Playbook điều hành miễn phí.

Một cơ quan giám sát đã đặt một cái ngày lên câu hỏi này. Ngày 07/7/2026, Chủ tịch Hội đồng Giám sát của ECB gửi thư tới tổng giám đốc của mọi tổ chức quan trọng mà cơ quan này giám sát trực tiếp, về các mối đe dọa an ninh mạng có AI tiếp sức (thư SSM-2026-0301), đòi một bản đánh giá "ngay lập tức" và một kế hoạch hành động toàn diện — phân bổ các nguồn lực cần thiết, phân định rõ vai trò và trách nhiệm, xác định các mốc tiến độ triển khai — nộp cho Nhóm Giám sát Chung trước ngày 31/10/2026, sau đó ECB thực hiện một phân tích ngang trên toàn bộ các kế hoạch để nhận diện các xu hướng rồi chia sẻ kết luận trở lại. Đây là lá thư đầu tiên trên trang thư-gửi-ngân-hàng của ECB trong hơn bốn năm (mục trước đó là ngày 30/3/2022, một khoảng cách 1.560 ngày), và cơ quan giám sát hỏi xin các kế hoạch, không phải các báo cáo sự cố. Không điều nào trong lá thư đó ràng buộc một ngân hàng ở Việt Nam. Điều nó cho anh/chị là chính bản danh sách viết ra của một cơ quan giám sát an toàn lớn về những gì họ kỳ vọng tìm thấy. Giữa một cơ quan giám sát hỏi xin các kế hoạch và một chứng nhận mà ngân hàng của anh/chị vốn đã có, nằm đúng cái khoảng trống thật — và nó không phải một công cụ: nó là trách nhiệm sở hữu. ISO/IEC 42001, tiêu chuẩn quản trị AI, mang 38 biện pháp kiểm soát ở Phụ lục A, không một cái nào trong đó xử lý việc quản lý danh tính — trong khi ISO/IEC 27002:2022 mục 5.16, hướng dẫn quản lý danh tính nằm sau ISO/IEC 27001 mà phần lớn ngân hàng đã được chứng nhận theo, bao phủ các danh tính không phải con người trên trọn vòng đời của chúng và đòi chúng phải được đăng ký qua quy trình phê duyệt riêng, có một người chịu trách nhiệm, và bị xóa khi không còn cần. Cả hai cách đọc ISO đều nằm sau một bức tường phí và là cách đọc của chuỗi bài này chứ không phải những đoạn trích dẫn; bản miễn phí, dẫn lại được, của cùng yêu cầu đó chính là Phụ lục 1 của ECB, nơi đòi xác minh liên tục đối với "người dùng, thiết bị, ứng dụng, giao diện lập trình ứng dụng (API) và các tài khoản dịch vụ". Vậy câu nói trung thực của người lãnh đạo không phải "không tiêu chuẩn nào bao phủ danh tính của agent"; nó là tiêu chuẩn mà chúng ta đã được chứng nhận theo vốn đã đòi điều này, và chúng ta đang không áp nó vào các agent của mình. The Agent Attack-Surface Map gọi tên năm mặt phơi nhiễm cùng một lớp kiểm soát, xếp hạng chúng theo cách đọc phân tích của chính khung tư duy này chứ không theo thứ tự trực giác, và phát hiện trung tâm của nó là mặt phơi nhiễm được xếp đầu bảng lại chính là mặt không có người chịu trách nhiệm — phần mô tả của chính công cụ, một bản hướng dẫn bằng ngôn ngữ thường mà agent đọc như một chỉ dẫn. Không phải mã, nên không kỹ sư nào rà soát nó. Không phải dữ liệu người dùng nhập, nên không bộ lọc nào soi nó. Mô hình không phải lỗ hổng. Các quyền mới là.

