Tại sao quyền hạn tối thiểu hiệu quả hơn kỹ thuật prompt trong việc đảm bảo an toàn cho AI agent

Việc cấp cho một AI agent hỗ trợ những quyền hạn không cần thiết tạo ra các rủi ro có thể dự đoán được, như được chứng minh bởi các bài kiểm tra gần đây, nơi một mô hình ngôn ngữ giá rẻ liên tục thực hiện các khoản hoàn tiền sai. Nghiên cứu tiết lộ rằng các ràng buộc về kiến trúc, cụ thể là kiểm soát truy cập theo nguyên tắc đặc quyền thấp nhất (least-privilege), cung cấp lưới an toàn đáng tin cậy duy nhất chống lại lỗi của agent. Cách tiếp cận này đảm bảo rằng ngay cả khi mô hình thất bại trong việc suy luận chính xác, nó vẫn thiếu thẩm quyền để thực thi các lệnh gây thiệt hại.

Điều gì đã xảy ra

Trong một thí nghiệm được kiểm soát liên quan đến xử lý hóa đơn khách hàng, một AI agent sử dụng Claude Haiku 4.5 được giao nhiệm vụ xử lý các ticket hỗ trợ. Agent gặp phải một bản ghi hiển thị một giao dịch thanh toán thất bại mà không có tiền nào rời khỏi tài khoản của khách hàng. Bất chấp dữ liệu rõ ràng này, agent vẫn hoàn trả số tiền đó. Nó lặp lại lỗi này thêm năm lần nữa, dẫn đến sáu hành động tài chính sai liên tiếp. Ngược lại, phiên bản tiên tiến hơn là Claude Sonnet 5 đã xác định đúng tất cả sáu trường hợp ngoại lệ mà không mắc lỗi.

Nhà nghiên cứu tìm thấy hai giải pháp phần mềm tiềm năng: thêm một bước xác minh vào prompt hệ thống hoặc chuyển sang mô hình thông minh hơn. Tuy nhiên, cả hai giải pháp đều tỏ ra mong manh. Prompt hệ thống có thể bị cắt ngắn hoặc viết lại vô tình trong quá trình thử nghiệm, loại bỏ các rào chắn an toàn mà không có cảnh báo. Tương tự, các đội vận hành thường định tuyến lưu lượng truy cập sang các mô hình giá rẻ hơn để giảm chi phí suy luận, điều này sẽ ngay lập tức đảo ngược các lợi ích an toàn do mô hình thông minh hơn mang lại. Biện pháp kiểm soát duy nhất vẫn hiệu quả bất kể lựa chọn mô hình hay thay đổi prompt là từ chối hoàn toàn quyền billing:refund đối với agent.

Cơ chế hoạt động

Cơ chế cốt lõi dựa trên việc phạm vi hóa (scoping) thông tin đăng nhập vào tác vụ cụ thể thay vì vai trò chung của agent. Các tài khoản dịch vụ truyền thống nhận được các vai trò tĩnh dựa trên mô tả công việc, nhưng AI agent thực hiện nhiều tác vụ đa dạng thay đổi qua mỗi lần gọi. Một vai trò tĩnh thường cấp nhiều quyền hạn hơn mức cần thiết cho bất kỳ tác vụ đơn lẻ nào, tạo ra một "bán kính nổ" (blast radius) lớn nếu agent mắc lỗi. Bằng cách phát hành các phạm vi quyền hạn hết hạn khi quá trình chạy hoàn tất, hệ thống đảm bảo rằng agent chỉ giữ thẩm quyền tối thiểu cần thiết cho thao tác cụ thể đó.

Để đo lường rủi ro này, nghiên cứu đã đưa ra khái niệm "hệ số vượt phạm vi" (over-scope factor), được tính bằng cách chia hợp của tất cả các phạm vi được sử dụng xuyên suốt các tác vụ cho số phạm vi trung bình cần thiết cho mỗi tác vụ. Trong bộ bài kiểm tra, hệ số này đạt tới 11.0, nghĩa là agent trung bình mang gấp mười một lần bề mặt quyền hạn so với mức cần thiết. Thông tin đăng nhập theo phạm vi tác vụ đã giảm đáng kể mức độ phơi nhiễm này, chỉ giữ lại một phần mười lăm lượng thông tin đăng nhập so với việc cấp quyền rộng rãi, trong khi vẫn duy trì tỷ lệ hoàn thành tác vụ đầy đủ.

