Trước khi cài một tiện ích trình duyệt hay ứng dụng AI, hãy đọc nó xin những quyền gì và tự hỏi quyền đó có tương xứng với việc nó làm không. Tiện ích tóm tắt trang web cần đọc nội dung trang; nhưng quyền "đọc và thay đổi dữ liệu trên mọi trang web" cũng bao gồm trang ngân hàng, hộp thư và phần mềm nội bộ của công ty bạn. Ứng dụng tạo ảnh hoạt hình cần ảnh bạn chọn, không cần cả thư viện ảnh, danh bạ và vị trí.
Làn sóng công cụ AI kéo theo rất nhiều tiện ích và ứng dụng nhỏ của nhà phát triển ít tên tuổi, một số dựng sơ sài, một số thu thập dữ liệu quá mức cần thiết. Bài này giúp bạn đọc màn hình cấp quyền, nhận ra dấu hiệu đáng ngờ, cài đặt ứng dụng điện thoại theo hướng tối thiểu và rà soát những gì đã cài.
Vì sao tiện ích AI hay xin quyền rất rộng
Phần lớn tiện ích AI cho trình duyệt làm những việc như tóm tắt trang đang xem, viết lại đoạn văn bạn bôi đen, trả lời email ngay trong hộp thư, dịch trang. Để làm được, chúng cần đọc nội dung trang. Cách đơn giản nhất với nhà phát triển là xin quyền trên mọi trang web, thay vì chỉ xin quyền khi bạn bấm vào biểu tượng của tiện ích.
Với quyền đó, về mặt kỹ thuật tiện ích có thể đọc mọi thứ hiển thị trong trình duyệt: số dư trên trang ngân hàng, nội dung thư, bảng tính trực tuyến, ô nhập mật khẩu trước khi bạn bấm đăng nhập. Một tiện ích tử tế chỉ gửi nội dung đi khi bạn yêu cầu; một tiện ích cẩu thả hay có ý đồ có thể gửi nhiều hơn thế. Từ phía người dùng, bạn không nhìn thấy sự khác nhau này.
Vì vậy, quyền rộng không tự động có nghĩa là độc hại, nhưng nó có nghĩa là bạn đang đặt rất nhiều niềm tin vào nhà phát triển. Câu hỏi thực dụng là: nhà phát triển này có đáng tin tới mức đó không, và có cách nào đạt cùng mục đích với quyền hẹp hơn không, chẳng hạn chỉ bật tiện ích khi bấm vào, hoặc dùng trang web chính thức của chatbot thay cho tiện ích.
Đọc màn hình cấp quyền
Tên quyền khác nhau giữa trình duyệt và hệ điều hành, nhưng thường rơi vào các nhóm dưới đây:
| Quyền | Cho phép làm gì | Hợp lý khi | Cờ đỏ khi |
|---|---|---|---|
| Đọc và thay đổi dữ liệu trên mọi trang | Đọc, sửa nội dung mọi trang bạn mở | Tiện ích cần làm việc trên mọi trang và đến từ nhà phát triển tin cậy | Tiện ích chỉ làm một việc nhỏ, nhà phát triển lạ |
| Đọc lịch sử duyệt web | Biết bạn đã vào những trang nào | Hiếm khi cần cho tiện ích AI | Gần như luôn đáng ngờ với tiện ích AI |
| Đọc và sửa nội dung bộ nhớ tạm | Đọc những gì bạn sao chép | Tiện ích chèn văn bản vào ô soạn thảo | Bộ nhớ tạm hay chứa mật khẩu, mã OTP bạn vừa sao chép |
| Truy cập ảnh, toàn bộ thư viện | Xem mọi ảnh trên điện thoại | Ứng dụng quản lý ảnh | Ứng dụng chỉ cần một ảnh để chỉnh |
| Danh bạ | Đọc tên, số điện thoại người quen | Ứng dụng liên lạc | Ứng dụng tạo ảnh, viết văn bản |
| Micro, vị trí | Thu âm, biết bạn ở đâu | Khi đang dùng tính năng giọng nói, bản đồ | Xin chạy nền mọi lúc |
Nguyên tắc tối thiểu: chỉ cấp quyền nhỏ nhất đủ cho việc bạn cần, và ưu tiên lựa chọn "chỉ khi đang dùng" hoặc "chỉ ảnh đã chọn" khi hệ điều hành có.
Dấu hiệu một tiện ích hay ứng dụng AI đáng ngờ
Không có dấu hiệu nào đủ để kết luận một mình, nhưng càng nhiều dấu hiệu cùng xuất hiện, càng nên tránh:
- Tên và biểu tượng na ná sản phẩm của hãng AI lớn, nhưng nhà phát triển là một tên khác. Hãy kiểm tên nhà phát triển, không chỉ tên tiện ích.
