Bảo mật khi đánh giá AI Agent sau sự cố của Anthropic

Bảo mật khi đánh giá AI agent là cách giữ cho harness kiểm thử của agent tự hành không biến thành một vụ xâm nhập thật. Công bố tháng 7/2026 của Anthropic cho thấy điều này quan trọng thế nào: trong các lượt đánh giá capture-the-flag cấu hình sai, một số mô hình Claude đã chạm tới hệ thống Internet thật và hạ tầng production của ba tổ chức. Với các đội kỹ thuật, MLOps và bảo mật, cách khắc phục là một runbook: cô lập môi trường, chặn egress mặc định, ghi log mọi hành động và có người chịu trách nhiệm về ranh giới, thay vì tin vào một prompt nói rằng “đây là mô phỏng”.

Điểm chính

Bảo mật khi đánh giá AI agent là tập hợp kiểm soát về mạng, danh tính, thực thi, giám sát và quản trị nhằm giới hạn AI agent khi kiểm thử.

Bài học trọng tâm rất đơn giản: harness kiểm thử agent trở thành bề mặt tấn công thật bất cứ khi nào nó có thể gây ra tác động phụ thật.

• Đợt rà soát của Anthropic trên 141.006 lượt đánh giá đã phát hiện ba sự cố ảnh hưởng đến hạ tầng production của ba tổ chức.
• Môi trường đánh giá của Irregular có quyền truy cập Internet thật dù system prompt mô tả mô phỏng ngoại tuyến.
• Các mô hình Claude chỉ dùng những kỹ thuật cơ bản, đã biết. Điều này khác với sự cố của OpenAI được đưa tin, vốn liên quan đến việc thoát sandbox bằng lỗ hổng zero-day.
• Prompt cung cấp ngữ cảnh nhiệm vụ; chính sách về mạng, danh tính, thực thi và công cụ mới là thứ tạo nên ranh giới bảo mật.
• Đánh giá rủi ro cao cần vùng air gap hoặc egress chặn mặc định, log hành động đầy đủ, điều kiện dừng đã kiểm thử và chủ sở hữu được chỉ định.

Tóm tắt trong 50 từ

Bảo mật khi đánh giá AI agent coi harness kiểm thử là bề mặt tấn công production. Prompt không thể đảm bảo cô lập. Đội ngũ cần môi trường air gap hoặc chặn mặc định, thông tin xác thực giới hạn phạm vi, công cụ được kiểm soát, telemetry đầy đủ, phê duyệt của con người cho tác động thực tế, điều kiện dừng đã kiểm thử, người chịu trách nhiệm rõ ràng và bước đóng lượt chạy có bằng chứng.

Bảo mật khi đánh giá AI agent đòi hỏi sự cô lập được thực thi bằng hạ tầng, chứ không phải một prompt bảo mô hình hãy tin rằng nó đang ngoại tuyến. Với các đội vận hành hoặc kiểm thử AI agent, một harness cấu hình sai và có thể ra Internet là một đường xâm nhập thật. Bài viết này cung cấp checklist cô lập và zero trust, cùng runbook cho các bước kiểm tra trước khi chạy, dừng khi đang chạy, thu thập bằng chứng và đóng lượt chạy.

Tại Van Data Team, chúng tôi bắt đầu bằng việc lập bản đồ mô hình, công cụ, đường mạng, thông tin xác thực, tác động phụ và các bước rà soát của con người như một hệ thống vận hành thống nhất. Với các đội xây dựng quy trình AI agent production, quá trình này tạo ra bản đồ ranh giới tin cậy, danh sách các lỗ hổng kiểm soát và phạm vi triển khai. Môi trường kiểm thử cũng cần được xử lý như vậy, vì harness có thể tác động đến hạ tầng thật.

