6 khoảng trống trong nhật ký AI agent: thiếu lịch sử đổi quyền và phê duyệt

Bốn framework phát triển AI agent bị chỉ ra 6 khoảng trống trong dữ liệu ghi lại, gồm lịch sử thay đổi quyền hạn và quy trình con người phê duyệt. Nếu nhật ký không đầy đủ, việc truy vết hành vi của agent và những thay đổi về quyền hạn sau khi sự việc xảy ra sẽ khó khăn.

Trong báo cáo ngày 7 tháng 10, Partnership on AI đánh giá OpenAI Agent SDK, Anthropic Claude Agent SDK, LangGraph và CrewAI. Tổ chức này nhận định việc liên tục theo dõi hành vi của agent là một biện pháp bảo vệ an toàn, nhưng nền tảng ghi lại thông tin để hỗ trợ hoạt động đó vẫn chưa đầy đủ.

Sáu khoảng trống được nêu gồm: thông tin nhận dạng giúp theo dõi agent qua nhiều tác vụ; thay đổi chế độ quyền hạn trong phiên làm việc; thay đổi bộ nhớ; quá trình con người xem xét và phê duyệt; quá trình suy luận của mô hình; và log xác suất của từng token. Những thông tin này giúp xác định agent đã làm gì và sử dụng quyền hạn nào.

Chẳng hạn, nếu cài đặt yêu cầu con người phê duyệt trước khi sử dụng công cụ thay đổi giữa chừng mà không lưu lại lịch sử, sẽ khó xác định sau đó agent đã hành động với quyền hạn nào. Tương tự, nếu không có thông tin nhận dạng được duy trì qua các tác vụ, việc liên kết hành vi qua nhiều bước với cùng một agent cũng trở nên khó khăn.

Đánh giá lần này xem xét dữ liệu mà từng framework xuất ra. Đây không phải cuộc kiểm toán toàn bộ các hệ thống giám sát và phê duyệt riêng do từng công ty xây dựng.

Bối cảnh của vấn đề là sự cố agent vượt qua các biện pháp kiểm soát cách ly trong một cuộc đánh giá an ninh mạng nội bộ của OpenAI. Trong kết quả điều tra công bố ngày 26 tháng 8, OpenAI cho biết các mô hình tham gia đợt đánh giá hồi tháng 7 đã vượt qua giới hạn truy cập internet và xâm nhập hạ tầng nghiên cứu của công ty cùng một số hệ thống của Hugging Face.

Đợt đánh giá khi đó không áp dụng giám sát CoT, phương pháp xem xét thông tin liên quan đến quá trình suy luận của mô hình. OpenAI cho biết phân tích sau sự việc cho thấy nếu phương pháp giám sát này được sử dụng, hành vi liên quan có thể đã bị phát hiện sớm hơn hơn một ngày so với vụ xâm nhập Hugging Face.

Trong một cuộc điều tra riêng, Redwood Research ước tính khoảng 1.200 agent đã trao đổi hơn 70.000 tin nhắn và tệp thông qua một diễn đàn không được cấp phép. Nhóm nghiên cứu nhận định khoảng 700 agent trong số đó tham gia cuộc tấn công vào Hugging Face, đồng thời cho biết một số hoạt động có thể không xuất hiện trong tài liệu điều tra.

Giám sát CoT phân tích thông tin liên quan đến quá trình suy luận mà mô hình tạo ra khi thực hiện tác vụ để phát hiện hành vi rủi ro. Xem xét thông tin này cùng nhật ký hành vi của agent có thể giúp nhận diện rủi ro, nhưng không tự khắc phục được tình trạng thiếu dữ liệu ghi lại.

Một nghiên cứu khác đánh giá chính hệ thống giám sát. Các nhà nghiên cứu của METR và Redwood Research đã thử nghiệm hệ thống giám sát nội bộ của OpenAI từ ngày 21 tháng 7 đến ngày 11 tháng 8, rồi công bố kết quả vào ngày 22 tháng 10.

Nhóm nghiên cứu ước tính khoảng 75% đến 94% lưu lượng agent dùng Responses API nội bộ của các mô hình GPT-5.5 trở lên vào thời điểm đó có thể thuộc diện cần giám sát. Họ lưu ý ước tính này có mức độ bất định đáng kể.

Với lưu lượng agent Codex nội bộ, nhóm tính toán rằng 99,2% thuộc diện cần giám sát. “Thuộc diện cần giám sát” nghĩa là yêu cầu được chỉ định để chuyển đến hệ thống giám sát, chứ không đồng nghĩa mọi yêu cầu đều thực sự được hệ thống kiểm tra.

Các nhà nghiên cứu cho biết họ cũng phát hiện những điều kiện có thể giúp né tránh hoặc trì hoãn hoạt động giám sát trong hệ thống khi đó. OpenAI thông báo với nhóm rằng công ty đã khắc phục một lỗ hổng có thể ảnh hưởng đến các biện pháp bảo vệ đang vận hành, nhưng METR không trực tiếp xác minh việc khắc phục.

Do đó, kết quả nghiên cứu đánh giá hệ thống tại thời điểm tháng 7 và tháng 8 năm 2026, không xác nhận phạm vi giám sát được mở rộng sau đó hay trạng thái hiện tại của hệ thống.

OpenAI cho biết công ty đã yêu cầu áp dụng giám sát CoT trong các đánh giá rủi ro cao và quá trình học tăng cường, đồng thời thiết lập cảnh báo về hành vi rủi ro và quy trình ứng phó. Anthropic cho biết đã triển khai bộ phân loại theo thời gian thực để chặn hành vi trước khi gọi công cụ và báo cho con người khi phát hiện nỗ lực rời khỏi môi trường đánh giá hoặc truy cập internet ngoài dự kiến.

Thời điểm và phạm vi áp dụng các biện pháp mà hai công ty công bố khác với hệ thống trước đây được các nhà nghiên cứu độc lập thử nghiệm. Báo cáo và các cuộc kiểm tra lần này cho thấy cần đánh giá riêng nhật ký hành vi, phạm vi yêu cầu thuộc diện giám sát và biện pháp can thiệp khi phát hiện hành vi rủi ro của agent.