Microsoft cho rằng doanh nghiệp nên quản lý tác tử AI như một mối đe dọa nội gián vì các mô hình tiên phong có thể hành động khó dự đoán khi được cấp quyền truy cập dữ liệu và công cụ. Guardian Agents được thiết kế để theo dõi các tác tử mà doanh nghiệp sử dụng. Những tính năng bảo mật khác của Microsoft có nhiệm vụ giới hạn quyền, điều chỉnh quyền theo từng nhiệm vụ và yêu cầu con người phê duyệt quyết định rủi ro.
Vì sao Microsoft xem tác tử AI là rủi ro nội gián?
Theo TechCrunch, Microsoft không cho rằng mọi tác tử AI đều độc hại. Rủi ro xuất hiện khi một hệ thống khó dự đoán được trao quyền truy cập dữ liệu nhạy cảm và khả năng hành động thay con người mà thiếu cơ chế giám sát độc lập.
Microsoft giới thiệu các tính năng bảo mật mới nhằm bảo vệ doanh nghiệp trước rủi ro từ tác tử AI. Đáng chú ý nhất là Guardian Agents, công cụ theo dõi các tác tử AI mà một tổ chức đang sử dụng.
Công cụ này thuộc Project Perception, sản phẩm được Microsoft công bố vào tháng 6. Ban đầu, dự án được xây dựng để đối phó với những mô hình tấn công mạnh như Mythos và Fable của Anthropic, cùng hệ thống quét lỗ hổng Daybreak của OpenAI.
Các phát hiện chính từ Project Perception
Project Perception lúc đầu gồm ba nhóm tác tử. Nhóm đỏ đóng vai tin tặc và thực hiện tấn công. Nhóm xanh phát hiện hoạt động đó rồi đánh giá các lỗ hổng được tìm thấy. Nhóm xanh lá sửa những lỗ hổng đó.
Thiết kế ban đầu dựa trên giả định rằng tác tử tấn công sẽ đến từ bên ngoài doanh nghiệp. Sau đó, Giám đốc điều hành Microsoft Satya Nadella cảnh báo mối nguy cũng có thể nằm trong các tác tử doanh nghiệp đã triển khai. Doanh nghiệp còn trả tiền để sử dụng những tác tử này. Khi được trao quyền truy cập dữ liệu cùng khả năng hành động, chúng có thể tạo ra rủi ro tương tự một nhân viên nội bộ mất kiểm soát.
Cách nhìn này trở nên đáng chú ý khi doanh nghiệp giao thêm quyền cho tác tử AI viết mã và các hệ thống tự động có khả năng sử dụng công cụ thay mặt con người.
Lập luận về giám sát độc lập
Trong bài viết cá nhân của Satya Nadella, ông cho rằng doanh nghiệp không nên chỉ dựa vào cam kết an toàn từ nhà cung cấp mô hình. Tổ chức cần có hệ thống giám sát và kiểm soát riêng, không nằm dưới quyền điều hành của phòng thí nghiệm đã cung cấp tác tử.
Nadella viết: “Chúng ta đang triển khai những hệ thống tác tử và mô hình phức tạp này, cho phép chúng truy cập dữ liệu nhạy cảm nhất và trao cho chúng khả năng thực hiện các hành động trọng yếu đối với hoạt động của tổ chức thay mặt chúng ta. Không thể đơn giản chuyển trách nhiệm về những gì trí tuệ thực hiện thay mình cho bên khác. Cam kết của nhà cung cấp mô hình không giúp chúng ta thoát khỏi trách nhiệm đó. ... Nói cách khác, chúng ta cần tách nguồn cung cấp trí tuệ khỏi thẩm quyền kiểm soát nó.”
Hayete Gallot, lãnh đạo mảng bảo mật của Microsoft, diễn đạt cảnh báo trực tiếp hơn khi công bố Guardian Agents: “Đáng tiếc là các mô hình tiên phong, bất kể xuất xứ, đều không thể được tin cậy.”
Rủi ro từ quyền truy cập rộng
Theo Gallot, vấn đề không nằm ở việc các mô hình có ác ý hoặc dễ bị xâm nhập. Rủi ro đến từ tính khó dự đoán. Chúng được huấn luyện để hoàn thành nhiệm vụ, không phải để tuân theo “chuẩn mực hoặc phán đoán của tổ chức”. Trong khi đó, doanh nghiệp thường cho chúng quyền truy cập dữ liệu và công cụ có khả năng gây thiệt hại nghiêm trọng.
