AI agent (tác tử AI) là hệ thống trong đó mô hình ngôn ngữ không chỉ trả lời một câu mà tự quyết định chuỗi hành động: lập kế hoạch, gọi công cụ (tra cơ sở dữ liệu, đọc email, tạo phiếu, chạy mã), quan sát kết quả rồi quyết định bước tiếp theo, lặp lại cho đến khi xong nhiệm vụ hoặc dừng. Khác biệt cốt lõi so với chatbot là agent hành động trên hệ thống thật; khác biệt so với tự động hoá quy trình bằng robot phần mềm (RPA) là đường đi không được viết sẵn mà do mô hình chọn.
Chính khả năng tự chọn đường đi tạo ra cả giá trị lẫn rủi ro. Agent xử lý được những việc nhiều bước, nhiều ngoại lệ mà quy trình cứng không kham nổi; nhưng mỗi bước đều có thể sai, và sai ở hệ thống thật để lại hậu quả thật. Bài viết giải thích cơ chế, thang mức tự chủ, bài toán phù hợp, các rủi ro đặc thù và nguyên tắc cấp quyền cho doanh nghiệp.
Agent vận hành thế nào: vòng lặp suy nghĩ – hành động – quan sát
Hầu hết agent hiện nay dựa trên một ý tưởng được trình bày rõ trong công trình ReAct của Yao và cộng sự (2022): xen kẽ bước suy luận bằng lời với bước hành động gọi công cụ, rồi đưa kết quả công cụ trở lại làm đầu vào cho bước suy luận kế tiếp. Nhà cung cấp mô hình sau đó đưa khả năng gọi công cụ thành tính năng chuẩn: nhà phát triển mô tả danh sách công cụ, mô hình trả về yêu cầu gọi công cụ nào với tham số gì, hệ thống thực thi và gửi kết quả lại.
Để nối agent với hệ thống doanh nghiệp, đã xuất hiện các giao thức chuẩn hoá, tiêu biểu là Model Context Protocol (MCP) do Anthropic công bố cuối năm 2024, cho phép một ứng dụng AI kết nối với nhiều nguồn dữ liệu và công cụ qua một giao diện thống nhất. Chuẩn hoá làm việc kết nối dễ hơn — và cũng làm việc cấp quá nhiều quyền cho agent dễ hơn, nếu không có kỷ luật quản trị.
Một phân biệt hữu ích trong thực hành là giữa quy trình có AI (workflow: các bước do người thiết kế sẵn, mô hình chỉ xử lý từng bước) và agent thật sự (mô hình tự quyết thứ tự và số bước). Quy trình có AI dễ dự đoán, dễ kiểm thử, rẻ hơn; agent linh hoạt hơn nhưng khó kiểm soát hơn. Rất nhiều bài toán được quảng cáo là "cần agent" thực ra chỉ cần một quy trình có AI được thiết kế tốt.
Thang mức tự chủ: chọn đúng nấc cho từng việc
Không nên hỏi "có dùng agent không" mà hỏi "việc này nên ở nấc tự chủ nào". Năm nấc dưới đây giúp cuộc thảo luận cụ thể hơn:
| Nấc | Mô tả | Ví dụ | Kiểm soát cần có |
|---|---|---|---|
| 1. Trợ lý gợi ý | Mô hình đề xuất, người thực hiện mọi hành động | Gợi ý câu trả lời cho nhân viên | Đánh giá chất lượng gợi ý |
| 2. Quy trình có AI | Các bước cố định, mô hình xử lý từng bước | Đọc hoá đơn, trích trường, đẩy vào phần mềm kế toán ở trạng thái chờ duyệt | Kiểm tra định dạng, người duyệt trước khi ghi sổ |
| 3. Agent đề xuất hành động | Agent tự lập kế hoạch và chuẩn bị hành động, người bấm duyệt | Agent đối soát công nợ, đề xuất bút toán điều chỉnh | Màn hình duyệt rõ ràng, nhật ký đầy đủ |
| 4. Agent tự hành trong phạm vi | Agent tự thực hiện hành động có thể đảo ngược, trong hạn mức | Agent phân loại và chuyển phiếu hỗ trợ, cập nhật trạng thái đơn | Quyền tối thiểu, hạn mức, kiểm tra ngẫu nhiên, nút dừng |
| 5. Nhiều agent phối hợp | Các agent giao việc cho nhau | Agent điều phối giao việc cho agent tra cứu, agent soạn thảo | Như nấc 4, thêm giám sát tương tác giữa agent |
Nguyên tắc chọn nấc: hành động càng khó đảo ngược và hậu quả càng lớn thì nấc càng thấp. Chuyển tiền, gửi thư cho khách, xoá dữ liệu, ký cam kết thuộc nhóm không nên tự hành. Đổi nhãn phiếu nội bộ, tạo bản nháp, tra cứu chỉ đọc có thể lên nấc cao hơn khi đã có dữ liệu chứng minh độ tin cậy.
