Andrew Johnson, Giám đốc điều hành của Yardstik – Loạt phỏng vấn

Andrew Johnson, Giám đốc điều hành của Yardstik, là một nhà điều hành công nghệ dày dặn kinh nghiệm với nền tảng trong việc mở rộng các công ty phần mềm tăng trưởng nhanh, xây dựng các tổ chức go-to-market và thúc đẩy doanh thu doanh nghiệp. Ông gia nhập Yardstik với vị trí Giám đốc vận hành vào năm 2022 trước khi được thăng chức lên Giám đốc điều hành vào tháng 10 năm 2024. Trước đó, Johnson từng giữ vị trí Giám đốc doanh thu tại Branch, nơi ông giúp công ty thanh toán lực lượng lao động vượt qua giai đoạn tăng trưởng nhanh, và đã làm việc hơn năm năm tại Dialpad, bao gồm vai trò Trưởng bộ phận bán hàng doanh nghiệp, nơi ông góp phần xây dựng hoạt động bán hàng tại Hoa Kỳ và Canada. Ở giai đoạn đầu sự nghiệp, ông đã đảm nhận các vai trò phát triển kinh doanh và đối tác tại Compellent Technologies, công ty đã được Dell mua lại với khoảng 960 triệu USD vào năm 2011.

Yardstik là một công ty công nghệ tin cậy lực lượng lao động có trụ sở tại Minneapolis, thành lập năm 2020, cung cấp các giải pháp phòng ngừa gian lận, xác minh danh tính, sàng lọc lý lịch, xác minh chứng chỉ và giám sát liên tục lực lượng lao động thông qua Nền tảng Tin Cậy Con Người của mình. Công ty được xây dựng dựa trên kiến trúc ưu tiên API cho phép công nghệ của mình được tích hợp trực tiếp vào các hệ thống theo dõi ứng viên, nền tảng quản lý nguồn nhân lực, thị trường gig và các ứng dụng lực lượng lao động khác. Yardstik cũng hỗ trợ Model Context Protocol (MCP), cho phép các tác nhân AI kết nối với hạ tầng tin cậy của mình và tự động hoá quy trình như kiểm tra lý lịch, xác minh danh tính, sàng lọc chứng chỉ, kiểm tra lại và quyết định trong các hệ thống tuyển dụng và đưa nhân viên vào làm việc dựa trên AI.

Trước khi gia nhập Yardstik, bạn đã làm việc hơn năm năm tại Branch, nơi bạn chứng kiến trực tiếp một băng nhóm gian lận sử dụng số An sinh xã hội bị đánh cắp để lấy việc làm dưới danh tính của người khác. Trải nghiệm đó đã thay đổi cách bạn suy nghĩ về việc sàng lọc lý lịch như thế nào, và khi nào bạn nhận ra việc xác minh danh tính cần mở rộng vượt ra ngoài một lần kiểm tra duy nhất khi tuyển dụng?

Khi tôi còn ở Branch, một trong những khách hàng lớn nhất của chúng tôi đã bị một băng nhóm gian lận đến từ Venezuela tấn công, một vấn đề mà các nền tảng gig thường gặp. Họ ăn cắp số An sinh xã hội của người Mỹ và bán chúng cho những người không có tư cách làm việc ở Hoa Kỳ. Một người sẽ nộp đơn dưới danh tính bị đánh cắp, bắt đầu giao hàng, và mọi thứ trông ổn cho tới mùa thuế, khi người sở hữu SSN thực sự nhận được hoá đơn 1099 cho công việc họ chưa từng thực hiện. Đó là lần đầu tiên tôi chứng kiến gian lận xuất hiện ở phía sau quyết định tuyển dụng thay vì trong quá trình tuyển dụng.

