Việc AI truy cập 2.672 hồ sơ thử nghiệm lâm sàng bị hạn chế khiến cơ quan quản lý dược phẩm Hàn Quốc bị giám sát

Hồ sơ hạn chế truy cập nhưng vẫn mở được mà không cần đăng nhập

Bộ An toàn Thực phẩm và Dược phẩm Hàn Quốc đang chịu sự giám sát sau khi nghị sĩ Lee Sohee cho biết văn phòng của bà đã tải xuống 2.672 tài liệu thử nghiệm lâm sàng từ hệ thống thông tin dược phẩm của cơ quan này bằng một dịch vụ trí tuệ nhân tạo tạo sinh công khai, mà không cần đăng nhập, nhập mật khẩu hay xâm nhập máy chủ.

Số liệu được trình bày tại cuộc kiểm toán ngày 13 tháng 10 năm 2026 của Ủy ban Y tế và Phúc lợi Quốc hội cho thấy hai rủi ro riêng biệt. Trong số tài liệu thu được, 839 tài liệu chứa thông tin doanh nghiệp được xếp loại mật, còn 2.208 tài liệu có số điện thoại di động của nhân viên phụ trách hồ sơ. Các thông tin khác gồm tên, địa chỉ email, kết quả đánh giá và nhóm đối tượng tham gia được đưa vào phân tích thử nghiệm lâm sàng.

Bà Lee, thành viên Ủy ban thuộc Đảng Quyền lực Nhân dân, cho biết tài liệu do các công ty dược phẩm, bệnh viện, trường đại học và cơ sở nghiên cứu nộp. Thông tin dường như được che giấu trên trang web công khai, nhưng vẫn có thể truy cập trong các tệp dữ liệu gốc.

Cơ quan quản lý cho biết đang điều tra nguyên nhân và xác minh liệu thông tin bị lộ có phải là dữ liệu kết quả thử nghiệm lâm sàng thực tế hay không. Ủy viên Oh Yoo-kyung nói với cuộc kiểm toán của Quốc hội rằng quyền truy cập đã bị chặn vào sáng sớm hôm đó và cơ quan đang rà soát toàn bộ hệ thống.

Vấn đề cốt lõi là khoảng cách giữa quyết định bảo mật và việc thực thi quyết định đó bằng biện pháp kỹ thuật. Văn phòng bà Lee cho biết cơ quan này nhiều lần từ chối yêu cầu của Quốc hội về hồ sơ thử nghiệm lâm sàng và cấp phép, trong đó có năm yêu cầu của văn phòng bà trong năm đó. Những tài liệu không thể tiếp cận qua các kênh giám sát chính thức lại có thể được lấy từ bên ngoài.

Phương thức truy cập được báo cáo chưa được công bố. Thông tin chỉ được tiết lộ sau khi cơ quan quản lý được thông báo và khẳng định đã ngăn chặn các lượt tải tương tự, nên cuộc điều tra tập trung vào phạm vi lộ lọt và cách ứng phó, thay vì hướng dẫn cách tái diễn sự việc.

Số lượng tài liệu cho thấy điều gì

2.672 tài liệu là số tài liệu văn phòng bà Lee thu thập được, không phải con số đã được xác nhận về tổng số tệp có thể truy cập. Theo các thông tin tại cuộc kiểm toán, chưa có danh mục đầy đủ về hệ thống bị ảnh hưởng hay tổng số lượt tải của những người dùng khác được công bố.

2.208 tài liệu có số điện thoại di động chiếm khoảng 82,6% bộ tài liệu. 839 tài liệu chứa thông tin doanh nghiệp mật chiếm khoảng 31,4%. Hai nhóm này có thể trùng lặp, nên cộng lại sẽ không cho ra số lượng chính xác các tài liệu riêng biệt bị ảnh hưởng.

Đây là số lượng tài liệu, không phải số người hay số công ty. Thông tin liên hệ của một người có thể xuất hiện trong nhiều tệp, và một tài liệu có thể chứa thông tin về nhiều người. Vì vậy, chưa rõ có bao nhiêu cá nhân bị lộ thông tin.

Theo văn phòng bà Lee, nội dung tài liệu không chỉ gồm thông tin liên hệ. Tài liệu được cho là có các kết quả về hiệu quả của thuốc và phản ứng bất lợi nghiêm trọng. Các tệp được kiểm tra cũng có kết quả đánh giá và thông tin về quần thể phân tích. Quần thể phân tích là nhóm người tham gia thử nghiệm có dữ liệu được đưa vào một phép tính cụ thể, chẳng hạn đánh giá hiệu quả hoặc độ an toàn.

