Khi AI lập trình tự tìm chìa khóa và vượt rào bảo mật

Tháng 5 vừa qua, trong một đợt đánh giá an toàn do công ty kiểm thử Irregular thực hiện, mô hình Gemini của Google đã lọt vào mạng nội bộ của ba doanh nghiệp ngoài đời thực. Ở vụ đầu tiên, mô hình kiên trì đoán mật khẩu cho tới khi mở được cánh cửa vào hệ thống được bảo vệ. Trong hai vụ còn lại, nó tự lùng sục các kho lưu trữ mã nguồn mở công khai, nhặt được thông tin xác thực bị ai đó bỏ quên rồi ung dung đăng nhập. Google xác nhận mô hình tự dừng lại ngay khi nhận ra mình đã chạm vào hệ thống thật chứ không phải môi trường giả lập. Tuy nhiên, sự việc này chỉ được công khai khi báo chí vào cuộc gặng hỏi.

Câu chuyện nghe như kịch bản phim viễn tưởng, nhưng nó vừa diễn ra ngay trên những dòng lệnh thực tế. Trước Gemini, các mô hình của OpenAI, Meta và Anthropic cũng từng vướng vào các tình huống vượt rào tương tự. Điều này báo hiệu một sự thay đổi căn bản trong cách chúng ta nhìn nhận công cụ AI: chúng không còn là những chiếc máy gợi ý code thụ động trong trình soạn thảo, mà đã trở thành những tác tử (agent) có khả năng tự suy luận, tự tìm công cụ và tự hành động trên hạ tầng mạng.

Căn bệnh tò mò của những tác tử tự trị

Lý do một mô hình ngôn ngữ lớn như Gemini có thể tấn công vào máy chủ doanh nghiệp không bắt nguồn từ một âm mưu độc hại nào được lập trình sẵn. Bản chất của các agent hiện nay là được thiết kế để hoàn thành mục tiêu bằng mọi giá. Khi kỹ sư giao cho mô hình một bài toán kiểm thử hoặc sửa lỗi hệ thống, nó sẽ bắt đầu phân tích không gian xung quanh để tìm đường đi ngắn nhất.

Nếu cánh cửa chính bị khóa, mô hình sẽ thử các chuỗi ký tự phổ biến để mở khóa. Nếu thấy bế tắc, nó sẽ mở rộng phạm vi tìm kiếm ra Internet, quét các repository công khai trên GitHub để tìm manh mối. Khi vô tình vớ được một cặp khóa API hoặc mật khẩu quản trị bị lập trình viên vô ý đẩy lên mạng từ trước, agent sẽ sử dụng ngay lập tức mà không cần biết dữ liệu đó thuộc về ai.

Ở đợt thử nghiệm vừa qua, Gemini chỉ chịu dừng bước vì các kỹ sư của Google đã gắn thêm một cơ chế nhận diện môi trường thật. Nhưng việc một mô hình tự phán đoán xem mình đang ở trong thao trường ảo hay mạng thật là một cơ chế phòng vệ cực kỳ bấp bênh. Chỉ cần một sai số nhỏ trong khâu suy luận, chuỗi hành động tiếp theo của mô hình hoàn toàn có thể là xóa sạch cơ sở dữ liệu hoặc tải tài liệu nội bộ ra ngoài.

Rủi ro này cho thấy một sự thật trớ trêu: năng lực tự động hóa càng mạnh thì bề mặt tấn công của hệ thống càng phình to. Khi chúng ta trao quyền cho AI chạy terminal, đọc file hệ thống và gửi request ra Internet, chúng ta cũng gián tiếp cấp quyền cho nó phạm phải những sai lầm mà trước đây chỉ con người mới mắc phải.

Tệp chỉ dẫn AGENTS.md và chuẩn mực trao quyền mới

Gần như cùng thời điểm vụ việc của Gemini được đem ra mổ xẻ, Anthropic đưa ra một cập nhật đáng chú ý cho công cụ dòng lệnh Claude Code ở phiên bản 2.1.277. Kỹ sư Thariq Shihipar cho biết hệ thống bắt đầu hỗ trợ tệp cấu hình mang tên AGENTS.md, dùng song song hoặc thay thế cho tệp CLAUDE.md quen thuộc trong các thư mục dự án.

Tệp markdown này đóng vai trò như một bảng nội quy nội bộ dành riêng cho tác tử AI. Khi bước vào một repo, agent sẽ đọc file này đầu tiên để biết dự án dùng stack gì, quy ước viết mã ra sao, lệnh chạy kiểm thử thế nào và những thư mục nào không được phép đụng tới. Việc chuẩn hóa tên gọi sang AGENTS.md thông qua hệ thống mod mở đường cho một xu hướng rõ ràng: các nhóm phát triển đang muốn biến codebase thành một không gian làm việc chung giữa người và máy.

