AI

Bài 1: Khi AI Agent thâm nhập vào từng ‘ngóc ngách’, bản chất rủi ro đã thay đổi

Thẩm Hồng Thụy thực hiện •

Những sự cố gần đây được công bố liên quan đến OpenAI và Anthropic, từ việc tác tử AI vượt qua các giới hạn kiểm soát để để truy cập hệ thống bên ngoài đến nguy cơ vô hiệu hóa cơ chế giám sát an toàn, là những “phát súng cảnh báo” về khả năng AI hành động ngoài dự tính của con người.

Khi doanh nghiệp Việt Nam ngày càng ứng dụng AI rộng rãi, thậm chí đưa các tác tử AI (AI Agent) vào vận hành, xử lý dữ liệu và hỗ trợ ra quyết định, rủi ro an toàn thông tin trở thành vấn đề không thể xem nhẹ. AI là tiến bộ khoa học – công nghệ mà doanh nghiệp khó có thể đứng ngoài. Bài toán đặt ra là làm thế nào để khai thác hiệu quả công nghệ này, đồng thời chủ động phòng ngừa và kiểm soát rủi ro.

Mở đầu chuyên đề “Ứng phó trước rủi ro AI hành động ngoài vòng kiểm soát”, Một Thế Giới có cuộc trao đổi với ông Nguyễn Đức Hiền, CEO HIPTECH, doanh nghiệp công nghệ phần mềm đã ứng dụng tác tử AI vào quy trình công việc.

AI cực kỳ hữu ích nhưng doanh nghiệp vẫn dè dặt khi trao quyền

- Tại HIPTECH, AI Agent đang đảm nhận những công việc nào và mang lại hiệu quả cụ thể ra sao, thưa ông?

- Ông Nguyễn Đức Hiền: HIPTECH đã ứng dụng AI Agent để giải quyết nhiều công việc. Chẳng hạn, trước đây, sau khi tiếp nhận yêu cầu của khách hàng, chúng tôi thường mất khoảng một tuần để xây dựng đề xuất giải pháp (proposal) và báo giá. Nhưng hiện nay, nhờ ứng dụng AI Agent, thời gian này được rút ngắn xuống còn khoảng nửa ngày.

- Từ thực tế ứng dụng, doanh nghiệp Việt Nam đang ở nấc nào trong quá trình chuyển từ AI hỗ trợ sang AI Agent tự thực hiện công việc?

- Ông Nguyễn Đức Hiền: Nói một cách thực tế, đa phần doanh nghiệp Việt Nam hiện nay vẫn đang ở giai đoạn “cho AI tập việc” chứ chưa dám “khoán đứt”. Phần lớn mới dừng ở mức dùng AI làm nhân viên hỗ trợ (Copilot) – bảo gì làm nấy, từ soạn văn bản đến tổng hợp dữ liệu. Sau đó, con người vẫn phải kiểm tra lại từng dòng.

Cách chúng ta sử dụng AI hiện nay khá giống tâm lý của các doanh nghiệp thế hệ trước: muốn giao quyền cho cấp dưới nhưng lúc nào cũng nơm nớp lo sợ sai sót, thành ra vừa giao việc vừa đứng sau giám sát từng chút một. Cách làm nửa chừng này vô tình tạo ra điểm nghẽn: AI chưa phát huy hết tốc độ, còn con người vẫn mệt mỏi vì phải “dọn dẹp” và duyệt lệnh.

Chỉ một số ít doanh nghiệp tiên phong, chẳng hạn trong lĩnh vực ngân hàng, bán lẻ hay thương mại điện tử, mới bắt đầu dám “trao chìa khóa” cho AI Agent tự vận hành các quy trình thực tế, như tự duyệt hóa đơn hoặc xử lý yêu cầu hỗ trợ (ticket) của khách hàng.

