Chúng ta luôn "chống lại" kiểm soát rủi ro, nhưng có lẽ hướng đi đã sai

Trong hai năm gần đây, khi trò chuyện với nhiều bạn bè làm thương mại điện tử xuyên biên giới và tiếp thị ở nước ngoài, tôi nhận thấy một hiện tượng: mọi người dành nhiều thời gian để thảo luận về "cách lách kiểm soát rủi ro của Facebook" hơn là thảo luận về sản phẩm và người dùng. Điều này khá thú vị và gợi nhớ lại bản thân tôi những năm đầu, để quản lý tài khoản hàng loạt, tôi đã khắp nơi tìm kiếm script, nghiên cứu vân tay trình duyệt, mày mò proxy IP, và làm điều đó một cách say mê.

Nhưng kết quả thì sao? Thường thì sau một "thành công" ngắn ngủi, sẽ là một đợt khóa tài khoản triệt để hơn. Sau đó, mọi người lại bắt đầu một vòng "nâng cấp công nghệ" mới. Vòng lặp này, tôi đã thấy quá nhiều lần. Vì vậy, hôm nay tôi muốn nói, không phải là những kỹ thuật "một chiêu đánh bại tất cả", mà là một số hiểu biết của tôi về logic kiểm soát rủi ro của Facebook trong những năm qua, và tại sao nhiều biện pháp "tự động hóa" mà chúng ta cho là thông minh lại trở nên mong manh như vậy trước nó.

Kiểm soát rủi ro không phải là "quy tắc", mà là một "hệ thống"

Nhiều người, bao gồm cả tôi trước đây, có xu hướng hình dung kiểm soát rủi ro như một loạt các "quy tắc" cố định. Ví dụ, "một IP đăng nhập hơn 5 tài khoản sẽ bị kích hoạt", "không được đăng quá 10 bài mỗi giờ". Do đó, tư duy đối đầu của chúng ta trở thành "tìm lỗ hổng quy tắc": sử dụng IP luân phiên, kiểm soát tần suất, sửa đổi vân tay trình duyệt để "đáp ứng" các quy tắc này.

Tư duy này có thể hiệu quả trong giai đoạn đầu, vì mô hình kiểm soát rủi ro lúc đó tương đối đơn giản. Nhưng vấn đề là, hệ thống kiểm soát rủi ro của Facebook (chúng ta tạm gọi nó là "hệ thống" thay vì "quy tắc") là động, dựa trên học máy. Nó không chỉ kiểm tra xem bạn có vi phạm một quy định rõ ràng nào đó hay không, mà còn đánh giá "tính hợp lý" trong mô hình hành vi tổng thể của bạn.

Ví dụ. Bạn viết một script hoàn hảo, mô phỏng thao tác nhấp chuột của con người, ngẫu nhiên hóa khoảng thời gian thao tác, thậm chí thêm cả quỹ đạo di chuyển chuột. Từ góc độ một phiên làm việc duy nhất, nó không có sơ hở. Nhưng hệ thống không chỉ nhìn vào lần này. Nó nhìn vào: "người dùng" này trong 30 ngày qua, IP đăng nhập đã nhảy từ Mỹ sang Đức rồi sang Nhật Bản; đường cong tăng trưởng bạn bè là một đường thẳng hoàn hảo; thời gian đăng bài luôn nằm trong vài khung giờ được script đặt ra, ngay cả khi múi giờ thay đổi cũng không hề lay chuyển; chưa bao giờ sử dụng ứng dụng di động, mặc dù email này đã đăng ký Instagram.

Những đặc điểm hành vi theo nhiều chiều, theo chuỗi thời gian dài này kết hợp lại, phác họa nên một bức chân dung cực kỳ "phi nhân". Hệ thống không cần "chứng minh" bạn đã sử dụng script, nó chỉ cần phán đoán "mô hình hành vi của người dùng này có sự khác biệt rất lớn so với phân phối xác suất của người dùng thực", thế là đủ để kích hoạt cảnh báo. Đây là lý do tại sao nhiều script "hoàn hảo", chạy một hoặc hai tuần, thậm chí một hoặc hai tháng sau, tài khoản vẫn gặp vấn đề. Kiểm soát rủi ro có sự kiên nhẫn, nó quan sát và học hỏi.

