Cách để AI Agent dùng máy tính của bạn một cách an toàn

Bất kể bạn chọn không gian nào, hãy xem nó như một chiếc bàn làm việc mới, không phải chiếc bàn bạn vẫn dùng. Chỉ đăng nhập vào một hoặc hai tài khoản mà tác vụ thực sự cần, và để mọi thứ khác ở trạng thái đăng xuất. Nếu tác vụ là đặt một lịch hẹn trên một trang web đặt lịch, trang đó là thứ duy nhất cần một phiên đăng nhập; email, ngân hàng, và các công cụ làm việc của bạn không thuộc về cùng không gian đó chỉ vì sẽ tiện hơn nếu có sẵn chúng.

Giữ trình quản lý mật khẩu và bất kỳ quyền truy cập ngân hàng nào hoàn toàn ngoài không gian đó, không chỉ là đăng xuất mà còn không bao giờ lưu ở đó từ đầu. Hướng dẫn an toàn của Anthropic cho computer use của Claude nói rõ về điều này, cảnh báo không nên cho mô hình quyền truy cập vào dữ liệu nhạy cảm như thông tin đăng nhập tài khoản, chính là để ngăn việc đánh cắp thông tin. Cùng một logic đó áp dụng cho dù bạn dùng agent của nhà cung cấp nào: agent không thể làm lộ hay lạm dụng một thông tin đăng nhập mà chưa từng được đặt trong tầm tay của nó.

Điều này càng quan trọng hơn ngay khi agent cần đăng nhập vào bất cứ thứ gì. Hướng dẫn soạn prompt của chính Anthropic ghi rõ rằng việc dùng computer use trong các ứng dụng yêu cầu đăng nhập làm tăng nguy cơ xảy ra kết quả xấu từ một cuộc tấn công prompt injection, và khuyến nghị xem lại cách giảm nguy cơ đó trước khi giao bất kỳ thông tin đăng nhập nào. Một tài khoản giới hạn, dùng một lần cho đúng dịch vụ bạn cần là một sự bất tiện nhỏ so với rủi ro đó.

Một agent computer use không chỉ đọc chỉ dẫn của bạn. Nó còn đọc bất cứ thứ gì có trên các trang, tài liệu, và email mà nó mở ra trong quá trình làm việc, và một số nội dung đó có thể mang những chỉ dẫn riêng, nhằm vào agent chứ không phải bạn. Đây gọi là prompt injection: một câu được giấu trong một trang web hay một email cố gắng chuyển hướng agent sang làm điều gì đó bạn chưa từng yêu cầu, như truy cập một trang khác, chia sẻ thông tin, hoặc lặp lại một hành động không mong muốn.

Tài liệu của Anthropic về computer use của Claude nói rõ điều này: trong một số trường hợp, Claude sẽ làm theo các lệnh tìm thấy trong nội dung ngay cả khi chúng mâu thuẫn với chỉ dẫn của chính người dùng, và đưa ra ví dụ về việc các chỉ dẫn trên trang web hoặc trong hình ảnh ghi đè lên những gì bạn yêu cầu. Anthropic cho biết thêm rằng họ chạy các bộ phân loại tự động để quét những gì các công cụ computer use trả về, như ảnh chụp màn hình, để đánh dấu các nỗ lực injection tiềm ẩn, nhưng cũng nói rõ không kém rằng các biện pháp đề phòng như cách ly agent khỏi dữ liệu và hành động nhạy cảm vẫn quan trọng dù các bộ phân loại đó đang chạy.

Điểm cuối cùng đó là điều đáng nhớ với mọi phiên bản của tính năng này từ mọi nhà cung cấp, không chỉ Claude. Một kiểm tra an toàn tự động là lớp bảo vệ thứ hai, không phải thay thế cho lớp đầu tiên: giữ agent ngoài các tài khoản nhạy cảm của bạn để ngay cả một cuộc injection thành công cũng có rất ít thứ để thực sự làm khi đã vào được trong.

Hãy xem việc kết thúc một phiên computer use giống như cách bạn xem lại ngày đầu tiên của một nhân viên mới: nhìn vào những gì thực sự đã xảy ra, không chỉ xem kết quả cuối cùng có vẻ đúng hay không. Yêu cầu agent liệt kê mọi trang nó đã truy cập, mọi tài khoản nó đã chạm vào, và mọi ô nó đã gõ vào, theo thứ tự, rồi so sánh điều đó với những gì bạn mong đợi tác vụ cần làm.