Khoảnh khắc đó thực sự thay đổi quan điểm của tôi. Tôi nhận ra tần suất người vượt qua kiểm tra lý lịch không phải là người thực sự xuất hiện để làm việc. Ví dụ, một người có hồ sơ sạch sẽ hoàn thành việc sàng lọc, sau đó một thành viên trong gia đình, người không thể vượt qua kiểm tra, sẽ đảm nhận ca làm việc thực tế. Kiểm tra lý lịch không thể phát hiện điều đó, vì nó chỉ xem xét người nộp đơn trên giấy, một lần duy nhất, ngay từ đầu. Khi tôi gia nhập Yardstik, tôi mang theo những gì học được từ kinh nghiệm tại Branch và hợp tác với đội ngũ để xây dựng phương pháp giám sát liên tục cho khách hàng của chúng tôi.

AI sinh tạo đã giảm đáng kể rào cản trong việc tạo ra danh tính giả, chứng chỉ giả mạo, hồ sơ tổng hợp và thậm chí các video deepfake thuyết phục. Những kỹ thuật gian lận được hỗ trợ bởi AI nào đang tiến triển nhanh nhất hiện nay, và bạn cho rằng nhà tuyển dụng ít chuẩn bị nhất cho kỹ thuật nào?

Gian lận di chuyển nhanh nhất hiện nay không phải là video deepfake lòe loẹt. Đó là danh tính tổng hợp: một số An sinh xã hội thực tế được kết hợp với tên giả và lịch sử công việc bịa đặt, ghép lại thành một hồ sơ trông sạch sẽ ngay lần đầu tiên ai đó kiểm tra. Thêm vào các công cụ AI tạo ra một bản lý lịch hoàn chỉnh và bộ chứng chỉ phù hợp, và bạn sẽ có một ứng viên.

Những gì nhà tuyển dụng ít chuẩn bị nhất là việc tuyển dụng từ xa, người chưa từng gặp trực tiếp. Các nền tảng gig, các vị trí IT làm việc từ xa, trung tâm cuộc gọi ảo. Nếu không ai trong công ty từng gặp người này, mọi tín hiệu từng giúp phát hiện kẻ gian (phỏng vấn lo lắng, giấy tờ tùy thân có chút bất thường khi nhìn trực tiếp) đều biến mất. Đó chính là nơi các băng nhóm gian lận tuyển dụng từ xa đang hoạt động và hầu hết các công ty vẫn coi đó là vấn đề của người khác cho đến khi nó xảy ra với họ.

Yardstik đã chuyển từ việc sàng lọc lý lịch truyền thống sang một nền tảng rộng hơn kết hợp phòng ngừa gian lận AI, xác minh danh tính, xác minh chứng chỉ và giám sát liên tục. AI đóng vai trò gì trong việc kết nối các tín hiệu này, và hệ thống có thể phát hiện gì mà kiểm tra lý lịch truyền thống không thể?

Yardstik bắt đầu như một công ty sàng lọc lý lịch, và đối với hầu hết khách hàng, đó vẫn là một phần nền tảng trong những gì chúng tôi làm. Tuy nhiên, một kiểm tra lý lịch chỉ là một giao dịch duy nhất: thực hiện, nhận kết quả, rồi xóa dữ liệu. Điều kết nối phòng ngừa gian lận, xác minh danh tính, kiểm tra chứng chỉ và giám sát lại thành một hệ thống là chúng tôi không xóa dữ liệu. Chúng tôi duy trì hồ sơ của ứng viên theo thời gian, và mỗi lần kiểm tra mới sẽ được thêm vào thay vì bắt đầu lại từ đầu.

Đó là điều cho phép chúng tôi phát hiện những điều mà một lần kiểm tra duy nhất không bao giờ làm được. Ví dụ, một khách hàng của chúng tôi đã gặp các kẻ gian lận liên tục cố gắng xâm nhập vào tài khoản đại lý có quyền truy cập dữ liệu thuế của khách hàng. Vì chúng tôi có thể thấy cùng một thiết bị, hoặc cùng một danh tính hơi thay đổi, xuất hiện trong nhiều lần thử, chúng tôi đã ngăn chặn trước khi nó trở thành quyết định sàng lọc. Một lần kiểm tra duy nhất sẽ xem mỗi đơn đăng ký một cách riêng lẻ và chấp nhận tất cả chúng.

