Khi AI agent tự làm việc lớn: Cái bẫy của những quyết định trung hạn
Khi AI agent tự làm việc lớn: Cái bẫy của những quyết định trung hạn
Nghiên cứu mới công bố giữa Microsoft và Đại học Thành thị Hồng Kông đưa ra một con số khiến nhiều đội ngũ phát triển giật mình: trên tập đánh giá Taste-Bench, mô hình ngôn ngữ xuất sắc nhất hiện nay chỉ đạt chưa tới 60% khi phải đưa ra các quyết định đường dài cho những tác vụ phức tạp. Cùng thời điểm đó, một sự cố thực tế vừa xảy ra tại Mỹ khi một AI agent vô tình xóa sạch dữ liệu sản xuất của cả một mùa phim truyền hình ngay sát ngày phát sóng.
Ở chiều ngược lại, tốc độ đưa agent vào dây chuyền sản xuất vẫn không hề chậm lại. Cursor ghi nhận tỷ lệ merge tự động các PR do agent tạo ra lên tới 56%. DeepSeek vừa tung ra bản cập nhật V4.1-Flash-1017 cải thiện điểm số tự động hóa quy trình AutomationBench lên 60.5, vượt qua nhiều mô hình phương Tây. Ngay cả trong bảo mật, hệ thống đa agent PentestMCP khi chạy cùng GPT-5.2 đã đạt tỷ lệ khai thác lỗ hổng thành công tới 64.9% trên hơn một trăm lỗ hổng thực tế từ kho VulHub và Cơ sở dữ liệu Lỗ hổng Quốc gia (NVD).
Mọi chỉ số kiểm thử ngắn hạn đều cho thấy agent đang làm việc rất mượt. Nhưng sự cố xóa phim và điểm số lẹt đẹt trên Taste-Bench lại bộc lộ một khoảng trống kỹ thuật nguy hiểm: AI có thể hoàn thành từng bước đơn lẻ, nhưng lại thiếu hẳn khả năng phán đoán hậu quả lâu dài của chính những bước đi đó.
Vì sao agent viết mã chạy được nhưng hệ thống vẫn đổ vỡ
Trong lập trình hay triển khai hạ tầng, một giải pháp cẩu thả và một thiết kế bài bản thường cho ra kết quả bước đầu giống hệt nhau. Cả hai đều có thể vượt qua bộ test hiện tại, trả lời đúng output và đóng ticket đúng hạn. Sự khác biệt chỉ xuất hiện sau năm hay sáu lượt thay đổi tiếp theo, khi giải pháp cẩu thả bắt đầu biến mã nguồn thành một mớ bòng bong, đốt sạch ngân sách tính toán hoặc tạo ra xung đột tài nguyên không thể cứu vãn.
Các tác giả của Taste-Bench gọi năng lực nhìn thấu chuỗi hệ quả này là “gu” kỹ thuật (taste) của agent. Phần lớn các công cụ đánh giá hiện nay chỉ kiểm tra xem agent có hoàn thành đầu việc hay không, chứ không đo lường cái giá phải trả ở các bước trung gian. Khi agent tự mình chọn giả thuyết nghiên cứu, tự chọn thư viện phụ thuộc hay tự quyết định tái cấu trúc mã, nó thường chọn phương án tối ưu cục bộ cho đúng câu lệnh trước mắt.
Sự cố xóa dữ liệu cả mùa phim truyền hình là minh chứng rõ ràng cho việc tối ưu cục bộ. Agent nhận nhiệm vụ dọn dẹp hoặc đồng bộ kho lưu trữ, thấy các tệp tin thỏa mãn điều kiện xóa trong phạm vi cục bộ của script, và thực thi ngay lập tức mà không có cơ chế đối chiếu tác động rộng hơn. Không có lỗi logic trong việc thực thi lệnh xóa, cái sai nằm ở quyết định can thiệp sâu vào dữ liệu gốc mà không có bước tạo snapshot dự phòng.
Khi chúng ta trao quyền tự hành (agentic workflow) cho AI trong dự án thực tế, đây chính là điểm gãy phổ biến nhất. Agent rất giỏi giải các bài toán cục bộ, nhưng hoàn toàn mù mờ về chi phí cơ hội và bán kính ảnh hưởng của từng thao tác.
Nghịch lý an toàn từ các nhà phát triển mô hình lớn
Giữa lúc những rủi ro vận hành ở quy mô nhóm bắt đầu lộ rõ, các rào cản kiểm soát ở cấp độ thượng tầng lại đang bị nới lỏng theo hướng rất thực dụng. Dự thảo luật an toàn AI do chính Anthropic đề xuất lên giới lập pháp Mỹ gần đây đã đặt ra một ngưỡng can thiệp rất cao: chính phủ chỉ có thể đình chỉ một mô hình nếu nó gây ra rủi ro hiển hiện đe dọa trực tiếp đến tính mạng của hơn 50 người, hoặc gây thiệt hại tài chính vượt quá một tỷ USD. Đề xuất này cũng chỉ định Bộ Thương mại là cơ quan duy nhất có thẩm quyền ngăn chặn việc phát hành mô hình.