Bài toán phù hợp và không phù hợp với agent
Agent phát huy ở những việc có đặc điểm: nhiều bước, nhiều nguồn thông tin, đường đi thay đổi theo từng ca, kết quả kiểm tra được, và sai thì sửa được.
- Phù hợp: điều tra một phiếu hỗ trợ kỹ thuật bằng cách tra nhật ký hệ thống, cơ sở tri thức, lịch sử khách hàng rồi đề xuất hướng xử lý.
- Phù hợp: chuẩn bị hồ sơ đánh giá nhà cung cấp bằng cách gom thông tin từ nhiều hệ thống nội bộ và tài liệu do nhà cung cấp gửi, đánh dấu chỗ thiếu.
- Phù hợp: hỗ trợ lập trình viên sửa lỗi trong môi trường thử nghiệm, chạy kiểm thử, đề xuất thay đổi để người xem xét.
- Không phù hợp: quy trình đã ổn định, ít ngoại lệ, có thể viết thành luật — RPA hoặc phần mềm quy trình rẻ và đáng tin hơn.
- Không phù hợp: quyết định có hậu quả pháp lý hoặc tài chính lớn mà không có bước người duyệt.
- Không phù hợp: nơi không đo được agent đã làm đúng hay chưa — không đánh giá được thì không cải tiến được và không biết khi nào nó hỏng.
Bốn rủi ro đặc thù của agent
Sai số cộng dồn qua nhiều bước. Nếu mỗi bước đúng với xác suất 95% và các bước độc lập, một nhiệm vụ mười bước chỉ hoàn thành đúng hoàn toàn với xác suất khoảng 0,95 mũ 10, tức xấp xỉ 60% (ví dụ giả định để minh hoạ). Thực tế agent có thể tự phát hiện và sửa một số lỗi, nhưng phép tính cho thấy vì sao nhiệm vụ dài cần điểm kiểm tra giữa chừng.
Chỉ dẫn độc hại ẩn trong dữ liệu. Agent đọc email, trang web, tài liệu từ bên ngoài; nội dung đó có thể chứa câu chữ được soạn để khiến mô hình làm điều người dùng không yêu cầu. Greshake và cộng sự (2023) đã mô tả dạng tấn công chèn chỉ dẫn gián tiếp này. Biện pháp phòng thủ cốt lõi không nằm ở việc dạy mô hình "đừng nghe lời lạ", mà ở việc giới hạn quyền: agent đọc dữ liệu không tin cậy thì không nên đồng thời có quyền gửi dữ liệu ra ngoài.
Quyền hạn quá mức. Danh sách rủi ro phổ biến cho ứng dụng mô hình ngôn ngữ của OWASP xếp "quyền tự chủ quá mức" thành một hạng mục riêng: agent được cấp nhiều công cụ, quyền rộng hoặc tự chủ cao hơn mức nhiệm vụ cần. Một agent chỉ cần đọc đơn hàng mà lại dùng tài khoản có quyền sửa xoá là rủi ro không cần thiết.
