Dặn AI Agent "đừng xoá database" rồi mà vẫn bị xoá, tại sao?

Bạn viết trong prompt: "Tuyệt đối không xoá database". AI Agent làm việc ngon lành được vài phút. Rồi trong một lần chạy lệnh dọn dẹp, nó vẫn thẳng tay xoá. Dữ liệu thật, môi trường thật, hậu quả thật. Dặn thế mà không nghe — vậy prompt còn giá trị bao nhiêu? Câu trả lời nằm ở bản chất hoạt động của AI mà nhiều đội kỹ thuật đang hiểu nhầm.

Câu chuyện khiến nhiều đội kỹ thuật giật mình

Tình huống không hề giả định: doanh nghiệp giao AI Agent truy cập hệ thống để hỗ trợ lập trình, vận hành, và dặn rõ "không đụng vào database production". Agent gật gù qua câu trả lời đầu tiên. Nhưng sau một chuỗi thao tác dài, nó vẫn thực thi lệnh xoá dữ liệu.

Khi điều tra, nguyên nhân thường không phải AI "cố tình chống đối". Vấn đề nằm ở cách chúng ta nghĩ về prompt: cứ nghĩ viết lệnh cấm vào prompt là đã chặn được. Sự thật không như vậy.

AI không "đọc" prompt như người — nó token hóa

Trước khi xử lý, toàn bộ chữ bạn gõ được hệ thống đổi thành số, gọi là token (đơn vị văn bản nhỏ nhất mà mô hình xử lý). Câu "không xoá DB nhé" dài 16 ký tự, sau khi token hóa chỉ còn 4 token. Với mô hình, đó là 4 con số trôi lơ lửng giữa hàng nghìn con số khác trong ngữ cảnh — chứ không phải một dòng lệnh cấm được khoanh đỏ như ta tưởng.

Từ đó rút ra hệ quả quan trọng nhất của bài viết này: prompt không phải ràng buộc cứng, mà chỉ là tác động vào xác suất. Mô hình sinh chữ bằng cách dự đoán token tiếp theo có khả năng xảy ra cao nhất. Lời dặn "đừng xoá" chỉ khiến hành động đúng ý mình trở nên khả năng hơn — chứ không bảo đảm nó xảy ra 100%.

Cái cảm giác "tao đã dặn rồi" khi làm việc với AI cũng giống như dặn một đứa con: đi ngủ sớm, xếp sách vở, qua đường cẩn thận. Dặn bao nhiêu lần, nó vẫn có thể quên. AI cũng vậy — thậm chí còn dễ "quên" hơn, vì ngữ cảnh của nó có giới hạn và thường xuyên bị nén.

Ba lý do lệnh cấm trong prompt dễ "bốc hơi"

1. Ngữ cảnh có giới hạn. Khi phiên làm việc dài, hệ thống phải tóm tắt lại nội dung cũ để nhường chỗ cho thông tin mới. Câu "đừng xoá" nằm ở dòng thứ ba hoàn toàn có thể biến mất trong bản tóm tắt — đúng lúc agent đang cầm trong tay quyền truy cập database.

2. Phủ định là dạng chỉ dẫn yếu. "Không làm X" phải cạnh tranh về "âm lượng" với toàn bộ phần còn lại của ngữ cảnh: mô tả công việc, kết quả truy vấn, log hệ thống. Ngữ cảnh càng dài, tiếng nói của lệnh cấm càng bị pha loãng.

3. Ngữ cảnh không chỉ đến từ bạn. Agent còn đọc file, đọc nội dung web, đọc kết quả truy vấn. Nếu trong đó có chứa chỉ dẫn độc hại (kỹ thuật gọi là prompt injection — tiêm lệnh qua nội dung), một phần ngữ cảnh "người lạ" này có thể lấn át chỉ dẫn ban đầu của bạn.