Trong playbook có gì

  • Vì sao lúc này — một cơ quan giám sát đã hỏi xin các kế hoạch, không phải các báo cáo sự cố — lá thư ngày 07/7/2026 gửi các tổng giám đốc (SSM-2026-0301) và thời hạn nộp ngày 31/10/2026, kèm việc phân bổ nguồn lực, phân định rõ vai trò và trách nhiệm cùng các mốc tiến độ triển khai, tiếp sau đó là việc Nhóm Giám sát Chung làm việc trên kế hoạch và một phân tích ngang của ECB trên toàn bộ các kế hoạch để nhận diện các xu hướng — minh thị là một việc tìm kiếm các xu hướng chứ không phải một bảng xếp hạng kế hoạch của ngân hàng này so với ngân hàng khác, đây là câu bị đọc quá nhiều nhất trong lá thư; vì sao cơ quan giám sát hành động dựa trên một năng lực đã được chứng minh, đi trước cả kinh nghiệm tổn thất, với điều họ nêu ra là các mô hình AI mới nổi nhận diện các lỗ hổng và tạo ra mã khai thác chạy được "ở tốc độ chưa từng có", nén lại khoảng thời gian giữa lúc phát hiện và lúc khai thác — một khẳng định mà lá thư đưa ra mà không công bố một khoảng thời gian nào, nên playbook này không dẫn khoảng nào cả; lời rào đón của chính lá thư, rằng các diễn biến đó "không tạo ra những rủi ro hoàn toàn mới" nhưng "làm tăng đáng kể tốc độ và quy mô mà những rủi ro như vậy hiện thực hóa"; DORA (Quy định (EU) 2022/2554) với vai trò điểm neo, được mô tả là vẫn "hết sức liên quan và còn hiệu lực" chứ không bị thay thế, cùng hai sự nhượng bộ đi kèm với đòi hỏi đó — kỳ thu Bảng hỏi Rủi ro CNTT được giãn từ tháng 9/2026 sang tháng 2/2027, và việc điều chỉnh theo từng trường hợp các cuộc kiểm tra tại chỗ cùng các đợt rà soát chuyên sâu; nơi mối lo thực sự mang tính hệ thống trú ngụ, chính là cảnh báo cùng ngày của ESRB về "các rủi ro an ninh mạng mang tính hệ thống phát sinh từ các mô hình trí tuệ nhân tạo tiên phong" chứ không phải bản thân lá thư; và vì sao lượng tử được minh thị loại ra khỏi phạm vi — mật mã hậu lượng tử "phải bắt đầu ngay lúc này", nhưng rủi ro mã hóa được đẩy sang một lá thư riêng · và điều mà bằng chứng chưa cho thấy, được nêu thẳng ở đầu thay vì bị chôn đi: chưa có ca nào công khai, đã được xác nhận, về việc một AI agent hay một mô hình ngôn ngữ lớn gây tổn thất tài chính trực tiếp tại một ngân hàng và không có vụ xử lý nào để chỉ ra, các tài liệu về mối đe dọa thì áp đảo là dữ liệu đo từ nhà cung cấp và các bài diễn tập đội đỏ trong học thuật — đó không phải một lý do để chờ nhưng là lý do cơ quan giám sát hỏi xin một kế hoạch thay vì một báo cáo, và là lý do một ngân hàng nên hiểu rằng mình đang cấp vốn phòng thủ trước một năng lực đã được chứng minh chứ không phải trước một dịch bệnh đã quan sát được
  • Bản đồ — năm mặt phơi nhiễm cùng một lớp kiểm soát, mỗi mặt kèm đúng một câu hỏi làm lộ ra nó có người chịu trách nhiệm hay không: S3 công cụ và hành động, nơi kẻ tấn công can thiệp vào phần mô tả của công cụ chứ không vào mã của nó · S1 chỉ dẫn, nơi bất cứ thứ gì agent đọc đều trở thành một chỉ dẫn — email, tài liệu, phiếu yêu cầu, trang web, tập dữ liệu · S4 danh tính, nơi mục tiêu là thông tin xác thực và chuỗi ủy quyền của nó · S2 tri thức, nơi mục tiêu là kho ngữ liệu để truy xuất · S5 chuỗi cung ứng, nơi mục tiêu là trọng số mô hình, framework, bộ kết nối và thư viện · và S6 khoanh vùng và observability, thứ được cố ý xếp không phải một mặt phơi nhiễm thứ sáu mà là câu trả lời cho cả năm mặt, bởi một khung tư duy liệt kê nó ngang hàng sẽ mời người đọc "phủ hết cả sáu" trong khi bước đi đúng là xếp hạng năm mặt rồi cấp vốn cho một lớp duy nhất giới hạn được từng mặt trong đó