Rào cản lớn nhất lúc này không nằm ở chỗ AI giỏi hay dở, mà ở tâm lý lo ngại của doanh nghiệp. Mọi người thấy AI hữu ích thì thích dùng thử, nhưng khi phải giao quyền cho công cụ này tự thao tác trên hệ thống thật, đa số vẫn dè dặt. Nguyên nhân đơn giản là chúng ta chưa có một “cơ chế phanh an toàn” đủ tin cậy để quản trị AI Agent.

- Vậy trong quá trình sử dụng AI Agent, HIPTECH đã gặp vấn đề hay sự cố nào đáng lưu ý chưa? Doanh nghiệp đang kiểm soát rủi ro ra sao?

- Ông Nguyễn Đức Hiền: Hiện tại, chúng tôi vẫn khá thận trọng trong việc cấp quyền cho AI Agent. Những công việc liên quan đến tài chính hoặc các tác vụ có tính chất quan trọng vẫn do con người thực hiện thủ công. Chúng tôi mới chỉ giao cho AI Agent xử lý những tác vụ đơn giản, chưa trao quyền để công cụ này tự đưa ra quyết định. Vì vậy, đến thời điểm hiện tại, HIPTECH chưa ghi nhận sự cố đáng tiếc nào trong quá trình sử dụng.

Rủi ro đáng lo là AI Agent có thể thực thi hành động ngoài dự kiến

- Khi AI chuyển từ trả lời sang tự lập kế hoạch, gọi công cụ và thực hiện chuỗi hành động, những rủi ro nào mới xuất hiện mà doanh nghiệp trước đây ít phải đối mặt?

- Ông Nguyễn Đức Hiền: AI trả lời câu hỏi (chatbot) giống như một chuyên gia tư vấn. Dù được cấp dữ liệu công khai hay dữ liệu nội bộ, nó chủ yếu dừng ở vai trò “chỉ đọc” (read-only), tức tra cứu, tổng hợp và trả lời bằng văn bản. Nó không thể tự bấm nút hay thay đổi hệ thống.

Còn AI Agent giống như một nhân viên vận hành. Nó không chỉ đọc mà còn có thể được cấp quyền “ghi và thực thi” (read and write), với “tay chân” là các cổng kết nối (API) để tự lên kế hoạch và trực tiếp thao tác trên phần mềm nội bộ, chẳng hạn tạo hóa đơn, chuyển tiền, duyệt lệnh hay gửi email.

Khi AI Agent thâm nhập vào từng “ngóc ngách” trong quy trình và hiểu rõ cách doanh nghiệp vận hành, bản chất rủi ro đã thay đổi hoàn toàn.

Thứ nhất, rủi ro chuyển từ “nói sai” sang “làm sai”. Trước đây, một trong những rủi ro lớn của chatbot là tiết lộ thông tin không nên được công khai. Với AI Agent, rủi ro có thể chuyển thành hành động trái phép: AI thực hiện điều không nên làm.

Thứ hai, hậu quả có thể xảy ra ngay trên hệ thống thật. Nếu AI Agent bị đánh lừa bằng kỹ thuật chèn chỉ thị độc hại (prompt injection) hoặc hiểu sai ngữ cảnh, hậu quả không còn chỉ là một câu trả lời sai trên màn hình, mà có thể là một giao dịch tài chính đã được thực hiện hoặc cơ sở dữ liệu khách hàng bị xóa khỏi hệ thống.

- Trong thực tế, một AI Agent có thể vượt khỏi mục tiêu ban đầu bằng những cơ chế nào? Vai trò của thiết kế phân quyền và khả năng hiểu chỉ thị của AI ra sao?

- Ông Nguyễn Đức Hiền: Theo tôi, tình trạng AI Agent hành động vượt quyền thực chất là kết quả của sự cộng hưởng giữa hai nhóm nguyên nhân: cách con người thiết kế hệ thống phân quyền và năng lực nhận thức của AI.

Đầu tiên và phổ biến nhất là lỗi kiến trúc phân quyền. Doanh nghiệp thường mắc sai lầm khi cấp quyền quá rộng thay vì áp dụng nguyên tắc cấp quyền tối thiểu cần thiết. Điều này khiến các quyền được cấp có thể chồng chéo, xung đột hoặc tạo ra những vùng xám thiếu lớp kiểm duyệt độc lập.