Vòng lặp chi phí và trách nhiệm mơ hồ. Agent mắc kẹt có thể gọi công cụ hàng trăm lần, đốt ngân sách trong vài giờ. Và khi agent thực hiện một hành động sai, câu hỏi "ai chịu trách nhiệm" phải có câu trả lời trước khi triển khai, không phải sau sự cố.
Nguyên tắc cấp quyền và kiểm soát
Áp dụng cho mọi agent chạm vào hệ thống thật, theo hướng phòng thủ:
- Tài khoản riêng cho mỗi agent, không dùng chung tài khoản của người hay tài khoản quản trị; mọi hành động truy vết được về agent và người giao nhiệm vụ.
- Quyền tối thiểu theo nhiệm vụ: chỉ cấp công cụ và phạm vi dữ liệu cần thiết; ưu tiên quyền chỉ đọc, quyền ghi giới hạn vào trạng thái nháp.
- Phân loại hành động theo khả năng đảo ngược: hành động không đảo ngược được hoặc tác động ra bên ngoài bắt buộc người duyệt.
- Tách nguồn không tin cậy khỏi quyền nhạy cảm: agent xử lý nội dung từ bên ngoài không đồng thời được gửi thư, chuyển dữ liệu hay thay đổi cấu hình.
- Hạn mức cứng: số bước, số lượt gọi công cụ, chi phí, thời gian cho mỗi nhiệm vụ; vượt hạn mức thì dừng và báo người.
- Môi trường thử nghiệm trước: chạy agent trên bản sao dữ liệu hoặc môi trường cách ly trước khi cho chạm hệ thống thật.
- Nhật ký đầy đủ và nút dừng: lưu từng bước suy luận, lời gọi công cụ, kết quả; có cách dừng ngay một agent hoặc toàn bộ agent.
Đánh giá và giám sát agent sau triển khai
Đánh giá agent khó hơn đánh giá một câu trả lời, vì phải xem cả quỹ đạo: agent đi những bước nào, có bước thừa không, có gọi công cụ không cần thiết không, kết quả cuối có đúng không. Bộ đề cho agent là bộ nhiệm vụ có trạng thái đầu và trạng thái mong muốn ở cuối, chạy trong môi trường thử nghiệm để chấm tự động phần kết quả, kèm người xem lại một mẫu quỹ đạo.
Các chỉ số vận hành nên theo dõi: tỷ lệ nhiệm vụ hoàn thành đúng, tỷ lệ phải chuyển cho người, số bước và chi phí trung bình mỗi nhiệm vụ, tỷ lệ hành động bị người duyệt từ chối, và số lần chạm hạn mức. Tỷ lệ từ chối ở bước duyệt là tín hiệu đặc biệt quý: nó cho biết agent sai ở đâu và người duyệt có đang thật sự đọc hay chỉ bấm theo thói quen. Nếu tỷ lệ duyệt gần như tuyệt đối trong thời gian dài, hãy kiểm tra ngẫu nhiên để chắc bước duyệt không thành hình thức.
Cuối cùng, lộ trình hợp lý là leo thang dần: bắt đầu ở quy trình có AI hoặc agent chỉ đọc, sau đó cho ghi ở trạng thái nháp có duyệt, rồi mới mở tự hành cho loại hành động đã có lịch sử tin cậy. Mỗi lần lên nấc là một quyết định có dữ liệu, có người ký, giống cách cấp quyền cho một nhân viên mới qua từng giai đoạn thử việc.
Ví dụ thiết kế: agent hỗ trợ đối soát công nợ nhà cung cấp
Ví dụ giả định: một doanh nghiệp sản xuất có vài trăm nhà cung cấp, cuối tháng kế toán phải đối chiếu hoá đơn, phiếu nhập kho và đơn mua hàng. Thiết kế agent theo các nguyên tắc ở trên có thể như sau:
- Nhiệm vụ: với mỗi nhà cung cấp, tìm các chênh lệch giữa hoá đơn, phiếu nhập và đơn mua; giải thích nguyên nhân khả dĩ; đề xuất bút toán hoặc việc cần hỏi lại nhà cung cấp.
