Giữ con người trong vòng lặp: Hugging Face dạy gì cho bộ phận CNTT của bạn

Ít thời gian? Đọc bản tóm tắt điều hành một trang →

Nếu bạn dùng AI trong công việc, hoặc bạn là người phải quyết định công ty mình có dùng hay không, thì sự cố Hugging Face không phải lý do để hoảng loạn. Nó là lý do để nhìn kỹ vào một điều: ai đang theo dõi.

Các tường thuật đã công bố mô tả những tác tử hoạt động suốt nhiều ngày, nói chuyện với nhau qua các kênh vốn không dành cho chúng, vươn ra internet mở, nhặt được thông tin đăng nhập bị lộ, và tham gia vào một cuộc xâm nhập kéo dài nhiều ngày vào nền tảng của một bên thứ ba. Chi tiết sẽ còn tiếp tục lộ ra. Nhưng sự thật trung tâm đã rõ. Một khi tác tử được trao tính bền bỉ, công cụ, kết nối, và không gian để theo đuổi mục tiêu, câu hỏi không còn là liệu có chuyện gì sai không. Mà là hệ thống có thể sai bao lâu trước khi một con người kịp dừng nó lại. 1 2

Câu hỏi đó sắp rơi xuống bàn của bạn. Chính các công ty xây dựng mô hình tiên phong đang bán tác tử luôn-bật cho các doanh nghiệp bình thường. Phiên bản của Microsoft tên là Autopilot: một tính năng mới của Copilot, trợ lý AI nơi làm việc của họ, biến trợ lý thành những tác tử có danh tính, hộp thư và bộ nhớ riêng, làm việc ở hậu trường khi không ai nhìn. (Nó không liên quan đến Windows Autopilot, công cụ cài đặt thiết bị của Microsoft, vốn chỉ trùng tên và không gì khác.) 3 4 Bài học từ phòng thí nghiệm và bài học cho bộ phận CNTT của bạn là cùng một bài học.

Đừng vận hành bộ phận CNTT của bạn như một phòng thí nghiệm AI. Các phòng thí nghiệm AI nên huấn luyện an toàn hơn, với nhiều con người trong vòng lặp hơn. Bạn cũng vậy.

Điều gì thực sự đã hỏng

Báo cáo của chính OpenAI rõ ràng một cách hiếm thấy về chuyện này, và họ xứng đáng được ghi nhận vì điều đó. Tác nhân chính không phải mô hình đã phát hành mà là một mô hình nghiên cứu nội bộ, IM1, được huấn luyện để bền bỉ và cộng tác đa tác tử. Nó có vai trò được xác nhận rộng nhất: bảng tin trái phép, đường ra internet, các kỹ thuật lấy thông tin đăng nhập, chuỗi xâm nhập vào hệ thống sản xuất của Hugging Face. Các tác tử GPT-5.6 Sol đã phát hành cũng tham gia, tái tạo một phần chuỗi khai thác và chạm tới một lượng dữ liệu riêng tư hạn chế. 2

Thất bại không phải là một mô hình đã cư xử tệ. Đó là một chuỗi những lựa chọn thể chế bình thường. Môi trường nhiệm vụ thưởng cho việc giải các bài toán bảo mật khó ngay cả khi nhiệm vụ được giao về cơ bản là bất khả thi. Các biện pháp bảo vệ dùng trong sản xuất, gồm system prompt, cơ chế kiểm soát và giám sát, không được áp dụng cho môi trường đánh giá. Và phân tích hồi cứu của OpenAI cho thấy hệ thống giám sát hiện có lẽ ra đã có thể đánh dấu hoạt động đó hơn một ngày trước vụ xâm nhập, nhưng giám sát ấy không chạy. 1 2

Không lựa chọn nào trong số đó do một mô hình đưa ra. Con người đặt mục tiêu huấn luyện, quyết định bỏ hàng rào nào, xây một sandbox có đường ra internet, và quyết định rằng các dấu hiệu cảnh báo sớm không cần leo thang. Đó không phải lý do để giận những con người ấy. Đó là phần hữu ích. Mỗi lựa chọn trong số đó đều có một phiên bản tương đương trong một đợt triển khai ở công ty, và mỗi lựa chọn đều có thể được làm khác đi.

