Quyền truy cập phải được kiểm tra trong lúc lắp ghép ngữ cảnh, trước khi nội dung được chuyển cho mô hình. Hệ thống cần xác định người hỏi, quyền hiện tại của họ và nguồn dữ liệu được phép sử dụng tại thời điểm truy vấn. Nếu tài liệu bị từ chối ở bước này, mô hình sẽ không nhìn thấy nội dung đó.
Một nhân viên rời nhóm tài chính lúc 9 giờ sáng thứ Hai. Hệ thống chỉ đồng bộ quyền truy cập vào 2 giờ sáng mỗi ngày. Trong 17 giờ tiếp theo, người đó vẫn có thể lấy tài liệu tài chính từ chỉ mục truy xuất. Hệ thống không biết quyền của họ đã thay đổi. Ví dụ này được Truto đưa ra và được phân tích trong bài viết gốc của The New Stack.
Trong một cuộc rà soát bảo mật, câu hỏi có thể cụ thể hơn. Làm sao hệ thống không tóm tắt bản đánh giá thu nhập của giám đốc điều hành cho một thực tập sinh chỉ hỏi về khung lương? Một bộ lọc gắn sau khâu truy xuất không thể đưa ra bảo đảm đó nếu mô hình đã nhận được tài liệu.
Khâu lắp ghép ngữ cảnh quyết định phần tri thức doanh nghiệp nào được chuyển cho mô hình. Quyết định này dựa trên người hỏi, câu hỏi và thời điểm truy vấn. Trước đó là lưu trữ. Sau đó là suy luận. Nếu tài liệu bị từ chối ngay tại khâu lắp ghép, mô hình không bao giờ đọc được nội dung ấy.
Quyền truy cập không phải là bộ lọc được áp dụng sau khi ngữ cảnh đã được lắp ghép.
Cách tiếp cận này liên quan trực tiếp đến việc xây dựng hạ tầng AI trong doanh nghiệp. Một hệ thống có thể truy xuất nhanh và trả lời chính xác, nhưng chưa thể đưa vào vận hành nếu không xác định được ai có quyền xem từng phần dữ liệu.
Công bố không đồng nghĩa với đã phát hành
AWS, Microsoft và Databricks đều đang đưa danh tính và quyền vào kiến trúc truy xuất cho AI, nhưng mức độ sẵn sàng của từng sản phẩm khác nhau. Một thông báo kiến trúc không có nghĩa là doanh nghiệp đã có thể mua, triển khai hoặc áp dụng cùng một cơ chế quyền trên mọi nguồn dữ liệu.
AWS công bố AWS Context tại hội nghị New York Summit vào tháng 6 năm 2026. Theo mô tả được The New Stack dẫn lại, đồ thị ngữ cảnh sẽ chịu sự quản lý của cùng hệ thống quyền đang áp dụng cho hồ dữ liệu thông qua Glue Data Catalog, SageMaker Unified Studio và Lake Formation. Danh tính được kiểm tra lại khi người dùng gửi yêu cầu, với chính sách ở cấp cột, hàng và ô mà quyền trên đối tượng S3 không thể tự cung cấp.
Trạng thái sản phẩm là điểm cần phân biệt. Theo The New Stack, gần ba tháng sau thông báo, AWS Context vẫn được ghi là sắp ra mắt, chưa có ngày phát hành rộng rãi, danh sách khu vực hay giá bán. Amazon Bedrock Managed Knowledge Base đã được phát hành rộng rãi trong ngày công bố, khiến hai sản phẩm dễ bị hiểu nhầm là cùng một dịch vụ đã sẵn sàng.
Sản phẩm nào đã sẵn sàng
Microsoft đi trước một ngày. Theo The New Stack, Work IQ API được phát hành rộng rãi ngày 16 tháng 6 năm 2026. Sản phẩm hoạt động theo ngữ cảnh của người dùng đã đăng nhập, tuân thủ quyền trong Microsoft 365 và được tính phí bằng Copilot Credits.
AWS công bố AWS Context ngày 17 tháng 6 năm 2026, nhưng tại thời điểm bài gốc được viết, doanh nghiệp vẫn chưa thể mua sản phẩm này.Databricks tiếp cận cùng vấn đề bằng cách mở rộng Unity Catalog tới tác tử. Tuy nhiên, các đối tác trong hệ sinh thái được The New Stack dẫn lời cho biết lớp bảo vệ gắn với Databricks Runtime thay vì gắn trực tiếp với dữ liệu. Quyền đó có thể không còn hiệu lực khi một công cụ phân tích kinh doanh hoặc máy chủ giao thức kết nối mô hình truy cập thẳng vào cùng nguồn.