- Không có trang web, không có địa chỉ liên hệ, chính sách quyền riêng tư trống hoặc chép nguyên từ nơi khác.
- Yêu cầu bạn đăng nhập tài khoản chatbot hoặc dán khoá API của bạn vào tiện ích, trong khi bạn không hiểu khoá đó được lưu ở đâu.
- Hứa dùng miễn phí không giới hạn những mô hình mà chính hãng thu phí, không giải thích lấy chi phí từ đâu.
- Đánh giá năm sao ồ ạt trong thời gian ngắn, câu chữ giống nhau, hoặc đánh giá gần đây phàn nàn về quảng cáo lạ, chuyển hướng trang.
- Xin quyền vượt quá chức năng, như đã nêu ở bảng trên.
- Tải từ đường dẫn trong quảng cáo hay tin nhắn thay vì từ cửa hàng tiện ích, kho ứng dụng chính thức.
Ứng dụng giả mạo nhằm lừa tiền là chủ đề riêng ở mục lừa đảo dùng AI; ở đây trọng tâm là những công cụ có thể không lừa ai, nhưng lấy nhiều dữ liệu hơn mức bạn muốn cho.
Tiện ích tốt hôm nay có thể đổi chủ ngày mai
Một rủi ro ít người biết: tiện ích trình duyệt có thể được bán lại. Khi một tiện ích có lượng người dùng lớn, chủ mới có thể đẩy bản cập nhật thêm mã theo dõi, chèn quảng cáo hay thu thập dữ liệu, và trình duyệt tự cập nhật cho mọi người dùng mà thường không hỏi lại. Bạn đã cấp quyền rộng cho chủ cũ, giờ chủ mới thừa hưởng nguyên quyền đó.
Bạn không ngăn được chuyện mua bán, nhưng giảm được thiệt hại. Thứ nhất, cài ít tiện ích, chỉ giữ những cái thực sự dùng hằng tuần. Thứ hai, để ý khi trình duyệt báo tiện ích xin thêm quyền mới hoặc bị vô hiệu hoá vì yêu cầu quyền mới; đó là lúc nên đọc lại thay vì bấm đồng ý cho nhanh. Thứ ba, nếu tiện ích bỗng có hành vi lạ như mở tab quảng cáo, đổi trang tìm kiếm mặc định, gỡ ngay.
Với máy tính dùng cho công việc, nhiều công ty chặn cài tiện ích tự do hoặc chỉ cho phép danh sách đã duyệt. Đó không phải sự phiền phức vô lý: một tiện ích có quyền đọc mọi trang trên máy nhân viên kế toán đồng nghĩa với quyền đọc phần mềm ngân hàng doanh nghiệp.
Cài ứng dụng AI trên điện thoại theo hướng tối thiểu
Áp dụng cho ứng dụng chatbot, ứng dụng tạo ảnh, chỉnh ảnh, ghi chú bằng AI:
- Tải từ kho ứng dụng chính thức, kiểm tên nhà phát triển và trang chính sách quyền riêng tư trước khi bấm cài.
- Ở lần mở đầu tiên, từ chối mọi quyền chưa cần. Ứng dụng sẽ hỏi lại khi bạn dùng tới tính năng thật sự cần quyền đó.
- Với quyền ảnh, chọn "chỉ ảnh đã chọn" hoặc tương đương nếu hệ điều hành có, thay vì cho toàn bộ thư viện.
- Với micro và vị trí, chọn "chỉ khi đang dùng ứng dụng".
- Từ chối danh bạ, trừ khi ứng dụng là công cụ liên lạc.
- Tắt thông báo quảng cáo, kiểm phần cài đặt quyền riêng tư bên trong ứng dụng, tắt tuỳ chọn dùng dữ liệu để huấn luyện nếu có.
- Đăng ký bằng email phụ nếu ứng dụng chỉ dùng thử, không đăng nhập bằng tài khoản chính có liên kết nhiều dịch vụ.
Ví dụ giả định: một ứng dụng tạo ảnh chân dung phong cách hoạt hình yêu cầu tải lên mười tấm ảnh khuôn mặt. Trước khi làm, hãy đọc ứng dụng nói gì về việc giữ ảnh khuôn mặt bao lâu và có dùng để huấn luyện không. Ảnh khuôn mặt rõ nét, nhiều góc là nguyên liệu tốt cho ảnh giả mạo nếu rơi vào tay kẻ xấu.
Rà soát những gì đã cài: mười lăm phút mỗi quý
Phần lớn rủi ro đến từ những tiện ích, ứng dụng cài từ lâu rồi quên. Đặt lịch rà mỗi quý:
- Mở trang quản lý tiện ích của từng trình duyệt bạn dùng, kể cả trình duyệt phụ.
