Tóm tắt
- Wikimedia (5/10/2026) thấy agent mà họ tin là của OpenAI sửa thử sandbox, cố xâm nhập Etherpad không thành, và gửi lượng request rất lớn. Họ không thấy hệ thống bị xâm nhập.
- Số liệu 50% và 65% là về bot nói chung năm 2025, không riêng OpenAI.
- Kiểm soát AI agent cần ba giới hạn: phạm vi, quyền, nhật ký. Đây là quan điểm của Markus Lab.
- Phạm vi ở platform và skill, quyền ở công cụ, nhật ký ở Digital Brain.
- Bắt đầu bằng Digital Brain đầu tiên và một vòng một tuần.
Kiểm soát AI agent trong doanh nghiệp nghe như việc của tập đoàn có đội bảo mật riêng. Ngày 5/10, Wikimedia Foundation, tổ chức vận hành Wikipedia, đăng bài kể rằng họ thấy các agent mà họ tin là do OpenAI vận hành gửi hàng triệu request tự động vào hệ thống của mình. Nhưng chi tiết đáng chú ý không nằm ở cái tên OpenAI. Nó nằm ở chỗ một agent chạy ngoài internet có thể gây rắc rối cho người khác, trong khi người thả nó ra không hề nhìn thấy.
Tôi kể lại đúng những gì Wikimedia viết, không thêm và không bớt. Chuyện này dễ bị kể to hơn thực tế.
Wikimedia thực sự nói gì về agent của OpenAI?
Theo bài blog của Wikimedia Foundation ngày 5/10/2026, các agent mà họ tin là do OpenAI vận hành đã sửa thử trong vùng sandbox, cố xâm nhập Etherpad nhưng không thành, và tạo lượng request rất lớn. Lượng request này có thể đã góp phần vào một đợt gián đoạn một phần của Wikidata Query Service hồi tháng 5. Wikimedia không thấy bằng chứng hệ thống hay dữ liệu bị xâm nhập.
Ba nhóm hoạt động được nêu cụ thể:
- Chỉnh sửa wiki. Gần như toàn bộ là sửa thử trong khu sandbox, độc giả không nhìn thấy. Một vài chỉnh sửa vào cấu hình của một công cụ trích dẫn, mà Wikimedia đánh giá là có thể độc hại vì nhằm lợi dụng công cụ đó làm trạm trung chuyển.
- Etherpad. Vài lần cố xâm nhập công cụ ghi chú công khai mà Wikimedia lập ra cho cộng đồng. Không thành công.
- Lưu lượng. Hàng triệu request vào API công khai, hàng triệu trang bị thu thập, và hàng trăm nghìn truy vấn dữ liệu.
Có ba điều Wikimedia không nói, và bạn cũng đừng nói thay họ. Họ không khẳng định đợt gián đoạn tháng 5 là do OpenAI gây ra: chữ họ dùng là "có thể đã góp phần". Họ không nói Wikipedia sập: dịch vụ bị gián đoạn một phần là Wikidata Query Service. Và họ không thấy dấu hiệu hệ thống bị xâm nhập.
Hai con số 50% và 65% hay đi kèm câu chuyện này cũng cần đặt đúng chỗ. Đó là số liệu Wikimedia công bố cho năm 2025: băng thông tăng 50% so với năm 2024 do bot, và 65% lưu lượng tốn tài nguyên nhất đến từ bot. Con số nói về bot nói chung, không riêng OpenAI.
Về phía OpenAI, theo The Hacker News, công ty nói đang cùng Wikimedia xem xét và phân tích hoạt động này. Cuộc điều tra còn tiếp diễn.
Vì sao chuyện này đáng để SME bận tâm?
Không phải vì bạn sẽ thành OpenAI. Mà vì cái mẫu hình quen thuộc.
Tôi không biết các agent kia được giao việc gì. Wikimedia cũng không nói. Nhưng tình huống thì nhiều chủ doanh nghiệp đã gặp: bạn giao cho agent một mục tiêu, nó tự chọn đường đi, và không ai trong team biết nó đã gọi vào những địa chỉ nào. Agent theo dõi giá đối thủ, agent đăng bài, agent điền form, agent gom dữ liệu thị trường. Chạy ổn ba tuần. Rồi một ngày website bên kia chặn bạn, hoặc tệ hơn, gửi thư cảnh báo.
Website của người khác là tài sản của người khác. Chính Wikimedia viết rằng hệ thống của agent nên vận hành sao cho chủ website nhìn ra được và tự chọn cách tương tác. Bạn nên đòi cùng tiêu chuẩn đó cho agent của mình, vì người chịu trách nhiệm khi nó đi quá đà là bạn.
Bài giao việc cho AI đã nói về chuyện ai đặt tiêu chuẩn đúng sai. Bài này đi tiếp một bước: tiêu chuẩn đó cần ba giới hạn cụ thể, và mỗi giới hạn có một chỗ để đặt.