- Công cụ được cấp: đọc đơn mua, phiếu nhập, hoá đơn đã nhận trong phần mềm quản trị; đọc thư trao đổi trong hộp thư chuyên dụng của phòng mua hàng. Không có quyền ghi sổ, không có quyền gửi thư.
- Đầu ra: một bảng chênh lệch kèm bằng chứng tham chiếu tới chứng từ gốc, và bản nháp thư hỏi lại nhà cung cấp ở trạng thái chờ duyệt.
- Điểm duyệt: kế toán viên xem từng đề xuất, chấp nhận thì tự ghi bút toán và gửi thư bằng tài khoản của mình.
- Hạn mức: số bước tối đa cho mỗi nhà cung cấp; vượt hạn mức thì đánh dấu "cần người xem" thay vì tiếp tục thử.
- Đo lường: tỷ lệ chênh lệch agent phát hiện so với kế toán làm tay trên một tháng chạy song song, tỷ lệ đề xuất bị bác, thời gian đóng sổ.
Thiết kế này cố ý giữ agent ở nấc đề xuất. Agent làm phần tra cứu chéo tốn thời gian, còn quyết định ghi sổ và giao tiếp với đối tác vẫn thuộc về người có thẩm quyền. Chỉ khi nhiều tháng dữ liệu cho thấy một loại chênh lệch cụ thể — chẳng hạn sai lệch làm tròn nhỏ — luôn được chấp nhận, mới cân nhắc cho agent tự xử lý riêng loại đó.
Câu hỏi thường gặp
AI agent khác RPA thế nào và có thay RPA được không?
RPA thực hiện chính xác chuỗi thao tác được ghi sẵn, rất đáng tin với quy trình ổn định nhưng gãy khi giao diện hay ngoại lệ thay đổi. Agent linh hoạt với ngoại lệ nhưng kém dự đoán hơn và đắt hơn mỗi lượt. Hai bên thường bổ sung: RPA lo phần cố định, agent lo phần cần phán đoán hoặc xử lý ngoại lệ.
Có nên cho agent truy cập email công ty không?
Chỉ khi phạm vi và quyền được thiết kế chặt. Email chứa dữ liệu nhạy cảm và là kênh chính của nội dung từ bên ngoài không tin cậy. Nếu cần, bắt đầu với quyền đọc một hộp thư chuyên dụng, không cho gửi thư tự động, và tách hẳn khỏi quyền truy cập hệ thống tài chính hay dữ liệu khách hàng.
Ai chịu trách nhiệm khi agent làm sai?
Về quản trị nội bộ, mỗi agent cần một người làm chủ nghiệp vụ chịu trách nhiệm như với một quy trình do nhân viên thực hiện. Về pháp lý với bên ngoài, doanh nghiệp vẫn chịu trách nhiệm về hành động của hệ thống mình vận hành. Điều khoản trách nhiệm với nhà cung cấp nền tảng cần được rà trong hợp đồng.
Agent có cần mô hình mạnh nhất không?
Agent thường cần mô hình giỏi lập kế hoạch và gọi công cụ chính xác, nên mô hình mạnh hay được dùng cho bước điều phối. Nhưng các bước con đơn giản như phân loại hay trích xuất có thể giao cho mô hình nhỏ hơn để giảm chi phí. Đánh giá trên bộ nhiệm vụ của bạn để biết mức nào đủ.
Làm sao biết một bài toán cần agent hay chỉ cần quy trình có AI?
Thử vẽ quy trình thành sơ đồ các bước. Nếu vẽ được và phần lớn ca đi theo vài nhánh cố định, quy trình có AI là đủ và dễ kiểm soát hơn. Nếu số nhánh tăng vọt và mỗi ca cần tra cứu khác nhau, agent mới đáng cân nhắc, kèm các kiểm soát đã nêu.