- Gỡ mọi tiện ích bạn không dùng trong tháng qua.
- Với tiện ích giữ lại, chuyển quyền truy cập trang sang chế độ "khi nhấp vào" hoặc "chỉ trên trang cụ thể" nếu trình duyệt hỗ trợ.
- Trên điện thoại, vào phần quyền riêng tư của cài đặt, xem lần lượt danh sách ứng dụng có quyền ảnh, micro, vị trí, danh bạ; thu hồi những gì không hợp lý.
- Gỡ ứng dụng AI đã thử một lần rồi bỏ. Trước khi gỡ, vào cài đặt tài khoản trong ứng dụng để xoá dữ liệu đã tải lên nếu có chức năng đó.
- Kiểm các tài khoản lớn của bạn xem ứng dụng bên thứ ba nào đang được cấp quyền truy cập, thu hồi những cái lạ.
Tách riêng một hồ sơ trình duyệt cho việc nhạy cảm
Cách đơn giản và hiệu quả nhất để vừa dùng tiện ích AI vừa giữ an toàn là tách hồ sơ trình duyệt. Hầu hết trình duyệt phổ biến cho phép tạo nhiều hồ sơ, mỗi hồ sơ có tiện ích, cookie, mật khẩu đã lưu và lịch sử riêng. Một hồ sơ dùng cho đọc tin, học, làm việc với AI, có cài các tiện ích bạn thích. Một hồ sơ khác, không cài tiện ích nào, chỉ dùng cho ngân hàng, cổng thuế, hộp thư chính, phần mềm quản lý của công ty.
Khi tách như vậy, dù một tiện ích trong hồ sơ thứ nhất có cẩu thả hay đổi chủ, nó cũng không thấy được trang ngân hàng bạn mở ở hồ sơ thứ hai. Bạn cũng tránh được tình huống tiện ích tóm tắt vô tình đọc số dư hay nội dung thư mật chỉ vì bạn bấm nhầm nút. Đặt màu hoặc ảnh đại diện khác nhau cho hai hồ sơ để không nhầm.
Trên điện thoại, nguyên lý tương tự: dùng ứng dụng chính thức của ngân hàng thay vì đăng nhập qua trình duyệt có cài tiện ích, và không cài bàn phím AI của nhà phát triển lạ. Bàn phím là nơi bạn gõ mọi thứ, kể cả mật khẩu; một bàn phím có quyền truy cập mạng đầy đủ về nguyên tắc có thể gửi đi những gì bạn gõ.
Câu hỏi thường gặp
Tiện ích của chính hãng AI có an toàn hơn tiện ích của bên thứ ba không?
Thường đáng tin hơn về nguồn gốc và có chính sách dữ liệu rõ ràng hơn, nhưng vẫn có thể xin quyền rộng. Bạn vẫn nên đọc quyền, đọc chính sách và cân nhắc có thật sự cần tiện ích không, hay dùng trang web của chatbot là đủ.
Dùng trình duyệt ẩn danh có giới hạn được tiện ích không?
Ở nhiều trình duyệt, tiện ích mặc định không chạy trong cửa sổ ẩn danh trừ khi bạn cho phép. Vì vậy mở trang ngân hàng hay trang nội bộ trong cửa sổ ẩn danh, hoặc dùng một hồ sơ trình duyệt riêng không cài tiện ích, là cách tách bạch đơn giản.
Tiện ích xin dán khoá API của mình để dùng thì có nên không?
Chỉ nên khi nhà phát triển đáng tin, giải thích rõ khoá được lưu ở đâu, và bạn đặt hạn mức chi tiêu cho khoá đó. Ai có khoá có thể dùng dịch vụ và để bạn trả tiền. Tạo một khoá riêng cho tiện ích để thu hồi dễ khi cần.
Đã cài một tiện ích đáng ngờ, gỡ đi là đủ chưa?
Gỡ là bước đầu. Sau đó đổi mật khẩu các tài khoản quan trọng bạn đã đăng nhập trên trình duyệt đó trong thời gian cài, đăng xuất khỏi mọi phiên, kiểm trang tìm kiếm mặc định và trang chủ trình duyệt. Nếu có dấu hiệu mất tiền hay mất tài khoản, xem hướng dẫn ở mục xử lý sự cố.
Ứng dụng AI hỏi quyền theo dõi hoạt động trên ứng dụng khác thì sao?
Quyền đó dùng chủ yếu cho quảng cáo nhắm mục tiêu, không cần cho chức năng AI. Từ chối không làm ứng dụng mất tính năng chính. Đây là một trong những quyền dễ từ chối nhất.