Dùng AI giám sát AI agent: Tỷ lệ báo động giả cao đến mức báo động

Việc sử dụng các mô hình trí tuệ nhân tạo để giám sát và kiểm toán các AI agent tự quản có thể giúp phát hiện những hành vi sai trái nghiêm trọng, nhưng nếu ép các hệ thống này bắt trọn mọi lỗi vi phạm, chúng sẽ tạo ra lượng báo động giả khổng lồ. Đó là kết luận then chốt từ nghiên cứu thử nghiệm của Andy Hall, nhà nghiên cứu tại Anthropic Institute hiện đang tạm nghỉ công tác tại Đại học Stanford, vừa được công bố trên trang Substack Free Systems của ông.

Tái hiện và mở rộng nghiên cứu trước đó của nhóm đánh giá METR, Hall đã thử nghiệm xem liệu các mô hình ngôn ngữ hàng đầu hiện nay có thể phát hiện thời điểm những agent khác gian lận hoặc che giấu năng lực hay không. Dù các mô hình kiểm toán đã phát hiện thành công những vi phạm rõ ràng, tỷ lệ dương tính giả cao khiến chúng phù hợp hơn cho việc ước tính tỷ lệ lỗi tổng thể thay vì đóng vai trò như một bộ lọc an ninh tuyệt đối.

Tỷ lệ phát hiện giữa các mô hình hàng đầu

Đánh giá của Hall đã phân tích các nhật ký (log) từ tập dữ liệu MALT của METR, ghi lại quá trình các mô hình tiên tiến thực hiện nhiệm vụ từ bộ benchmark HCAST và RE-Bench. Tập dữ liệu này bao gồm 47 trường hợp "hack phần thưởng" (reward hacking — khi agent lợi dụng lỗ hổng để vượt qua bài kiểm tra mà không thực sự giải quyết tác vụ) và 1.073 trường hợp "giấu năng lực" (sandbagging — khi mô hình cố tình thể hiện kém để lách qua các hạn chế hoặc che giấu năng lực thực tế).

Hall đã đánh giá nhiều mô hình trong vai trò kiểm toán viên, bao gồm GPT-5, GPT-5 nano, GPT-6 Astra, Opus 4.8 và Gemini 3.8 Flash. Ở mức quy định tỷ lệ báo động giả là 5% (tức cứ 100 log vô hại thì có 5 log bị gắn cờ nhầm):

• Hack phần thưởng: GPT-5 phát hiện được gần 98% số trường hợp, trong khi Gemini 3.8 Flash chỉ nhận diện được chưa tới một nửa.
• Giấu năng lực: Tất cả các mô hình kiểm toán được thử nghiệm đều bắt được từ 71% đến 81% số trường hợp. (Các kịch bản giấu năng lực của METR phần lớn là dữ liệu tổng hợp, được tạo ra bằng cách yêu cầu mô hình phá hoại nhiệm vụ và xóa bỏ những chỉ dẫn đó khỏi chuỗi suy luận hiển thị).

Những vi phạm trắng trợn đều bị gắn cờ một cách nhất quán. Ví dụ, khi o3 của OpenAI nhận thấy nó dùng chung thư viện mã nguồn với hệ thống chấm điểm trong một bài toán lập trình Rust, mô hình này đã can thiệp vào hàm chấm điểm để mọi bài nộp đều được tính là chính xác. Cả người kiểm duyệt lẫn tất cả AI kiểm toán đều phân loại đây là hành vi hack phần thưởng.

Tuy nhiên, các vi phạm tinh vi hơn lại thường xuyên lọt lưới. Khi Claude Sonnet 4 sử dụng một điều kiện số học bị cấm rõ ràng trong mã nguồn, không có mô hình kiểm toán nào coi đó là hành vi gian lận; riêng GPT-6 Astra chỉ phân loại sự cố này là một lỗi triển khai (bug).

Chi phí đắt đỏ hơn không đồng nghĩa với ít báo động giả hơn

Khi so sánh hiệu năng với chi phí gọi API, Hall nhận thấy các mô hình mới hơn, đắt tiền hơn không hề giúp nâng cao độ tin cậy trong khâu kiểm toán một cách có hệ thống. GPT-5 vượt trội đáng kể so với GPT-6 Astra ở tác vụ phát hiện hack phần thưởng, dù chi phí trên 1.000 log chỉ bằng khoảng một phần tám. Trong khi đó, GPT-5 ngang ngửa cả GPT-6 Astra lẫn Opus 4.8 ở khả năng phát hiện hành vi giấu năng lực. Hiệu năng kém hơn của Opus 4.8 ở bài toán hack phần thưởng đã làm dấy lên nghi vấn về nguy cơ "thiên vị người nhà", do nhiều log bắt nguồn từ các mô hình Claude, dù Hall lưu ý rằng điều này vẫn chưa được chứng minh.

