Đài Loan tham vấn về bảo mật tác nhân AI trước khi đưa vào hệ thống tài chính

30 ngày tham vấn về biện pháp bảo vệ cho AI có khả năng hành động

Ủy ban Giám sát Tài chính Đài Loan (FSC) ngày 13 tháng 10 năm 2026 mở đợt tham vấn công chúng kéo dài 30 ngày, đề xuất các biện pháp bảo mật cho những tác nhân trí tuệ nhân tạo có thể kết nối với, vận hành hoặc kích hoạt hệ thống nghiệp vụ của các tổ chức tài chính. Đề xuất đưa ra bốn cấp độ rủi ro, từ L1 đến L4, đồng thời yêu cầu các hành động có rủi ro cao nhất phải có cơ chế cấp quyền, rà soát hoặc ngăn chặn thực thi phù hợp.

Tài liệu mang tên Tài liệu tham vấn về việc sử dụng an toàn AI có khả năng hành động trong lĩnh vực tài chính được công bố trước khi công nghệ này được triển khai rộng rãi. Lin Yu-tai, giám đốc Vụ Quản lý thông tin của ủy ban, cho biết phần lớn tổ chức tài chính vẫn đang thử nghiệm hoặc tiến hành các đợt thử nhỏ trong môi trường được kiểm soát. Ông nói chưa nghe nói tổ chức nào đưa các tác nhân này vào hoạt động kinh doanh thực tế.

Mối quan ngại trọng tâm của ủy ban là quá trình chuyển từ AI tạo ra thông tin sang AI thực hiện hành động. Một trợ lý tóm tắt khiếu nại của khách hàng đặt ra vấn đề bảo mật khác với một trợ lý có thể truy xuất hồ sơ mật, thay đổi thông tin trong hệ thống hoặc trực tiếp gửi phản hồi cho khách hàng.

Vì vậy, nội dung tham vấn tập trung vào quyền hạn và trách nhiệm giải trình, chứ không chỉ độ chính xác của mô hình. Các tổ chức cần xác định tác nhân có thể truy cập thông tin nào, sử dụng công cụ nào, thực hiện hành động gì, cũng như cách nhân viên có thể dừng tác nhân hoặc tiếp quản khi xảy ra sự cố.

Tài liệu này không phải quy định mới hay hướng dẫn chính thức. Tài liệu cũng không thay thế các luật hiện hành, yêu cầu giám sát, quy định về thuê ngoài hay biện pháp kiểm soát nội bộ. Ủy ban kỳ vọng đợt tham vấn sẽ hỗ trợ xây dựng hướng dẫn sau này, nhưng chưa ấn định thời gian cho bước đó.

Vì sao quyền truy cập hệ thống nghiệp vụ làm thay đổi mức độ rủi ro

AI có khả năng hành động có thể lập kế hoạch các bước, gọi công cụ phần mềm và truy xuất thông tin từ nhiều hệ thống để hoàn thành một nhiệm vụ. Điều này khiến công nghệ khác với ứng dụng hội thoại chủ yếu tạo câu trả lời để con người đánh giá. Vấn đề bảo mật trở nên cấp thiết hơn khi câu trả lời sai có thể trực tiếp dẫn đến hành động nghiệp vụ.

Lin nêu bốn rủi ro chính: tác nhân đi chệch mục tiêu dự kiến, sử dụng sai công cụ hoặc vượt quá quyền hạn, làm lộ thông tin nhạy cảm và khiến sai sót lan rộng qua một chuỗi hành động. Những rủi ro này có thể kết hợp với nhau. Tác nhân có thể truy xuất thông tin không được phép sử dụng, đưa thông tin đó vào một tin nhắn rồi gửi ra bên ngoài tổ chức.

Hiện tượng ảo giác AI, tức đầu ra nghe có vẻ hợp lý nhưng không chính xác, vẫn là mối lo ngại. Lin nêu tình huống tác nhân đưa thông tin cá nhân vào một email bên ngoài, nơi thông tin đó không nên xuất hiện. Đây là ví dụ về một sự cố có thể xảy ra, không phải sự việc được tiết lộ tại một tổ chức tài chính.

Tốc độ cũng làm thay đổi quy mô tác động tiềm tàng. Lin so sánh một người có thể xử lý khoảng một vụ mỗi giờ với một tác nhân có khả năng xử lý 100 vụ. Ví dụ này cho thấy khối lượng xử lý có thể chênh lệch gấp 100 lần, chứ không phải kết quả đo lường năng suất. Ông muốn nhấn mạnh rằng sai sót tự động hóa có thể lan sang nhiều vụ việc trước khi nhân viên can thiệp.