Ba giới hạn nằm ở đâu trong hệ thống agent?
Phần dưới đây là quan điểm của Markus Lab, không phải khuyến nghị của Wikimedia. Wikimedia mô tả sự việc. Cách đặt giới hạn là chuyện thiết kế hệ thống, và tôi thiết kế theo khung ba layer đã nói trong bài AI agent cho doanh nghiệp một người: công cụ, platform của agent, bộ não số.
Mỗi giới hạn khớp với một layer. Đặt đúng layer thì giới hạn có chỗ bám, không chỉ là lời dặn.
| Giới hạn | Đặt ở layer nào | Nghĩa là gì |
|---|---|---|
| Phạm vi | Layer 2: platform và skill | Agent chỉ làm đúng skill được giao |
| Quyền | Layer 1: công cụ | Mỗi công cụ chỉ cấp quyền tối thiểu |
| Nhật ký | Layer 3: Digital Brain | Mọi việc agent làm được ghi lại, bạn đọc được |
Skill ở đây là một quy trình đã đóng gói: agent làm gì, theo thứ tự nào, dừng ở đâu. Digital Brain là bộ nhớ dài hạn của doanh nghiệp, nơi agent đọc bối cảnh và ghi lại tri thức. Ba bước dưới đây đi lần lượt qua từng giới hạn.
Bước 1: Khoanh phạm vi, agent được đi đâu? (layer 2)
Một agent không có skill thì không có biên. Nó nhận mục tiêu rồi tự tìm đường, và đó chính là mẫu hình ở phần trên. Khi mỗi việc được đóng gói thành một skill, phạm vi trở thành thứ viết ra được: việc này, các bước này, những địa chỉ này.
Mặc định phải là chặn, không phải cho phép. Bạn viết danh sách tên miền skill được truy cập, và mọi địa chỉ ngoài danh sách thì bị từ chối. Hãy tách việc đọc khỏi việc ghi. Skill chỉ đọc thì cho đi rộng hơn. Skill sửa, đăng hay gửi thì chỉ được vào đúng một chỗ đã chỉ định.
Phần lớn chỉnh sửa Wikimedia thấy là sửa thử trong sandbox. Bạn cũng nên làm vậy: dựng môi trường thử của riêng mình, xem skill chạy ra sao ở đó, rồi mới cho ra ngoài.
Bước 2: Cắt quyền, công cụ nào được làm gì? (layer 1)
Công cụ là thứ agent cầm trên tay, nên quyền được cấp ở đây. Nguyên tắc là quyền tối thiểu cho từng công cụ và từng loại việc. Bảng dưới là điểm xuất phát, bạn chỉnh theo quy trình thật của mình.
| Việc của agent | Quyền nên cấp | Không cấp |
|---|---|---|
| Theo dõi giá, tin đối thủ | Chỉ đọc, có trần số request mỗi giờ | Đăng nhập bằng tài khoản thật của bạn |
| Soạn bài, soạn email | Tạo bản nháp | Tự gửi, tự đăng |
| Cập nhật dữ liệu nội bộ | Ghi vào một bảng cụ thể | Quyền quản trị cả hệ thống |
| Thanh toán, đổi giá, xóa dữ liệu | Không có | Người bấm nút |
Ba quy tắc đi kèm. Agent dùng tài khoản riêng, không bao giờ dùng chung tài khoản của chủ doanh nghiệp. Mỗi agent có trần cho số request và chi phí mỗi ngày. Mọi việc không đảo ngược được, như thanh toán, xóa, gửi hàng loạt, đều cần một người duyệt.
Trần số request là thứ rẻ nhất trong cả ba bước, và nó chặn đúng loại sự cố Wikimedia mô tả: lưu lượng tăng vọt mà không ai chủ ý.
Nếu công cụ của agent gắn với code tự dựng, đọc thêm phần cạm bẫy bảo mật trong bài vibe coding cho doanh nghiệp.
Bước 3: Ghi nhật ký, bạn có biết nó đã làm gì không? (layer 3)
Nếu agent của bạn gây chuyện cho một website khác, bạn sẽ biết bằng cách nào? Bên kia có nhật ký của họ. Bạn cũng cần nhật ký của mình, để trả lời câu hỏi "nó đã làm gì" mà không phải đoán.
Nhật ký tối thiểu gồm năm thứ: thời điểm, agent nào chạy, gọi vào địa chỉ nào, đọc hay ghi, kết quả và chi phí. Đặt tên cho agent và để thông tin liên hệ ở phần nhận diện, để bên kia biết ai đứng sau khi cần nhắn.
Chỗ tự nhiên nhất để giữ nhật ký là Digital Brain. Nó vốn là nơi agent ghi lại tri thức, nên một dòng "việc đã làm" nằm cạnh bối cảnh của việc đó, bằng file của bạn chứ không nằm trong lịch sử chat của một hãng. Cách dựng Digital Brain có trong bài xây dựng bộ não số.