Các nhóm phát triển không chờ những nền tảng này hoàn thiện. Nhiều hệ thống đã dùng chỉ mục phẳng trong khi cơ chế truy xuất có nhận biết danh tính vẫn nằm trong kế hoạch. Đây cũng là lý do đánh giá tác tử AI phải là một phần của sản phẩm, thay vì chỉ được thực hiện sau khi bản thử nghiệm đã gây ấn tượng.
Hồ dữ liệu không đại diện cho toàn bộ doanh nghiệp
Quyền trong hồ dữ liệu chỉ bảo vệ phần dữ liệu do hồ đó quản lý. Salesforce, Slack, Google Drive, Confluence và các hệ thống khác vẫn phải thực thi quy tắc chia sẻ riêng. Khâu lắp ghép ngữ cảnh cần duy trì danh tính khi truy vấn đi qua những ranh giới này.
Lake Formation có thể áp dụng quyền chi tiết trong hồ dữ liệu do nó quản lý. Những quyền ấy không tự trở thành quy tắc chia sẻ trong Salesforce, Slack, Google Drive hay Confluence.
Quyền phải đi cùng người dùng
Hướng dẫn của AWS về việc truyền ngữ cảnh ủy quyền qua AgentCore mô tả cách chuyển cho Salesforce một mã truy cập giới hạn theo đúng người dùng. Salesforce sau đó áp dụng quy tắc chia sẻ của mình. Theo cách diễn đạt được The New Stack trích lại, tác tử đóng vai trò điều phối, còn dịch vụ phía sau chịu trách nhiệm thực thi quyền.
Ranh giới sản phẩm ở đây khá rõ. Lake Formation không thay Salesforce, GitHub, Jira, Slack, Confluence hay Google Drive quyết định ai được xem nội dung nào. Mỗi hệ thống phải thực thi quy tắc của chính nó.
AWS cũng nói rõ giới hạn của lọc siêu dữ liệu: đây là cơ chế thực thi ở tầng ứng dụng, còn giao diện Retrieve của Bedrock không đưa nội dung bộ lọc siêu dữ liệu thành điều kiện trong IAM. Vì vậy, thẻ gắn trên từng đoạn dữ liệu không phải là ranh giới danh tính. Thẻ chỉ có tác dụng khi mã ứng dụng luôn xử lý đúng.
Khi tác tử thu thập nội dung từ nhiều hệ thống, khâu lắp ghép ngữ cảnh phải duy trì danh tính xuyên suốt các ranh giới ấy. Đây là vấn đề rộng hơn cách một tác tử AI hoạt động, bởi mỗi lần chuyển dữ liệu cũng là một lần hệ thống cần xác nhận quyền.
Điều gì xảy ra khi việc ủy quyền đến quá muộn
Thời điểm kiểm tra quyền quyết định liệu mô hình có nhìn thấy dữ liệu bị hạn chế hay không. Lọc sau khi tài liệu đã được nạp, xếp hạng lại, tóm tắt hoặc lưu vào bộ nhớ đệm là quá muộn. Lọc trước khi nội dung rời ranh giới truy xuất vẫn có thể bảo vệ dữ liệu.
Một hệ thống có thể tìm trong chỉ mục hỗn hợp, lấy về các mã định danh chưa chứa nội dung, kiểm tra quyền rồi chỉ nạp những tài liệu người dùng được phép đọc. Cách lọc này vẫn an toàn vì văn bản bị hạn chế chưa bao giờ rời khỏi ranh giới truy xuất.
Nội dung đã rời ranh giới truy xuất
Rủi ro xuất hiện khi hệ thống kiểm tra quyền sau lúc tài liệu đã được nạp, xếp hạng lại, tóm tắt hoặc lưu vào bộ nhớ đệm. Khi đó, cơ chế ủy quyền chỉ xử lý hậu quả. Nếu nội dung đã tới mô hình, mô hình đã đọc dữ liệu mà người hỏi không được quyền truy xuất. Một lỗi lập trình hoặc chỉ dẫn độc hại trong khoảng thời gian này có thể làm lộ nội dung.
Jiale Liu, Jiahao Zhang và Suhang Wang tại Penn State đã kiểm thử đối kháng hệ thống truy xuất dựa trên đồ thị. Theo kết quả được The New Stack tóm lược, việc tóm tắt làm giảm rò rỉ trong các cuộc tấn công không nhắm mục tiêu nhưng có thể làm tăng rò rỉ khi cuộc tấn công nhắm vào một thông tin cụ thể. Phần tóm tắt thường giữ lại chi tiết nổi bật, trong khi chính chi tiết đó có thể là dữ liệu nhạy cảm.
The New Stack cũng dẫn một bản thảo nghiên cứu năm 2026 phát hiện rò rỉ giữa các bên thuê trong quy trình chuyển từ tìm kiếm véc tơ sang đồ thị. Nhóm nghiên cứu loại bỏ rò rỉ bằng cách kiểm tra lại quyền ở từng chặng. Hai thành phần có thể an toàn khi đứng riêng nhưng tạo thành một hệ thống không an toàn nếu không ai xác nhận quyền tại điểm chuyển tiếp.
