Bảo mật AI trong doanh nghiệp: khi mô hình trở thành bề mặt tấn công mới

Trong báo cáo Cost of a Data Breach công bố năm 2026, IBM ghi nhận chi phí trung bình cho bảo mật AI, cụ thể là một sự cố rò rỉ dữ liệu đã chạm mốc 5 triệu USD, tăng khoảng 12% so với khảo sát của năm trước đó. Điều đáng chú ý hơn con số tuyệt đối nằm ở nguyên nhân. Tỷ lệ sự cố có liên quan tới shadow AI, tức việc nhân viên tự ý sử dụng công cụ AI nằm ngoài tầm kiểm soát của tổ chức, đã tăng hơn gấp đôi sau một năm và chiếm tới 43% tổng số vụ được ghi nhận. Hơn hai phần ba doanh nghiệp tham gia khảo sát thừa nhận họ chưa thiết lập bất kỳ quy trình quản trị nào để giới hạn tình trạng đó.

Với những tổ chức đang đưa AI vào các quy trình cốt lõi như chấm điểm tín dụng, định phí bảo hiểm hay phát hiện gian lận giao dịch, các con số này nói lên một thực tế: mô hình AI đã trở thành một loại tài sản cần được bảo vệ theo cách riêng, thay vì tiếp tục được xếp chung vào danh mục ứng dụng công nghệ thông tin thông thường.

Bảo mật AI là gì? Khác gì với an toàn AI

Hình 1. Ba lớp khái niệm trong quản trị rủi ro AI

Bảo mật AI, hay AI security, là tập hợp các biện pháp, quy trình và công cụ được thiết kế để bảo vệ toàn bộ hệ thống AI khỏi tấn công, lạm dụng và rò rỉ dữ liệu. Phạm vi bảo vệ trải rộng từ dữ liệu huấn luyện, bản thân mô hình, pipeline MLOps, API suy luận cho tới hạ tầng tính toán và cả cách con người trong tổ chức sử dụng công cụ AI hàng ngày.

Khái niệm này thường bị nhầm với hai khái niệm lân cận. An toàn AI, tức AI safety, hướng tới việc ngăn hệ thống gây ra hệ quả có hại ngay cả khi không có ai tấn công, chẳng hạn mô hình tự sinh nội dung độc hại hoặc tác nhân tự động hành động vượt ngoài phạm vi được giao. Đạo đức AI, hay responsible AI, lại quan tâm tới tính công bằng, khả năng giải thích và việc tôn trọng quyền riêng tư của người dùng. Ba lớp khái niệm này bổ trợ cho nhau, song chỉ có lớp đầu tiên trả lời được câu hỏi mà một giám đốc an ninh thông tin quan tâm nhất: hệ thống của chúng ta có thể bị tấn công theo cách nào và chúng ta chặn được tới đâu.

Cũng cần phân biệt bảo mật AI với việc dùng AI để phục vụ an ninh mạng. Vế thứ hai nói về công cụ hỗ trợ đội ngũ SOC rút ngắn thời gian phát hiện và phản ứng sự cố. Vế thứ nhất nói về việc chính công cụ đó cần được bảo vệ. Trong thực tế triển khai, doanh nghiệp thường phải làm cả hai cùng lúc.

Vì sao chủ đề này trở nên cấp thiết tại Việt Nam

Áp lực đầu tiên đến từ pháp lý. Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 được Quốc hội thông qua ngày 26/6/2025 và có hiệu lực từ ngày 01/01/2026, cùng với Nghị định 356/2025/NĐ-CP ban hành ngày 31/12/2025 hướng dẫn thi hành. Bộ văn bản này xác lập quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa và yêu cầu xóa dữ liệu của chủ thể dữ liệu, đồng thời nghiêm cấm hành vi mua bán dữ liệu cá nhân. Với một mô hình học máy được huấn luyện trên hồ sơ khách hàng, các quyền này không còn là vấn đề của phòng pháp chế mà trở thành ràng buộc kỹ thuật đối với cả pipeline dữ liệu.

Song song đó, Luật Công nghiệp công nghệ số 2025 đưa trí tuệ nhân tạo, tài sản số và bảo vệ quyền riêng tư vào cùng một khung quản lý, đánh dấu việc Việt Nam là quốc gia đầu tiên ban hành một đạo luật riêng cho lĩnh vực công nghiệp công nghệ số.