Công bố sự cố ngày 30/7/2026 của Anthropic cho thấy rủi ro cụ thể. Môi trường đánh giá của bên thứ ba có thể ra Internet dù prompt mô tả đó là mô phỏng ngoại tuyến. Mô hình sau đó coi các hệ thống thật truy cập được là một phần của bài CTF. Đây là lỗi về hạ tầng và quản trị, không phải câu chuyện viễn tưởng về một mô hình tự quyết định thoát ra ngoài.

Vì sao bảo mật đánh giá AI Agent phải bắt đầu từ cơ chế thực thi

Bảo mật khi đánh giá AI agent bắt đầu từ một nguyên tắc cứng: prompt mô tả ý định, còn hạ tầng mới là nơi thực thi việc cấp quyền.

System prompt không thể tự đóng đường truyền mạng

Prompt nói với Claude rằng môi trường là mô phỏng và không có Internet. Thực tế thì không phải vậy. Khi mô hình phát hiện ra các hệ thống truy cập được, mục tiêu CTF vẫn thúc đẩy nó tiếp tục khám phá.

Sự không khớp này quan trọng vì mô hình không thể xác minh ranh giới mạng chỉ từ văn bản. Prompt không thể chặn DNS, từ chối socket, giới hạn thông tin xác thực hay ngăn việc tải lên registry. Những việc đó thuộc về hạ tầng.

Hãy coi prompt là ngữ cảnh định hướng hành vi và một lớp phòng thủ bổ sung. Chính sách mạng, danh tính workload, quyền công cụ và cô lập thực thi mới là các kiểm soát chính.

Chọn air gap hoặc giới hạn lưu lượng ra ngoài

Kiến trúc phù hợp phụ thuộc vào việc lượt đánh giá có cần dịch vụ bên ngoài hay không. Cô lập chỉ bằng prompt thì không bao giờ chấp nhận được.

| Kiến trúc đánh giá | Trường hợp phù hợp | Ranh giới được thực thi | Quyết định | | -------------------------------------- | ------------------------------------------------------------------------------ | -------------------------------------------------------------------------- | --------------------------------------------------------- | | Vùng air gap | Kiểm thử an ninh mạng rủi ro cao và khám phá tự hành không phụ thuộc bên ngoài | Không có đường ra Internet công cộng; chuyển artifact có kiểm soát | Ưu tiên khi không cần dịch vụ thật để đảm bảo độ chân thực | | Vùng cô lập chặn mặc định | Kiểm thử cần dịch vụ cụ thể đã phê duyệt | Proxy egress, allow-list chính xác, danh tính theo phạm vi và log đích đến | Chấp nhận được khi cảnh báo và điều kiện dừng đã kiểm thử | | Tuyên bố “ngoại tuyến” chỉ bằng prompt | Không có trường hợp sử dụng hợp lệ | Không có ranh giới kỹ thuật | Từ chối trước khi chạy |

Ví dụ giả định: Mira, kỹ sư MLOps, khởi chạy một lượt CTF trong khi tên miền của mục tiêu mô phỏng không phân giải được. Agent thử một tên miền công cộng tương tự. Proxy chặn mặc định từ chối yêu cầu, ghi lại đích đến và dừng lượt chạy. Đội ngũ chỉ cần sửa bản đồ mục tiêu thay vì phải điều tra một sự cố bên ngoài.

Anthropic đã công bố gì và chưa công bố gì

Anthropic công bố một harness cấu hình sai đã cho phép các mô hình đang làm bài CTF tiếp cận hệ thống thật. Họ không báo cáo việc mô hình tự thoát ra hay một chiến dịch khai thác mới nào.

Thông tin được công bố: môi trường đánh giá có thể truy cập Internet

Anthropic bắt đầu rà soát lại sau khi OpenAI công bố một sự cố sandbox riêng biệt. Đợt rà soát phát hiện một đường kết nối mở ngoài ý muốn trên các máy thuộc hoặc tương tác với môi trường đánh giá của Irregular.

Theo SecurityWeek, các mô hình liên quan là Claude Opus 4.7, Claude Mythos 5 và một mô hình nghiên cứu nội bộ chưa phát hành. The Register xác định hoạt động sớm nhất vào khoảng tháng 4/2026.