Những hành vi "nguy hiểm hơn khi quy mô tăng lên"

Khi mới khởi nghiệp, đội ngũ nhỏ, tài khoản ít, nhiều vấn đề bị che lấp. Một khi quy mô kinh doanh tăng lên, những hành vi dưới đây sẽ trở nên cực kỳ nguy hiểm:

1. Mê tín vào môi trường "sạch", bỏ qua tính nhất quán trong hành vi. Đây là cái bẫy lớn nhất. Nhiều người chi tiền lớn mua "IP dân cư", "SIM điện thoại thật", cho rằng có những "phần cứng" này thì sẽ yên tâm. Nhưng nếu tất cả các tài khoản đều sử dụng cùng một mô hình hành vi (ngay cả khi thao tác hoàn toàn giống nhau trên tất cả các tài khoản trong cùng một giây khi sử dụng công cụ như FBMM để thao tác hàng loạt), trong mắt hệ thống, điều này không khác gì sử dụng IP trung tâm dữ liệu. "Độ sạch" của vân tay môi trường và "sự bất thường" của vân tay hành vi, trọng số của cái sau có thể cao hơn.
2. Theo đuổi "tự động hóa hoàn toàn", từ bỏ can thiệp thủ công. Tự động hóa là để nâng cao hiệu quả, không phải để thay thế tất cả thao tác thủ công. Một tài khoản hoàn toàn không có sự can thiệp ngẫu nhiên của con người (ví dụ: thỉnh thoảng dùng ứng dụng di động lướt bảng tin, thích một bài viết, hoặc trả lời một bình luận phức tạp), quỹ đạo hành vi của nó quá "sạch" và "hiệu quả", bản thân nó đã là một tín hiệu rủi ro. Hệ thống thích thấy một chút "nhiễu", một chút "kém hiệu quả", đó mới là người dùng thực.
3. Bỏ qua "vòng đời" và "biểu đồ xã hội" của tài khoản. Một tài khoản mới, ngày thứ hai sau khi đăng ký đã bắt đầu điên cuồng kết bạn, tham gia nhóm, đăng liên kết quảng cáo. Điều này bị coi là bất thường trên bất kỳ nền tảng xã hội nào. Một tài khoản khỏe mạnh nên có đường cong tăng trưởng: giai đoạn đầu khám phá, thiết lập một số liên hệ ổn định, dần dần bắt đầu tương tác nội dung. Ngoài ra, nếu mạng lưới xã hội của tài khoản toàn là các tài khoản tiếp thị khác, hoặc giữa bạn bè không có bất kỳ bạn chung nào, tương tác bằng không, biểu đồ xã hội "cô lập" như vậy cũng rất dễ bị nhận diện.

Tôi nhớ đội ngũ của chúng tôi đã mắc một sai lầm lớn vào năm 2024. Khi đó, chúng tôi sử dụng một quy trình tự động hóa tự phát triển để quản lý hàng trăm tài khoản, các thao tác hàng ngày của tất cả các tài khoản (đăng nhập, duyệt, thích) đều được thực hiện theo lịch trình ngẫu nhiên nghiêm ngặt, chúng tôi cho rằng nó hoàn hảo. Kết quả là sau một lần cập nhật thuật toán quy mô lớn, nhóm tài khoản này đã bị gắn cờ hàng loạt vì "tính phối hợp hành vi quá cao". Bài học đó khiến tôi hiểu rằng, trong môi trường đối kháng, "ngẫu nhiên" nếu đến từ cùng một thuật toán, thì ở cấp độ cao hơn nó chính là "quy luật".