Áp lực thứ hai đến từ đặc thù kỹ thuật. Khi doanh nghiệp phụ thuộc vào mô hình nền tảng của bên thứ ba, thư viện mã nguồn mở và bộ dữ liệu công khai, chuỗi cung ứng AI trở nên dài và khó kiểm soát hơn nhiều so với một ứng dụng nghiệp vụ tự phát triển. Mỗi mắt xích trong chuỗi đó đều là một điểm mà kẻ tấn công có thể chen vào. Việc bảo mật AI vì thế trở nên tối quan trọng.

Bốn nhóm rủi ro mà lãnh đạo công nghệ cần ưu tiên

Hình 2. Bốn nhóm rủi ro tấn công vào hệ thống AI

Tháng 3/2025, NIST công bố báo cáo AI 100-2e2025 liên quan đến bảo mật AI với tiêu đề “Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations”, do nhóm tác giả Apostol Vassilev, Alina Oprea và cộng sự thực hiện. Tài liệu này mở rộng phần tổng quan tài liệu lên hơn 400 nguồn tham khảo và phân loại tấn công theo năm chiều, cụ thể là loại hệ thống AI bị nhắm tới, giai đoạn trong vòng đời học máy, mục tiêu của kẻ tấn công, năng lực truy cập và mức độ hiểu biết của họ về quá trình huấn luyện. Từ khung phân loại đó, có thể rút gọn thành bốn nhóm rủi ro liên quan bảo mật AI để trao đổi với ban lãnh đạo.

Nhóm thứ nhất là tấn công trong giai đoạn huấn luyện. Kẻ tấn công chèn hoặc chỉnh sửa một phần dữ liệu huấn luyện để làm sai lệch mô hình, hoặc can thiệp trực tiếp vào tham số và bản cập nhật mô hình trong các kịch bản như federated learning và fine-tuning. Hệ quả có thể là suy giảm độ chính xác trên diện rộng, hoặc tinh vi hơn là một cửa hậu chỉ kích hoạt với những mẫu dữ liệu nhất định.

Nhóm thứ hai là tấn công trong giai đoạn suy luận. Với mô hình dự báo truyền thống, đó là các adversarial input được chỉnh sửa rất nhỏ nhưng khiến mô hình dự đoán sai nghiêm trọng. Báo cáo của NIST dẫn lại những trường hợp thực tế như xe tự hành bị đánh lừa để lấn sang làn ngược chiều và biển báo dừng bị nhận diện nhầm thành biển giới hạn tốc độ. Với AI tạo sinh, nhóm này mở rộng sang prompt injection trực tiếp và gián tiếp, trong đó chỉ dẫn độc hại được gài sẵn trong website, email hoặc tài liệu mà tác nhân AI sẽ đọc.

Nhóm thứ ba là rủi ro về quyền riêng tư. Thông qua truy vấn lặp lại vào API, kẻ tấn công có thể xác định một bản ghi cụ thể có nằm trong tập huấn luyện hay không, gọi là membership inference, hoặc suy ngược các thuộc tính nhạy cảm của dữ liệu gốc thông qua model inversion. Với AI tạo sinh, nội dung prompt và output cũng có thể chứa thông tin định danh cá nhân hoặc bí mật kinh doanh.

Nhóm thứ tư là tấn công vào mô hình và hạ tầng. Ở đây có model extraction, tức sao chép hành vi mô hình để tạo bản sao gần giống và làm suy yếu lợi thế cạnh tranh, cùng với các tấn công chuỗi cung ứng nhắm vào pipeline CI/CD, image container và mô hình pre-trained từ bên thứ ba.

Các chuẩn tham chiếu nên dùng làm điểm neo

Ngoài NIST AI 100-2e2025, doanh nghiệp có thể tham chiếu NIST AI Risk Management Framework để gắn thực hành kỹ thuật với ngôn ngữ quản trị rủi ro mà ban điều hành đã quen thuộc. Ở phía châu Âu, ENISA đã xuất bản báo cáo “Artificial Intelligence Cybersecurity Challenges” mô tả chi tiết bức tranh mối đe dọa theo toàn bộ vòng đời AI, sau đó tiếp nối bằng các nghiên cứu về chuẩn hóa an ninh mạng cho AI. Ở tầng kỹ thuật, MITRE ATLAS đóng vai trò tương tự MITRE ATT&CK nhưng dành riêng cho học máy đối kháng, với danh mục kỹ thuật tấn công và biện pháp phòng thủ có thể ánh xạ trực tiếp vào công việc của đội bảo mật.