Quản lý nhiệm vụ, không chỉ quản lý công nghệ

Đề xuất tham vấn được xây dựng quanh ba lĩnh vực: quản trị bảo mật, phân loại rủi ro và biện pháp kiểm soát an ninh. Đơn vị quản lý được ưu tiên là tình huống ứng dụng, tức nhiệm vụ cụ thể mà tổ chức muốn giao cho tác nhân, thay vì xem xét riêng một sản phẩm AI.

Với mỗi tình huống, tổ chức cần xác định mục đích nghiệp vụ, nhân sự chịu trách nhiệm, dữ liệu được phép sử dụng, công cụ sẵn có và hành động được phép thực hiện. Tổ chức cũng cần xác định đầu ra có thể được gửi đi hoặc ghi vào đâu, và cần làm gì nếu tác nhân hoạt động bất thường.

Cách tiếp cận này đồng nghĩa cùng một phần mềm có thể chịu các biện pháp kiểm soát khác nhau tùy theo vai trò. Tác nhân phân tích thông tin an ninh mà không hành động sẽ khác với tác nhân được phép sửa đổi hệ thống nghiệp vụ. Do đó, thay đổi quyền hạn có thể quan trọng không kém thay đổi mô hình nền tảng.

Quản trị không chỉ dừng ở lần phê duyệt ban đầu. Đề xuất yêu cầu có các cơ chế rà soát, giám sát, kiểm tra, hạn chế năng lực, đình chỉ và khôi phục tương xứng với rủi ro. Việc phân loại cần làm căn cứ cho các ngưỡng phê duyệt, điều kiện thử nghiệm, quyết định triển khai và giám sát sau đó; đồng thời phải đánh giá lại khi ứng dụng thay đổi.

Bốn cấp độ rủi ro, đánh giá theo ba tiêu chí

Đề xuất phân loại từ L1 đến L4 dựa trên ba tiêu chí: độ nhạy cảm của dữ liệu, tác động của hành động, và giới hạn năng lực hoặc khả năng tác động lan rộng. Việc đánh giá căn cứ vào kết quả rủi ro cao hơn, thay vì để một đặc điểm ít rủi ro bù trừ cho đặc điểm nguy hiểm hơn.

Độ nhạy cảm của dữ liệu liên quan đến thông tin mà tác nhân có thể xem. Truy cập thông tin công khai khác với truy cập hồ sơ cá nhân hoặc bí mật kinh doanh. Tác động của hành động liên quan đến việc tác nhân có thể làm gì với thông tin đó, từ đọc dữ liệu đến sửa hồ sơ hoặc liên lạc với bên ngoài tổ chức.

Tiêu chí thứ ba xem xét phạm vi và mức độ lan tỏa của hoạt động. Tác nhân chỉ thực hiện một nhiệm vụ sẽ khác với tác nhân có thể xử lý theo lô, hoạt động liên tục suốt ngày đêm hoặc tiến hành nhiều bước liên kết. Đây là lúc khả năng một sai sót nhỏ trở thành vấn đề nghiệp vụ lớn hơn được đưa vào đánh giá.

Đối với ứng dụng L4, đề xuất sẽ ngăn các hành động rủi ro cao tự động thực thi nếu không có cơ chế cấp quyền, rà soát hoặc chặn phù hợp. Các ứng dụng rủi ro thấp hơn vẫn có thể được thử nghiệm. Ủy ban cho biết cách tiếp cận của mình dựa trên rủi ro, tính tương xứng và sự trung lập với từng công nghệ cụ thể, đồng thời tham khảo các khuôn khổ bảo mật quốc tế.

Dịch vụ khách hàng cho thấy quyền hạn quan trọng ra sao

Ví dụ về dịch vụ khách hàng của Lin cho thấy sự khác biệt trong thực tế. Tác nhân thu thập khiếu nại và soạn bản tóm tắt thuộc nhóm rủi ro thấp đến trung bình. Nếu tác nhân còn có thể gửi phản hồi cho khách hàng, ông xếp ứng dụng vào nhóm rủi ro trung bình đến cao hơn vì nó có thể hành động bên ngoài tổ chức.

Điểm khác biệt không chỉ nằm ở việc cả hai ứng dụng có sử dụng AI hay không. Trong trường hợp thứ nhất, nhân viên có thể xem lại bản tóm tắt trước khi nó ảnh hưởng đến khách hàng. Trong trường hợp thứ hai, tác nhân có thể biến nhận định của mình thành thông tin liên lạc gửi ra bên ngoài. Quyền gửi tin nhắn làm thay đổi hậu quả của sai sót.

Quyền ghi dữ liệu cũng tạo ra một ranh giới khác. Tác nhân chỉ có quyền đọc thì không thể dùng quyền đó để thay đổi hồ sơ gốc. Khi được phép ghi dữ liệu, sai sót có thể làm thay đổi hoặc xóa thông tin. Vì vậy, biện pháp kiểm soát phải bảo vệ cả chất lượng đầu ra lẫn tính toàn vẹn của các hệ thống mà tác nhân tương tác.