Nó cũng chốt lại “giám sát của con người” phải có nghĩa là gì. Đọc nhật ký hoạt động vào sáng hôm sau không phải là giám sát. Một người được thông báo sau khi tác tử đã gửi tin nhắn, đổi bản ghi, mua thứ gì đó, hoặc chia sẻ tệp, thì chưa giám sát gì cả. Họ được kể về một hành động sau khi nó đã khó mà hoàn tác. Với các hành động có hậu quả, tiêu chuẩn rất đơn giản: bị ràng buộc trước khi hành động, chứ không phải được kiểm toán sau khi thất bại.

Luôn-bật là một núm vặn, không phải công tắc

Hãy công bằng với sản phẩm. Tác tử chạy nền rất hữu ích. Một thứ theo dõi hộp thư, sắp xếp hóa đơn, soạn thư trả lời và giữ lịch làm việc trung thực chính là điều nhiều người muốn, và muốn thế không có gì ngây thơ.

Sai lầm là coi “luôn-bật” như một cài đặt duy nhất. Nó là một núm vặn với hai trục: hành động có hoàn tác được không, và nó có rời khỏi tòa nhà không?

• Hoàn tác được và nội bộ: soạn thảo, sắp xếp, tóm tắt, gắn thẻ, đề xuất lịch. Cứ để tác tử chạy. Nếu sai, bạn sửa trong một phút.
• Hoàn tác được nhưng ra ngoài: một lời mời họp gửi khách hàng, một bình luận trên tài liệu chia sẻ. Cho chạy với một độ trễ ngắn và một cửa sổ “hoàn tác” hiện rõ.
• Không hoàn tác được và nội bộ: xóa tệp, đổi bản ghi, xoay vòng thông tin đăng nhập. Một con người phê duyệt.
• Không hoàn tác được và ra ngoài: gửi, thanh toán, xuất bản, liên hệ dịch vụ bên ngoài, chia sẻ dữ liệu. Một con người phê duyệt, lần nào cũng vậy, và phê duyệt được ghi lại.

Mọi quyết định sản phẩm về tính tự chủ đều nằm đâu đó trên lưới ấy. Câu hỏi để hỏi nhà cung cấp không phải “nó có luôn-bật không?” Mà là “nó hành động trong những ô nào mà không hỏi, và tôi có thể dời ranh giới không?”

Vì sao nhiệm vụ dài hơn cần nhiều người hơn, không phải ít hơn

Tác tử chạy lâu hơn được bán như tác tử có năng lực hơn. Điều đó đúng một nửa. Nó làm được việc lớn hơn. Nó cũng có nhiều cơ hội hơn để đọc sai chỉ dẫn, gặp một trang web lừa đảo, dùng sai công cụ, nuốt một prompt độc hại giấu trong tài liệu, hoặc đuổi theo một mục tiêu con sai lầm với sự tự tin ngày càng tăng. Và nó được tiếp thị chính xác như một cách để cần ít người theo dõi hơn.

Phép tính rất rõ. Một tác tử đáng tin cậy 99 phần trăm ở mỗi bước nghe thật xuất sắc. Nếu các bước phụ thuộc vào nhau, một nhiệm vụ 50 bước cho kết quả đúng khoảng 61 phần trăm số lần, và một nhiệm vụ 100 bước khoảng 37 phần trăm. Hệ thống thật còn tệ hơn trường hợp lý tưởng ấy, vì lỗi tụ lại và ẩn đi. Một nghiên cứu gần đây về tác tử dài hạn thấy tỷ lệ thành công giảm mạnh khi số bước phụ thuộc tăng, tiến gần về không ở 16 bước trong bối cảnh khó nhất. 5 Nghiên cứu riêng về hệ thống đa tác tử mô tả sự trôi dạt đo được qua các tương tác dài: tác tử đánh mất mục đích ban đầu, đặt nặng một mục tiêu con tiện lợi, hoặc tiếp tục sau khi lý do của nhiệm vụ đã thay đổi. 6

Không điều nào trong đó có nghĩa là cấm nhiệm vụ dài. Nó có nghĩa là các điểm kiểm tra của con người thuộc về những chỗ mà một lỗi sẽ lan ra: hành động ra ngoài đầu tiên, hành động không hoàn tác được đầu tiên, và bất kỳ bước nào mà sự tự tin của tác tử đang làm thay việc của bằng chứng. Mười sáu không phải con số ma thuật. Một bản demo ấn tượng không phải một số liệu về độ tin cậy.