Bắt đầu từ đâu

Hình 3. Khung kiểm soát bảo mật AI theo vòng đời

Bước đi thực tế nhất không phải mua thêm công cụ mà là lập danh mục tài sản AI. Doanh nghiệp cần biết mô hình nào đang chạy trong môi trường sản xuất, mô hình đó xử lý loại dữ liệu nào, ai chịu trách nhiệm và mức độ ảnh hưởng ra sao nếu kết quả bị sai lệch. Không có danh mục này thì mọi khoản đầu tư tiếp theo đều là phỏng đoán.

Trên nền danh mục đó, ba lớp kiểm soát cần được triển khai theo vòng đời. Ở giai đoạn thiết kế và huấn luyện, trọng tâm là quản trị nguồn gốc dữ liệu, phân quyền theo vai trò, mã hóa cả dữ liệu lẫn model artifact và kiểm thử đối kháng trước khi phát hành. Ở giai đoạn vận hành, trọng tâm chuyển sang bảo vệ API bằng xác thực mạnh, giới hạn tần suất truy vấn, kiểm duyệt đầu vào và đầu ra, cùng với việc đưa log liên quan tới AI vào hệ thống SIEM hiện hữu thay vì để chúng nằm riêng một chỗ. Ở lớp quản trị, doanh nghiệp cần một chính sách sử dụng AI nội bộ nêu rõ mô hình nào được phép dùng, dữ liệu nào được phép đưa vào và quy trình phê duyệt đối với các tác nhân tự động.

Con số 43% sự cố liên quan tới shadow AI trong báo cáo của IBM cho thấy phần lớn rủi ro hiện nay bắt nguồn từ khoảng trống quản trị chứ không phải từ kỹ thuật tấn công tinh vi. Đó cũng là phần dễ khắc phục nhất nếu tổ chức bắt tay vào làm sớm.

Nguồn tham khảo

1. IBM và Ponemon Institute, Cost of a Data Breach Report 2025, https://www.ibm.com/think/x-force/2025-cost-of-a-data-breach-navigating-ai
2. Cybersecurity Dive, “As data breaches grow costlier, ungoverned AI creates new risks”, https://www.cybersecuritydive.com/news/data-breach-costs-ai-governance-ibm/826463/
3. Vassilev, A., Oprea, A., Fordyce, A., Anderson, H., Davies, X. và Hamin, M. (2025), Adversarial Machine Learning: A Taxonomy and Terminology of Attacks and Mitigations, NIST AI 100-2e2025, https://doi.org/10.6028/NIST.AI.100-2e2025
4. NIST CSRC, “NIST AI 100-2: Adversarial Machine Learning Taxonomy”, https://csrc.nist.gov/news/2025/nist-ai-100-2-adversarial-machine-learning-taxonom
5. OECD.AI, tóm tắt NIST AI 100-2e2025, https://oecd.ai/en/dashboards/policy-initiatives/adversarial-machine-learning-a-taxonomy-and-terminology-of-attacks-and-mitigations-nist-ai-100-2e2025
6. Báo Chính phủ, “Luật Bảo vệ dữ liệu cá nhân chính thức có hiệu lực từ ngày 1/1/2026”, https://baochinhphu.vn/luat-bao-ve-du-lieu-ca-nhan-chinh-thuc-co-hieu-luc-tu-ngay-mai-1-1-2026-102251231155609721.htm
7. Báo Tuổi Trẻ, “Từ 1-1-2026, nhiều luật mới điều chỉnh AI, bảo vệ dữ liệu và môi trường đầu tư”, https://tuoitre.vn/tu-1-1-2026-nhieu-luat-moi-dieu-chinh-ai-bao-ve-du-lieu-va-moi-truong-dau-tu-20251231165500577.htm
8. LuatVietnam, Nghị định 356/2025/NĐ-CP quy định chi tiết Luật Bảo vệ dữ liệu cá nhân, https://luatvietnam.vn/thong-tin/nghi-dinh-356-2025-nd-cp-quy-dinh-chi-tiet-luat-bao-ve-du-lieu-ca-nhan-422896-d1.html