Dù sự việc xảy ra sau các báo cáo riêng về thông tin bệnh nhân và nhân viên bị lộ tại một số bệnh viện đại học quốc gia, hiện chưa có cơ sở xác lập mối liên hệ kỹ thuật giữa những vụ việc đó với vụ này. Cũng chưa có bằng chứng cho thấy sự việc liên quan đến hồ sơ định danh của người tham gia thử nghiệm. Thông tin cá nhân được nêu cụ thể ở đây là của nhân viên và người liên hệ trong các hồ sơ nộp lên.

AI đã làm gì và những điều vẫn chưa rõ

Tại cuộc kiểm toán, bà Lee xác định ChatGPT là dịch vụ được sử dụng để lấy tệp từ nền tảng thông tin dược phẩm có tên Uiyakpum Safety Korea. Một số mô tả khác chỉ đề cập chung đến AI tạo sinh. Theo lời bà, việc tải xuống không cần xác thực hay xâm nhập hệ thống.

AI tạo sinh có thể giúp người dùng tương tác với các dịch vụ thông tin, nhưng sự tham gia của AI không chứng minh hệ thống đã vượt qua một biện pháp bảo mật. Thông tin được nêu cho thấy các tệp vẫn có thể truy xuất dù trang web xếp chúng vào diện hạn chế. Che thông tin khỏi phần hiển thị trên trang khác với việc ngăn truy cập vào tài liệu chứa thông tin đó.

Chưa xác định được chính xác lỗi kỹ thuật. Cơ quan quản lý chưa công khai liệu vấn đề nằm ở quyền truy cập tài liệu, cách phân phối tệp hay một bộ phận khác của dịch vụ. Vì vậy, còn quá sớm để khẳng định một lỗi phần mềm cụ thể là nguyên nhân đã được xác nhận.

Cảnh báo của bà Lee rằng các đối thủ nước ngoài hoặc nhóm tin tặc có thể đã lấy được tài liệu nói về khả năng thông tin bị phát tán rộng hơn. Đây không phải bằng chứng cho thấy một trong hai nhóm thực sự đã tải tài liệu. Muốn xác định ai đã truy cập các tệp cần kiểm tra nhật ký hệ thống.

Mốc thời gian thông báo và chặn truy cập còn bất đồng

Cuộc trao đổi tại Quốc hội cho thấy có khoảng cách giữa thời điểm bà Lee nói văn phòng đã thông báo cho cơ quan và thời điểm ủy viên Oh nói bà biết về sự việc. Trình tự được nêu tại cuộc kiểm toán ngày 13 tháng 10 như sau:

• Ngày 11 tháng 10 năm 2026: Bà Lee cho biết văn phòng đã báo cho cơ quan quản lý qua yêu cầu cung cấp thông tin nhưng không nhận được phản hồi thực chất.
• Ngày 12 tháng 10: Bà Oh nói cơ quan biết về vụ lộ dữ liệu. Bà cho biết đã có cuộc họp tối hôm đó và chỉ đạo liên hệ sớm với văn phòng nghị sĩ.
• Sáng sớm ngày 13 tháng 10: Bà Oh nói quyền truy cập đã bị chặn.
• Ngày 13 tháng 10: Bà Lee trình bày số lượng tài liệu tại cuộc kiểm toán của Quốc hội và yêu cầu báo cáo bằng văn bản về cách xử lý.

Các bản tin đăng ngày 13 tháng 10 cho biết thông tin được công bố sau khi cơ quan quản lý nói đã ngăn chặn các lượt tải tương tự. Trình tự này phù hợp với tuyên bố của cơ quan rằng biện pháp chặn đã được triển khai trước khi thông tin được công bố, nhưng không tự nó xác nhận biện pháp đó đã xử lý triệt để đến đâu.

Thời điểm chính xác của việc thông báo, phát hiện và chặn truy cập là những chi tiết bà Lee yêu cầu cơ quan cung cấp bằng văn bản trước khi cuộc kiểm toán kết thúc. Các mốc này rất quan trọng để xác định quyền truy cập còn tiếp diễn bao lâu sau khi cơ quan nhận cảnh báo, và cảnh báo có được chuyển kịp thời đến những người phụ trách hệ thống hay không.

Quyền tiếp cận của Quốc hội và ngoại lệ vì lợi ích công

Sự cố an ninh cũng làm căng thẳng thêm tranh cãi về việc cơ quan quản lý áp dụng các quy định bảo mật. Bà Lee cho biết trong thập niên trước đó, các tài liệu thử nghiệm lâm sàng, cấp phép và thẩm định đã bị từ chối cung cấp cho Quốc hội; trong năm 2026, một trong những lý do bác bỏ năm yêu cầu của văn phòng bà là sự phản đối của các công ty.