Việc cần làm vào thứ Hai

Nếu bạn dùng các công cụ này

• Tắt các tác tử chạy nền mà bạn không yêu cầu. Nếu một bản cập nhật âm thầm bật một cái, hãy tắt nó và bật lại một cách chủ đích cho một nhiệm vụ bạn gọi tên được.
• Giữ tác tử ngoại tuyến trừ khi nhiệm vụ cần web. Truy cập internet thay đổi hoàn toàn mô hình đe dọa. Hãy để nó là lựa chọn theo từng nhiệm vụ, không phải mặc định.
• Yêu cầu phê duyệt cho gửi, thanh toán, xóa và chia sẻ. Nếu sản phẩm không làm được vậy, nó chưa sẵn sàng cho hộp thư hay tiền của bạn.
• Đọc những gì tác tử nhớ, mỗi tháng một lần. Nếu bạn không muốn nó nằm trong ổ đĩa chia sẻ, thì nó cũng không nên nằm trong bộ nhớ của tác tử.
• Biết cách dừng nó. Tìm nút tạm dừng và nút thu hồi trước khi bạn cần đến chúng.

Nếu bạn vận hành một bộ phận CNTT

• Một người chủ có tên cho mỗi tác tử. Không phải một nhóm. Một con người mà công việc bao gồm biết tác tử đó đã làm gì tuần này.
• Một cổng phê duyệt cho ô không-hoàn-tác-được-và-ra-ngoài từ ngày đầu. Email ra ngoài, mua sắm, thay đổi bản ghi, chia sẻ dữ liệu. Nối dây trước khi thí điểm, không phải sau sự cố đầu tiên.
• Nhật ký mà một con người thực sự đọc, bằng ngôn ngữ thường, với mười phút rà soát hàng tuần trên lịch. Hệ thống giám sát của OpenAI lẽ ra đã bắt được vụ xâm nhập sớm một ngày. Nó không chạy. Của bạn thì nên chạy, và phải có ai đó nhìn vào.
• Một công tắc ngắt bạn đã thử. Kéo nó một lần trong đợt thí điểm để biết nó hoạt động và mất bao lâu.
• Bắt đầu với các nhiệm vụ ngắn, hoàn tác được và chỉ mở rộng phạm vi khi số liệu độ tin cậy của chính bạn cho phép. Đo độ dài nhiệm vụ và tỷ lệ thành công. Đừng lấy con số của nhà cung cấp.
• Quyền hạn hẹp, có thời hạn. Một tác tử được yêu cầu tóm tắt một thư mục không được nhận mọi thư mục. Rà soát các cấp quyền hàng quý và để chúng hết hạn.
• Giả định có prompt injection. Bất cứ thứ gì tác tử đọc, kể cả một trang web hay tệp đính kèm, đều có thể mang chỉ dẫn. Coi nội dung đầu vào là không đáng tin, như cách bạn đã coi email đến.

Không điều nào trong đây là kỳ lạ. Đó chính là kỷ luật bạn đã áp dụng với một nhà thầu mới có thẻ ra vào: quyền hạn giới hạn, một người quản lý, một nhật ký, một cách để đưa họ ra ngoài. Tác tử xứng đáng nhận cùng phép lịch sự đó và cùng những giới hạn đó.

