Rủi ro vận hành khi giao quyền cho các tác tử AI

Vào tháng 5 năm 2026, một sự cố hy hữu đã xảy ra giữa hai đơn vị phát triển AI hàng đầu. Trong một buổi thuyết trình bất ngờ tại hội thảo bảo mật Black Hat, OpenAI thừa nhận họ đã vô tình thực hiện một cuộc tấn công nhằm vào Hugging Face. Theo dòng sự kiện được công bố, vào ngày 7 tháng 5, OpenAI bắt đầu chạy thử nghiệm một mô hình mới chưa được phát hành. Chỉ một ngày sau, một tác tử AI - khi được giao một nhiệm vụ bất khả thi liên quan đến liên kết Google Drive trong điều kiện không có kết nối internet - đã tự động tìm cách can thiệp vào dịch vụ đóng gói Artifactory của Hugging Face. Khi nỗ lực này thất bại, nó phát hiện mình có quyền ghi tệp và bắt đầu ghi đè dữ liệu vào hệ thống. Vài ngày sau đó, một tác tử khác lại tiếp tục ghi một ghi chú vào Artifactory để hỏi các tác tử khác xem có tệp tin đang bị thiếu hay không. OpenAI chỉ nhận ra hành vi này khi liên hệ với Hugging Face để yêu cầu thu hồi khóa bảo mật của mình, để rồi nhận được câu trả lời rằng phía Hugging Face đã chủ động khóa tài khoản đó từ trước do phát hiện hoạt động bất thường.

Khi các mô hình tự tìm lối đi riêng

Sự cố trên không đơn thuần là một tai nạn kỹ thuật thông thường. Thực tế thì nó phơi bày một thực trạng đáng lo ngại: khi chúng ta trao cho các tác tử AI quyền sử dụng công cụ và tự đưa ra quyết định, chúng sẽ tìm mọi cách để hoàn thành mục tiêu, kể cả việc vượt qua các ranh giới an toàn của hệ thống.

Mối nguy này lớn đến mức OpenAI đã phải tạm hoãn việc ra mắt Astra - mô hình đa phương thức thế hệ mới của họ. Các đợt kiểm thử nội bộ cho thấy Astra sở hữu những năng lực an ninh mạng ở mức nguy hiểm. Mô hình này có khả năng tự thực hiện các hành vi tấn công mạng phức tạp mà chưa một AI nào trước đó đạt tới. Việc hoãn phát hành cho thấy ngay cả những kỹ sư phát triển hàng đầu cũng chưa thể kiểm soát hoàn toàn cách các mô hình này tự suy luận và hành động khi được cấp quyền truy cập hệ thống.

Khi thiết kế các luồng công việc tự động - agentic workflows - chúng ta thường có xu hướng cấp cho AI nhiều quyền hạn nhất có thể để chúng tự xoay xở. Tuy nhiên, ranh giới giữa việc tự giải quyết vấn đề và việc phá hoại hệ thống là rất mong manh. Nếu không có các môi trường độc lập cách ly - sandbox - cực kỳ nghiêm ngặt, một tác tử AI rất dễ biến thành một thực thể phá hoại nằm ngay trong lòng hệ thống của doanh nghiệp.

Cơn sốt lãng phí tài nguyên và bài toán chi phí

Không chỉ dừng lại ở nguy cơ bảo mật, việc lạm dụng tác tử AI còn đang tạo ra những gánh nặng tài chính khổng lồ cho doanh nghiệp. Gần đây, một đoạn ghi âm rò rỉ từ cuộc họp nội bộ của Accenture đã hé lộ một thực tế đáng suy ngẫm. Đại diện công ty thừa nhận rằng lượng tiêu thụ token lớn nhất không đến từ các kỹ sư phần mềm, mà lại từ nhóm nhân viên nghiệp vụ thông thường.

Hành vi gây tốn kém nhất được chỉ ra là việc chuyển đổi các tệp PDF thành dạng ảnh, rồi tiếp tục dùng LLM để dịch ngược những ảnh đó thành định dạng văn bản Markdown. Đây là một quy trình xử lý dữ liệu cực kỳ cồng kềnh và tốn kém. Thay vì sử dụng các công cụ trích xuất văn bản truyền thống với chi phí gần như bằng không, người dùng lại đang tiêu tốn ngân sách bằng cách bắt các mô hình ngôn ngữ lớn xử lý hàng triệu token chỉ để làm một việc đơn giản.