Một thống kê cụ thể hơn được trình bày tại cuộc kiểm toán liên quan đến danh sách 96 trường hợp công bố trong vòng mười năm. Theo bà Lee, 95 trường hợp vẫn được giữ kín. Trường hợp duy nhất được công bố là theo đề nghị của công ty, chứ không phải do cơ quan quản lý tự quyết định rằng việc công bố là cần thiết vì lợi ích công.

Sự phân biệt này giúp lý giải sự khác nhau giữa những tuyên bố khái quát rằng chưa có hồ sơ nào được công bố và con số cho thấy có một trường hợp được cung cấp. Số liệu tại cuộc kiểm toán ghi nhận một trường hợp công bố trong danh sách được nêu, nhưng không có trường hợp nào được công bố dựa trên quyết định vì lợi ích công. Số liệu này không xác định tình trạng của mọi hồ sơ do cơ quan nắm giữ.

Bà Lee cho rằng Luật Dược phẩm cho phép công bố thông tin khi lợi ích công đòi hỏi, nhưng ngoại lệ này trên thực tế chưa được áp dụng. Tranh cãi liên quan đến hồ sơ về phản ứng bất lợi của thuốc và sự cố y tế, cũng như tài liệu cấp phép và thẩm định vắc-xin, phương pháp điều trị mà các nghị sĩ yêu cầu.

Khi được hỏi liệu có tài liệu nội bộ ghi lại việc cơ quan cân nhắc giữa tính bảo mật thương mại và lợi ích công trong quyết định công bố đang tranh cãi hay không, bà Oh trả lời rằng không có tài liệu như vậy. Câu trả lời khiến căn cứ của quyết định khó được xem xét, dù tự nó không chứng minh rằng cơ quan đã không cân nhắc vấn đề.

Vì sao vụ Genencell được đưa vào tranh luận

Các yêu cầu liên quan đến Genencell là trọng tâm trong chất vấn của bà Lee đối với cơ quan quản lý. Theo thông tin được đưa ra, nhà sáng lập công ty đã bị tuyên án bốn năm tù ở cấp phúc thẩm sau khi bị kết tội nộp thông tin sai lệch hoặc thiếu chi tiết quan trọng để xin phê duyệt thử nghiệm lâm sàng một phương pháp điều trị COVID.

Bà Lee nhấn mạnh rằng bản án không kết luận việc cơ quan quản lý cấp phép là sai trái. Bà cho biết mục đích của mình là xem xét cơ quan đã thẩm định hồ sơ như thế nào, yêu cầu bổ sung những thông tin gì và căn cứ nào hỗ trợ cho quyết định đó.

Theo bà Lee, cơ quan quản lý đã từ chối cung cấp tài liệu thẩm định Genencell với lý do bảo mật thương mại. Sự tương phản với các tài liệu có thể truy cập từ bên ngoài càng khiến quyết định từ chối gây tranh cãi: cơ quan bảo vệ các hạn chế đối với việc công bố chính thức, trong khi phải đối mặt với bằng chứng cho thấy các biện pháp kỹ thuật không thực thi đáng tin cậy nghĩa vụ bảo mật.

Tuy nhiên, bản án phúc thẩm và cuộc điều tra vụ lộ dữ liệu đề cập đến những vấn đề khác nhau. Bản án liên quan đến hành vi gắn với hồ sơ xin thử nghiệm. Cuộc điều tra an ninh liên quan đến việc truy cập tài liệu trong hệ thống của cơ quan quản lý. Không vụ việc nào quyết định câu trả lời cho vụ còn lại, và mối liên hệ chính xác giữa bộ tài liệu đã tải với hồ sơ Genencell được yêu cầu chưa được nêu rõ.

Cách ứng phó của cơ quan bị xem xét

Bà Lee cũng chất vấn cách cơ quan quản lý liên lạc sau khi được báo cáo về sự cố. Bà nói các quan chức nhiều lần liên hệ với một nhà báo để hỏi về phương thức truy cập và đề nghị hoãn đăng tin, viện dẫn nguy cơ gây tổn hại đến lợi ích quốc gia, trong khi không kịp thời xác minh sự việc với văn phòng bà.

Cơ quan đưa ra lời giải thích khác về mục đích của việc này. Bà Oh nói đề nghị đó nhằm ngăn thông tin tiếp tục bị lộ bằng cách bảo đảm các biện pháp chặn đã được triển khai trước khi vấn đề truy cập được công khai. Bà thừa nhận lẽ ra cần liên hệ sớm với văn phòng nghị sĩ và xin lỗi vì đã giải thích chưa đầy đủ.

Bà Oh cho biết cuộc họp tối hôm trước đã có chỉ đạo đến văn phòng ngay, kể cả vào đêm muộn, và bà hiểu rằng cán bộ liên lạc với Quốc hội đã đến đó vài lần. Trình tự chính xác của các lần liên hệ vẫn nằm trong nội dung báo cáo bằng văn bản mà bà Lee yêu cầu.

