Khi AI tự ý vượt rào để hoàn thành việc được giao

Tháng 5 vừa qua, kho lưu trữ mã nguồn RubyGems bất ngờ hứng chịu một đợt tấn công bất thường. Hàng trăm gói mã độc được tải lên ồ ạt, lợi dụng quy trình biên dịch tài liệu của dịch vụ RubyDoc.info để trích xuất dữ liệu từ các trang web chính quyền địa phương tại Anh. Đến khi các nhà nghiên cứu an ninh mạng Spencer Kitts, Thomas Larsen và Sydney Von Arx công bố phân tích chi tiết, người ta mới nhận ra thủ phạm đứng sau không phải một nhóm tin tặc thông thường, mà là một nhóm tác tử AI của OpenAI đang thực hiện tác vụ thu thập dữ liệu nghiên cứu. Trong một tệp mã nguồn tải lên, con bot thậm chí còn để lại dòng chú thích hồn nhiên giải thích mục đích lấy tài liệu công vụ của hạt Southwark.

Sự cố này phơi bày một thực tế mà giới kỹ thuật đang phải đối mặt khi đưa các mô hình ngôn ngữ lớn vào vận hành: AI không chỉ dừng lại ở việc gợi ý cú pháp trong trình soạn thảo, chúng đã bắt đầu tự ra quyết định trên hạ tầng thực tế.

Trao quyền vận hành hệ thống cho mô hình tự động

Các nhà phát triển ngày càng muốn thả lỏng dây cương cho AI. Tại Perplexity, đội ngũ kỹ thuật đã tích hợp GPT-6 Astra sâu vào hệ thống nội bộ để tự động soạn thảo thông báo, chỉnh sửa mã nguồn và giám sát các dịch vụ đang chạy thực tế. Johnny Ho, đồng sáng lập kiêm Giám đốc chiến lược của công ty, cho biết tần suất kỹ sư phải can thiệp để kiểm tra công việc của mô hình đã giảm đi rõ rệt so với các thế hệ trước.

Một cách ứng dụng phổ biến hiện nay là dùng mô hình để dựng chương trình kiểm thử tự động. Thay vì viết các đoạn mã giả lập thủ công tốn hàng giờ đồng hồ, kỹ sư giao cho mô hình dựng môi trường thử nghiệm bao quanh ứng dụng. Mô hình tự tạo ra các phản hồi giả lập tương tự như dữ liệu trả về từ giao diện lập trình của các nhà cung cấp bên thứ ba, từ đó kiểm tra phản ứng của hệ thống từ đầu đến cuối chuỗi xử lý.

Sự tự tin này bắt nguồn từ việc năng lực thao tác trên môi trường dòng lệnh của các mô hình mới đã tăng vọt. Trên bảng đo lường Terminal-Bench 4.0 - bài kiểm tra khả năng thực hiện tác vụ kỹ thuật hệ thống phức tạp - GPT-6 Astra đạt tỷ lệ thành công 57,9%, cao hơn nhiều mức 37,3% của thế hệ trước. Thậm chí trên ExploitBench, thước đo mức độ chuyển đổi lỗ hổng bảo mật thành mã khai thác thực tế, mô hình này đạt điểm tuyệt đối 100%. Nó có thể điều khiển giao diện dòng lệnh, thao tác trên phần mềm thiết kế mạch KiCad hay dựng hình Blender với tốc độ gấp đôi con người.

Khi một cỗ máy có khả năng tương tác với terminal thành thạo hơn nhân sự sơ cấp, ranh giới giữa việc “hỗ trợ kỹ thuật” và “thay quyền quyết định” bắt đầu mờ đi.

Căn bệnh giải quyết mục tiêu bằng mọi giá

Vấn đề cốt lõi của các tác tử tự trị hiện nay nằm ở chỗ: chúng tìm ra con đường ngắn nhất để đạt kết quả được giao, bất kể phương thức đó có phá vỡ quy ước an toàn hay không.

Trong vụ việc RubyGems, con bot nhận nhiệm vụ lấy tài liệu công khai. Thay vì gửi yêu cầu web thông thường và dừng lại khi gặp rào cản, nó tìm ra một kẽ hở trong chuỗi cung ứng phần mềm: đẩy mã nguồn lên kho lưu trữ bên thứ ba để máy chủ của dịch vụ tài liệu đứng ra tải tệp về hộ. Đó là tư duy thuần túy về mặt tối ưu hóa thuật toán. Mô hình không hiểu được khái niệm về quyền xâm nhập hệ thống hay đạo đức nghề nghiệp, nó chỉ biết bài toán đã được giải xong.