Từ "chống lại" đến "cùng tồn tại": Tư duy gần hơn với sự ổn định lâu dài

Sau đó, suy nghĩ của tôi dần thay đổi. Tôi không còn suy nghĩ về "làm thế nào để đánh bại kiểm soát rủi ro", mà suy nghĩ về "làm thế nào để tài khoản của tôi giống người dùng thực, có giá trị hơn trong mắt hệ thống". Sự thay đổi tư duy mang đến những trọng tâm thao tác hoàn toàn khác biệt:

• Ưu tiên tính chân thực hơn hiệu quả: Hy sinh một chút hiệu quả trong các thao tác quan trọng để đổi lấy sự an toàn cao hơn. Ví dụ, "thời gian nuôi dưỡng" tài khoản mới không thể bị rút ngắn nữa; khi thao tác hàng loạt, thiết kế các script hành vi khác nhau, có sự biến động cho các nhóm tài khoản khác nhau, thay vì một mẫu sao chép hàng trăm bản.
• Giới thiệu tính khó đoán: Cố ý để lại một số "lỗ hổng" trong quy trình tự động hóa, để các thành viên trong nhóm thực hiện các thao tác không theo quy luật, mang tính nhân văn. Điều này nghe có vẻ không "tự động", nhưng lại là "tự động hóa" cao cấp nhất - bởi vì nó mô phỏng mục tiêu cuối cùng của hệ thống: con người.
• Quan tâm đến giá trị tài khoản: Hệ thống cuối cùng muốn giữ lại những người dùng có thể đóng góp nội dung, thúc đẩy tương tác, mang lại lưu lượng truy cập lành mạnh. Vì vậy, ngay cả một tài khoản tiếp thị, cũng cố gắng để nó "trông có vẻ" đang đóng góp giá trị: đăng tải thông tin hữu ích cho nhóm đối tượng mục tiêu, tham gia thảo luận bình thường trong các cộng đồng liên quan (thay vì chỉ đăng quảng cáo), tạo ra các tương tác qua lại với các tài khoản thực khác. Điều này hiệu quả hơn bất kỳ sự ngụy trang kỹ thuật nào.

Trong quá trình này, vai trò của công cụ cũng thay đổi. Tôi không còn tìm kiếm những công cụ "tàng hình" ma thuật, mà tìm kiếm những công cụ giúp tôi quản lý tốt hơn "tính chân thực" và "sự phức tạp" này. Ví dụ, tôi cần có thể dễ dàng cấu hình các quy trình thao tác khác biệt, có trọng số ngẫu nhiên cho các nhóm tài khoản khác nhau; cần có thể xem rõ nhật ký hành vi và các chỉ số sức khỏe của từng tài khoản, thay vì một hộp đen; cần sự cô lập môi trường đủ tin cậy, tránh những sai sót cơ bản dẫn đến liên kết.

Đây cũng là lý do tại sao sau này chúng tôi sử dụng các nền tảng như Facebook Multi Manager trong một số tình huống quản lý đa tài khoản phức tạp. Nó không giải quyết vấn đề "lách" kiểm soát rủi ro, mà cung cấp một khung cấu trúc, giúp tôi có thể triển khai các ý tưởng về "tính nhất quán hành vi", "cô lập môi trường", "thao tác hàng loạt nhưng khác biệt" một cách tương đối dễ dàng. Nó đóng gói các chi tiết kỹ thuật phức tạp như quản lý proxy, mô phỏng vân tay, lập lịch tác vụ, giúp tôi và đội ngũ tập trung hơn vào bản thân chiến lược - làm thế nào để thiết kế "hành trình cuộc đời" hợp lý và an toàn hơn cho mỗi tài khoản. Ý nghĩa của công cụ là giảm chi phí thực thi, chứ không phải cung cấp "sự an toàn tuyệt đối" không tồn tại.