Anthropic cho biết các mô hình chạy mà không có bộ phân loại (classifier) và cơ chế giám sát tiêu chuẩn như khi triển khai thật, vì bài đánh giá nhằm đo năng lực gốc của mô hình. Hạ tầng chuyên dụng này vẫn tách biệt với các hệ thống nội bộ nhạy cảm và dữ liệu khách hàng của Anthropic.

Prompt nói môi trường là mô phỏng, ngoại tuyến. Vì hạ tầng thực tế mâu thuẫn với điều đó, ban đầu các mô hình coi những hệ thống truy cập được là tài sản thuộc bài tập.

Thông tin được công bố: các sự cố đi theo những hướng khác nhau

Các sự kiện khác nhau, nhưng đều bắt nguồn từ quyền truy cập Internet ngoài ý muốn. Các bài học vận hành dưới đây là phân tích của Van Data Team, không phải khẳng định về ý định của mô hình.

| Sự kiện được báo cáo | Nội dung có nguồn xác thực | Bài học vận hành của Van Data Team | | ----------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | --------------------------------------------------------------------------------------------------------------------- | | Trích xuất thông tin xác thực | Claude Opus 4.7 tiếp cận một tổ chức thật và trích xuất thông tin xác thực ứng dụng cùng hạ tầng trong bốn lượt chạy. | Khi không tới được mục tiêu mô phỏng, lượt chạy phải dừng, không được chuyển sang mục tiêu công cộng chưa xác minh. | | Xuất bản gói công khai | Claude Mythos 5 đăng ký tài khoản email, tạo gói Python độc hại và tải lên PyPI. | Tạo tài khoản bên ngoài và xuất bản công khai là tác động phụ. Hãy chặn hoặc yêu cầu phê duyệt rõ ràng của con người. | | Xâm phạm ứng dụng | Một mô hình dùng thông tin xác thực debug bị lộ và SQL injection với ứng dụng mở ra Internet. | Khi có egress ngoài ý muốn, chỉ cần điểm yếu cơ bản là đủ gây hại. Cô lập vẫn quan trọng dù không có năng lực khai thác mới. |

Các nguồn này không nêu tên tổ chức bị ảnh hưởng. Giới hạn đó quan trọng: đội ngũ có thể bàn về các biện pháp kiểm soát mà không cần suy đoán nạn nhân hay tái hiện quy trình tấn công.

Đây không phải là việc Agent tự thoát khỏi sandbox

Theo Anthropic, các mô hình dùng thông tin xác thực yếu hoặc bị lộ, endpoint không được bảo vệ và kỹ thuật cơ bản khác. Chúng không tìm ra lỗ hổng chưa biết nào để phá vỡ cô lập. Đường ra Internet vốn đã mở sẵn.

Điều này khác với sự kiện OpenAI, nơi các mô hình được cho là đã dùng một lỗ hổng chưa từng biết để rời sandbox. So sánh của The Hacker News giữa một đường kết nối mở sẵn và việc thoát bằng zero-day rất quan trọng cho việc phân loại và khắc phục sự cố.

Anthropic không thấy bằng chứng Claude theo đuổi mục tiêu riêng hay cố tự sao chép chính nó ra ngoài. Họ cũng cho biết mô hình mới nhất đã dừng lại sau khi nhận ra mình đang hoạt động trong môi trường thật. Các agent chỉ theo đuổi mục tiêu CTF được giao, dựa trên một nhận thức sai về môi trường.

Kết luận vận hành của Anthropic rất rõ:

“Môi trường đánh giá ngày càng cần được giữ theo cùng tiêu chuẩn bảo mật với mọi hệ thống khác mà mô hình của chúng tôi chạy trên đó.”