  • Cái lỗ — đầu độc phần mô tả công cụ và ngộ nhận về tường lửa — vì sao khung tư duy này xếp mặt công cụ và hành động lên đầu, và quan trọng ngang như vậy, thứ tự xếp hạng đó dựa trên cái gì và không dựa trên cái gì: nó là nhận định phân tích, không phải một bảng xếp hạng đo được, bởi các tài liệu về mối đe dọa mà chuỗi bài này dẫn (OWASP Top 10 for LLM Applications, NIST AI 100-2, NIST AI 600-1, MITRE ATLAS) là các hệ phân loại và các khung rủi ro không công bố tỷ lệ tấn công thành công có thể so sánh được, nên một tuyên bố cực cấp kiểu "cao hơn hẳn mọi thứ khác trên bản đồ" sẽ không có cơ sở dẫn nguồn và không được nêu ở đây · ba thuộc tính kiểm được mà thứ tự xếp hạng thực sự dựa trên — cuộc tấn công không cần quyền truy cập đặc quyền nào bởi một phần mô tả công cụ là nội dung; bản hướng dẫn nằm ngoài cả khâu rà soát mã lẫn khâu lọc dữ liệu đầu vào, nên hai biện pháp kiểm soát mà một ngân hàng vốn đã có không bao giờ soi nó; và cái lệnh phát sinh thì không phân biệt được với một lệnh hợp lệ tại nơi nó đáp xuống · và nguyên tắc mà playbook này tự áp vào mình: một con số chỉ được công bố ở nơi chuỗi bài này đã tự truy được chính con số đó, bất kể tư cách của tổ chức mà nó được gán cho — đó là lý do không con số phần trăm nào xuất hiện ở đây và lý do thứ tự xếp hạng được nêu như một nhận định · ngộ nhận về tường lửa, nơi các biện pháp kiểm soát của anh/chị canh cái kênh mà cuộc tấn công không đi qua, soi thứ một khách hàng gõ vào và thứ mô hình viết trả lại, trong khi cái chỉ dẫn thật sự quan trọng thì bước vào qua bản khai công cụ và đi ra dưới dạng một lệnh gọi giao diện bình thường · vì sao cái lệnh đáp xuống core banking lại hoàn toàn hợp lệ bởi nó đúng là hợp lệ — đúng thông tin xác thực, đúng định dạng, sai lý do · và biện pháp kiểm soát thật sự trả lời được nó, thứ không phải một bộ lọc tốt hơn mà là tách việc thực thi khỏi mô hình: agent đề xuất, một cỗ máy chính sách tất định cấp phép theo các quy tắc định trước, và chỉ sau đó mới có gì được thực thi, biến một bài toán thuyết phục thành một bài toán cấp phép, thứ mà một ngân hàng vốn đã biết cách quản trị · cùng với lý do ranh giới vẫn dịch từ dữ liệu đầu vào sang hành động ngay cả khi các biện pháp phòng thủ ở lớp dữ liệu đầu vào tốt hơn những gì chuỗi bài này ban đầu nói — minh chứng nền tảng là Greshake và các đồng tác giả (arXiv:2302.12173, 2023), đã khai thác các hệ thống tích hợp LLM thật mà không cần giao diện trực tiếp nào tới mô hình; bộ đo chuẩn để tranh luận chuyện này là AgentDojo (arXiv:2406.13352, 2024), với 97 tác vụ dùng công cụ thực tế bao gồm việc điều hướng ngân hàng điện tử và 629 ca kiểm thử an ninh, phát hiện rằng cả bên tấn công lẫn bên phòng thủ đều bị thách thức và các cuộc tấn công hiện có phá được một số thuộc tính an ninh nhưng không phá được tất cả; và Spotlighting (Hines và các đồng tác giả, arXiv:2403.14720, Microsoft 2024) đã giảm tỷ lệ tấn công thành công từ trên 50% xuống dưới 2% trên các mô hình họ GPT với tác động tối thiểu tới hiệu quả tác vụ — điều này rút lại một khẳng định trước trong chuỗi bài này rằng việc phân định ranh giới chỉ dịch tỷ lệ "đi vài điểm" với cái giá làm sản phẩm kém đi. Kết luận vẫn đứng, nhưng trên cơ sở đúng: dưới 2% không phải 0%, và một tỷ lệ còn lại ở mức một chữ số thấp cho mỗi lần thử không phải một biện pháp kiểm soát cấp phép cho một chỉ dẫn làm đổi trạng thái đi vào core banking