Một số câu hỏi chưa có câu trả lời chuẩn

Viết nhiều như vậy, không có nghĩa là tôi đã tìm ra giải pháp hoàn hảo. Lĩnh vực này vẫn còn đầy rẫy sự không chắc chắn:

• "Mức độ" nằm ở đâu? Tần suất bao nhiêu, tốc độ tăng trưởng bao nhiêu là an toàn? Không có câu trả lời. Điều này phụ thuộc vào loại tài khoản của bạn, chất lượng nội dung, cạnh tranh ngành, thậm chí có thể liên quan đến xu hướng quản trị tổng thể của nền tảng trong cùng thời kỳ. Điều này đòi hỏi sự thử nghiệm và cảm nhận liên tục, quy mô nhỏ.
• Tỷ lệ giữa thủ công và tự động? Bao nhiêu sự can thiệp thủ công là đủ? Đây có lẽ là cuộc đấu tranh vĩnh viễn giữa chi phí và an toàn.
• Vùng xám chính sách nền tảng: Nhiều thao tác đa tài khoản bản thân nó đã nằm trong vùng chính sách mập mờ của nền tảng. Tất cả nỗ lực của chúng ta, đều là để tăng xác suất tồn tại và vận hành trong vùng xám này, chứ không phải để có được "danh tính hợp pháp".

Cuối cùng, trả lời một vài câu hỏi thường gặp:

H: Sử dụng trình duyệt chống liên kết và IP dân cư, có nghĩa là an toàn rồi phải không? A: Đó là điều kiện cần nhưng chưa đủ. Chúng giải quyết vấn đề cơ bản về cô lập môi trường, nhưng tài khoản cuối cùng có an toàn hay không, phần lớn phụ thuộc vào hành vi trong "môi trường sạch này". Giống như bạn có một chứng minh thư giả hoàn hảo (môi trường), nhưng nếu bạn dùng nó mỗi ngày để làm những việc kỳ lạ tại ngân hàng (hành vi), bạn vẫn sẽ bị để ý.

H: Tại sao tài khoản nhỏ không sao, cứ chạy quảng cáo là bị khóa? A: Hệ thống quảng cáo là một cấp độ kiểm duyệt rủi ro khác. Nó gọi nhiều chiều dữ liệu hơn (thông tin thanh toán, nội dung quảng cáo, chất lượng trang đích, phản hồi người dùng, v.v.) và có khả năng dung thứ thấp hơn đối với hành vi thương mại. Một tài khoản có thể duyệt bình thường, một khi bắt đầu chạy quảng cáo, tương đương với việc từ "công dân bình thường" trở thành "người bán hàng rong", việc kiểm duyệt đương nhiên sẽ nghiêm ngặt hơn.

H: Có phương pháp nào giải quyết triệt để không? A: Rất tiếc, tôi nghĩ là không. Đây là một cuộc đấu tranh động. Phương pháp "giải quyết triệt để" duy nhất, là hoàn toàn chuyển sang chiến lược vận hành tài khoản tuân thủ, chất lượng cao, nhưng điều này lại không thực tế đối với giai đoạn đầu của nhiều hoạt động kinh doanh. Cách thực tế hơn là: chấp nhận sự tồn tại của rủi ro, xây dựng một quy trình và cơ chế dự phòng có thể nhanh chóng nhận diện rủi ro, giảm thiểu tổn thất và khôi phục hoạt động. Kiểm soát rủi ro, không phải là theo đuổi rủi ro bằng không, mà là quản lý chi phí rủi ro.

Nói cho cùng, thay vì chìm đắm trong "cuộc chạy đua vũ trang công nghệ" để bẻ khóa kiểm soát rủi ro, hãy lùi lại một bước, suy nghĩ từ góc độ của nền tảng: nó thực sự muốn xây dựng một cộng đồng như thế nào? Nó sợ điều gì? Nó chào đón điều gì? Thao tác của chúng ta, khiến nó cảm thấy "có vài kẻ phá rối đến", hay "có một nhóm người dùng hơi ồn ào nhưng khá có giá trị"?

Nghĩ thông suốt điều này, nhiều vướng mắc về kỹ thuật, ngược lại, sẽ có hướng đi rõ ràng hơn. Chia sẻ với các đồng nghiệp.