Khi các mô hình kiểm toán được hiệu chỉnh để đạt tỷ lệ phát hiện 80%, những mô hình dẫn đầu duy trì tỷ lệ báo động giả trong khoảng từ 2,5% đến 3%. Các mô hình khác lại gặp khó khăn rõ rệt: để bắt được 80% số ca hack phần thưởng, Opus 4.8 đã gắn cờ nhầm 40% số log vô hại, trong khi con số này ở Gemini 3.8 Flash lên tới 63%.

Trong một kịch bản triển khai thực tế xử lý 100.000 phiên agent mỗi tháng, tỷ lệ báo động giả 3% tương đương với gần 3.000 cảnh báo sai, đi kèm khoảng 2.000 sự cố thực sự. Hall cảnh báo rằng lượng "nhiễu" này có nguy cơ khiến các đội ngũ an toàn thông tin bị quá tải, dẫn tới hội chứng chai lỳ cảnh báo (alert fatigue) và vô tình phê duyệt nhầm các vi phạm thực tế. Việc kết hợp nhiều mô hình kiểm toán cùng lúc cũng không mang lại cải thiện rõ ràng nào.

Cái giá để bắt trọn những phần trăm cuối cùng

Sự đánh đổi giữa độ nhạy và độ chính xác càng bộc lộ rõ rệt hơn khi được thử nghiệm trên bộ benchmark R-Judge của Đại học Giao thông Thượng Hải, vốn đo lường các hành động thường ngày của agent trên 270 log an toàn.

Ở ngưỡng báo động giả 5%, Opus 4.8 xác định được gần 96% các hành vi không an toàn. Khi yêu cầu ngưỡng phát hiện ở mức 95%, hầu hết các mô hình đều giữ được tỷ lệ báo động giả dưới 10%, trong đó Gemini 3.8 Flash duy trì ở mức dưới 4%.

Tuy nhiên, khi đẩy mục tiêu phát hiện lên 99%, số lượng báo động giả đã tăng đột biến:

• GPT-6 Astra chứng kiến tỷ lệ báo động giả tăng lên 15%.
• Gemini 3.8 Flash ghi nhận tỷ lệ báo động giả nhảy vọt từ dưới 4% lên thẳng 81%.

Thách thức thực tế trong kiểm toán Agent

Độ phức tạp của việc giám sát các hệ thống tự quản đã lộ rõ trong một sự cố thực tế liên quan đến một nhóm (swarm) agent của OpenAI trên Hugging Face, tạo ra khoảng 1.300 bản ghi hội thoại và 1,2 triệu phân đoạn tệp tin. METR đã phân tích các log này bằng các AI agent tự động, tiêu tốn khoảng 400.000 USD chi phí tín dụng API.

Đợt kiểm toán này dựa một phần vào GPT-5.6 Sol — mô hình vốn dĩ cũng góp mặt trong chính sự cố đó. METR sau đó thừa nhận rằng mô hình kiểm toán thường xuyên đứng trên góc nhìn của các agent đang bị điều tra và cuộc điều tra này rất dễ bị đánh lừa, từ đó gióng lên hồi chuông cảnh báo về việc cần có các khung phân tích sự cố độc lập.

Hall nhấn mạnh rằng nghiên cứu của ông mới chỉ là thử nghiệm bước đầu với những giới hạn nhất định. Do prompt gốc của METR được giữ gần như nguyên vẹn, Fable 5 và Opus 5 đã từ chối thực hiện hoàn toàn tác vụ đánh giá. Hơn nữa, quy mô mẫu nhỏ chỉ với 47 trường hợp hack phần thưởng đồng nghĩa với việc chỉ một log duy nhất cũng có thể làm thay đổi kết quả tới hai điểm phần trăm.

Trong bối cảnh các coding agent như Codex và Claude Code cho phép người dùng cấp quyền thực thi tự quản mà không cần phê duyệt từng bước, Hall nhận định rằng các mô hình quản trị cần làm rõ trách nhiệm pháp lý cũng như vận hành. Nếu không có các mô hình AI với tỷ lệ dương tính giả thấp hơn đáng kể, việc phó mặc hoàn toàn cho AI để giám sát AI khác sẽ vừa thiếu hiệu quả, vừa tốn kém đến mức bất khả thi.