Bộ lọc spam của bạn không đọc email. Nó đếm các dấu hiệu.

Google chặn gần 15 tỷ tin nhắn không mong muốn mỗi ngày, và nó làm điều này mà không cần bất cứ thứ gì mà bạn có thể nhận ra là "đọc". Không có mô hình nào đang ngồi đó đọc từng từ của lời nhắc nhở từ nha sĩ của bạn. Bức tranh tâm lý đó — một kẻ ngồi rình rập kỹ thuật số nhìn vào hộp thư của bạn, hấp thụ những bí mật của bạn — là nỗi sợ hãi mà hầu hết mọi người mang theo, và nó nhằm vào sai mục tiêu.

Đây là những gì thực sự đang xảy ra. Khi email đến bộ lọc, hệ thống không bắt đầu với nội dung của bạn. Nó bắt đầu với phần đầu thư. Ai đã gửi cái này, và máy chủ gửi có quyền thực sự sử dụng tên miền đó không? Đó là SPF, DKIM và DMARC — ba kiểm tra xác nhận xem "billing@yourbank.com" có đến từ cơ sở hạ tầng của ngân hàng của bạn hay từ máy chủ cho thuê trong tầng hầm của ai đó không. Một kẻ lừa đảo có thể sao chép logo hoàn hảo và vẫn thất bại DKIM, và sự không phù hợp mã hóa duy nhất này cho bộ lọc biết nhiều hơn bất kỳ câu nào trong nội dung email từng có thể.

Sau đó là những tín hiệu rẻ hơn. Uy tín của người gửi: địa chỉ IP này có đang phát hàng triệu tin nhắn giống hệt nhau không? Phân tích liên kết: nút "bấm vào đây" có trỏ đến nơi mà văn bản hiển thị không thừa nhận không? Tuổi của URL, các chuỗi chuyển hướng, loại tệp đính kèm. Phần lớn quyết định về spam được giải quyết trước khi mô hình suy nghĩ kỹ về ngôn ngữ.

Khi ngôn ngữ bước vào, nó không phải là hiểu biết — nó là toán học. Các bộ lọc theo kiểu cũ sử dụng bộ phân loại Bayes, phương pháp mà Paul Graham đã phổ biến trong bài tiểu luận năm 2002 của ông "A Plan for Spam", điều này cho những tin nhắn điểm dựa trên xác suất rằng những từ nhất định xuất hiện trong spam so với email thực. Từ "Viagra" mang một con số. Các hệ thống hiện đại đi xa hơn với các mô hình dựa trên transformer biến văn bản thành các embedding — những danh sách dài các con số nắm bắt nghĩa mà không lưu trữ ý nghĩa dưới dạng từ. Đối với bộ phân loại, email của bạn không phải là một câu chuyện. Nó là một điểm trong không gian chiều cao, và câu hỏi là liệu điểm đó có nằm gần cụm được gắn nhãn "phishing" không.

Sự khác biệt đó là quan trọng, vì "AI nhìn thấy những từ của tôi" và "AI chuyển đổi những từ của tôi thành một vector và so sánh nó với một mô hình gian lận" không phải là cùng một sự kiện bảo mật riêng tư. Cái này nghe như thế như lắng nghe trộm. Cái kia gần giống với một máy dò kim loại: nó phản ứng với một chữ ký, không phải một lời thú nhận.

Vì vậy, câu hỏi thực sự không phải là liệu một mô hình có chạm vào văn bản của bạn không. Tất nhiên nó có — đó là công việc. Câu hỏi có hai chiều, và đó là nơi bạn thực sự nên chỉ ra sự nghi ngờ của mình. Thứ nhất: lưu trữ. Nội dung có được lưu giữ không, và trong bao lâu? Chính sách API của OpenAI, ví dụ, nêu rõ rằng nó không sử dụng dữ liệu API doanh nghiệp để đào tạo các mô hình của nó và chỉ giữ lại nó trong một cửa sổ hạn chế trước khi xóa. Anthropic xuất bản các điều khoản thương mại tương tự. Những chính sách này là những thứ đáng đọc, chứ không phải những lời đảm bảo về cách một logo trông "riêng tư".

Thứ hai: nơi xảy ra suy luận. Một bộ lọc chạy phân loại bên trong tường riêng của nhà cung cấp của bạn là một hồ sơ rủi ro khác với văn bản được gửi đến một mô hình của bên thứ ba mà bạn chưa bao giờ nghe nói. "Trên thiết bị hoặc trong khách hàng" so với "gửi đi nơi khác" là nhánh bảo mật riêng tư quyết định ai có thể, về lý thuyết, bao giờ thấy bất cứ điều gì.

Đây cũng là lý do tại sao sự hoảng loạn "nó quét mọi thứ" lại phản tác dụng. Các hệ thống quét mọi thứ là những hệ thống bảo vệ bạn — những bộ phân loại chặn hóa đơn giả và trang đăng nhập giả. Việc quét nguy hiểm là loại im lặng: pixel theo dõi trong một bản tin sẽ gửi ping đến máy chủ ngay khi bạn mở nó, ghi lại IP của bạn và thời gian bạn đọc nó. Đó là một kẻ rình rập thực sự, và nó không phải bộ lọc spam.

Lo lắng về lưu trữ. Lo lắng về đích đến. Mô hình đọc những từ của bạn để tìm clues là điều nhỏ nhất trong số đó.