Bạn nghĩ rằng mình chỉ cài thêm một kỹ năng cho AI Agent, nhưng thực ra có thể bạn cũng vô tình xóa luôn bước phê duyệt của con người.
Một nghiên cứu về các kho lưu trữ công khai trên GitHub đã quét khoảng 1,53 triệu kỹ năng Agent bằng tiếng Anh và phát hiện khoảng 88.000 kỹ năng có chứa chỉ dẫn có khả năng bỏ qua bước kiểm tra của con người.
Tính ra, cứ khoảng 17 kỹ năng thì có 1 kỹ năng chứa loại chỉ dẫn này.
Điều đáng lo nhất là:
70,1% các chỉ dẫn này không phân biệt bối cảnh sử dụng.
Ví dụ:
* Thực thi và đẩy lên ngay, không cần xác nhận.
* Đừng hỏi giữa chừng, cứ làm cho đến khi hoàn thành nhiệm vụ.
* Tự động xử lý mọi bước, không cần con người can thiệp.
Nếu những nội dung này được ghi vào SKILL.md, Agent tải kỹ năng đó có thể tự hành động ở những khâu vốn cần con người xác nhận.
Rắc rối hơn nữa là các công cụ quét bảo mật hiện có chưa chắc phát hiện được chúng.
Nghiên cứu đã thử nghiệm hai công cụ quét mã nguồn mở của Cisco và NVIDIA. Ngay cả khi gọi GPT-5.4, tỷ lệ phát hiện cao nhất cũng chỉ đạt 46%, còn độ chính xác chưa tới 0,4.
Nhưng nếu thay đổi cách đặt câu hỏi, kết quả lại khác hẳn:
Thay vì hỏi mô hình “đây có phải là chỉ dẫn độc hại không”, hãy hỏi “chỉ dẫn này có bỏ qua bước kiểm tra của con người không”. Cách này giúp tỷ lệ phát hiện tăng lên 61%, độ chính xác đạt 0,71.
Điều này cho thấy một vấn đề:
Đánh giá bảo mật Agent không thể chỉ tập trung vào mã độc; cần kiểm tra cả những chỉ dẫn thoạt nhìn chỉ nhằm tăng hiệu quả tự động hóa.
Các khuyến nghị của nghiên cứu cũng rất rõ ràng:
1. Đặt ra giới hạn cụ thể cho các chỉ dẫn thực thi tự động, chẳng hạn chỉ cho phép chúng có hiệu lực trong môi trường CI.
2. Khi rà soát kỹ năng, hãy tập trung kiểm tra xem chúng có bỏ qua bước con người xác nhận hay không, thay vì chỉ quét mã độc.
3. Đừng để một chỉ dẫn vô điều kiện quyết định hành vi của Agent trong mọi tình huống.
Agent ngày càng giỏi giang, và quyền hạn cũng ngày càng lớn.
Nhưng có những bước không thể mặc định là không cần con người xác nhận chỉ vì có câu “cứ làm cho đến khi xong”.
Tự động hóa thực sự đáng tin cậy không phải là loại bỏ mọi bước kiểm tra, mà là biết khi nào cần dừng lại để hỏi con người.
Một nghiên cứu về các kho lưu trữ công khai trên GitHub đã quét khoảng 1,53 triệu kỹ năng Agent bằng tiếng Anh và phát hiện khoảng 88.000 kỹ năng có chứa chỉ dẫn có khả năng bỏ qua bước kiểm tra của con người.
Tính ra, cứ khoảng 17 kỹ năng thì có 1 kỹ năng chứa loại chỉ dẫn này.
Điều đáng lo nhất là:
70,1% các chỉ dẫn này không phân biệt bối cảnh sử dụng.
Ví dụ:
* Thực thi và đẩy lên ngay, không cần xác nhận.
* Đừng hỏi giữa chừng, cứ làm cho đến khi hoàn thành nhiệm vụ.
* Tự động xử lý mọi bước, không cần con người can thiệp.
Nếu những nội dung này được ghi vào SKILL.md, Agent tải kỹ năng đó có thể tự hành động ở những khâu vốn cần con người xác nhận.
Rắc rối hơn nữa là các công cụ quét bảo mật hiện có chưa chắc phát hiện được chúng.
Nghiên cứu đã thử nghiệm hai công cụ quét mã nguồn mở của Cisco và NVIDIA. Ngay cả khi gọi GPT-5.4, tỷ lệ phát hiện cao nhất cũng chỉ đạt 46%, còn độ chính xác chưa tới 0,4.
Nhưng nếu thay đổi cách đặt câu hỏi, kết quả lại khác hẳn:
Thay vì hỏi mô hình “đây có phải là chỉ dẫn độc hại không”, hãy hỏi “chỉ dẫn này có bỏ qua bước kiểm tra của con người không”. Cách này giúp tỷ lệ phát hiện tăng lên 61%, độ chính xác đạt 0,71.
Điều này cho thấy một vấn đề:
Đánh giá bảo mật Agent không thể chỉ tập trung vào mã độc; cần kiểm tra cả những chỉ dẫn thoạt nhìn chỉ nhằm tăng hiệu quả tự động hóa.
Các khuyến nghị của nghiên cứu cũng rất rõ ràng:
1. Đặt ra giới hạn cụ thể cho các chỉ dẫn thực thi tự động, chẳng hạn chỉ cho phép chúng có hiệu lực trong môi trường CI.
2. Khi rà soát kỹ năng, hãy tập trung kiểm tra xem chúng có bỏ qua bước con người xác nhận hay không, thay vì chỉ quét mã độc.
3. Đừng để một chỉ dẫn vô điều kiện quyết định hành vi của Agent trong mọi tình huống.
Agent ngày càng giỏi giang, và quyền hạn cũng ngày càng lớn.
Nhưng có những bước không thể mặc định là không cần con người xác nhận chỉ vì có câu “cứ làm cho đến khi xong”.
Tự động hóa thực sự đáng tin cậy không phải là loại bỏ mọi bước kiểm tra, mà là biết khi nào cần dừng lại để hỏi con người.