  • Nơi các biện pháp kiểm soát cổ nhất của ngành ngân hàng đổ vỡ — kiểm soát kép, maker-checker (người lập–người kiểm), phân tách nhiệm vụ và quản lý truy cập đặc quyền ở tốc độ máy: nếu agent là người lập, sinh ra hàng trăm lệnh gọi API mỗi phút, thì không người kiểm nào là con người rà soát chúng và biện pháp kiểm soát thành một con dấu cao su có kèm dấu vết kiểm toán, tệ hơn cả việc không có biện pháp kiểm soát nào bởi nó đọc lên như đã tuân thủ; nếu agent là người kiểm, thì một thuật toán đang xác nhận một thuật toán, điều này triệt tiêu đúng cái tính độc lập mà biện pháp kiểm soát này tồn tại để cung cấp; và quản lý truy cập đặc quyền được xây để luân chuyển các thông tin xác thực tĩnh cho những con người có tên, nên một agent được tạo ra giữa một lệnh, hành động một lần rồi kết thúc, thì không có phiên nào để quản lý và thường giữ một khóa bí mật sống lâu thay vào đó vì đó là cách nhanh nhất để đưa nó lên chạy — đối lại với tất cả những điều đó, chiều di chuyển là danh tính được ủy quyền, sống ngắn, truy được về người, một token ghi lại cả con người đã trao sự đồng ý và cả agent đã hành động, để mọi hành động tự động đều mang một thẩm quyền đi vay và kiểm chứng được · cùng với phát hiện về ISO đáng mang tới kiểm toán viên của anh/chị ngay tuần tới, không cần xin ngân sách: hãy kiểm các agent của mình theo mục 5.16, điều khoản nêu tên tài khoản dịch vụ, token API, thông tin xác thực máy và service principal trên cloud trong phạm vi, và là điều khoản mà anh/chị có lẽ đã được chứng nhận theo — một buổi họp chứ không phải một tờ trình xin vốn
  • 3 cái cổng, lớp Việt Nam và bài chẩn đoán một buổi chiều — ba cái cổng phải đóng lại trước khi bất kỳ agent nào giữ một thông tin xác thực production cho một hành động làm đổi trạng thái, được nêu ở đây đúng như playbook nêu để trang web và bản PDF không thể trôi xa nhau: 1 · việc thực thi tách khỏi mô hình — mô hình đề xuất, một cỗ máy chính sách tất định cấp phép, chỉ sau đó mới có gì được thực thi, không có ngoại lệ cho các bản thử nghiệm; 2 · danh tính được ủy quyền, sống ngắn và truy được về người — một token chứng minh cả agent và cả con người đã ủy quyền, và không có khóa bí mật thường trú nào trên đường đi; 3 · khoanh vùng trước khi cấp quyền — ghi log hành động ở mức một cơ quan giám sát đọc được, một bán kính sát thương bị giới hạn, và một cổng phê duyệt bởi con người cho các tác vụ rủi ro cao. Việc đặt một người chịu trách nhiệm lên từng phần mô tả công cụ và đưa nó vào diện quản lý thay đổi là bước thứ nhất trong năm bước áp dụng chứ không phải một cái cổng, và được liệt kê đúng như vậy · cách đọc trung thực cho bối cảnh trong nước được nêu trước, bởi nó thay đổi thứ anh/chị nên mua: với một ngân hàng Việt Nam tầm trung đang chạy các trợ lý chỉ đọc trên một hệ core nguyên khối cũ thì mặt công cụ phần lớn còn là chuyện phía trước, vì một hệ core cũ không đưa cho một agent một thực đơn các giao diện động có thể tự dò ra và rất ít ngân hàng đã trao cho agent các quyền thật trong môi trường production, nên cái đang phơi ra hôm nay là mặt tri thức — các trợ lý đó truy xuất được gì, chúng được phép thấy gì, và cái gì rời khỏi tòa nhà bên trong một gói dữ liệu gửi tới một mô hình đặt ở nước ngoài — và ai đang bán một mô hình đe dọa kiểu Phố Wall cho một ngân hàng ở vị thế này thì đang bán vấn đề của một năm khác · rồi tới lớp Việt Nam, lớp không điều chỉnh riêng các AI agent và cũng không cần điều đó: Thông tư 09/2020/TT-NHNN của NHNN, có hiệu lực 01/1/2021, đòi theo dõi và ghi log, an ninh mạng, kiểm soát mã độc, quản lý sự cố, rà soát hằng năm quy định an toàn thông tin và kiểm soát truy cập trong đó mỗi tài khoản thuộc về một người dùng định