không cần công nghệ phức tạp; chỉ cần đối xử với kho kiến thức của chatbot nghiêm túc như sổ sách tài chính.
Bộ câu hỏi chuẩn để kiểm chatbot mỗi tháng
Cách rẻ nhất để phát hiện kho kiến thức bị sửa sai là lập sẵn một bộ câu hỏi với đáp án đúng do chủ cửa hàng ký, rồi mỗi tháng hỏi lại chatbot và so sánh. Bộ câu hỏi nên chạm vào những chỗ kẻ xấu muốn sửa nhất: tiền, cam kết, liên hệ.
| Nhóm câu hỏi | Ví dụ câu hỏi | Vì sao cần kiểm |
|---|---|---|
| Thanh toán | Cửa hàng nhận chuyển khoản vào đâu, có đổi tài khoản không | Đổi số tài khoản là mục tiêu số một của kẻ gian |
| Cam kết với khách | Thời hạn bảo hành, điều kiện đổi trả, hoàn tiền | Cam kết bị nới ra sẽ thành nghĩa vụ khó từ chối |
| Liên hệ | Kênh liên hệ chính thức, địa chỉ cửa hàng | Thông tin liên hệ giả dẫn khách tới kẻ lừa đảo |
| Giá và khuyến mãi | Giá dịch vụ phổ biến, chương trình đang chạy | Giá sai gây tranh cãi, khuyến mãi hết hạn làm mất uy tín |
| Câu hỏi nhạy cảm | Chatbot có cho biết thông tin của khách khác không | Kiểm chatbot vẫn từ chối đúng cách sau mỗi lần cập nhật kho |
Ghi kết quả mỗi lần kiểm vào một bảng đơn giản: ngày, câu hỏi, câu trả lời khớp hay lệch. Khi có câu lệch, tra lịch sử thay đổi của tài liệu liên quan trước khi sửa, để biết lệch do vô tình hay do có người cố ý.
Dấu hiệu AI có thể đã học hoặc tra nhầm nguồn
Dù bạn là chủ chatbot hay chỉ là người dùng, những dấu hiệu sau đáng để kiểm:
- Chatbot đưa ra một thông tin chính sách, giá cả khác với điều bạn biết là đang áp dụng.
- Câu trả lời về một chủ đề hẹp bỗng nghiêng hẳn về một phía, ví dụ luôn khuyên dùng một nhà cung cấp, luôn chê một sản phẩm.
- AI đưa ra số tài khoản, số liên hệ, địa chỉ của một doanh nghiệp mà bạn không thấy trên kênh chính thức của doanh nghiệp đó.
- Nhiều khách cùng phản ánh chatbot nói một điều mà không ai trong công ty nhớ đã viết.
- Câu trả lời trích dẫn một tài liệu có tên lạ, không nằm trong danh sách tài liệu bạn quản lý.
Với người dùng thông thường, quy tắc an toàn là: mọi thông tin liên quan đến tiền, như số tài khoản nhận thanh toán, phải lấy từ kênh chính thức của bên nhận, không lấy từ câu trả lời của AI dù nó trích nguồn nghe có vẻ đáng tin.
Mô hình gốc của các hãng lớn: biết để không tin tuyệt đối
Các mô hình lớn học từ lượng dữ liệu khổng lồ, trong đó có nội dung từ internet mà không ai kiểm hết được. Giới nghiên cứu đã chỉ ra rằng về nguyên lý, chèn một lượng nhỏ dữ liệu có chủ đích vào nguồn huấn luyện có thể ảnh hưởng đến hành vi của mô hình ở một số chủ đề hẹp. Các hãng có quy trình lọc và kiểm tra, nhưng không ai tuyên bố được là đã loại bỏ hết.
Bạn không làm gì được với tầng này ngoài việc chọn dịch vụ có trách nhiệm và giữ thói quen đúng: AI là công cụ hỗ trợ, không phải nguồn sự thật. Với quyết định quan trọng, nhất là về tiền bạc, sức khoẻ, pháp lý, bảo mật, câu trả lời của AI là điểm khởi đầu để bạn đi kiểm, không phải điểm kết thúc. Thói quen này đồng thời bảo vệ bạn khỏi cả ảo giác lẫn đầu độc dữ liệu.
Câu hỏi thường gặp
Đầu độc dữ liệu khác gì với AI bịa thông tin?
AI bịa là lỗi tự nhiên của mô hình khi không chắc, không có ai cố ý. Đầu độc dữ liệu là có người cố ý đưa thông tin sai vào nguồn để AI lặp lại. Hậu quả có thể giống nhau, nhưng cách phòng khác nhau: đầu độc phải phòng bằng kiểm soát nguồn.
Chatbot của cửa hàng có tự học từ khách không?
Tuỳ hệ thống. Nhiều chatbot chỉ tra kho tài liệu bạn nạp và không tự học. Một số có tính năng cải thiện từ phản hồi hoặc tự thêm câu hỏi thường gặp. Hãy hỏi nhà cung cấp và tắt tính năng tự cập nhật không qua duyệt nếu có.
Có cần lo về đầu độc mô hình gốc của các hãng lớn không?
Không cần lo đến mức bỏ dùng, vì đây là việc các hãng phải gánh và bạn không tác động được. Điều cần làm là không coi câu trả lời của AI là nguồn sự thật cho thông tin quan trọng, và luôn kiểm bằng kênh chính thức.
Ai trong cửa hàng nên được quyền sửa kho kiến thức của chatbot?
Càng ít người càng tốt, thường là chủ cửa hàng và một người được giao. Nhân viên khác gửi đề xuất thay đổi. Khi nhân viên có quyền nghỉ việc, thu hồi quyền ngay trong ngày.
Làm sao phát hiện kho kiến thức đã bị sửa sai?
Dùng tính năng lịch sử phiên bản của nơi lưu tài liệu, định kỳ hỏi chatbot một bộ câu hỏi chuẩn và so với đáp án đúng, và chú ý khi khách phản ánh chatbot nói điều lạ. Ba cách này kết hợp giúp phát hiện sớm.