Yardstik sử dụng các tín hiệu như dữ liệu nhận dạng cá nhân, hoạt động thanh toán và các chỉ báo thiết bị hoặc vị trí để phát hiện khả năng lừa đảo danh tính. Làm thế nào để bạn phân biệt hành vi thực sự đáng ngờ với hành vi bất thường nhưng hợp pháp, đặc biệt khi các mô hình AI ngày càng chịu trách nhiệm đánh giá các mẫu ngày càng phức tạp?

Chúng tôi không cố gắng vẽ ra một ranh giới cứng nhắc giữa đáng ngờ và bất thường, vì phần lớn thời gian không có ranh giới như vậy khi chúng tôi quan sát. Điều chúng tôi làm là làm nổi bật sự khác biệt. Nếu một đơn xin của ai đó ghi trường học này, và một năm sau một đơn mới dưới cùng danh tính ghi trường học khác, thì đáng để xem xét lại. Nếu ai đó luôn nộp đơn từ iPhone và xuất hiện trên Android với địa chỉ IP mới, cũng tương tự. Không có trường hợp nào tự nó có nghĩa là gian lận, nhưng khi kết hợp nhiều tín hiệu thì bắt đầu làm tăng hồ sơ rủi ro. Chúng tôi là lớp trung gian đánh dấu những gì đã thay đổi kể từ lần cuối cùng chúng tôi thấy người đó và cung cấp cho nhà tuyển dụng thêm dữ liệu để giúp họ đưa ra quyết định có thông tin.

Yardstik cho biết khoảng 1 trong 30 ứng viên không vượt qua việc xác minh CMND chính phủ, trong khi các số An sinh xã hội bị đánh dấu hoặc trùng lặp bị chặn hàng ngày. Bạn đang rút ra những gì từ dữ liệu đó về cách gian lận lực lượng lao động đang phát triển, và bao nhiêu trong số những gì bạn gặp phải là có tổ chức hơn là cơ hội?

Dữ liệu đó cho chúng tôi thấy gian lận danh tính trong tuyển dụng không còn là vấn đề phụ nữa. Nó đã trở thành chi phí cơ bản của việc kinh doanh ở bất kỳ quy mô thực tế nào, giống như các khoản trả lại là tiêu chuẩn trong thanh toán. Một phần đáng kể trong số này có vẻ có tổ chức hơn là cơ hội. Gian lận cơ hội thường là một lần duy nhất: ai đó làm dày hồ sơ, hoặc làm sai ngày tốt nghiệp. Gian lận có tổ chức cho thấy một mô hình, cùng một thiết bị hoặc cùng một danh tính gần giống nhau cố gắng xin cùng loại công việc ở các nhà tuyển dụng khác nhau, đôi khi thay đổi một chi tiết mỗi lần để xem gì sẽ vượt qua. Đó là phiên bản tôi đã thấy cách đây vài năm với các số SSN bị đánh cắp được bán lại, và cũng là phiên bản tôi vẫn thấy ngày nay. Giờ chỉ là tự động hoá, và chạy ở khối lượng cao hơn nhiều vì các công cụ sinh tạo làm cho danh tính giả rẻ hơn để tạo.

Xác minh danh tính ngày càng bao gồm CMND chính phủ, sinh trắc học, kiểm tra sống động, tín hiệu thiết bị và các chỉ báo rủi ro khác. Khi các mô hình sinh tạo trở nên có khả năng tạo ra tài liệu, khuôn mặt và giọng nói thực tế hơn, bạn tin rằng những tín hiệu nào sẽ vẫn là khó nhất để kẻ tấn công giả mạo?