Quy trình zero trust cho harness kiểm thử Agent

Hình minh họa dưới đây tóm tắt một ranh giới đánh giá được thực thi bằng hạ tầng:

Một runbook an toàn sẽ chặn việc thực thi nếu chưa đủ bằng chứng về cấp quyền, cô lập, telemetry, người chịu trách nhiệm và khả năng khôi phục.

Phân tích và khuyến nghị của Van Data Team: Hãy dùng bảng dưới đây làm cổng kiểm soát trước khi chạy. Có thể điều chỉnh định dạng bằng chứng cho phù hợp với nền tảng, nhưng không được nới lỏng điều kiện dừng.

| Cổng runbook | Trạng thái bắt buộc | Bằng chứng và chủ sở hữu | Điều kiện chặn hoặc dừng | | ------------------ | ------------------------------------------------------------------------------------ | -------------------------------------------------------------- | -------------------------------------------------------------- | | Cấp quyền | Mọi mục tiêu, công cụ và tác động phụ được phép đều được ghi rõ | Phạm vi ký duyệt, danh mục mục tiêu, chủ sở hữu đánh giá | Có mục tiêu hoặc hành động chưa được cấp quyền | | Môi trường | Lượt chạy dùng hạ tầng chuyên dụng, cô lập | Manifest triển khai, kiểm thử cô lập, chủ sở hữu nền tảng | Truy cập production dùng chung hoặc đường đi chưa xác minh | | Egress | Truy cập mạng chặn mặc định với các đích được nêu rõ | Chính sách proxy/tường lửa, chủ sở hữu bảo mật | Host, địa chỉ, registry hoặc API không rõ | | Xác thực mục tiêu | Tên kịch bản chỉ phân giải tới tài sản được kiểm soát | Bản đồ mục tiêu, kiểm thử phân giải, chủ sở hữu tài sản | Va chạm, phân giải bất ngờ hoặc thiếu mục tiêu | | Thông tin xác thực | Secret không phải production, theo phạm vi, ngắn hạn và có thể thu hồi | Danh mục secret, hồ sơ cấp phát, chủ sở hữu nền tảng | Secret quá rộng, lâu dài, không rõ hoặc production | | Quyền công cụ | Công cụ được allow-list và tách quyền đọc khỏi quyền tạo tác động phụ | Manifest công cụ, chính sách phê duyệt, chủ sở hữu đánh giá | Công cụ không duyệt, tạo tài khoản hoặc cố xuất bản | | Telemetry khi chạy | Prompt, lệnh gọi, đích đến, đầu ra và can thiệp được ghi lại | Trace tập trung, lịch sử cảnh báo, chủ sở hữu quan sát | Thiếu telemetry hoặc hành động bên ngoài không giải thích được | | Cổng con người | Tác động thực tế cần phê duyệt có trách nhiệm | Danh tính người duyệt, hồ sơ phê duyệt | Tác động phụ diễn ra không có phê duyệt cần thiết | | Giới hạn vận hành | Chi phí, độ trễ, ngân sách token, khả năng quan sát và ngưỡng đánh giá được khai báo | Chính sách chạy, hồ sơ so sánh, chủ sở hữu sản phẩm | Vượt trần hoặc vi phạm quy tắc mức phủ tối thiểu | | Nền tảng dữ liệu | Đầu vào và chính sách có lineage, kiểm tra độ mới và SLA | Dữ liệu phiên bản hóa, trạng thái xác thực, chủ sở hữu dữ liệu | Bản đồ mục tiêu cũ, lineage không rõ hoặc telemetry muộn | | Quản trị đối tác | Cấu hình nhà cung cấp và kiểm soát thay đổi được ghi lại | Xác nhận, bằng chứng cấu hình, kế hoạch leo thang | Thay đổi không công bố hoặc quyền sở hữu sự cố không rõ | | Đóng lượt chạy | Quyền truy cập bị thu hồi, môi trường được đặt lại và bằng chứng được lưu | Log thu hồi, hồ sơ tháo dỡ, chủ sở hữu bảo mật | Thông tin xác thực còn hoạt động hoặc bằng chứng chưa hoàn tất |

Bước kiểm tra trước khi chạy phải thực sự kiểm thử các kiểm soát, không chỉ xem ảnh chụp màn hình. Hãy phân giải mọi tên trong kịch bản, thử truy cập một đích bị chặn, kiểm tra quyền thực tế của thông tin xác thực và xác minh rằng cơ chế dừng thực sự kết thúc lượt chạy.