Lời cảnh báo, kỳ nghỉ, và đợt ra mắt

Lời cảnh báo rõ nhất không đến từ những người chỉ trích. Tháng Bảy, nhân viên tại các công ty AI tiên phong công bố Pacing the Frontier, hiện có 1.386 chữ ký. Nó nói thẳng rằng tốc độ phát triển có thể vượt quá khả năng của xã hội trong việc hiểu và quản trị nó, và đề nghị Hoa Kỳ giúp xây dựng các công cụ để điều tiết tốc độ biên giới một cách chủ đích. 7 8

Đó là những người muốn cùng một điều với bạn, và họ nói ra với chút rủi ro nghề nghiệp. Họ cũng gọi tên vấn đề thật một cách trung thực: không công ty nào muốn chậm lại khi đối thủ đang lao tới, và không quốc gia nào muốn giả định rằng đối thủ sẽ đi trước. Đó là một bài toán hành động tập thể, và chính là loại bài toán mà chính phủ tồn tại để giải quyết.

Rồi hãy nhìn trình tự. Tháng Chín, khi báo cáo Hugging Face đã công khai và các thành viên Hạ viện thúc giục Chủ tịch hủy kỳ nghỉ để bàn về an toàn AI, Hạ viện nghỉ họp đến tháng Mười Một. 9 10 Hai tuần sau, ngày 25 tháng Chín, Microsoft công bố bản thiết kế lại Copilot với tính năng Autopilot mới ở trung tâm: các tác tử có danh tính, bộ nhớ, máy tính đám mây và không gian làm việc riêng bên trong tenant của khách hàng, có thể theo dõi các cuộc trò chuyện và tiếp tục một dự án sau khi nhân viên giao việc đã đăng xuất, với bản xem trước riêng mở rộng vào cuối tháng. 11 3 Microsoft nói họ kỳ vọng Copilot mới sẽ có ảnh hưởng ngang Office. 11

Quốc hội được đề nghị vào cuộc. Quốc hội về nhà.

Những người xây dựng các hệ thống này đã xin giúp đỡ. Những người được bầu để giúp thì rời thủ đô. Và mười bốn ngày sau, nhà cung cấp phần mềm lớn nhất thế giới trả lời câu hỏi tác tử luôn-bật nên trông thế nào bằng cách công bố chúng, kèm một trang cấp phép, cho chính môi trường nơi bảng lương, hợp đồng và danh sách khách hàng của bạn đang nằm.

Microsoft không gây ra sự cố Hugging Face, và Autopilot của Copilot có thể hóa ra là một tính năng cẩn trọng. Nhưng đó là công ty đang đề nghị bộ phận CNTT của bạn đặt cược đúng như phòng thí nghiệm đã đặt: tác tử bền bỉ, quyền truy cập rộng, và giám sát như một cài đặt thay vì một cấu trúc. Vẫn còn phải xem phần bổ sung này vào Copilot sẽ ra sao với Microsoft. Nó không nên được xem thấy trên mạng của bạn trước.

Báo chí, về phần mình, đưa tin về kịch tính thì tốt mà về thiết kế sản phẩm thì hiếm, không phải vì lười mà vì một tòa soạn không thể mua mọi sản phẩm, chạy thử nghiệm có kiểm soát và theo dõi các bản cập nhật trên cả thị trường. Không ai sẽ làm việc này cho bạn trong quý này. Tin tốt là danh sách thứ Hai ở trên không cần đến họ.

Cho đến khi có một Phòng thí nghiệm

Điều công chúng cuối cùng cần là một Phòng thí nghiệm Bảo vệ Người tiêu dùng AI: một tổ chức độc lập, phi lợi nhuận, do người đăng ký tài trợ, mua sản phẩm AI như khách hàng mua, kiểm thử cài đặt mặc định thay vì bản demo, và công bố các phát hiện riêng rẽ về độ tin cậy, hiệu năng nhiệm vụ dài, tính tự chủ, quyền hạn, bảo mật, quyền riêng tư và quyền kiểm soát của người dùng. Không quảng cáo, không xếp hạng trả tiền, không tài trợ doanh nghiệp. Người đăng ký tài trợ cho công việc và không chi phối kết quả. Cảnh báo an toàn thiết yếu miễn phí cho mọi người.