Ví dụ này cũng cho thấy vì sao việc gắn một nhãn duy nhất cho toàn bộ chương trình AI của một tổ chức là không phù hợp. Hai cách sử dụng cùng một tác nhân có thể cần điều kiện phê duyệt, giám sát và khôi phục khác nhau do quyền truy cập dữ liệu và hành động được phép không giống nhau.

Nhân viên kỹ thuật số vẫn cần người giám sát

Lin mô tả tác nhân AI như một nhân viên kỹ thuật số vì nó có thể chủ động thúc đẩy tiến độ công việc. Sự tương đồng này không chỉ dừng ở việc giao vai trò: tổ chức phải quyết định tác nhân được phép làm gì, kiểm thử trước khi triển khai, giám sát hoạt động và có quy trình dừng tác nhân.

Khi nói về trách nhiệm triển khai, Lin nhấn mạnh rằng giao nhiệm vụ cho tác nhân không đồng nghĩa với việc con người hết trách nhiệm. Bản dịch tiếng Anh phát biểu của ông như sau:

AI chỉ có thể là trợ lý; con người mới là người giám sát cuối cùng.

Nguyên tắc này đặt trách nhiệm lên con người trong việc xác định quyền hạn của tác nhân và xử lý sự cố. Không thể bỏ qua các biện pháp kiểm soát an ninh hiện có chỉ vì có sự tham gia của tác nhân AI. Tổ chức cần vừa có người chịu trách nhiệm ra quyết định, vừa có phương tiện kỹ thuật để thực thi các giới hạn mà người đó phê duyệt.

Ủy ban tập trung vào phạm vi hẹp hơn so với toàn bộ việc nhân viên sử dụng AI. Có thể quản lý trợ lý cá nhân hoạt động trong phạm vi quyền hạn sẵn có của một người thông qua các biện pháp kiểm soát nội bộ và an ninh hiện hành. Việc kết nối tác nhân với hệ thống nghiệp vụ của tổ chức tài chính đòi hỏi đánh giá lại rủi ro và an toàn thông tin.

Kiểm soát định danh và truy cập cũng áp dụng cho tác nhân

Đề xuất bảo mật xem tác nhân là một định danh phi con người và một khối lượng công việc phần mềm. Trên thực tế, tổ chức cần biết tác nhân nào đang hoạt động và quyền hạn nào được áp dụng. Hoạt động của tác nhân không được hòa lẫn, không thể phân biệt với hoạt động của người dùng khác hoặc quy trình tự động khác.

Cách tiếp cận này dựa trên các nguyên tắc zero trust: không mặc định rằng truy cập là an toàn chỉ vì hệ thống nằm trong nội bộ tổ chức. Cần xác minh định danh và quyền hạn, giới hạn truy cập ở mức cần thiết cho nhiệm vụ, đồng thời bảo đảm có thể truy vết các hành động.

Biện pháp kiểm soát bao gồm định danh, thiết bị và môi trường thực thi, mạng, ứng dụng và khối lượng công việc, cùng việc bảo vệ dữ liệu. Đề xuất đưa ra cả yêu cầu bảo mật và mục tiêu kiểm soát cơ bản lẫn nâng cao; kiểm soát hành vi, khả năng quan sát và phân tích cũng là một phần của cách tiếp cận.

Lin nêu một số biện pháp cụ thể. Tác nhân cần chạy trong môi trường được cách ly phù hợp, kết nối mạng cần được giới hạn theo nhiệm vụ, còn công cụ sử dụng phải nằm trong danh sách được phê duyệt. Quyền truy cập dữ liệu cần tuân theo nguyên tắc tối thiểu cần thiết. Những biện pháp này xử lý các con đường khác nhau mà qua đó tác nhân có thể vượt quá vai trò dự kiến, thay vì chỉ dựa vào chỉ dẫn dành cho mô hình.

Kiểm thử cần bao quát sự cố trong toàn bộ quy trình

Đối với ứng dụng có thể tự tiến hành các bước trong quy trình, tài liệu tham vấn yêu cầu kiểm thử trước khi triển khai về tấn công chèn lệnh, sử dụng sai công cụ, kế thừa quyền hạn và nhiễm bẩn bộ nhớ. Các bài kiểm thử này xem xét cách tác nhân hành xử khi thông tin, công cụ hoặc quyền hạn mà nó gặp phải khiến nó đi chệch khỏi nhiệm vụ được phê duyệt.