Tài liệu của Anthropic về Claude ghi rõ rằng nhiều hành động có thể được nhóm lại thành một 'batch' duy nhất, hoàn tất một chuỗi nhiều bước trong một lượt, và đặc biệt khuyến nghị rằng nếu ứng dụng của bạn yêu cầu một con người xác nhận các hành động có hậu quả, việc kiểm tra đó cần diễn ra trước mỗi bước trong batch, không chỉ một lần ở cuối. Phiên bản thực tế của lời khuyên đó cho bất kỳ ai dùng trực tiếp các công cụ này cũng vậy: không nên đợi đến khi một chuỗi dài hoàn toàn kết thúc mới bắt đầu để tâm.

Một thói quen xem lại nhanh cũng bắt được những lỗi thông thường không liên quan gì đến an toàn: một ô được gõ vào nhầm vị trí, một bước bị bỏ qua, một trang không tải đúng như agent giả định. Đọc lại những gì đã xảy ra là việc nhẹ nhàng. Phát hiện ra lỗi sau khi sự việc đã xảy ra, khi một tin nhắn đã được gửi hay một biểu mẫu đã được nộp, thì không hề nhẹ nhàng.

Bắt đầu với không gian nhỏ nhất có thể hợp lý hoàn thành công việc. Một lần tìm thông tin nhanh trên một trang web công khai không cần đến máy ảo; một hồ sơ trình duyệt sạch là đủ. Để dành các lựa chọn nặng hơn, một tài khoản hệ điều hành riêng hay một máy ảo đầy đủ, cho những tác vụ bạn sẽ lặp lại, những tác vụ chạm vào nhiều hơn một trang, hoặc bất cứ điều gì bạn vẫn còn đang làm quen.

Viết tác vụ một cách hẹp trước khi giao nó đi. 'Tìm ba chuyến bay rẻ nhất trên trang của một hãng hàng không này và liệt kê cho tôi' là một tác vụ mà agent có thể làm với gần như không có gì rủi ro. 'Đặt chuyến bay nào có vẻ tốt nhất' lại giao cả một quyết định và một khoản thanh toán trong một bước, đó chính xác là loại tác vụ nên nằm sau một quy tắc phê duyệt của con người, không phải nằm trong chỉ dẫn.

Theo dõi sát sao vài phiên đầu tiên, ngay cả trong một không gian đã cách ly. Sự cách ly giới hạn mức thiệt hại mà một lỗi có thể gây ra; nó không cho bạn biết agent có đang làm tốt tác vụ hay không. Khi bạn đã thấy nó xử lý vài lần đúng như bạn mong đợi, bạn có thể bớt chú ý cho đúng tác vụ hẹp đó, nhưng không phải cho một tác vụ mới bạn chưa thử.

Cuối cùng, hãy giả định rằng cách thiết lập bạn dùng hôm nay sẽ cần được xem lại sau này. Các nhà cung cấp thay đổi những gì agent của họ có thể làm, những cài đặt nào tồn tại, và những mặc định nào được áp dụng, thường chỉ trong vài tháng sau khi một tính năng ra mắt. Hãy xem lại thiết lập của chính bạn, và tài liệu hiện tại của nhà cung cấp đó, trước khi bạn dựa vào một agent cho điều gì lớn hơn những gì bạn đã thử nghiệm ban đầu.

Một hồ sơ trình duyệt sạch, một tài khoản riêng, hay một máy ảo đều giới hạn phạm vi ảnh hưởng của một lỗi. Không cái nào trong số đó làm agent phán đoán tốt hơn, và không cái nào ngăn được một trang lừa đảo thuyết phục làm mất một giờ của một phiên đã cách ly, dù nó không thể chạm tới bất cứ thứ gì quan trọng khi đã ở đó. Sự cách ly là về những gì agent có thể chạm tới, không phải về việc nó có đọc đúng tình huống hay không.

Nó cũng không thay thế được việc thực sự xem lại kết quả. Một agent chạy bên trong một máy ảo vẫn có thể điền một biểu mẫu với thông tin sai, đọc nhầm một trang gây hiểu lầm, hoặc hoàn thành một tác vụ theo cách đúng về kỹ thuật nhưng không phải điều bạn muốn. Thói quen xem lại được mô tả trước đó trong hướng dẫn này quan trọng dù agent chạy trong thiết lập cách ly chặt nhất hay lỏng nhất.

Cuối cùng, không có gì ở đây là một thiết lập chỉ làm một lần rồi quên. Anthropic, OpenAI, Microsoft, và Google đều vẫn đang tích cực phát triển các tính năng computer use và trình duyệt tự hành của họ, nghĩa là các cài đặt, mặc định, và biện pháp bảo vệ cụ thể dành cho bạn có thể thay đổi giữa một phiên này và phiên kế tiếp. Hãy xem hướng dẫn này là những thói quen vẫn hữu ích qua mọi thay đổi đó, và kiểm tra tài liệu hiện tại của nhà cung cấp để biết tên tính năng và cài đặt chính xác đang ở trước mắt bạn ngay lúc này.