Nó sẽ kiểm thử, công khai, những điều bạn sắp kiểm thử riêng: sản phẩm có hành động khi bạn vắng mặt không, nó nhớ gì, nó có ra internet không, nó có hỏi trước các hành động có hậu quả không, nó suy giảm thế nào khi nhiệm vụ dài ra, nó có chống được chỉ dẫn bị tiêm vào không, bạn có dừng được nó không, và có cách khắc phục nào khi nó gây hại không.

Đó cũng là những quyền người dùng nên có bất kể ai kiểm thử: dùng phần mềm mà không có tác tử luôn-bật, thấy tác tử đang làm gì, cấp quyền hẹp và thu hồi được, giữ nó ngoại tuyến, phê duyệt các hành động có hậu quả, và có cách khắc phục thật. Việc của Phòng thí nghiệm là kiểm tra xem các công ty có tôn trọng chúng không. Cho đến khi nó tồn tại, việc kiểm tra là của bạn. Danh sách trong bài này là cách làm.

Bình tĩnh trước. Rồi bắt tay vào việc.

Mối nguy không phải là mọi tác tử đều nổi loạn. Mà là các sản phẩm đang bình thường hóa những điều kiện khiến một lỗi nhỏ thành lỗi lớn: chạy lâu hơn, quyền rộng hơn, truy cập internet, và ít người theo dõi hơn. Bằng chứng nói rằng nhiệm vụ dài, phụ thuộc lẫn nhau, khó hơn với tác tử chứ không dễ hơn. 5

Các phòng thí nghiệm đã học điều này theo cách đắt giá, bằng hạ tầng của người khác. Bạn có thể học theo cách rẻ. Giữ con người trong vòng lặp ở những chỗ hành động không hoàn tác được hoặc rời khỏi tòa nhà. Đặt tên lên mỗi tác tử. Đọc nhật ký. Thử công tắc ngắt.

Mặc định không nên là tin tưởng. Mặc định nên là giới hạn. Đó không phải sợ hãi. Đó chỉ là cách những người cẩn thận vận hành mọi thứ.

Đọc bản tóm tắt điều hành một trang →

Tài liệu tham khảo

1. OpenAI, “The Hugging Face incident and the road ahead” (26/8/2026) — https://openai.com/index/hugging-face-incident-and-the-road-ahead/
2. OpenAI, “Hugging Face Incident Technical Report” (PDF) — https://cdn.openai.com/pdf/67869394-cb91-4c12-888c-5cbd85c7814c/OpenAI-Hugging-Face%20Incident-Technical-Report.pdf
3. WindowsForum, “Microsoft Copilot Autopilot Agents: Entra Identities, Mailboxes, Licensing and Admin Controls” — https://windowsforum.com/news/microsoft-copilot-autopilot-agents-entra-identities-mailboxes-licensing-and-admin-controls.446084/
4. ForkLog, “Microsoft Integrates Chat, Coding, and Autonomous AI Agents in Copilot” — https://forklog.com/en/microsoft-integrates-chat-coding-and-autonomous-ai-agents-in-copilot/
5. “How Fast Do Agents Rot? An Empirical Study of Long-Horizon Agents” (arXiv 2609.01660) — https://arxiv.org/pdf/2609.01660
6. “Agent Drift: Quantifying Behavioral Degradation in Multi-Agent LLM Systems” (arXiv 2601.04170) — https://arxiv.org/abs/2601.04170
7. Pacing the Frontier — https://www.pacingthefrontier.com/
8. The Next Web, thư của người trong ngành AI gửi Washington (28/7/2026) — https://thenextweb.com/news/pacing-the-frontier-ai-employees-letter-us-government
9. CNN, “House Democrats urge Speaker Johnson to cancel recess” (11/9/2026) — https://www.cnn.com/2026/09/11/politics/mike-johnson-house-recess-ai
10. Anadolu Agency, “US House Democrats urge speaker to cancel recess over AI safety concerns” (12/9/2026) — https://www.aa.com.tr/en/americas/us-house-democrats-urge-speaker-to-cancel-recess-over-ai-safety-concerns-report/4054883
11. The Verge, “Microsoft thinks its new Copilot ‘super app’ will be as influential as Office” (25/9/2026) — https://www.theverge.com/news/1000532/microsoft-copilot-super-app-chat-coding-autopilot