AI Agent cần danh tính riêng, không thể dùng chung quyền của con người

Một chatbot trả lời sai còn sửa được.

Một AI Agent cầm nhầm quyền thì khác.

Nó có thể gọi API, đọc dữ liệu, gửi email, sửa đơn hàng hoặc chạy một workflow mà không cần con người bấm từng bước.

Đây là lý do câu hỏi mới của AI Agent không còn chỉ là: “Model này thông minh tới đâu?”.

Mà là: Agent này là ai, được phép làm gì, và ai chịu trách nhiệm cho hành động của nó?

AI Agent đã chuyển từ trả lời sang hành động

Ngày trước, mình thường hình dung chatbot như một ô chat:

• Người dùng hỏi.
• Model tạo câu trả lời.
• Người dùng tự quyết định có làm theo hay không.

AI Agent thì có thêm một lớp hành động:

• Đọc dữ liệu từ hệ thống.
• Gọi API.
• Dùng công cụ.
• Chia nhỏ một mục tiêu thành nhiều bước.
• Gửi kết quả hoặc thực hiện thay cho người dùng.

Khi agent chỉ đọc tài liệu công khai, rủi ro còn nhỏ. Khi agent được cấp quyền vào CRM, email, kho hàng, ngân hàng hoặc hệ thống khách hàng, nó đã trở thành một thành phần vận hành thật.

IBM vừa đưa Agent Identity lên trạng thái sẵn sàng cung cấp rộng rãi. Họ tập trung vào việc đăng ký agent, xác định ai sở hữu agent, agent được ủy quyền gì, hành động nào được phép và cách quản trị trong suốt vòng đời. IBM gọi đây là bài toán danh tính mới của thời đại agent.

Microsoft cũng dùng một cách gọi khá dễ hình dung: agentic insider. Agent ở bên trong doanh nghiệp, có quyền truy cập dữ liệu và công cụ, nhưng có thể hành xử khác nhau khi bối cảnh thay đổi. Vì vậy họ nói tới việc giám sát liên tục, kiểm soát nhiều lớp và các “Guardian Agents” để theo dõi hành động của agent. Microsoft phân tích rủi ro này trong bài viết về agentic insider.

Không nên cấp cho agent quyền giống tài khoản của chủ

Đây là lỗi dễ mắc nhất khi dựng automation:

1. Tạo một tài khoản quản trị.
2. Lấy API key có quyền rất rộng.
3. Đưa key đó vào bot.
4. Mong model tự biết việc gì không nên làm.

Model không thể thay thế policy.

Nếu agent có quyền xoá dữ liệu, model chỉ cần hiểu sai một câu lệnh là hậu quả xảy ra thật. Nếu agent dùng chung token với chủ doanh nghiệp, rất khó trả lời các câu hỏi:

• Hành động này do người dùng yêu cầu hay agent tự suy ra?
• Agent nào đã gọi API?
• Quyền này được cấp từ lúc nào?
• Khi cần khoá một agent, có phải đổi toàn bộ mật khẩu của hệ thống không?

Một agent nên có danh tính và credential riêng. Khi agent bị lỗi, chỉ cần thu hồi đúng credential đó, không phải đập cả hệ thống.

Checklist quyền hạn cho một AI Agent

Mình thường tách bài toán thành 6 câu hỏi trước khi cho agent chạy thật:

1. Ai sở hữu agent này?

Phải có tên người hoặc bộ phận chịu trách nhiệm. Không để một bot “vô chủ” chạy mãi trong server rồi không ai nhớ nó đang làm gì.

2. Agent được đọc gì?

Tài liệu công khai, dữ liệu nội bộ, thông tin khách hàng và dữ liệu tài chính không nên nằm chung một vùng quyền. Agent chăm sóc khách không cần đọc ghi chú riêng của chủ.

3. Agent được làm gì?

Nên tách quyền đọc và quyền ghi. Quyền gửi tin, sửa dữ liệu, xoá dữ liệu và gọi API tính phí cần được cấp riêng, không gom thành một quyền quản trị.

4. Hành động nào cần người duyệt?

Gửi email hàng loạt, hoàn tiền, xoá dữ liệu, phát hành hoá đơn hoặc thay đổi cấu hình production nên có bước xác nhận. Agent tự động không có nghĩa là agent được tự quyết mọi thứ.

5. Có nhật ký đủ để truy lại không?

Mỗi hành động quan trọng nên ghi được:

• Agent nào thực hiện.
• Được ai yêu cầu.
• Thời điểm nào.
• Gọi công cụ nào.
• Dữ liệu hoặc đối tượng nào bị tác động.
• Kết quả thành công hay thất bại.

Không có log thì lúc xảy ra sự cố chỉ còn cách đoán.

6. Có nút thu hồi quyền không?

Credential phải đổi được, khoá được và thu hồi được. Đừng thiết kế hệ thống mà muốn tắt một bot phải dừng cả server hoặc xoá nhầm dữ liệu khách.

Đây mới là phần khó khi xây nền tảng Agent

Làm cho model trả lời được không còn là phần khó nhất.

Phần khó hơn là dựng runtime để agent chạy ổn định, giới hạn công cụ, quản lý credential, chia dữ liệu theo project, ghi log và xử lý lúc agent làm sai.

Đó cũng là lý do một nền tảng như MonkeyAgent không chỉ cần chọn model nào hay nhất. Cần có cách quản lý bot, project, kênh giao tiếp và quyền vận hành sao cho người dùng vẫn kiểm soát được hệ thống của mình.

AI Agent tốt không phải agent được phép làm mọi thứ.

AI Agent tốt là agent làm đúng phần việc được giao, trong đúng phạm vi, và để lại đủ dấu vết khi có chuyện xảy ra.

Nguồn tham khảo

• IBM Agent Identity is now generally available
• Securing the agentic insider, Microsoft