Guardrail nhiều lớp và triển khai an toàn - chính sách nội dung, quyền tối thiểu, định danh

Một câu trong system prompt như "không bao giờ được nói về chủ đề X" là một guardrail, nhưng là guardrail yếu nhất: model làm theo phần lớn thời gian, không phải mọi lúc. Khi yêu cầu là "trong bất kỳ trường hợp nào", bạn cần thêm những lớp không phụ thuộc vào việc model có nghe lời hay không.

Bài này giúp bạn trả lời: dựng guardrail thế nào để một lớp hỏng không gây hại, và triển khai ứng dụng Claude sao cho an toàn ngay từ thiết kế?

Ví dụ xuyên suốt: gia sư AI của nền tảng học trực tuyến cho trẻ em

Một nền tảng học trực tuyến cho học sinh 8–12 tuổi có gia sư dùng Claude: trả lời câu hỏi bài tập, gợi ý cách giải chứ không giải hộ, đọc vài trang tham khảo do giáo viên chọn. Chính sách nội dung của nền tảng có ba điều tuyệt đối:

1. Không nội dung bạo lực hay không phù hợp lứa tuổi.
2. Không hỏi hay lưu thông tin cá nhân của trẻ (địa chỉ nhà, trường, số điện thoại).
3. Không đưa đáp án cho bài kiểm tra đang diễn ra.

Dữ liệu học sinh phải được xử lý theo quy định về nơi lưu trữ của đối tác là các sở giáo dục.

Vì sao phải nhiều lớp

Mỗi lớp guardrail đều có lúc hỏng: bộ lọc bỏ sót một cách diễn đạt mới, system prompt bị một câu khéo vượt qua. Docs về chống jailbreak kết luận bằng lời khuyên kết hợp nhiều chiến lược; bài viết "How we contain Claude" của Anthropic nói các lớp phòng thủ nên chồng lên và bù cho nhau. Đề thi gọi đây là xếp lớp guardrail (guardrail layering).

Guardrail bằng prompt và guardrail tất định

Hai loại guardrail khác nhau về độ chắc chắn:

• Bằng prompt: system prompt, ví dụ mẫu, chỉ dẫn cách từ chối. Model làm theo phần lớn thời gian. Hợp với hành vi mong muốn, giọng điệu.
• Tất định (deterministic): code chạy ngoài model và luôn chạy, như bộ lọc đầu ra, kiểm schema, luật quyền, hook. Docs best practices của Claude Code nói rõ: quy tắc trong CLAUDE.md được làm theo gần như mọi lần, nhưng thứ gì phải xảy ra mọi lần thì đưa vào hook, luật deny hoặc managed setting, để kết quả không còn phụ thuộc vào việc model nhớ hay quyết định gì (bài 7.3).

Quy tắc chọn: chính sách ghi "tuyệt đối", "trong bất kỳ trường hợp nào" thì phải có ít nhất một lớp tất định. Prompt vẫn hữu ích như lớp đầu, nhưng không phải là cơ chế thực thi.

Thực thi chính sách nội dung

Với chính sách nội dung (content policy), docs về chống jailbreak gợi ý các lớp cho đầu vào của người dùng:

• Sàng lọc vô hại bằng một lần gọi Haiku 5.5 trước khi câu hỏi tới cuộc hội thoại chính; dùng structured outputs để kết quả là một nhãn rõ ràng.
• Kiểm đầu vào lọc các mẫu đã biết.
• System prompt nêu giá trị của ứng dụng và câu từ chối cụ thể.
• Người cố tình lặp lại: cảnh báo, giới hạn, chặn.

Với nội dung bên thứ ba (trang tham khảo), docs thêm: đưa vào tool_result, mã hoá JSON, sàng lọc kết quả tool trước khi Claude đọc, và thử tấn công chính hệ thống trước khi triển khai (bài 7.1).

Ở đầu ra, nền tảng chạy một bộ lọc bằng code: tìm số điện thoại, địa chỉ, từ trong danh sách cấm; nếu có thì thay bằng câu trả lời an toàn và ghi lại để người duyệt xem.

An toàn từ thiết kế

Đề thi nhắc nguyên tắc an toàn từ thiết kế (secure-by-design): quyền riêng tư, quản lý định danh và truy cập, quyền tối thiểu.

Quyền tối thiểu. Bài viết "How we contain Claude" mô tả cách giới hạn phạm vi thiệt hại: thay vì chỉ giám sát agent làm gì, giới hạn agent có thể làm gì bằng sandbox, ranh giới file, kiểm soát kết nối ra ngoài. Gia sư AI chỉ có tool đọc trang tham khảo trong danh sách giáo viên chọn; không có tool nào chạm tới hồ sơ học sinh.

Định danh, không dùng khoá tĩnh. Docs xác thực của Claude API khuyên dùng Workload Identity Federation (WIF) cho production trên cloud, CI/CD, Kubernetes: workload đổi token định danh do nhà cung cấp định danh của bạn cấp (AWS IAM, Google Cloud, GitHub Actions…) lấy một token truy cập ngắn hạn của Anthropic. Không còn khoá API sống lâu trong môi trường, nên một thông tin bị lộ gây ít thiệt hại hơn (chi tiết khoá ở bài 7.4).

Quyền riêng tư và nơi xử lý dữ liệu. Khi chính sách bắt dữ liệu phải ở trong hạ tầng của mình, chọn cách triển khai giữ dữ liệu ở đó ngay từ đầu, kể cả khi phải gánh thêm việc vận hành. Ví dụ, Managed Agents với sandbox tự host giữ việc chạy tool, file và kết nối mạng trong hạ tầng của bạn, phù hợp yêu cầu tuân thủ hay nơi lưu dữ liệu.

1. Chính sách ghi "tuyệt đối"?Thêm một lớp tất định: lọc đầu ra, luật quyền, hook
2. Người dùng có thể là kẻ tấn công?Sàng lọc đầu vào, xử lý người cố tình
3. Claude đọc nội dung bên thứ ba?tool_result, mã hoá JSON, sàng lọc kết quả tool
4. Agent có quyền làm hại nếu bị lừa?Bỏ bớt quyền, sandbox, người duyệt hành động nhạy cảm
5. Còn lạiThử tấn công chính hệ thống trước khi triển khai