XÂY DỰNG HỆ THỐNGAI-DOS: BẢO VỆ AI CÁ NHÂN BẰNG KIẾNTRÚCNHIỀUTẦNG

Abstract

Luận văn xây dựng AI-DOS, một hệ thống bảo vệ AI cá nhân chạy cục bộ theo kiến trúc đa tầng. Thay vì chỉ kiểm tra câu lệnh đầu vào, hệ thống kiểm soát kế hoạch hành động, kết nối mạng, dữ liệu RAG, tệp tin và môi trường vận hành. Kiến trúc gồm 5 phân hệ cốt lõi: Perception, Execution Guard, Network Guard, Central Decision và Cross-Monitoring, giao tiếp thông qua EventBus. Mọi tác vụ của AI đều phải được kiểm tra trước khi có thể tạo ra thay đổi thực tế trên máy tính. Phiên bản hiện tại có cơ chế giám sát trạng thái dịch vụ và phục hồi Khiên bảo vệ (Shield) theo từng giai đoạn 3→2→1→0. Hệ thống hỗ trợ chế độ hội thoại cô lập khi rủi ro cao và lưu lại quá trình ra quyết định. Mô hình tin cậy B8 tách riêng độ tin cậy của chủ sở hữu khỏi rủi ro của nguồn dữ liệu, qua đó hạn chế việc nội dung nguy hiểm từ RAG hoặc Web làm giảm sai lệch độ tin cậy của chủ sở hữu. Đối với RAG, hệ thống kiểm tra dữ liệu bằng RAG Ingestion Guard, quản lý mã băm SHA-256, tạo vector bằng EmbeddingGemma và lập chỉ mục trên Qdrant để truy xuất theo nội dung. Corpus thử nghiệm có dung lượng khoảng 1000,04 MiB và sau khi đồng bộ đầy đủ đã tạo 402.579 vector. Bộ kiểm thử RAG cũng đã xác nhận khả năng tạo vector và truy xuất dữ liệu trên Qdrant. Kết quả kiểm thử hồi quy ghi nhận 250 bài kiểm tra đạt (PASS), 3 bài được bỏ qua (SKIP) và 19 phép kiểm tra con đạt. Kết quả thực nghiệm cho thấy AI-DOS có khả năng phát hiện và ngăn chặn các tình huống như tiêm lệnh, nhiễm độc bộ nhớ và SSRF, đồng thời duy trì cơ chế từ chối và đóng an toàn (fail-close) khi xảy ra sự cố. This thesis develops AI-DOS, a locally deployed personal AI protection system based on a multi-layer security architecture. Instead of checking only user prompts, the system also controls action plans, network connections, RAG data, protected files, and the runtime environment. The architecture consists of five core components: Perception, Execution Guard, Network Guard, Central Decision, and Cross-Monitoring, which communicate through an EventBus. All AI tasks must pass security checks before they are allowed to create actual side effects on the computer. The current version includes service-status monitoring and a staged recovery mechanism for the Shield, progressing from level 3 to 2 to 1 and finally 0. The system supports Isolated Chat when the risk is high and records the decision-making process. The B8 trust model separates owner identity trust from source-related risk, helping prevent harmful content from RAG or the Web from incorrectly reducing the owner's trust level. For RAG, the system checks data using RAG Ingestion Guard, manages SHA-256 hashes, generates vectors with EmbeddingGemma, and indexes them in Qdrant for semantic retrieval. The experimental corpus is approximately 1000.04 MiB and, after full synchronization, produced 402,579 vectors. RAG tests also confirmed the ability to generate vectors and retrieve data from Qdrant. The latest regression tests recorded 250 PASS, 3 SKIP, and 19 subtests PASS. The experimental results show that AI-DOS can effectively detect and prevent threats such as prompt injection, memory poisoning, and SSRF, while maintaining deny-by-default and fail-close mechanisms when failures occur.