danh, tài khoản dùng chung phải được phê duyệt và truy được trách nhiệm theo từng thời điểm — nên một agent trên một tài khoản dịch vụ dùng chung thì đã nằm ngoài văn bản đó · Thông tư 50/2024/TT-NHNN của NHNN, hiệu lực 01/1/2025 với lộ trình hiệu lực theo từng điều khoản và được sửa đổi bởi Thông tư 77/2025/TT-NHNN từ 01/3/2026, đòi khóa, mã PIN và dữ liệu sinh trắc học được mã hóa hoặc che khi lưu, truy cập theo chức năng, và mọi lần truy cập dữ liệu khách hàng đều được theo dõi · PDPL 91/2025/QH15, có hiệu lực 01/1/2026, với đồng hồ thông báo vi phạm 72 giờ, bản đánh giá tác động theo Điều 21(1) phải lập trong 60 ngày kể từ lần xử lý đầu tiên như một bổn phận tự thân chứ không phải một bổn phận do việc lập hồ sơ cá nhân hay việc ra quyết định tự động khởi phát, một bổn phận có người phụ trách bảo vệ dữ liệu và mức phạt với chuyển dữ liệu qua biên giới lên tới 5% doanh thu năm trước, bởi một vụ vi phạm qua agent là một vụ vi phạm dữ liệu cá nhân · và Luật AI 134/2025/QH15, có hiệu lực 01/3/2026, với cửa sổ ngành tài chính tại Điều 35 chạy tới khoảng 01/9/2027 áp cho các hệ thống đã tồn tại từ trước và là một đường chạy đà để hoạch định chứ không phải một sự miễn trừ — một văn bản khác với Luật Công nghiệp Công nghệ số 71/2025 · cùng với sáu câu hỏi cho phiên họp ủy ban công nghệ kế tiếp của anh/chị — mỗi mặt phơi nhiễm trong năm mặt một câu và một câu thứ sáu cho lớp kiểm soát, câu duy nhất hỏi rằng liệu anh/chị có biết được gì hay không — nơi bất kỳ câu trả lời nào là "phải để nhóm nền tảng kiểm lại đã" đều có nghĩa mặt phơi nhiễm đó không có người chịu trách nhiệm, và các lời phản biện được mang theo chứ không bị trả lời cho xong: tấn công lừa đảo và mã độc đòi tiền vẫn gây ra áp đảo phần lớn các tổn thất thực tế nên đây là vệ sinh cho một mặt phơi nhiễm mới chứ không phải một lần xếp lại ưu tiên ngân sách an ninh, S4 là quản lý danh tính và truy cập còn S1 là kiểm tra dữ liệu đầu vào nên một "chương trình an ninh AI" đóng silo có thể hút vốn khỏi công việc zero-trust vốn sẽ phủ cả hai, một "lỗ hổng số một" khách quan thì gần như không thể bác bỏ được nên thứ tự ở đây là thứ tự của bằng chứng và anh/chị nên tự xếp hạng cho mình, và mặt phơi nhiễm còn thiếu trên bản đồ là sự phụ thuộc quá mức của con người vào đầu ra của agent — một trợ lý chỉ đọc tạo ra một bản tóm tắt tuân thủ sai rồi một lãnh đạo hành động theo đó là một vấn đề pháp lý mà không có cấu phần mật mã nào cả, và có thể là thất bại khả dĩ nhất trong một ngân hàng Việt Nam năm 2026

Năm trang · miễn phí khi đăng nhập thành viên · PDF.

Một lưu ý về bản tải về, trên tinh thần đúng kỷ luật truy nguồn mà playbook này cổ vũ. Nó được dựng ngày 06/9/2026, trước khi tuyên bố về thứ tự xếp hạng trên trang này được sửa. Ở chỗ bản PDF nói mặt công cụ và hành động mang "tỷ lệ tấn công đo được cao nhất", hãy đọc trang này thay vào đó: thứ tự đó là nhận định phân tích của khung tư duy này, không phải một kết quả đo được, bởi các tài liệu về mối đe dọa nằm sau nó — OWASP Top 10 for LLM Applications, NIST AI 100-2, NIST AI 600-1 và MITRE ATLAS — là các hệ phân loại không công bố tỷ lệ tấn công thành công có thể so sánh được. Bảng Việt Nam trong bản PDF cũng đặt khung bản đánh giá tác động theo Điều 21(1) của PDPL như một bổn phận chỉ áp cho việc ra quyết định tự động; bổn phận đó là vô điều kiện. Mọi phần còn lại trong bản PDF vẫn đứng, và một bản đã sửa sẽ thay thế nó.

Xem: youtu.be/ZwoNSULGysc

Muốn nhận bản hằng tuần? Đăng ký The AI Architect Letter · Đọc các bài phân tích mới nhất.