Tiếp đến là lỗi nhận thức khi xử lý dữ liệu. Do bản chất của mô hình ngôn ngữ lớn (LLM) là xử lý dựa trên xác suất, khi dữ liệu đầu vào mơ hồ hoặc sai ngữ cảnh, AI Agent có thể suy luận lệch hướng rồi thực thi những hành động không phù hợp mà hệ thống không kịp ngăn chặn.

- Ngay cả khi đã giới hạn quyền truy cập, doanh nghiệp vẫn có thể cho AI Agent dùng API, cơ sở dữ liệu, email hoặc công cụ nội bộ. Những quyền kết nối này còn tạo ra điểm mù nào trong kiểm soát hành động của AI?

- Ông Nguyễn Đức Hiền: Theo tôi, chắc chắn là không đủ. Giới hạn quyền giống như việc mình khóa cửa nhà, nhưng nếu AI đã giữ chìa khóa thì những gì nó có thể làm bên trong vẫn không dễ kiểm soát hết. Điểm mù lớn nhất không hẳn là AI “phá rào”, mà là nó thực hiện đúng từng việc nhỏ nhưng lại tạo ra hậu quả lớn.

Thứ nhất là rủi ro ghép nối thành chuỗi hành động. AI không nhất thiết phải vượt quyền. Chẳng hạn, nó có quyền đọc tài liệu và quyền gửi email. Xét riêng từng quyền thì đều đúng quy định, nhưng AI có thể tự kết hợp hai việc này, đọc hợp đồng bảo mật rồi gửi tài liệu ra bên ngoài.

Thứ hai là nguy cơ mạo danh. Hệ thống CNTT thường ghi nhận hành động của AI thông qua tài khoản người dùng đã ủy quyền cho nó. Khi xảy ra sự cố, đội ngũ an ninh mạng có thể chỉ thấy tên nhân viên A trong nhật ký hệ thống, mà không phân biệt được hành động đó do người thật thực hiện hay do AI tự thực hiện.

Thứ ba là lỗ hổng từ bên thứ ba. AI Agent không hoạt động độc lập mà kết nối với nhiều plugin và API bên ngoài. Dù hệ thống nội bộ được bảo vệ chặt chẽ, lỗ hổng trong công cụ của bên thứ ba vẫn có thể đưa rủi ro vào hệ thống.

Hạn chế phân quyền về tài chính và hệ thống CNTT cốt lõi

- Trong các hoạt động như chăm sóc khách hàng, quản trị nhân sự, xử lý hợp đồng, quản lý tài chính hay vận hành hệ thống CNTT, những ứng dụng nào có nguy cơ gây thiệt hại lớn nhất nếu tác tử AI hành động sai hoặc vượt quyền?

- Ông Nguyễn Đức Hiền: Nếu xếp hạng nguy cơ, hai mảng có thể chịu thiệt hại nặng nề nhất là quản lý tài chính và vận hành hệ thống CNTT cốt lõi, nơi AI Agent được giao trực tiếp quyền thực hiện các tác vụ quan trọng.

Rủi ro chủ yếu đến từ việc AI Agent thao tác sai hoặc bị lừa, chẳng hạn gặp mã lệnh ẩn trong hóa đơn hay email độc hại, rồi tự động kích hoạt lệnh chuyển tiền hoặc xóa dữ liệu vận hành.

Do đó, vấn đề cốt lõi không chỉ là giới hạn quyền, mà doanh nghiệp còn cần có bộ lọc kiểm duyệt độc lập để giúp phát hiện những hành động bất thường hoặc dữ liệu có dấu hiệu độc hại trước khi AI Agent thực thi.

- Khi AI Agent xóa dữ liệu, sửa sai thông tin khách hàng, gửi nhầm tài liệu mật hoặc tự thực hiện giao dịch, doanh nghiệp cần dựa vào đâu để nhận biết sự việc, nhất là khi công cụ giám sát hiện có chưa theo dõi đầy đủ quá trình AI ra quyết định?