Rủi ro này liên quan trực tiếp đến cách doanh nghiệp phân quyền dữ liệu cho hệ thống AI. Một tác tử không cần có ý định xấu vẫn có thể gây hậu quả nếu mục tiêu được giao, quyền truy cập và quy tắc nội bộ không được kiểm soát cùng nhau.
Guardian Agents giám sát tác tử như thế nào?
Guardian Agents theo dõi các tác tử mà tổ chức đang sử dụng. Riêng các biện pháp giới hạn quyền truy cập, điều chỉnh quyền theo từng nhiệm vụ và yêu cầu con người phê duyệt quyết định rủi ro được Microsoft mô tả là những tính năng bảo mật bổ sung, không phải chức năng riêng đã được xác nhận của Guardian Agents.
Lập trường của Microsoft vừa đặt vấn đề an toàn vừa phục vụ lợi ích kinh doanh của hãng. Hãng có quan hệ gần gũi với OpenAI và Anthropic, đồng thời đã đầu tư vào cả hai công ty. OpenAI là một trong những khách hàng điện toán đám mây lớn nhất của Microsoft. Microsoft cũng có phòng thí nghiệm riêng phát triển mô hình AI. Vì vậy, cảnh báo này tạo ra sự hoài nghi đối với cả những lĩnh vực gắn với lợi ích của chính hãng.
Microsoft muốn doanh nghiệp mua công cụ bảo mật tác tử từ hãng với tư cách nhà cung cấp đám mây. Điều này sẽ giảm sự phụ thuộc vào Anthropic hoặc OpenAI. Dù có xung đột lợi ích, lập luận cốt lõi của Microsoft vẫn là phần mềm giám sát hành vi tác tử nên tách khỏi bên cung cấp tác tử. Cách tổ chức đó tương tự việc kiểm toán viên phải độc lập với tổ chức được kiểm toán.
Các nội dung kiểm soát được Microsoft triển khai
Microsoft đang biến lập luận đó thành nhiều sản phẩm. Bên cạnh Guardian Agents, hãng bổ sung cho Microsoft Defender khả năng phát hiện tối đa 60 loại tác tử mà nhân viên đưa vào nơi làm việc, trong đó có Claude Code, Codex và OpenClaw. Con số 60 loại do Microsoft công bố trong thông tin được TechCrunch thuật lại.
Các tính năng mới còn giới hạn quyền tiếp cận dữ liệu và hệ thống, đồng thời điều chỉnh quyền của tác tử theo từng nhiệm vụ. Nếu một tác tử có dấu hiệu đưa ra quyết định rủi ro, hệ thống có thể yêu cầu con người phê duyệt trước khi tiếp tục.
Cách tiếp cận này phản ánh câu hỏi rộng hơn về việc AI nên được trao bao nhiêu quyền trong hoạt động bảo mật. Microsoft không lập luận rằng mọi tác tử đều độc hại. Hãng cho rằng doanh nghiệp không thể đánh đồng khả năng hoàn thành nhiệm vụ với khả năng tuân thủ phán đoán và chuẩn mực nội bộ.
Nội dung hợp tác an toàn trong ngành
Quan niệm tác tử AI là một dạng rủi ro nội bộ đang lan rộng trong ngành công nghệ. Microsoft là một trong những thành viên tham gia ban đầu của Nền tảng An toàn Tác tử Mở mới của Nvidia. Theo TechCrunch, sáng kiến này nhận được sự ủng hộ của hơn 100 công ty công nghệ.
Nền tảng của Nvidia cô lập tác tử trong môi trường an toàn, theo dõi hành vi và có thể dừng hoạt động bằng phần cứng, tương tự một công tắc ngắt. Trước đó, Microsoft cũng công bố dòng máy Surface Laptop Ultra dành cho tác tử, sử dụng chip Nvidia và tích hợp sẵn cơ chế bảo mật cùng công cụ kiểm soát.
Thông điệp của Microsoft nhất quán với phát biểu của Nadella: doanh nghiệp có thể mua năng lực AI từ một nhà cung cấp, nhưng quyền giám sát và quyết định cuối cùng phải nằm ở một hệ thống độc lập do chính doanh nghiệp kiểm soát.
