Khi LLM "nói dối" bằng chính ngôn ngữ của nó: Bài toán bảo mật mang tên "tính bất khả đọc ngôn ngữ"

Các mô hình ngôn ngữ lớn (LLM) được huấn luyện để sinh ra ngôn ngữ tự nhiên, và chính khả năng đó khiến chúng ta dễ tin rằng những gì mô hình "nói" chính là những gì mô hình "nghĩ". Một bài báo khoa học mới của tác giả James Mickens, đăng tải trên arXiv với tiêu đề "The Implications of Linguistic Illegibility for LLM Security", cho rằng niềm tin đó là một sai lầm nguy hiểm — đặc biệt trong bối cảnh bảo mật.

Bài báo đưa ra một khái niệm đáng chú ý: "tính bất khả đọc ngôn ngữ" (linguistic illegibility). Đây là cách tác giả gọi chung cho những tình huống mà các sản phẩm ngôn ngữ bên ngoài của mô hình — dù là đầu ra dạng văn bản hay các đặc trưng ngôn ngữ được trích xuất bằng phương pháp cơ học — không phản ánh đúng cách mô hình thực sự tính toán bên trong.

Vì sao ngôn ngữ không phải là "cửa sổ tâm hồn" của LLM

Theo lập luận của Mickens, các mô hình ngôn ngữ lớn không diễn đạt nội bộ của chúng trực tiếp bằng ngôn ngữ. Thay vào đó, quá trình tính toán bên trong là các phép toán số học trên không gian kích hoạt (activation space), nơi diễn ra những phép biến đổi mà ngôn ngữ tự nhiên chỉ tiếp cận được một cách gián tiếp.

Ngôn ngữ tự nhiên chỉ xuất hiện ở hai đầu của hệ thống — khi đầu vào được mã hóa và khi đầu ra được giải mã — và cả hai phép "dịch" này đều có mất mát thông tin.

Tác giả nhấn mạnh rằng hiện tượng này không thể tránh khỏi. Nếu bản dịch giữa không gian kích hoạt và ngôn ngữ tự nhiên luôn tồn tại mất mát, thì luôn có khả năng tồn tại những tính toán bên trong mà bề mặt ngôn ngữ không hề phản ánh. Nói cách khác, một mô hình có thể đưa ra chuỗi suy luận nghe rất hợp lý, rất "minh bạch", trong khi quá trình thực sự dẫn đến câu trả lời lại diễn ra theo một con đường hoàn toàn khác.

Hệ quả trực tiếp: Các cơ chế bảo mật dựa vào "lời khai" của mô hình đều có lỗ hổng

Điểm mấu chốt của bài báo là hệ quả đối với an toàn và bảo mật. Nếu tính bất khả đọc ngôn ngữ luôn có thể xảy ra, thì mọi cơ chế bảo mật dựa trên việc đọc trạng thái ngôn ngữ của mô hình đều không thể đảm bảo tính chắc chắn tuyệt đối. Tác giả liệt kê một số ví dụ tiêu biểu:

• Giám sát chuỗi suy luận (chain-of-thought monitoring): theo dõi các bước lập luận mà mô hình công bố.
• Tự phê bình theo hiến pháp (constitutional self-critique): để mô hình tự đánh giá hành vi của mình dựa trên một bộ nguyên tắc.
• Dò đặc trưng kích hoạt cho các vector đặc trưng được định nghĩa bằng ngôn ngữ (activation probing).

Cả ba hướng tiếp cận này đều chia sẻ một giả định chung: rằng trạng thái ngôn ngữ của mô hình — dù quan sát từ bên ngoài hay từ bên trong — là đáng tin. Theo Mickens, giả định đó là không thể bảo chứng.

Sandbox cần được xây dựng mà không phụ thuộc vào ngôn ngữ

Từ kết luận trên, tác giả cho rằng hộp cát (sandbox) bảo vệ các mô hình biên (frontier models) luôn cần những kỹ thuật cách ly mà bảo đảm an toàn không dựa vào việc đọc trạng thái ngôn ngữ của mô hình. Nói cách khác, chúng ta không thể đặt cược an toàn hệ thống vào lời tự thuật của AI.

Bài báo đề xuất taint tracking — kỹ thuật theo dõi "ô nhiễm" dữ liệu — như một hướng tiếp cận đầy hứa hẹn. Cơ chế này hoạt động hoàn toàn khác biệt:

• Nó không quan tâm mô hình nói gì về bản thân.
• Chính sách taint tracking có thể định nghĩa trước những phần trạng thái hệ thống tuyệt đối không được phép chịu ảnh hưởng từ dữ liệu do mô hình tạo ra.
• Bất kể mô hình "khai báo" thế nào bằng ngôn ngữ, các ràng buộc ở tầng hệ thống vẫn giữ nguyên hiệu lực.

Ngoài ra, tác giả cũng thảo luận thêm một số cơ chế cách ly khác như ảo hóa mạnh (robust virtualization) và kiểm toán cấu hình sandbox bởi bên thứ ba. Theo quan điểm của bài báo, khi kết hợp lại, những cơ chế này tạo thành một "tầng sàn" quan trọng bên dưới lớp giám sát ngôn ngữ — và lẽ ra đã có thể giảm thiểu nhiều vụ khai thác sandbox gần đây trên các mô hình biên.

Điều này có ý nghĩa gì với các đội ngũ AI tại Việt Nam?

Với các doanh nghiệp và đội ngũ phát triển AI tại Việt Nam đang tích hợp ngày càng nhiều mô hình ngôn ngữ vào sản phẩm — từ chatbot chăm sóc khách hàng, trợ lý nội bộ đến các agent tự động thực thi tác vụ — bài báo này mang đến một bài học thiết thực:

1. Không nên xem log suy luận của mô hình là bằng chứng an toàn. Một chain-of-thought trông hợp lý không đồng nghĩa với việc mô hình thực sự "suy nghĩ" như vậy.

2. Cần phân quyền và cách ly ở tầng hệ thống. Các agent có khả năng gọi API, đọc cơ sở dữ liệu hay thực thi lệnh cần được giới hạn quyền chặt chẽ, thay vì phụ thuộc vào việc mô hình tự "hứa" sẽ không làm sai.

3. Theo dõi nguồn gốc dữ liệu là ưu tiên kỹ thuật. Các kỹ thuật như taint tracking giúp đảm bảo rằng dữ liệu do mô hình sinh ra không âm thầm điều khiển những thành phần nhạy cảm của hệ thống.

4. Kiểm toán độc lập là cần thiết. Khi các mô hình ngày càng mạnh, việc để bên thứ ba rà soát cấu hình bảo mật sẽ trở thành thông lệ bắt buộc, chứ không còn là tùy chọn.

Bài báo của James Mickens không đưa ra giải pháp hoàn hảo — và tác giả cũng không tuyên bố như vậy. Nhưng nó đặt đúng câu hỏi mà ngành AI cần đối mặt: nếu không thể tin vào ngôn ngữ của mô hình, chúng ta phải xây dựng niềm tin ở tầng nào? Câu trả lời, theo bài báo, nằm ở kiến trúc hệ thống — nơi các bảo đảm an toàn được định nghĩa trước khi mô hình cất tiếng nói, chứ không phải dựa vào những gì nó nói sau đó.