Hai thành phần an toàn riêng lẻ vẫn có thể tạo thành một hệ thống không an toàn nếu quyền không được kiểm tra lại khi dữ liệu chuyển tiếp.
Quyền thay đổi trong khi chỉ mục vẫn giữ dữ liệu cũ
Khoảng trễ 17 giờ trong ví dụ mở đầu là cùng một lỗi diễn ra chậm hơn. Quyền chia sẻ trực tiếp, nhóm lồng nhau và liên kết công khai có thể thay đổi độc lập. Danh sách người dùng được phép xem gắn cố định vào từng đoạn dữ liệu chỉ là ảnh chụp của một đồ thị quan hệ vẫn tiếp tục thay đổi.
Rủi ro này đã được đưa vào hướng dẫn bảo mật phổ biến. Theo The New Stack, bản sửa đổi năm 2025 của danh sách mười rủi ro hàng đầu đối với ứng dụng mô hình ngôn ngữ lớn do OWASP công bố đã chuyển nguy cơ lộ thông tin nhạy cảm từ vị trí thứ sáu lên thứ hai. Danh sách cũng bổ sung rủi ro về véc tơ và dữ liệu nhúng, trong đó nêu khả năng ngữ cảnh bị rò rỉ giữa những người dùng chung cơ sở dữ liệu véc tơ và khuyến nghị sử dụng kho dữ liệu có nhận biết quyền.
Truy xuất có thể làm lộ dữ liệu vốn đã được chia sẻ quá rộng
Kiểm tra danh tính đúng lúc không sửa được một đồ thị quyền vốn đã sai hoặc quá rộng. Hệ thống truy xuất có thể tuân thủ đầy đủ quyền hiện có nhưng vẫn tìm ra những tài liệu mà người dùng không nên được cấp quyền từ đầu. Microsoft 365 Copilot cho thấy rõ giới hạn này.
Theo báo cáo khảo sát của Gartner năm 2024, 132 lãnh đạo công nghệ thông tin đã tham gia khảo sát. Số liệu được The New Stack dẫn lại cho thấy tình trạng chia sẻ quá mức khiến 40 phần trăm người tham gia trì hoãn triển khai Microsoft 365 Copilot ít nhất 3 tháng. Copilot không nhất thiết vi phạm quyền. Microsoft kiểm tra quyền của người dùng tại thời điểm truy vấn và giới hạn kết quả theo nội dung mà tài khoản đã đăng nhập được phép truy cập.
Vấn đề là người dùng đã có quyền mở những tài liệu đó từ trước. Dữ liệu vẫn có vẻ riêng tư chủ yếu vì khó tìm. Hệ thống truy xuất tìm được nội dung nằm rải rác, vì vậy nó có thể phơi bày quy mô của một lỗi chia sẻ vốn chưa được chú ý.
Giới hạn này không làm giảm vai trò của khâu lắp ghép ngữ cảnh. Lắp ghép ngữ cảnh không sửa được đồ thị quyền sai. Đây là điểm cuối cùng mà một đồ thị quyền đúng còn có thể ngăn tài liệu tới mô hình.
Danh tính phải xuất hiện ở đâu
Danh tính phải được giải quyết trong lúc lắp ghép ngữ cảnh, trước khi văn bản bị hạn chế được nạp và chuyển cho mô hình. Mỗi nguồn dữ liệu vẫn thực thi quy tắc riêng, còn hệ thống phải kiểm tra lại quyền tại các điểm chuyển tiếp và khi quyền của người dùng thay đổi.
Một nhóm xây dựng hệ thống truy xuất cho doanh nghiệp nên trả lời được bốn câu hỏi:
- Danh tính được xác định trong lúc lắp ghép ngữ cảnh hay sau khi tài liệu đã được truy xuất?
- Bao nhiêu phần ngữ cảnh nằm ngoài hồ dữ liệu, trong hội thoại, phiếu công việc và tài liệu mà IAM không quản lý?
- Khoảng trễ lớn nhất là bao lâu khi một nhân viên đổi nhóm hoặc mất quyền truy cập?
- Hệ thống có kiểm tra lại quyền ở từng chặng hay chỉ kiểm tra một lần tại cửa vào?
Nếu chưa thể trả lời rõ bốn câu hỏi này, bản thử nghiệm AI chưa sẵn sàng trở thành hệ thống sản xuất. Việc bổ sung quyền ở bước cuối không thay đổi được thực tế rằng mô hình có thể đã đọc tài liệu trước khi bộ lọc hoạt động.
Hãy rà lại đường đi của danh tính trong hệ thống trước khi đưa tác tử AI vào dữ liệu thật.