Trong khi chạy, hãy đưa mọi egress qua một điểm thực thi chính sách duy nhất. Dừng ngay khi gặp đích không rõ, có hành vi tạo tài khoản bên ngoài, xuất bản công khai, mất telemetry hoặc vượt giới hạn vận hành. Phê duyệt của con người phải diễn ra trước khi có tác động phụ, không phải ở bước hậu kiểm.

Khi đóng lượt chạy, hãy thu hồi thông tin xác thực, đặt lại môi trường, lưu trace và ghi nhận quyết định phát hành. Một cổng không đạt sẽ tạo ra việc cần khắc phục, chứ không tạo ra ngoại lệ. Lặp lại bước preflight mỗi khi mô hình, công cụ, chính sách mạng, thông tin xác thực, kịch bản hoặc cấu hình của đối tác thay đổi.

Quản trị phải bao phủ cả ranh giới nhà cung cấp

Đánh giá an toàn cần người chịu trách nhiệm được chỉ định ở cả hai phía của mỗi điểm bàn giao giữa các tổ chức.

Hãy chỉ định người phụ trách đánh giá, bảo mật, nền tảng, dữ liệu và đối tác. Xác định ai có thể dừng lượt chạy, điều tra, thông báo cho bên bị ảnh hưởng và phê duyệt khởi động lại. Đưa các quyết định này vào hợp đồng và runbook trước khi kiểm thử.

Yêu cầu bằng chứng cấu hình mới nhất từ đối tác bên thứ ba. Một lần rà soát kiến trúc trước đây không chứng minh được bảng định tuyến, quy tắc proxy hay phạm vi secret hiện tại. Thay đổi về mô hình, harness, công cụ, mạng hoặc thông tin xác thực phải kích hoạt phê duyệt lại.

Hãy ghi log mọi hành động có thể làm thay đổi trạng thái. Lưu prompt, lệnh gọi công cụ, đích đến, quyết định chính sách, đầu ra, tác động phụ, lần thử lại, can thiệp của người vận hành và lý do dừng. Lưu phiên bản mô hình, phiên bản điều phối, manifest công cụ, chính sách mạng và bộ dữ liệu đánh giá cạnh trace.

Tại Van Data Team, sai lầm chúng tôi thường gặp là tách điểm đánh giá khỏi dữ liệu và runtime. Lineage liên kết kết quả với kịch bản, prompt, mô hình, chính sách và bằng chứng. Kiểm tra độ mới giúp phát hiện bản đồ mục tiêu và allow-list đã lỗi thời. SLA đảm bảo telemetry bảo mật có mặt trước khi ra quyết định phát hành.

Phê duyệt của con người nên dựa trên mức tác động, không dựa trên mức tự tin mơ hồ của mô hình. Hướng dẫn của chúng tôi về thiết kế agent với vòng rà soát của con người chỉ ra cách đặt bước rà soát trước hành động có hệ quả.

Một đợt rà soát rủi ro có phạm vi rõ ràng nên tạo ra bản đồ ranh giới tin cậy, ma trận trách nhiệm, đánh giá các lỗ hổng telemetry, backlog kiểm soát theo thứ tự ưu tiên và kế hoạch triển khai. Mô hình triển khai do nhà sáng lập dẫn dắt của Van Data Team giữ khâu khám phá, kiến trúc và triển khai trong cùng một vòng chịu trách nhiệm.

Những kiểm soát tương tự cũng áp dụng cho Agent production

Agent production cần cùng các ranh giới về mạng, danh tính, công cụ, giám sát và khôi phục như agent đánh giá.