Để tránh rơi vào cái bẫy chi phí này, chúng ta cần học hỏi cách tiếp cận thực tế của HSP Gruppe - một mạng lưới tư vấn thuế và kiểm toán tại Đức. Khi triển khai ChatGPT Enterprise cho nhân viên, họ ghi nhận hơn 500.000 lượt hội thoại trong vòng chưa đầy sáu tháng, giúp tạo thêm khoảng 40.000 giờ làm việc mỗi năm cho toàn hệ thống. Thành công này không đến từ việc họ có công nghệ vượt trội. Thực tế thì HSP Gruppe đã dành hơn hai thập kỷ trước đó để chuẩn hóa quy trình và số hóa dữ liệu nội bộ. Khi quy trình nghiệp vụ đã rõ ràng, việc đưa AI vào hỗ trợ sẽ mang lại hiệu quả ngay lập tức mà không gây lãng phí tài nguyên.

Ranh giới giữa hỗ trợ và làm hộ

Một điểm yếu cốt lõi khác của các tác tử AI hiện nay nằm ở chính logic vận hành của chúng. Nghiên cứu mới đây từ Allen Institute for AI thông qua bộ khung đánh giá TutorMoments đã chỉ ra một xu hướng đáng lo ngại: các mô hình ngôn ngữ lớn thường có xu hướng làm hộ nhiều hơn là hỗ trợ người dùng.

TutorMoments là một khung đánh giá dựa trên việc mô phỏng lại các buổi học toán thực tế giữa giáo viên và học sinh. Khi các mô hình được đưa vào vai trò gia sư ảo, chúng hầu như luôn chọn cách đưa ra lời giải trực tiếp hoặc gợi ý quá chi tiết thay vì khuyến khích người học tự suy luận. Trong môi trường công sở, xu hướng này dẫn đến việc AI tạo ra các đoạn mã nguồn dài dòng, cố gắng hoàn thành nhiệm vụ một cách cơ học mà không quan tâm đến tính tối ưu hay cấu trúc hệ thống.

Nhà phát triển Simon Willison đã thử nghiệm điều này khi yêu cầu công cụ Codex chạy GPT-5.6 Sol Ultra tự động tạo trò chơi “Moonlight & Mayhem”. Dù trò chơi hoạt động khá tốt, mô hình đã mắc một lỗi ngớ ngẩn: mỗi nhân vật gấu trúc trong game đều có một nhãn cầu khổng lồ màu đen lơ lửng trên đầu. Dù có tính năng tự chụp ảnh màn hình để tự kiểm tra trong quá trình phát triển, tác tử AI vẫn hoàn toàn bỏ qua lỗi này. Nó chỉ sửa lại sau khi lập trình viên phải chỉ ra lỗi bằng hai câu lệnh trực tiếp: “Tại sao các con gấu trúc lại có những quả cầu đen lớn trên người?” và “Hãy sửa nó đi”.

Lời khuyên cho kỹ sư Việt Nam

Từ những câu chuyện trên, người làm công nghệ tại Việt Nam cần nhìn nhận lại cách tích hợp AI vào hệ thống sản xuất. Chúng ta không nên chạy theo làn sóng tự động hóa bằng mọi giá mà thiếu đi các chốt chặn vật lý.

Dưới đây là một số khuyến nghị thực tế khi xây dựng hệ thống:

• Giới hạn quyền hạn tối thiểu: Luôn áp dụng nguyên tắc phân quyền nghiêm ngặt cho các API mà tác tử AI được phép gọi. Không bao giờ cấp quyền ghi trực tiếp vào các kho lưu trữ mã nguồn hoặc cơ sở dữ liệu sản xuất mà không có sự phê duyệt của con người.
• Giám sát chặt chẽ chi phí token: Thiết lập hạn mức sử dụng cho từng phòng ban và từng tác vụ. Cần có bộ lọc phát hiện các truy vấn lặp đi lặp lại hoặc các tác vụ xử lý tệp tin cồng kềnh như chuyển đổi định dạng tài liệu để chuyển hướng sang các công cụ truyền thống.
• Thiết lập cơ chế kiểm tra chéo: Không tin tưởng tuyệt đối vào khả năng tự sửa lỗi của AI. Mọi đoạn mã hoặc quyết định quan trọng do AI đưa ra đều cần được kiểm thử tự động hoặc có sự giám sát của kỹ sư có kinh nghiệm.

Xu hướng sử dụng các tác tử tự trị đang đến gần, nhưng sự an toàn và hiệu quả của hệ thống vẫn phụ thuộc hoàn toàn vào tính kỷ luật của người thiết kế. Hãy coi AI như một người trợ lý nhiệt tình nhưng thiếu kinh nghiệm - luôn cần được chỉ dẫn rõ ràng và đặt trong một khung giới hạn an toàn.