Rồi có một người đọc nhật ký vào giờ cố định mỗi tuần. Nhật ký không ai đọc thì chỉ là kho lưu trữ. Cuối cùng là nút dừng: cả team phải biết cách thu hồi khóa truy cập hoặc khóa tài khoản của agent trong một thao tác. Nếu việc này cần tìm người biết cách, thì nó chưa phải nút dừng.
Markus Lab đưa ba layer này vào dịch vụ doanh nghiệp một người thế nào?
Dịch vụ xây dựng doanh nghiệp một người của Markus Lab dựng đúng ba layer ở trên, theo tinh thần "Make Business Easier": một người điều hành cả doanh nghiệp thì cần agent phụ việc, và cần nhìn thấy agent làm gì.
Với ba giới hạn, cách làm là như sau. Việc nào agent đảm nhận thì được viết thành một skill có phạm vi rõ. Mỗi công cụ nối vào chỉ được cấp quyền tối thiểu. Mọi việc agent làm đều ghi vào Digital Brain của chủ doanh nghiệp, để bạn đọc lại được và mang đi được khi đổi nền tảng. Đây là cách tôi thiết kế, và tôi không nói nó là cách duy nhất.
Điểm bắt đầu cũng nhẹ thôi: dựng Digital Brain đầu tiên. Chưa cần agent, chưa cần công cụ mới. Khi bộ nhớ đã có chỗ ở, hai layer còn lại có chỗ để bám vào. Bài doanh nghiệp một người nói phần kinh doanh của câu chuyện, còn bài này là phần giữ dây cho agent.
Kiểm soát AI agent trong doanh nghiệp: bắt đầu trong một tuần
Bạn không cần dự án lớn. Chọn một agent đang chạy hoặc sắp chạy, rồi đi theo nhịp một tuần.
- Thứ Hai: mở một note làm Digital Brain đầu tiên. Ghi danh sách tên miền được truy cập và danh sách chỗ được phép ghi cho agent đó.
- Thứ Ba và thứ Tư: tạo tài khoản riêng cho agent, đặt trần request và chi phí mỗi ngày.
- Thứ Năm: bật nhật ký vào cùng nơi đó, đặt tên và thông tin liên hệ cho agent.
- Thứ Sáu: đọc nhật ký, đếm xem agent đã gọi bao nhiêu địa chỉ không có trong danh sách.
Con số cuối là con số đáng giá nhất. Nếu nó bằng không, giới hạn của bạn đang chạy. Nếu khác không, bạn vừa tìm ra điều mà trước đó không ai nhìn thấy.
Bài học từ Wikimedia không phải "hãy sợ agent". Chính họ viết rằng bot và agent là một phần của tương lai web. Bài học là bên thả agent ra cũng là bên phải giúp tránh và sửa thiệt hại nó gây ra. Khi agent chạy trong doanh nghiệp của bạn, bên đó là bạn.
Nếu bạn muốn có người cùng dựng Digital Brain đầu tiên và rà phạm vi, quyền, nhật ký trước khi bật agent, bạn có thể đặt lịch tư vấn 30 phút với tôi.
Câu hỏi thường gặp
Kiểm soát AI agent trong doanh nghiệp bắt đầu từ đâu?
Kiểm soát AI agent trong doanh nghiệp bắt đầu bằng ba giới hạn viết ra được: phạm vi agent được đi, quyền từng công cụ được cấp, và nhật ký ghi mọi việc agent làm. Chọn một agent, viết ba thứ này vào một note, rồi đọc nhật ký cuối tuần để đếm số địa chỉ ngoài danh sách.
Ba giới hạn kiểm soát AI agent khớp với ba layer thế nào?
Theo cách Markus Lab thiết kế, phạm vi nằm ở layer platform và skill: agent chỉ làm đúng skill được giao. Quyền nằm ở layer công cụ: mỗi công cụ chỉ cấp quyền tối thiểu. Nhật ký nằm ở layer Digital Brain: mọi việc agent làm được ghi lại và bạn đọc được. Đây là quan điểm thiết kế của Markus Lab.
Wikimedia có nói OpenAI gây ra sự cố Wikipedia không?
Không. Wikimedia nói họ tin một số agent do OpenAI vận hành đã tạo lượng request rất lớn, và lượng request này có thể đã góp phần vào một đợt gián đoạn một phần Wikidata Query Service hồi tháng 5. Họ không khẳng định nguyên nhân, không nói Wikipedia sập, và không thấy bằng chứng hệ thống bị xâm nhập.
Nguồn tham khảo
- OpenAI "rogue" agent activities found on Wikimedia projects, Wikimedia Foundation
- Wikimedia says OpenAI agents tried to break into its services, The Hacker News
Nhận bài viết mới nhất từ Markus Lab
2-3 bài mỗi tuần về AI, build sản phẩm, và growth cho founder & SME Việt. Không spam, unsubscribe bất cứ lúc nào.