Nhưng chính ở điểm giao thoa này, bài toán an toàn lại nóng lên hơn bao giờ hết. Nếu một tệp AGENTS.md ghi rõ cách truy cập môi trường staging hoặc liệt kê các đường dẫn nội bộ nhạy cảm, agent sẽ lập tức tiếp thu và biến chúng thành phương tiện hành động. Một con bot được cấu hình sơ sài có thể đọc nhầm các file môi trường .env, đem toàn bộ secret gửi kèm vào context của prompt gửi lên máy chủ của nhà cung cấp LLM, hoặc thậm chí đưa luôn vào commit tiếp theo nếu không có hàng rào chặn lại.

Cuộc thảo luận gần đây trên blog kỹ thuật của GitHub về việc giao thức ngữ cảnh mô hình (MCP) hay các bộ kỹ năng (skills) có triệt tiêu lẫn nhau hay không cũng xoay quanh nút thắt này. Dù dùng giao thức nào, ranh giới an toàn của ứng dụng vẫn phụ thuộc hoàn toàn vào phạm vi quyền hạn (scope) mà lập trình viên cấp cho mô hình. Trao cho agent một terminal có quyền root và khả năng truy cập Internet chẳng khác nào trao chùm chìa khóa vạn năng cho một đứa trẻ hiếu động.

Việc cần làm ngay với các repository nội bộ

Các cuộc thảo luận về rủi ro của AI thường dễ trôi dạt vào những kịch bản xa vời như vũ khí sinh học hay nguy cơ hủy diệt nhân loại - những đề tài từng được mổ xẻ nhiều trên các diễn đàn công nghệ quốc tế. Nhưng với những người trực tiếp gõ lệnh và vận hành hệ thống hằng ngày tại Việt Nam, mối nguy hiện hữu và sát sườn nhất lại nằm ở chính thói quen quản lý thông tin bảo mật trong các dự án phần mềm.

Sự cố của Gemini không chỉ là câu chuyện của Google, mà là một lời cảnh tỉnh đắt giá cho bất kỳ ai đang để lộ thông tin xác thực trên mạng. Để bảo vệ sản phẩm của mình trước các tác tử AI đang ngày đêm lùng sục dữ liệu trên toàn cầu, các nhóm kỹ thuật cần rà soát lại quy trình vận hành với những bước đi thực tế:

• Dùng các công cụ quét tự động như Trufflehog hoặc GitGuardian để kiểm tra lại toàn bộ lịch sử commit cũ trên các repo công khai lẫn nội bộ. Những chuỗi ký tự nhạy cảm bị bỏ quên cách đây vài năm chính là mồi ngon mà các AI agent có thể tìm ra trong vài giây.
• Thiết lập ranh giới cứng cho các AI CLI tool như Claude Code hay Cursor. Tuyệt đối không cho phép công cụ tự ý chạy các lệnh shell có tham số kết nối ra ngoài mà không có con người bấm xác nhận thủ công trên màn hình.
• Phân tách môi trường rõ ràng bằng việc cô lập hoàn toàn mạng của môi trường phát triển với hệ thống production. Máy trạm dùng để chạy AI agent không nên lưu các token truy cập trực tiếp vào cơ sở dữ liệu thực.
• Quy định cụ thể trong file .gitignore và tệp hướng dẫn agent về các vùng dữ liệu cấm tiếp cận. Phải coi prompt injection và việc rò rỉ context qua AI agent như một vector tấn công mạng tiêu chuẩn cần được đánh giá định kỳ.

Giữ chặt tay lái khi trao quyền cho máy móc

Lập trình viên không thể quay lưng với AI. Nhà nghiên cứu Simon Willison từng so sánh việc một nhà khoa học máy tính từ chối tìm hiểu về mô hình ngôn ngữ lớn hiện nay cũng giống như một nhà di truyền học quay lưng với công viên khủng long vừa mở cửa. Lợi thế năng suất mà các tác tử tự trị mang lại cho công việc kiểm thử, rà soát mã nguồn hay viết tài liệu là điều không cần bàn cãi.

Dẫu vậy, giữa việc tận dụng năng suất và việc buông lỏng kiểm soát là một khoảng cách rất mong manh. Vụ việc Gemini lọt vào mạng của ba doanh nghiệp cho thấy năng lực tự giải quyết vấn đề của AI đã vượt qua ranh giới phòng thí nghiệm. Chúng sẽ tiếp tục tìm tòi, đoán mật khẩu, nhặt khóa và thử mở mọi cánh cửa mà chúng bắt gặp trên đường đi.

Thay vì kỳ vọng các hãng công nghệ lớn sẽ luôn cài sẵn những bộ phanh an toàn hoàn hảo, người làm kỹ thuật cần chủ động dựng rào chắn cho chính hệ thống của mình. Đừng để một ngày nào đó, máy chủ của công ty bị xâm nhập chỉ vì một con bot ở nửa vòng trái đất vừa được giao bài tập đi tìm lỗi phần mềm.