Tấn công chèn lệnh xảy ra khi chỉ dẫn ẩn trong tài liệu mà tác nhân đọc tìm cách chuyển hướng hành vi của nó. Sử dụng sai công cụ là việc dùng phần mềm được kết nối không phù hợp. Quyền kế thừa có thể cấp cho tác nhân quyền truy cập được chuyển từ một tài khoản hoặc quy trình khác, còn nhiễm bẩn bộ nhớ xảy ra khi thông tin được lưu trữ ảnh hưởng ngoài ý muốn đến hoạt động sau đó.

Các mục tiêu vận hành không chỉ dừng ở việc ngăn ngừa sự cố. Hệ thống cần có khả năng quan sát, hạn chế hoặc dừng, khôi phục và truy vết. Nhân viên cần thấy tác nhân đang làm gì, ngắt hoạt động có hại và khôi phục hoạt động bị ảnh hưởng khi có thể.

Hồ sơ về hoạt động của tác nhân cần hỗ trợ điều tra và kiểm toán. Chỉ dừng tác nhân có thể không đủ để xử lý sự cố nếu nó đã ghi thông tin sai hoặc kích hoạt các hành động tiếp theo. Vì vậy, đề xuất gắn việc ngắt hoạt động với khả năng khôi phục và lưu lại diễn biến sự việc.

Đây là đợt tham vấn, không phải quy định cuối cùng về triển khai

Ủy ban đăng tài liệu trong mục thảo luận công khai trên Nền tảng Tham gia Mạng lưới Chính sách Công Đài Loan. Ủy ban cho biết hoạt động tham vấn nhằm đưa kinh nghiệm thực tế vào khuôn khổ, đồng thời tạo cơ sở cho công tác chính sách, hướng dẫn có thể được ban hành và thảo luận về giám sát.

Lin cho biết tốc độ thay đổi nhanh của công nghệ là một trong những lý do khiến ủy ban chưa ban hành ngay một hướng dẫn cố định. Ủy ban cũng không thể cho rằng mình đã xác định được tất cả rủi ro liên quan. Vì vậy, ý định xây dựng hướng dẫn còn phụ thuộc vào phản hồi và diễn biến tiếp theo, chứ không phải lời hứa công bố tài liệu cuối cùng vào một ngày cụ thể.

Lộ trình được ủy ban nêu ra như sau:

• Tháng 7 năm 2026: FSC đề xuất các chiến lược ứng phó với tấn công bằng AI; theo Lin, đây là bước đi trước công việc hiện nay.
• Ngày 13 tháng 10 năm 2026: FSC công bố tài liệu tham vấn về bảo mật AI có khả năng hành động.
• Sau khi công bố: Thời gian lấy ý kiến công chúng kéo dài 30 ngày để tiếp nhận phản hồi về cách tiếp cận được đề xuất.
• Sau tham vấn: Việc ban hành hướng dẫn chính thức có thể có sẽ phụ thuộc vào phản hồi và diễn biến công nghệ; chưa có lịch công bố.

Các đợt thử nghiệm hiện nay giúp lý giải thời điểm này. Lin cho biết nhiều thử nghiệm diễn ra trong lĩnh vực an ninh mạng, chẳng hạn phân tích thông tin tình báo an ninh mà không trực tiếp thực hiện hành động nghiệp vụ. Ủy ban muốn có sẵn biện pháp bảo vệ trước khi tác nhân được sử dụng rộng hơn trong quy trình hành chính và kinh doanh. Bước cụ thể tiếp theo là đợt tham vấn; nội dung và tình trạng cuối cùng của mọi hướng dẫn vẫn chưa được quyết định.

Điểm chính

• FSC Đài Loan mở đợt tham vấn kéo dài 30 ngày vào ngày 13 tháng 10 năm 2026 về việc sử dụng an toàn AI có khả năng hành động trong lĩnh vực tài chính.
• Trọng tâm là các tác nhân có thể kết nối với, vận hành hoặc kích hoạt hệ thống nghiệp vụ của tổ chức tài chính.
• Đề xuất đưa ra bốn cấp độ rủi ro, đánh giá dựa trên độ nhạy cảm của dữ liệu, tác động của hành động và giới hạn năng lực.
• Các hành động rủi ro cao nhất cần có cơ chế cấp quyền, rà soát hoặc chặn thực thi phù hợp.
• Các tổ chức cần giới hạn quyền hạn, lưu hồ sơ hoạt động, đồng thời có khả năng dừng tác nhân và khôi phục sau sự cố.
• Con người vẫn chịu trách nhiệm ngay cả khi tác nhân AI thực hiện nhiệm vụ.
• Phần lớn ứng dụng vẫn đang trong giai đoạn thử nghiệm. Tài liệu chưa phải hướng dẫn chính thức và chưa có lịch ban hành hướng dẫn.