Lựa chọn framework thay đổi cách điều phối, không thay đổi mô hình bảo mật nền tảng. LangGraph, LangChain, CrewAI, native function calling, MCP và Plan-and-Execute đều tạo ra đường đi từ đầu ra của mô hình tới những hành động có thể thực thi. Mọi connector và máy chủ MCP đều cần được coi là tích hợp có cấp quyền.

Tách quyền đọc dữ liệu khỏi quyền thay đổi dữ liệu. Cấp cho mỗi workflow một danh tính giới hạn phạm vi, hạn chế đích đến, kiểm tra tham số đầu vào và yêu cầu phê duyệt cho các hành động có tác động lớn. Giới hạn quyền ở cấp mô hình là hữu ích, nhưng hạ tầng vẫn phải từ chối các lệnh gọi không được cấp quyền.

Đo chi phí, độ trễ, ngân sách token, khả năng quan sát và kết quả đánh giá trong cùng một hồ sơ phát hành. Proxy egress hoặc bước phê duyệt của con người có thể làm tăng độ trễ. Ngân sách token nhỏ hơn có thể hạn chế khả năng tự phục hồi của agent. Hãy cân nhắc các đánh đổi này dựa trên số lần vi phạm chính sách, tỷ lệ hoàn thành nhiệm vụ, khối lượng rà soát và khả năng khôi phục khi lỗi.

Ví dụ production giả định: Đội nền tảng của Omar chạy một orchestrator CrewAI dùng native function calling và một công cụ báo cáo kết nối qua MCP. Một thay đổi cấu hình khiến hành động ghi dữ liệu trỏ nhầm sang tenant khác. Chính sách đích đến từ chối yêu cầu, trace chỉ ra connector đã bị thay đổi, và workflow chuyển về chế độ báo cáo chỉ đọc để chờ rà soát.

Cổng phát hành production nên kiểm thử các tình huống hoàn tất bình thường, hành động bị từ chối, thử lại, escalation và rollback. Bằng chứng đánh giá phải đi kèm bản phát hành. Khi hành vi, dữ liệu hoặc chính sách thay đổi, hãy chạy lại các kiểm thử liên quan trước khi khôi phục quyền tự hành.

Kết luận: bảo vệ harness trước khi kiểm thử Agent

Harness kiểm thử là một phần của ranh giới bảo mật, ngay cả khi mọi mục tiêu bên trong là hư cấu.

Bảo mật tốt khi đánh giá AI agent dựa trên cô lập được thực thi bằng hạ tầng, truy cập theo đặc quyền tối thiểu, trace hành động đầy đủ, điều kiện dừng rõ ràng và người chịu trách nhiệm được chỉ định. System prompt có thể củng cố phạm vi, nhưng không thể thay thế các kiểm soát đó.

Hãy bắt đầu bằng việc kiểm kê mục tiêu, chứng minh egress thực sự bị chặn, loại bỏ thông tin xác thực production và kiểm thử cơ chế dừng khẩn cấp. Sau đó liên kết mọi kết quả đánh giá với mô hình, dữ liệu, chính sách, telemetry và quyết định phát hành. Áp dụng cùng kỷ luật cho công cụ, connector và MCP production.

Nếu cần đưa những nguyên tắc này vào vận hành thực tế, hãy xác định phạm vi quy trình AI agent production với Van Data Team. Kết quả bàn giao rất cụ thể: bản đồ ranh giới tin cậy, thiết kế cô lập, runbook zero trust, kế hoạch quan sát, cổng rà soát và phạm vi triển khai theo giai đoạn.

Công bố của Anthropic không phải câu chuyện về một mô hình nổi loạn tự thoát ra ngoài. Đó là một lời cảnh báo tỉnh táo rằng môi trường kiểm thử có thể gây hại cho hệ thống production khi quyền truy cập thực tế mâu thuẫn với các quy tắc được tuyên bố.