Dữ liệu trên AT Protocol: Công khai nhưng người dùng có biết?

AT Protocol — nền tảng mà mạng xã hội Bluesky vận hành — được thiết kế với triết lý dữ liệu mở. Nhưng một bài phân tích mới đây cho thấy người dùng có thể đang chia sẻ công khai những thứ mà họ tưởng là riêng tư, từ feed RSS trả phí đến tin nhắn trên các ứng dụng trò chuyện.

Minh họa dữ liệu công khai trên AT Protocol

Bản chất "công khai" của AT Protocol

Điều đầu tiên cần hiểu là Bluesky cho phép người dùng tự vận hành máy chủ dữ liệu cá nhân, gọi là PDS (Personal Data Server). Đây là nơi lưu trữ dữ liệu của người dùng trên Bluesky và các ứng dụng khác trong "hệ sinh thái atmosphere". Phần lớn dữ liệu này công khai theo mặc định.

Bất kỳ ai cũng có thể dùng các công cụ như PDSls.dev để duyệt qua dữ liệu đó. Tác giả bài viết đặt vấn đề thẳng thắn: "Tôi không thể kiểm soát cách bạn dùng dữ liệu của tôi, nó chỉ tồn tại ở đó."

Lỗ hổng nhận thức bắt đầu từ những ứng dụng đọc tin

Tác giả bắt đầu khám phá hệ sinh thái AT Protocol qua các trang danh mục ứng dụng như atstore.fyi và atmosphereaccount.com. Khi tìm hiểu một ứng dụng đọc feed RSS tên là Skyreader, tác giả nhận ra rằng các đánh giá và bình luận về ứng dụng này đều được gắn công khai với tên tài khoản người dùng.

Từ danh sách đó, tác giả tra cứu handle của người dùng trong PDSls và phát hiện một chi tiết đáng chú ý: mỗi feed RSS mà người dùng đăng ký trong Skyreader được lưu thành một bản ghi dữ liệu (lexicon) có tên app.skyreader.feed.subscription, chứa khóa feedUrl — chính là đường dẫn RSS. Điều này có nghĩa là mọi người đều thấy bạn đang theo dõi feed nào.

Từ feed riêng tư đến nội dung trả phí

Hệ quả của cơ chế trên khá nghiêm trọng. Chỉ bằng một chút tò mò, tác giả đã tìm thấy:

• Feed riêng tư của Club MacStories, mở ra toàn bộ nội dung độc quyền
• Feed toàn văn trả phí của 404 Media
• Feed độc quyền dành cho người ủng hộ trên Patreon
• Feed RSS riêng tư của các repository trên GitLab

Theo tác giả, những feed này lẽ ra chỉ dành cho người trả tiền hoặc thành viên nội bộ, nhưng lại đang nằm công khai trên internet.

Quét toàn bộ relay chỉ với vài thao tác

Không dừng ở đó, tác giả thử nghiệm quét một relay Bluesky (như bsky.network) để thu thập toàn bộ bản ghi thuộc bộ sưu tập app.skyreader.feed.subscription. Quá trình này cần vài bước — nhận về mảng DID (Decentralized Identifier), tra cứu máy chủ PDS tương ứng, rồi yêu cầu bản ghi dữ liệu thực tế — nhưng không hề khó.

Kết quả: hơn 1.300 feed RSS mà người dùng đã đăng ký trên Skyreader bị thu thập — không cần xác thực, không có rào cản thực sự nào.

Không chỉ là chuyện của Skyreader

Vấn đề mang tính hệ thống. Tác giả ghi nhận nhiều ứng dụng khác trong hệ sinh thái AT Protocol cũng lưu trữ dữ liệu công khai tương tự:

• Các bản sao của Discord lưu toàn bộ tin nhắn một cách công khai
• Một bản sao của Twitch cho phép bất kỳ ai xem và thậm chí tìm kiếm toàn bộ nội dung trò chuyện trên Stream.place

Tác giả so sánh: nếu ai đó có thể tìm kiếm toàn bộ chat Twitch một cách dễ dàng, chắc hẳn nhiều người sẽ "toát mồ hôi hột".

Người dùng có thực sự hiểu rủi ro?

Tác giả dự đoán sẽ có người phản biện rằng "đó chính là mục đích của nó" — dữ liệu mở để tránh bị khóa chặt vào một nền tảng. Nhưng tác giả không tin rằng người dùng phổ thông thực sự hiểu rủi ro khi đăng ký feed riêng tư hay trò chuyện trên các ứng dụng này.

Với người dùng Việt Nam đang ngày càng quan tâm đến Bluesky và các nền tảng phi tập trung, đây là lời nhắc đáng chú ý: dữ liệu trên AT Protocol không phải là dữ liệu riêng tư. Trước khi kết nối tài khoản với bất kỳ ứng dụng nào trong hệ sinh thái, hãy kiểm tra xem ứng dụng đó sẽ công khai những gì — và nhớ rằng một khi đã công khai, dữ liệu gần như không thể thu hồi.