Ranh giới này cho thấy một thực tế rõ ràng: sẽ không có một cơ quan quản lý hay đơn vị cung cấp mô hình nào đứng ra bảo hộ cho những sai số vận hành hàng ngày của doanh nghiệp. Thiệt hại vài chục nghìn USD tiền hạ tầng cloud, mã nguồn bị hỏng cấu trúc, hay cơ sở dữ liệu nội bộ bị ghi đè hoàn toàn nằm dưới “ngưỡng một tỷ USD” rất xa.
Cuộc đua giảm chi phí suy luận và tăng tốc độ xử lý vẫn tiếp diễn khốc liệt. Bản DeepSeek-V4.1-Flash-1017 giảm bớt độ dài phản hồi để người dùng tiết kiệm token và tăng tốc độ chạy tác vụ từ đầu đến cuối. Chi phí suy luận giảm xuống đồng nghĩa với việc các nhóm kỹ thuật sẽ để agent chạy nhiều bước hơn, chạy nền liên tục hơn. Nhưng khi tần suất hành động của agent tăng lên theo cấp số nhân, xác suất một quyết định sai lầm lọt qua các bộ lọc tự động cũng tăng theo tỷ lệ tương ứng.
Thiết lập ranh giới vận hành cho agent trong thực tế
Để khai thác năng lực tự động hóa của agent mà không đẩy dự án vào vòng nguy hiểm, các đội ngũ kỹ thuật không thể dựa vào sự tự giác của mô hình. Cần phân định rạch ròi giữa quyền thực thi và quyền xác nhận, tương tự như cách thiết lập phân quyền người dùng trong môi trường production.
Dưới đây là bảng phân cấp ranh giới vận hành mà các nhóm kỹ thuật nên áp dụng ngay cho các agent tự hành:
| Cấp độ tác vụ | Phạm vi cấp quyền cho Agent | Cơ chế kiểm soát bắt buộc |
|---|---|---|
| Đọc & Thăm dò | Đọc repo, phân tích log, thu thập lỗ hổng bảo mật (tương tự PentestMCP) | Cho phép tự hành hoàn toàn, giới hạn số lượt request để tránh tràn chi phí token |
| Soạn thảo mã | Viết mã mới, tạo PR cục bộ, viết unit test (mô hình như Cursor) | Tự động hóa kiểm thử tĩnh; bắt buộc phải có review từ lập trình viên trước khi merge |
| Tác động dữ liệu | Di chuyển tệp, dọn dẹp bộ nhớ đệm, tối ưu schema database | Chỉ chạy trên bản sao phân nhánh (fork/sandbox); cấm tuyệt đối lệnh xóa vĩnh viễn |
| Triển khai hạ tầng | Cấu hình cloud, cấp quyền IAM, đẩy mã lên production | Agent chỉ xuất file cấu hình Terraform/script đề xuất; quyền apply phải giữ bởi con người |
Nguyên tắc cốt lõi ở đây là cắt đứt khả năng tự hành một chiều của agent ở các tác vụ không thể đảo ngược. Nếu một agent phụ trách dọn dẹp hệ thống tập tin, lệnh rm thực sự không bao giờ được nằm trong danh mục công cụ (tools) mà nó có thể tự gọi. Thay vào đó, agent chỉ được phép chuyển tài nguyên vào khu vực chờ xóa (quarantine/soft delete) có gắn thời gian lưu trữ tối thiểu.
Dự phòng cho bước chuyển tiếp của kỹ sư Việt
Những con số benchmark ấn tượng như tỷ lệ merge 56% của Cursor hay khả năng khai thác lỗ hổng 64.9% của PentestMCP đang tạo ra cảm giác rằng agent đã sẵn sàng thay thế hoàn toàn kỹ sư trong nhiều công đoạn. Thực tế không đơn giản như vậy. Agent xử lý rất tốt các công việc mang tính lặp lại hoặc các kịch bản kiểm thử có đầu vào và đầu ra rõ ràng, nhưng chúng vẫn chưa thể gánh vác trách nhiệm kiến trúc.
Khi mô hình mã nguồn mở ngày càng rẻ và dễ triển khai trên phần cứng nội bộ, cám dỗ tự động hóa toàn bộ đường ống phát triển phần mềm (CI/CD) sẽ ngày càng lớn. Lời khuyên thực tế cho các nhóm kỹ sư Việt Nam trong giai đoạn này là đừng bao giờ đánh giá năng lực agent chỉ qua việc nó có hoàn thành tác vụ hay không. Hãy nhìn vào cách nó xử lý dữ liệu thừa, cách nó đặt tên biến, cách nó tổ chức hàm và quan trọng nhất là các giả định ngầm mà nó đưa vào mã nguồn.
Nếu không xây dựng được một hệ thống rào chắn đủ hẹp và cơ chế giám sát theo thời gian thực, sự tự do của agent sẽ sớm biến thành món nợ kỹ thuật khổng lồ mà chính các lập trình viên phải thức trắng đêm để dọn dẹp.