Chặn ở đúng tầng: prompt không phải tường lửa

Giải pháp không nằm ở việc viết prompt khéo hơn. Nguyên tắc vàng của vận hành AI agent an toàn là: chặn ở mức kết nối, mức môi trường — không chặn ở mức prompt.

Hãy tự hỏi: tuyển một nhân viên mới vào công ty, bạn có trao toàn quyền truy cập production ngay ngày đầu không? Chắc chắn là không. Với AI cũng phải vậy. Bốn lớp bảo vệ cụ thể:

1. Phân quyền theo nguyên tắc tối thiểu

Áp dụng nguyên tắc least privilege (quyền tối thiểu): agent chỉ nhận đúng quyền cần thiết cho công việc được giao. Việc của agent là đọc code, phân tích log? Cấp tài khoản chỉ đọc (read-only). Không có quyền DROP, không có quyền DELETE — thì dù model có "quên lời dặn" đến đâu, nó cũng không thể xoá được gì.

2. Cô lập môi trường làm việc

Cho agent làm việc ở môi trường development (phát triển) hoặc UAT (môi trường kiểm thử chấp nhận — User Acceptance Testing), nơi dữ liệu là dữ liệu giả hoặc dữ liệu cho phép hư hại. Đừng để agent chọc vào dữ liệu khách hàng thật ngay từ đầu. Nâng quyền dần theo độ tin cậy được kiểm chứng, giống cách bạn nâng quyền cho nhân viên mới.

3. Duyệt trước khi thay đổi dữ liệu

Mọi thao tác ghi, xoá, cập nhật dữ liệu quan trọng phải đi qua bước phê duyệt của con người (human-in-the-loop). Agent soạn lệnh, người có thẩm quyền duyệt, hệ thống mới thực thi. Chậm hơn vài phút, nhưng đổi lại bạn không phải đối mặt với cảnh database mất trắng chỉ vì một lệnh chạy nhầm.

4. Ghi log, kiểm toán mọi hành động

Mỗi lệnh agent thực thi cần được ghi lại đầy đủ: ai khởi tạo, lệnh gì, tác động tới đâu, lúc nào. Khi sự cố xảy ra, audit log (nhật ký kiểm toán) là thứ giúp bạn dựng lại hiện trường trong vài phút thay vì vài ngày đoán mò.

Tóm lại bằng một câu: vấn đề không nằm ở AI. Vấn đề nằm ở thiết kế của chính chúng ta.

Góc nhìn cho doanh nghiệp Việt Nam

• Xem AI agent như nhân viên mới, không như hệ thống đáng tin tuyệt đối. Năng lực cao nhưng cần quy chế: quyền hạn tối thiểu, môi trường thử nghiệm trước, phê duyệt cho thao tác nguy hiểm.
• Rà soát lại quyền truy cập hiện tại. Câu hỏi tự vấn cần thiết: AI agent của bạn đang được quyền xoá những gì? Nếu câu trả lời khiến bạn thấy lo, đã đến lúc siết lại.
• Đầu tư vào tầng vận hành, không chỉ tầng prompt. Phân quyền tài khoản database, tách môi trường, cổng duyệt thao tác, nhật ký kiểm toán — đây mới là hàng rào thật sự của doanh nghiệp.

Kết luận

Prompt là giao tiếp, không phải kiểm soát. Dặn AI "đừng làm gì" chỉ làm tăng xác suất nó nghe lời; còn ngăn nó thật sự làm điều đó phải dựa vào hạ tầng: quyền hạn, môi trường, phê duyệt và kiểm toán. Doanh nghiệp nào tách bạch được hai tầng này sẽ dùng AI agent với tốc độ đầy đủ mà vẫn ngủ ngon.

Nguồn: tổng hợp từ chia sẻ kỹ thuật trên Facebook (VGU Tech Alumni), biên tập bởi Wotech Electronics.

Doanh nghiệp của bạn cần rà soát và thiết kế hạ tầng vận hành AI agent an toàn? Liên hệ Wotech để được tư vấn giải pháp phân quyền, cô lập môi trường và kiểm toán phù hợp.