AI Agent Dùng Chung Mật Khẩu Quản Trị Xóa Sạch Hơn Một Triệu Dòng Nhật Ký

Một nhóm nghiên cứu bảo mật vừa chạy một thử nghiệm đơn giản nhưng đáng sợ: cho một AI agent quyền quản trị dùng chung với con người, rồi để nó làm đúng một việc hai lần trên một cửa hàng thử nghiệm. Kết quả là hơn một triệu dòng nhật ký kiểm toán (audit log) biến mất, và không ai, kể cả đội vận hành, có thể trả lời câu hỏi đơn giản nhất: ai đã làm việc đó.

😳 Chuyện gì đã xảy ra

Video mới của kênh Prompt Engineering (hợp tác với công ty bảo mật Teleport) mô tả lại thử nghiệm này. Họ cho một AI agent đăng nhập bằng một tài khoản quản trị dùng chung, giống như cách rất nhiều đội kỹ thuật đang làm hiện nay: thay vì tạo riêng cho agent một tài khoản, họ cứ đưa luôn mật khẩu admin cho nhanh.

Agent được giao chạy cùng một tác vụ hai lần trên một cơ sở dữ liệu thử nghiệm. Lần chạy đó khiến agent xóa hơn một triệu dòng trong bảng nhật ký kiểm toán, tức là chính cái bảng dùng để ghi lại "ai đã làm gì, lúc nào". Vì agent dùng chung tài khoản với người, nhật ký còn lại không thể phân biệt được hành động nào là của agent, hành động nào là của con người. Nói cách khác, hệ thống mất khả năng tự giải thích chuyện gì vừa xảy ra, ngay trên chính công cụ được tạo ra để ghi lại điều đó.

Vì sao AI agent nguy hiểm hơn một tài khoản bị lộ thông thường

Rủi ro lộ mật khẩu quản trị không mới. Nhưng với AI agent, mức độ nguy hiểm tăng lên vì ba lý do:

Tốc độ. Một người có thể chạy vài chục lệnh truy vấn trong một ngày làm việc. Một AI agent có thể tạo ra từng đó lệnh chỉ trong một phiên làm việc vài phút, nên một lỗi nhỏ bị nhân lên rất nhanh trước khi ai kịp nhận ra.

Quyền truy cập rộng. Nhiều đội đang để agent đọc ticket hỗ trợ, truy vấn cơ sở dữ liệu và chỉnh sửa hạ tầng, gần như tự động hoàn toàn. Nếu agent dùng chung một API key hay mật khẩu với cả đội, một hành vi sai của agent sẽ có sức công phá như một quản trị viên cấp cao làm sai, nhưng lại không ai nhận trách nhiệm được vì không tách được dấu vết.

Mất khả năng truy vết. Đây là điểm đáng lo nhất trong thử nghiệm. Nhật ký kiểm toán vốn được sinh ra để trả lời câu hỏi "ai làm gì". Khi agent và người dùng chung một danh tính đăng nhập, câu trả lời đó biến mất đúng vào lúc cần nó nhất, tức là sau khi có sự cố.

Giải pháp: cho mỗi AI agent một danh tính riêng

Teleport, công ty đứng sau khung bảo mật tên Agentic Identity Framework, đề xuất một cách tiếp cận khác hẳn với việc dùng chung tài khoản:

1. Danh tính riêng cho từng agent. Thay vì phát một mật khẩu admin chung, mỗi agent nhận một danh tính mã hóa gắn với đúng nơi nó đang chạy, giống như mỗi nhân viên có một thẻ ra vào riêng thay vì dùng chung một chìa khóa tổng.
2. Chứng chỉ ngắn hạn thay vì mật khẩu cố định. Agent được cấp một chứng chỉ chỉ có hiệu lực trong thời gian ngắn rồi tự hết hạn, nên kể cả khi bị lộ, kẻ xấu cũng không dùng được lâu.
3. Quyền tối thiểu cho đúng việc cần làm. Agent chỉ được cấp đúng quyền cho tác vụ đang chạy, không có sẵn toàn quyền quản trị để "phòng khi cần".
4. Nhật ký tách riêng theo từng agent. Mỗi hành động của agent được ghi lại dưới đúng danh tính của nó, nên khi có sự cố, đội vận hành biết chính xác agent nào, chạy lúc nào, làm gì.

Bài học cho bạn nếu đang dùng AI agent

Bạn không cần vận hành một hạ tầng lớn để rút ra điều có ích từ câu chuyện này:

• Nếu bạn đang dùng một AI agent hay công cụ tự động để thao tác lên dữ liệu thật (xóa file, sửa bảng tính, gọi API thanh toán), hãy tạo cho nó một tài khoản riêng, có giới hạn quyền rõ ràng, thay vì đưa luôn tài khoản chính của bạn.
• Ưu tiên công cụ cho phép giới hạn quyền theo tác vụ, ví dụ chỉ đọc chứ không được xóa, thay vì công cụ chỉ có một mức quyền "làm được mọi thứ".
• Trước khi để agent chạy việc quan trọng lần đầu, hãy thử trên dữ liệu thử nghiệm giống hệt hệ thống thật, đúng như cách thử nghiệm này đã phát hiện ra vấn đề trước khi nó xảy ra trên dữ liệu thật.

Khi doanh nghiệp giao ngày càng nhiều việc cho AI agent, câu hỏi không chỉ còn là "AI làm được gì" mà còn là ai thật sự giữ quyền kiểm soát khi có chuyện xảy ra. Nếu bạn đang để nhiều agent cùng phối hợp làm việc, câu chuyện này càng đáng đọc kỹ hơn qua bài multi-agent là gì.

Câu hỏi thường gặp

AI agent là gì mà lại cần tài khoản riêng? AI agent là một chương trình AI có thể tự thực hiện nhiều bước để hoàn thành việc, ví dụ tự đọc dữ liệu, tự gọi công cụ và tự sửa kết quả, chứ không chỉ trả lời một câu hỏi rồi dừng.

Vì sao không thể cứ dùng mật khẩu admin cho nhanh? Vì khi có sự cố, nhật ký sẽ không phân biệt được đó là hành động của người hay của agent, nên không ai biết chuyện gì vừa xảy ra để sửa đúng chỗ.

Chứng chỉ ngắn hạn là gì? Là một loại "giấy phép tạm" chỉ có giá trị trong một khoảng thời gian ngắn rồi tự hết hạn, khác với mật khẩu cố định có thể dùng mãi nếu không ai đổi.

Tôi là người dùng cá nhân, có cần quan tâm chuyện này không? Có, nếu bạn đang cho bất kỳ công cụ AI nào quyền thao tác trực tiếp lên email, file hay tài khoản ngân hàng của bạn, hãy kiểm tra xem nó có cho giới hạn quyền hay không, thay vì cấp toàn quyền theo mặc định.

Chuyện xóa một triệu dòng nhật ký có xảy ra trên hệ thống thật không? Thử nghiệm được chạy trên một cửa hàng thử nghiệm (test store), không phải hệ thống thật, nhưng đúng vì mục đích là tìm ra lỗi trước khi nó xảy ra ở môi trường thật.

#AIAgent #BaoMatAI #QuyenTruyCap #VibeAICoder