Bất kỳ thứ gì bạn có thể tạo ra như một tác phẩm duy nhất, một bức ảnh, một tài liệu, thậm chí một video ngắn, ngày càng dễ dàng giả mạo một cách thuyết phục. Điều vẫn khó giả mạo là tính nhất quán theo thời gian, trên các địa điểm mà không ai kiểm soát đồng thời. Một danh tính tổng hợp có thể vượt qua một kiểm tra sống động bằng một deepfake đủ tốt. Rất khó để cùng một danh tính đó có lịch sử thiết bị phù hợp, mẫu vị trí phù hợp và lịch sử công việc khớp như một người thực tế qua các nhà tuyển dụng và năm tháng. Đó thực sự là lý do phía sau việc giám sát liên tục thay vì một khoảnh khắc xác minh duy nhất. Kiểm tra truyền thống chỉ cho bạn một bức ảnh, một khung, được chụp một lần. Của chúng tôi hoạt động giống như một luồng trực tiếp, vì nó được xây dựng để nhận ra khi các khung không còn khớp nhau.

Giám sát liên tục đại diện cho một sự chuyển đổi lớn từ việc xác minh một người một lần sang việc đánh giá độ tin cậy suốt vòng đời công việc. Làm thế nào bạn thiết kế loại hệ thống này mà không tạo ra sự giám sát không cần thiết, các cảnh báo sai, hoặc các quyết định mà người lao động khó có khả năng hiểu hoặc thách thức?

Giám sát là việc theo dõi ai đó mà họ không biết mình đang bị theo dõi. Đó không phải cách hoạt động của chúng tôi. Mỗi công nhân mà chúng tôi giám sát đã đưa ra sự đồng ý bằng văn bản, họ biết chính xác những gì đang được kiểm tra, và theo luật chúng tôi phải cung cấp cho họ một bản sao của bất kỳ thông tin nào chúng tôi tìm thấy và một cách để tranh chấp nếu nó sai. Tất cả đều không tùy chọn. Đó là FCRA.

Phần còn lại là chúng tôi không tự đưa ra quyết định. Nếu một vụ bắt giữ xuất hiện trên hồ sơ của người mà chúng tôi đang giám sát, đó là một dấu hiệu để nhà tuyển dụng xem xét, không phải một phán quyết. Quy trình pháp lý vẫn được áp dụng. Nhà tuyển dụng phải thông báo cho ứng viên, cho họ cơ hội trả lời, và sau đó đưa ra quyết định cuối cùng. Công việc của chúng tôi dừng lại ở việc làm nổi bật rằng có điều gì đó đã thay đổi; nhà tuyển dụng quyết định ý nghĩa và cách xử lý, giống như họ sẽ làm với một kiểm tra khi tuyển dụng. Chúng tôi đã xây dựng hệ thống theo cách đó cố ý.

Khi tuyển dụng và quản lý lực lượng lao động ngày càng trở nên tự động, ranh giới nên đặt ở đâu giữa một tác nhân AI thu thập và đánh giá các tín hiệu tin cậy và thực sự đưa ra quyết định tuyển dụng quan trọng?

Tôi sẽ đặt ranh giới ở nơi pháp luật đã đặt cho chúng tôi hiện nay. Chúng tôi cẩn thận không tự gọi mình là công ty AI vì ngành của chúng tôi có yêu cầu nghiêm ngặt rằng một con người phải có mặt trong vòng lặp đối với bất kỳ vấn đề nào liên quan đến tranh chấp hoặc quyết định bất lợi. Một tác nhân có thể thu thập tín hiệu, chấm điểm chúng, đánh dấu những gì đã thay đổi. Điều mà nó không nên tự quyết định là việc ai không nhận được công việc hoặc không giữ công việc, vì quyết định đó cần được gắn với một người chịu trách nhiệm và có thể giải thích nếu bị thách thức.