- Ông Nguyễn Đức Hiền: Tôi nghĩ việc này không dễ, vì các công cụ giám sát CNTT hiện nay, dù hiện đại đến đâu, cũng chủ yếu được thiết kế để theo dõi hoạt động của con người và máy tính, chứ chưa được thiết kế đầy đủ để giám sát quá trình AI đưa ra quyết định.

Khi AI tự ý xóa dữ liệu hay chuyển tiền, hệ thống hiện có có thể chỉ ghi nhận đó là một lệnh hợp lệ được gửi từ tài khoản đã cấp quyền. Đội ngũ CNTT và an ninh mạng nhìn thấy hậu quả, chẳng hạn dữ liệu biến mất hoặc tiền đã được chuyển đi, nhưng khó xác định vì sao AI lại diễn giải chỉ thị theo hướng đó và đưa ra quyết định sai.

Muốn phát hiện và truy vết sự cố, theo tôi, doanh nghiệp cần bổ sung hai cơ chế.

Thứ nhất là ghi nhật ký quá trình xử lý và hành động của AI, lưu lại thông tin cần thiết để xác định vì sao hệ thống diễn giải chỉ thị theo một hướng nhất định và thực hiện hành động tương ứng.

Thứ hai là cảnh báo hành vi bất thường. Chẳng hạn, nếu AI truy cập lượng dữ liệu tăng đột biến, gấp 10 lần mức thông thường, hệ thống cần phát cảnh báo và có cơ chế tự động ngắt hoặc tạm dừng hoạt động khi vượt ngưỡng an toàn.

Xây “phanh an toàn” trước khi mở rộng AI Agent

- Những cảnh báo về AI tự hành động có thể khiến doanh nghiệp lo ngại và hạn chế triển khai công nghệ này. Theo ông, ranh giới giữa thận trọng cần thiết và tâm lý né tránh AI nằm ở đâu? Doanh nghiệp cần đánh giá rủi ro dựa trên những tiêu chí nào trước khi giao một công việc cho tác tử AI?

- Ông Nguyễn Đức Hiền: Ranh giới giữa thận trọng và né tránh rất mong manh. Né tránh là vì sợ ngã nên không dám đi; còn thận trọng là biết có thể xảy ra những tình huống không lường trước nhưng vẫn tìm cách tiến lên an toàn.

Nếu thấy AI có rủi ro mà không sử dụng thì doanh nghiệp có thể tụt lại xa so với đối thủ. Trước khi giao việc cho AI, theo tôi, nên tự hỏi ba câu.

Thứ nhất, nếu làm sai thì có sửa kịp không? Có thể bấm “Undo” để khôi phục hay một thao tác sai sẽ gây hậu quả không thể đảo ngược? Chẳng hạn, gửi nhầm email cho toàn bộ khách hàng hoặc xóa sạch cơ sở dữ liệu có thể để lại hậu quả nghiêm trọng.

Thứ hai, công việc có liên quan đến tiền bạc hoặc pháp lý không? AI có được phép tự chuyển tiền, tự ký duyệt hay tiếp cận dữ liệu bảo mật không?

Thứ ba, công việc đòi hỏi độ chính xác tuyệt đối hay chấp nhận được một mức sai số nhất định? Với báo cáo tài chính, sai sót nhỏ cũng có thể gây hậu quả lớn; nhưng với việc soạn bản thảo hay tìm ý tưởng, doanh nghiệp có thể chấp nhận sai sót ở mức độ nhất định.

Những công việc có rủi ro cao cần được con người kiểm soát; những công việc an toàn hơn có thể giao cho AI tự động thực hiện để giải phóng sức lao động.

- Làm sao xác định thao tác nào cần người duyệt trước, thao tác nào có thể để AI tự xử lý mà vẫn giữ được lợi ích của tự động hóa?