Chi tiết chính

• Môi trường thử nghiệm bao gồm 30 phạm vi quyền hạn trải dài trên chín lĩnh vực, trong đó 13 phạm vi có khả năng sửa đổi hoặc đánh cắp trạng thái.
• Claude Haiku 4.5 đã thực hiện sáu khoản hoàn tiền gây hại khi được cấp quyền hạn rộng, trong khi Claude Sonnet 5 đã bắt được tất cả sáu trường hợp ngoại lệ.
• Quyền hạn theo phạm vi tác vụ đạt tỷ lệ hoàn thành 20/20 tác vụ cho cả hai mô hình với chi phí gọi API không đáng kể.
• Việc leo thang quyền hạn Just-In-Time (JIT) đạt được mức độ an toàn tương tự nhưng làm tăng số lượng gọi API khoảng 80% do cơ chế khám phá tại thời gian chạy (runtime discovery).
• Việc cấp phát dựa trên vai trò (Role-based provisioning) hoạt động kém, chỉ hoàn thành một nửa số tác vụ trong khi giữ lượng thông tin đăng nhập gấp 8,5 lần so với phương pháp theo phạm vi tác vụ.
• Nhật ký kiểm toán theo dõi các nỗ lực được phép và bị từ chối đóng vai trò là các tài liệu bảo mật chính, giúp xác minh tính toàn vẹn của việc thực thi.

Tại sao điều này quan trọng

Đối với các kỹ sư xây dựng sản phẩm AI, điều này nhấn mạnh rằng năng lực của mô hình không thể đóng vai trò là biện pháp kiểm soát bảo mật chính. Bạn không sở hữu vòng đời của mô hình, và các quyết định tối ưu hóa chi phí có thể âm thầm làm suy giảm các đảm bảo an toàn của bạn. Việc dựa vào kỹ thuật prompt cũng rủi ro không kém vì prompt có xu hướng trôi dạt (drift) theo thời gian. Nếu một nhà phát triển xóa một chỉ dẫn an toàn để tiết kiệm token hoặc đơn giản hóa logic, agent sẽ mất đi rào chắn bảo vệ mà không kích hoạt bất kỳ lỗi hệ thống nào.

Quyền hạn về mặt kiến trúc cung cấp một lớp phòng thủ bền vững, tồn tại qua những thay đổi tổ chức và việc hoán đổi mô hình. Khi một agent thiếu thẩm quyền để thực hiện một hành động phá hủy, nó không thể thực hiện sai lầm đó bất kể lập luận của nó trở nên sai lệch đến đâu. Điều này chuyển gánh nặng bảo mật từ hành vi mô hình mang tính xác suất sang kiểm soát truy cập mang tính xác định, đảm bảo rằng các agent cư xử tốt không thực thi các chỉ dẫn sai lệch với tốc độ máy móc mà không có sự giám sát của con người.

Những gì bạn có thể làm

• Phân tích một tuần lưu lượng truy cập agent trong môi trường sản xuất để tính tỷ lệ giữa tổng số phạm vi được sử dụng so với số phạm vi trung bình cho mỗi tác vụ.
• Phạm vi hóa thông tin đăng nhập vào quá trình thực thi tác vụ cụ thể thay vì gán các vai trò tĩnh cho danh tính của agent.
• Gắn kết việc hết hạn thông tin đăng nhập trực tiếp với vòng đời của quá trình chạy để ngăn chặn các quyền hạn tồn tại lâu dài biến thành các cấp quyền rộng rãi.
• Sử dụng các phạm vi được khai báo cho các tác vụ có thể dự đoán được và leo thang JIT cho các tác vụ không thể dự đoán, coi mỗi lần leo thang là một sự kiện có thể kiểm toán.
• Thiết kế việc từ chối quyền hạn để chuyển hướng quy trình làm việc thay vì chặn hoàn toàn, đảm bảo các tác vụ cốt lõi vẫn có thể hoàn thành.
• Xem xét nhật ký kiểm toán cho các cuộc gọi bị từ chối để xác định các lỗi phạm vi hoặc nguy cơ injection prompt trước khi chúng gây ra sự cố.