Khi quá trình tuyển dụng trở nên tự động hoàn toàn, tôi nghĩ ranh giới đó lại càng quan trọng hơn, không phải ít hơn. Khi càng dễ dàng để cho một tác nhân chạy toàn bộ quy trình, thì càng hấp dẫn khi để nó đưa ra quyết định cuối cùng. Thu thập và đánh giá các tín hiệu tin cậy chính là những gì phần mềm nên làm nhanh hơn. Quyết định sinh kế của một người không phải là điều tôi sẽ giao cho bất kỳ ai.

Với vòng gọi vốn Series B mới trị giá $30 triệu đưa tổng vốn của Yardstik lên $65 triệu, bạn cho rằng những lĩnh vực nào của AI và phòng chống gian lận hiện nay cần đầu tư mạnh nhất, và những vấn đề kỹ thuật nào vẫn cần được giải quyết để xác thực danh tính liên tục có thể hoạt động ở quy mô lớn hơn?

Chúng tôi đang đưa vốn mới vào các phần của phòng chống gian lận ít được chú ý nhất và tốn kém nhất để xây dựng tốt. Báo cáo phương tiện giao thông và giám sát loại trừ OIG. Cảnh báo tự động ngay khi giấy phép, hợp đồng bảo hiểm hoặc chứng chỉ hết hạn, thay vì chờ chu kỳ gia hạn tiếp theo để phát hiện.

Vấn đề kỹ thuật mà không ai trong ngành này giải quyết được là chi phí. Nhiều quốc gia và tiểu bang tính phí riêng để truy xuất hồ sơ, đôi khi lên tới hơn $100 cho một lần truy xuất ở những nơi như New York, và chi phí này không giảm chỉ vì bạn muốn kiểm tra người đó thường xuyên hơn. Việc làm cho xác thực liên tục đủ rẻ để một công ty có hàng nghìn lao động gig có thể thực hiện hàng tháng thay vì một lần mỗi năm là một vấn đề về nguồn dữ liệu và định giá cũng như một vấn đề học máy. Đó là vấn đề tôi đang suy nghĩ nhiều nhất hiện nay.

Đang xuất hiện một cuộc chạy đua vũ trang thú vị: AI đồng thời làm cho gian lận danh tính trở nên dễ dàng hơn và cung cấp cho các nền tảng công cụ tốt hơn để phát hiện nó. Khi cả hai phía đều cải thiện, bạn có kỳ vọng việc chứng minh ai đó thực sự là người họ khẳng định sẽ trở nên khó khăn đáng kể, hay AI cuối cùng sẽ làm cho danh tính kỹ thuật số đáng tin cậy hơn bao giờ hết?

Cả hai đều đúng, và tôi không nghĩ một trong số chúng làm mất đi giá trị của cái còn lại. Khách hàng của chúng tôi thường nói rằng họ mong chúng tôi có thể “đánh lửa bằng lửa.” Họ biết rằng chúng tôi cần các giải pháp hiện đại cho các vấn đề hiện đại. Theo quan điểm trung thực của tôi, danh tính kỹ thuật số sẽ trở nên đáng tin cậy hơn đối với các hệ thống được xây dựng để theo dõi một người trong nhiều năm và trên nhiều nền tảng, và sẽ kém đáng tin cậy hơn đối với bất kỳ giải pháp nào vẫn dựa vào một lần kiểm tra tại một thời điểm duy nhất. Điều này có nghĩa là các doanh nghiệp chỉ xác thực một lần sẽ là những người bị phơi bày, trong khi những doanh nghiệp xây dựng theo tầm nhìn dài hạn sẽ trông thông minh hơn rất nhiều khi nhìn lại so với cảm nhận hiện tại.

Cảm ơn vì buổi phỏng vấn tuyệt vời, độc giả muốn tìm hiểu thêm nên truy cập Yardstik.