Rủi ro bảo mật khi để AI viết code cho dự án thật

AI giúp viết code nhanh hơn nhiều, nhưng đoạn code nó trả về không tự động an toàn. Có thể chứa lỗ hổng, dùng thư viện không tồn tại, hoặc khiến bạn vô tình đưa dữ liệu nhạy cảm cho dịch vụ bên ngoài. Với dự án thật (website bán hàng, phần mềm có dữ liệu khách), bạn cần coi code AI như code của một người mới: hữu ích nhưng phải được xem xét kỹ.

Bài này tóm tắt những rủi ro bảo mật chính và một quy trình kiểm tra thực tế, dành cho cả người mới lẫn người có kinh nghiệm.

Rủi ro 1: Lộ thông tin nhạy cảm khi dán vào prompt

Đây là rủi ro dễ xảy ra nhất. Khi bạn dán đoạn code kèm khóa API, mật khẩu cơ sở dữ liệu, chuỗi kết nối hoặc dữ liệu thật của khách vào AI công cộng, những thông tin đó rời khỏi hệ thống của bạn.

• Không dán khóa API, mật khẩu, token, chuỗi kết nối vào prompt. Thay bằng giá trị giả như YOUR_API_KEY.
• Không dán dữ liệu khách hàng thật. Hãy dùng dữ liệu mẫu.
• Kiểm tra chính sách dữ liệu và cài đặt quyền riêng tư của công cụ AI bạn dùng, vì tùy dịch vụ và gói. Xem những thông tin không nên đưa vào ChatGPT và AI.
• Nếu lỡ dán khóa thật, hãy thu hồi và tạo khóa mới ngay.

Rủi ro 2: Code có lỗ hổng bảo mật

AI học từ rất nhiều code, trong đó có cả code kém an toàn. Một số lỗi thường gặp trong code do AI viết:

• Nối chuỗi vào câu lệnh cơ sở dữ liệu thay vì dùng truy vấn tham số hóa, dẫn tới lỗi SQL injection.
• Không kiểm tra, làm sạch dữ liệu người dùng nhập, mở đường cho XSS (chèn script độc vào trang).
• Thiếu kiểm tra quyền truy cập: ai đăng nhập cũng xem được dữ liệu của người khác.
• Tự viết mã hóa, băm mật khẩu bằng thuật toán yếu hoặc sai cách.
• Ghi sẵn mật khẩu, khóa bí mật trong mã nguồn.
• Cấu hình quá rộng rãi: cho phép mọi nguồn truy cập, tắt kiểm tra chứng chỉ để “chạy cho được”.

Rủi ro 3: Thư viện và lệnh “bịa” hoặc nguy hiểm

AI đôi khi đề xuất thư viện không tồn tại, hoặc tên gần giống thư viện thật. Kẻ xấu có thể đăng gói độc hại dưới tên đó, và nếu bạn cài theo, mã độc vào dự án.

• Kiểm tra tên gói trên trang chính thức, xem số người dùng, ngày cập nhật, kho mã nguồn.
• Đọc kỹ lệnh terminal trước khi chạy, nhất là lệnh xóa, đổi quyền hay tải về rồi chạy ngay.
• Không chạy lệnh bạn không hiểu trên máy chứa dữ liệu thật. Hãy thử trong môi trường thử nghiệm (máy ảo, thư mục riêng, cơ sở dữ liệu thử).
• Ghi lại phiên bản thư viện đang dùng và cập nhật có kiểm soát.

Rủi ro 4: Tin tưởng quá mức

AI thường trả lời rất tự tin dù sai. Một số cạm bẫy:

• Code cũ hoặc đã lỗi thời: dùng hàm đã bị loại bỏ hoặc thư viện có lỗ hổng đã biết.
• Không hiểu bối cảnh dự án: code hợp lý ở nơi khác nhưng không hợp với hệ thống của bạn.
• Bỏ qua trường hợp biên: dữ liệu rỗng, người dùng nhập sai, tải lên tệp lớn hoặc tệp độc hại.
• Người viết không hiểu code mình dán vào: khi có sự cố, không ai biết sửa.

Quy trình dùng AI viết code an toàn hơn

1. Chuẩn bị prompt sạch: thay thông tin nhạy cảm bằng giá trị giả, mô tả bối cảnh và yêu cầu bảo mật (ví dụ “dùng truy vấn tham số hóa, kiểm tra quyền”).
2. Đọc và hiểu từng đoạn trước khi dùng. Có thể nhờ AI giải thích, nhưng bạn phải tự kiểm chứng.
3. Chạy thử trong môi trường thử nghiệm với dữ liệu giả, không chạy thẳng trên hệ thống thật.
4. Rà soát bảo mật: kiểm tra danh mục lỗi thường gặp ở trên, dùng công cụ quét tĩnh có sẵn trong môi trường lập trình của bạn.
5. Nhờ người khác xem lại (code review), nhất là phần xử lý đăng nhập, thanh toán, dữ liệu cá nhân.
6. Quản lý bí mật đúng cách: dùng biến môi trường hoặc kho bí mật, không đẩy khóa lên kho mã nguồn.
7. Ghi nhận phần nào do AI hỗ trợ trong dự án để sau này dễ rà soát.
8. Sao lưu và theo dõi hệ thống sau khi triển khai.

Nếu bạn mới học lập trình, xem cách dùng AI hỗ trợ học lập trình cho người mới để dùng AI như người hướng dẫn, không phải người làm thay.

Với doanh nghiệp

Khi dự án gắn với dữ liệu khách hàng hay thanh toán, rủi ro lớn hơn nhiều. Doanh nghiệp nên có quy định nội bộ về việc nhân viên được hay không được dán code, dữ liệu vào công cụ AI, và có người chịu trách nhiệm rà soát. Cường Tech hỗ trợ phần mềm theo yêu cầu, thiết kế website và vận hành hệ thống IT với quy trình kiểm tra bảo mật.

Cần hỗ trợ thêm?

Nếu website hoặc phần mềm của bạn có dấu hiệu bị tấn công hay rò rỉ dữ liệu, hãy liên hệ qua trang liên hệ hoặc hotline/Zalo 0943.847.333 để được hỗ trợ kiểm tra.