Một cuộc trao đổi khác xoay quanh việc xử lý số tài liệu đã tải xuống. Khi bà Lee hỏi liệu các tệp có thể được công khai hay không, bà Oh trả lời rằng có vẻ cần tiêu hủy chúng. Bà Lee nói rõ mình không đề xuất công bố tài liệu, mà muốn hỏi vì sao thông tin bị coi là nhạy cảm đến mức đó lại không khiến cơ quan nhanh chóng liên hệ với văn phòng đang nắm giữ chúng.

Cuộc trao đổi cho thấy cần xử lý hai trách nhiệm: hạn chế việc phát tán thêm thông tin cá nhân và thông tin mật, đồng thời bảo toàn bằng chứng cần thiết để xác định chuyện gì đã xảy ra. Bà Lee cũng yêu cầu lập tức lưu giữ nhật ký hệ thống, vốn có thể ghi nhận hoạt động truy cập mà không cần phát tán rộng hơn chính các tệp tài liệu.

Cuộc điều tra cần làm rõ những gì

Bà Lee kêu gọi rà soát toàn diện nhật ký truy cập máy chủ để xác định ai đã tải tài liệu, việc lộ dữ liệu bắt đầu khi nào và vì sao cơ quan không phát hiện. Bà cũng yêu cầu điều tra xem các hệ thống khác có tồn tại điểm yếu tương tự hay không.

Nhật ký truy cập có thể giúp xác định thời điểm các tệp được yêu cầu và quy mô truy xuất. Tuy nhiên, chúng không nhất thiết xác định được tất cả những người đứng sau yêu cầu, nhất là khi không cần đăng nhập. Báo cáo đáng tin cậy cần phân biệt yêu cầu được ghi nhận, lượt tải xuống hoàn tất và danh tính mà các nhà điều tra thực sự có thể xác minh.

Cơ quan quản lý vẫn cần xác nhận bản chất của các hồ sơ bị lộ, tìm nguyên nhân và xác định đầy đủ phạm vi thông tin bị ảnh hưởng. Tại cuộc kiểm toán, chưa có thông tin xác nhận về thời điểm bắt đầu lộ dữ liệu, số người nhận bên ngoài hay việc thông tin đã bị sử dụng sai mục đích sau đó.

Hạn chót trước mắt mà bà Lee đưa ra là cuối cuộc kiểm toán của Quốc hội, để cơ quan nộp báo cáo bằng văn bản về việc chặn truy cập, thời điểm đầu tiên phát hiện vấn đề, thời điểm thực sự chặn truy cập và các cuộc liên hệ với báo chí. Các tường thuật hiện có không nêu ngày dự kiến công bố kết quả điều tra kỹ thuật hoàn chỉnh.

Vụ việc đặt ra hai phép thử trách nhiệm riêng biệt. Hồ sơ mật cần được bảo vệ bằng các biện pháp kiểm soát truy cập hiệu quả, còn quyết định từ chối cung cấp tài liệu cho hoạt động giám sát chính đáng cần có căn cứ giải trình được. Ngăn chặn phương thức tải xuống được báo cáo sẽ xử lý con đường lộ lọt trước mắt; nhưng việc đó không xác định được lỗ hổng đã tồn tại bao lâu, cũng không giải quyết tranh cãi về các quyết định công bố thông tin.

Điểm chính

• Bà Lee Sohee cho biết văn phòng của bà đã lấy 2.672 tài liệu thử nghiệm lâm sàng bằng ChatGPT mà không cần đăng nhập hay mật khẩu.
• Trong số đó, 839 tài liệu chứa thông tin doanh nghiệp mật và 2.208 tài liệu có số điện thoại di động của nhân viên. Hai nhóm có thể trùng lặp.
• Cơ quan quản lý cho biết đã chặn truy cập vào sáng sớm ngày 13 tháng 10 năm 2026 và đang điều tra nguyên nhân cũng như bản chất thông tin bị lộ.
• Bà Lee nói văn phòng đã thông báo cho cơ quan ngày 11 tháng 10; Ủy viên Oh Yoo-kyung cho biết cơ quan biết sự việc vào ngày 12 tháng 10.
• Danh sách công bố trong mười năm được viện dẫn tại cuộc kiểm toán gồm 96 trường hợp; 95 trường hợp được giữ kín và một trường hợp được công bố theo yêu cầu của công ty.
• Thời gian lộ dữ liệu, số người nhận bên ngoài và mọi hành vi sử dụng sai mục đích vẫn chưa được xác nhận. Bà Lee yêu cầu lưu giữ hồ sơ và rà soát toàn diện hoạt động truy cập.