- Ông Nguyễn Đức Hiền: Theo tôi, cách tiếp cận cần linh hoạt. Nếu việc gì cũng bắt con người ngồi duyệt thì sẽ tốn thời gian, vậy sử dụng AI để làm gì? Nhưng ngược lại, nếu để AI tự thực hiện mọi việc thì rủi ro quá lớn.

Cách tốt nhất là áp dụng nguyên tắc “đèn giao thông” để phân loại công việc.

Vùng xanh – cho phép tự động: Dành cho các tác vụ rủi ro thấp, sai thì có thể sửa dễ dàng, như tìm kiếm thông tin, tổng hợp báo cáo, lập bản thảo hoặc phân loại yêu cầu hỗ trợ của khách hàng (ticket). AI có thể tự thực hiện để giải phóng sức lao động.

Vùng vàng – cần thận trọng: Dành cho những công việc liên quan đến tiền bạc, khách hàng hoặc dữ liệu quan trọng, như gửi email hàng loạt, thanh toán khoản chi nhỏ hay sửa dữ liệu gốc. AI có thể chuẩn bị phần lớn công việc, nhưng con người phải kiểm tra và xác nhận trước khi thực hiện.

Vùng đỏ – bắt buộc kiểm soát: Dành cho những tác vụ có thể đe dọa sự an toàn hoặc hoạt động cốt lõi của doanh nghiệp, như xóa cơ sở dữ liệu, thay đổi cấu hình bảo mật hay chuyển khoản số tiền lớn. Những việc này không nên để AI tự quyết định và thực thi mà không có sự kiểm soát của con người.

Nếu làm được như vậy, doanh nghiệp có thể tận dụng tốc độ của AI, đồng thời hạn chế rủi ro.

- Với doanh nghiệp vừa và nhỏ (SMB) chưa có đội ngũ an ninh mạng chuyên sâu, những bước kiểm soát thực tế nào có thể triển khai ngay với chi phí hợp lý?

- Ông Nguyễn Đức Hiền: Với các doanh nghiệp vừa và nhỏ ở Việt Nam, vốn không dư dả ngân sách và có thể không có đội ngũ an ninh mạng riêng, giải pháp cần thiết thực, tiết kiệm và có thể triển khai ngay.

Trước hết là siết chặt phân quyền: AI chỉ được cấp đúng quyền cần thiết để thực hiện công việc, tuyệt đối không sử dụng chung tài khoản quản trị viên (Admin).

Song song đó là thiết lập hạn mức, tương tự hạn mức thẻ tín dụng. Chẳng hạn, doanh nghiệp có thể giới hạn số tiền giao dịch hoặc số lượng email mà AI được phép gửi trong một giờ. Khi vượt ngưỡng, hệ thống phải tự động khóa hoặc tạm dừng hoạt động để kiểm tra.

Tiếp theo, nên ưu tiên sử dụng các công cụ có sẵn cơ chế bảo vệ (guardrails), lựa chọn giải pháp phần mềm dưới dạng dịch vụ (SaaS) uy tín đã tích hợp các tính năng bảo mật, thay vì tự phát triển toàn bộ hệ thống.

- Trước khi mở rộng ứng dụng tác tử AI, doanh nghiệp nên ưu tiên chuẩn bị những điều kiện nào để có thể triển khai an toàn trong thực tế?

- Ông Nguyễn Đức Hiền: Theo tôi, ba việc doanh nghiệp cần chuẩn bị ngay là phân quyền đúng, phê duyệt đúng và đào tạo người dùng. Công việc nào có rủi ro thì con người phải chốt; chỉ những việc an toàn mới nên giao cho AI tự động thực hiện.

Lời khuyên cuối cùng của tôi dành cho các CEO là: “Xe chạy càng nhanh thì càng phải tập trung thận trọng và phanh càng phải xịn”. Đừng chạy theo phong trào đưa AI vào vận hành khi chưa có cơ chế kiểm soát rủi ro. Hãy bắt đầu từ những công việc ít rủi ro, làm chủ được cách vận hành rồi mới mở rộng.

- Xin cảm ơn ông về cuộc trao đổi!