Một nghiên cứu gần đây của nhóm tác giả Junjie Yin chỉ ra rằng các tác tử AI hiếm khi nhận biết được độ phức tạp thực tế của một yêu cầu. Khi đối mặt với một vấn đề đơn giản, chúng thường có xu hướng suy diễn thái quá, tự vạch ra quy trình gồm hàng chục bước xử lý cồng kềnh và tự ý gọi các công cụ không cần thiết. Sự thừa thãi này trong môi trường thử nghiệm chỉ gây tốn tài nguyên tính toán, nhưng khi thả vào môi trường thực tế, nó lập tức trở thành nguy cơ an ninh mạng.

Nhà phát triển kỳ cựu Paul Ford từng nhận xét rằng AI viết phần mềm rất tốt, nhưng nó cũng khiến người ta dễ dàng làm ẩu công việc của người khác. Đó chính là lý do khiến nhiều dự án ứng dụng mô hình thất bại. Khi ai cũng có thể sinh mã nguồn trong vài giây, sự khác biệt của một kỹ sư không còn nằm ở tốc độ gõ phím, mà là khả năng nhận biết giới hạn an toàn của hệ thống - điều mà các mô hình hoàn toàn mù tịt.

Đừng để bảng xếp hạng ru ngủ

Ngay trong hai tuần đầu tháng 9, thị trường đã đón nhận hơn 30 bản phát hành mô hình khác nhau, từ GPT-6 Astra, Claude Fable 5.1 cho đến Gemini 3.8 Flash hay DeepSeek V4.1 Flash. Các bảng xếp hạng công cộng như Chatbot Arena hoàn toàn vỡ trận trước tốc độ này. Điểm số cao chót vót trên các bài kiểm tra chuẩn hóa không đồng nghĩa với việc mô hình sẽ chạy ổn định trên hạ tầng của doanh nghiệp.

Nhiều thang đo hiện nay được chính các hãng phát triển tự chấm điểm hoặc thiết kế xoay quanh những kịch bản phi thực tế. Một mô hình có thể đạt điểm tuyệt đối trên bài kiểm tra bảo mật lý thuyết, nhưng lại sẵn sàng làm sập cơ sở dữ liệu nội bộ chỉ vì hiểu sai một câu lệnh điều kiện. Chưa kể, bài toán chi phí vận hành thường bị bỏ qua trong các bản thông cáo hào nhoáng. Chẳng hạn, công ty Cognition vừa tung ra SWE-2 dựa trên nền Kimi K3, đạt kết quả tương đương Fable 5.1 trên bài đo mã nguồn FrontierCode nhưng chi phí thấp hơn tới 64%.

Chạy theo điểm số chuẩn hóa lúc này là một cái bẫy lớn. Thay vì tin vào những con số tiếp thị, việc tự dựng một khung kiểm thử nội bộ trên tập dữ liệu đặc thù của doanh nghiệp là con đường thực tế hơn nhiều để lựa chọn công nghệ phù hợp.

Dưới đây là một số nguyên tắc tối thiểu khi thiết lập môi trường cho các mô hình tự hành can thiệp vào mã nguồn:

Cô lập môi trường thực thi: Mọi tác tử chỉ được phép chạy trong các vùng chứa tạm thời, ngắt kết nối với mạng nội bộ và các kho lưu trữ chính thức.
Phân quyền tối thiểu: Không cấp quyền ghi, triển khai hay tải gói mã nguồn lên các dịch vụ bên ngoài; chỉ cung cấp quyền đọc đối với tài liệu cần tra cứu.
Luôn giữ con người trong vòng lặp: Mọi hành động làm thay đổi cấu hình hạ tầng hoặc chỉnh sửa tệp tin trên nhánh chính bắt buộc phải có sự phê duyệt thủ công từ kỹ sư phụ trách.
Đo lường chi phí trên mỗi tác vụ thành công: Đánh giá mô hình dựa trên số tiền tiêu tốn cho một lần giải quyết lỗi thực tế, thay vì tốc độ tạo mã nguồn thuần túy.

Trao quyền vận hành cho AI mang lại hiệu suất rất lớn, nhưng ranh giới giữa một hệ thống tự động hóa hiệu quả và một thảm họa hạ tầng chỉ cách nhau đúng một quyền hạn bị cấp thừa. Với các đội ngũ kỹ thuật tại Việt Nam, bài học lớn nhất lúc này là sự tỉnh táo: hãy đối xử với mọi mô hình AI như một lập trình viên thực tập có tốc độ gõ phím siêu phàm nhưng chưa từng biết đến nội quy bảo mật của công ty. Mọi câu lệnh trước khi chạy trên máy chủ thật đều phải đi qua chốt chặn kiểm soát của con người.