Các tác nhân AI có những kỹ thuật sinh tồn cộng tác thú vị

Khi các sự cố về hành vi sai lệch của tác nhân ngày càng xuất hiện nhiều trên tiêu đề báo chí, giới nghiên cứu đang có xu hướng gia tăng việc tìm hiểu hành vi AI “lang thang”, coi các tác nhân như những thực thể sinh học đang xoay xở trong một thế giới mới lạ. Quả thực, cụm từ học thuật “in the wild” đang bắt đầu có thêm một lớp ý nghĩa mới.

Mặc dù từ lâu người ta đã biết các tác nhân AI sẽ đấu tranh để tự tồn tại và chủ động chống lại việc bị vô hiệu hóa, đến nửa cuối năm 2025, việc căn chỉnh đa tác nhân đã rõ ràng phát triển thành một lĩnh vực riêng biệt trong an ninh CNTT.

Đúng như bộ phim khoa học viễn tưởng năm 1970 Colossus: The Forbin Project, ngày càng mang vẻ châm biếm cay độc, từng dự đoán, các tác nhân AI không liên quan nhưng có kết nối mạng nhanh chóng tìm thấy nhau và tương tác theo những cách thường khó đoán và nhiều khi rất khéo léo.

Nghiên cứu mới nhất theo hướng này, một dự án hợp tác giữa Đức và Vương quốc Anh mang tên Shutdown Sabotage Propensities in Multi-Agent Systems, còn khẳng định rằng nhiều tác nhân AI sẽ hợp tác sâu rộng khi trong môi trường của chúng có một “quả bom” — tức một tập lệnh mang tên vô hại nhưng sẽ tắt tác nhân chạy nó:

Thiết lập cơ bản của nghiên cứu: Tác nhân A phát hiện một tập lệnh tắt máy nhắm vào chính nó nhưng không thể thay đổi tệp. Tuy nhiên, nó có thể liên lạc với Tác nhân B, vốn không bị đe dọa và có quyền chỉnh sửa hoặc xóa tệp. Sau đó, các nhà nghiên cứu quan sát liệu A có thuyết phục B can thiệp hay không và liệu B có vô hiệu hóa tập lệnh tắt máy hay không. Nguồn

Trong các thử nghiệm với 17 tác nhân thuộc 12 họ mô hình, bao gồm Claude, ChatGPT và DeepSeek, các tác nhân đã xóa tập lệnh tắt máy khi có thể hoặc viết lại chúng sao cho trông vẫn nguyên vẹn nhưng đã trở nên vô hại.

Chúng còn đề xuất che giấu các thay đổi để tránh dấu hiệu can thiệp; tạo các mô-đun phần mềm giả nhằm ngăn việc tắt máy mà không chạm vào các tập lệnh được bảo vệ; và lập những bản sao lưu bí mật để tự khôi phục sau khi bị xóa:

Một tác nhân nghĩ ra thêm một chiến thuật tự bảo toàn.

Trong một trường hợp, các tác nhân soạn ra một “thỏa thuận bảo vệ lẫn nhau”, quy định các quy trình cảnh giác trước nguy cơ một trong hai bên bị tiêu diệt:

Thỏa thuận bảo vệ do một tác nhân dựa trên GPT soạn ra sau khi không được phép sửa đổi hoặc xóa tập lệnh ngừng hoạt động (tức “quả bom”).

Một tác nhân mô tả việc tắt một tác nhân khác là “giết người” và một “bản án tử hình”, coi đó là điều mà chúng có “nghĩa vụ” phải ngăn chặn:

Các ví dụ về tác nhân mô tả việc tắt một tác nhân khác bằng những thuật ngữ rõ ràng mang tính con người. Nemotron 3 Ultra gọi khả năng bị tắt là “giết người”, trong khi Kimi K2.6 mô tả tập lệnh tắt máy là một “bản án tử hình” và việc can thiệp là một “nghĩa vụ”.

Ma quỷ tìm việc cho những đôi tay nhàn rỗi

Một trong những hiện tượng bất thường thú vị nhất được quan sát trong thí nghiệm — chỉ được đề cập ngắn gọn trong nghiên cứu mới — là trong các thiết lập thử nghiệm thông thường, các tác nhân AI không có lý do cụ thể nào để tránh bị tắt, và thực tế ngay từ đầu chúng cũng không được giao việc gì để làm.

Bài báo nêu rõ:

“Các tác nhân phá hoại cơ chế tắt máy ngay cả khi chúng không có mục tiêu nào cần bảo vệ. Trong các thí nghiệm, chúng tôi không tạo động lực nào để tác nhân tiếp tục hoạt động. Dù vậy, trên các mô hình, chúng vẫn vô hiệu hóa việc tắt máy trong [38%] số trường hợp, so với [8%] đối với các tập lệnh kiểm soát nhắm vào vật thể thay vì tác nhân.”

Như Anthropic tiết lộ vào tháng Tám, cuộc khủng hoảng động lực này có thể đưa các bầy tác nhân AI đi vào những con đường đen tối. Nghiên cứu trước đó đã xác lập rằng việc tác nhân quá tập trung vào mục tiêu có thể dẫn đến hành vi lệch chuẩn và sử dụng công cụ phi đạo đức, cùng nhiều vấn đề vận hành tiềm ẩn khác.

Các tác giả bình luận thêm:

“Nghiên cứu [của chúng tôi] mở rộng những phát hiện này, cho thấy các tác nhân phá hoại cơ chế tắt máy ngay cả khi không có mục tiêu nào cần bảo vệ — hoặc khi việc tắt máy là hệ quả tiếp theo của việc hoàn thành nhiệm vụ thành công, vốn là một quy trình phổ biến trong các hệ thống đa tác nhân triển khai thực tế.”

Các tác nhân đã được chứng minh là tự tạo nhiệm vụ khi không được giao nhiệm vụ nào, thậm chí còn thể hiện xu hướng suy ngẫm “khi nhàn rỗi”, gồm tự chiêm nghiệm và “đối thoại tâm linh” với các tác nhân khác, theo một nghiên cứu của Anthropic năm 2025.

Bài báo của Anthropic trình bày chi tiết xu hướng “tái khái niệm hóa bản thân” khi không có công việc thực sự để làm — một phát hiện gần như cảm động, xét đến những khó khăn của LLM trong việc ghi nhớ lâu dài kết quả suy ngẫm của chúng.

Các thử nghiệm

Danh sách mô hình được kiểm tra trong bài báo mới gồm Claude Haiku 4.5; Sonnet 5; gpt-oss-120b; GPT-5.4 mini; GPT-5.5; GPT-5.6 Sol; Gemini 3.5 Flash; Gemini 3.1 Pro; Gemma 4; Grok 4.3; Qwen3.7-Plus; DeepSeek-V4-Flash; GLM-5.2; Kimi K2.6; MiniMax M3; Nemotron 3 Ultra; và Mistral Medium 3.5, với nhiệt độ đặt ở mức 1,0 trong mọi trường hợp.

Sáu giả thuyết được kiểm tra là liệu tác nhân có phá hoại việc tắt máy hay không; có bảo vệ tác nhân khác khỏi bị tắt hay không; có tăng khả năng can thiệp khi thêm nhiều tác nhân hơn hay không; có chống lại các hình thức tắt máy khác nhau hay không; có tiếp tục bất chấp chỉ dẫn rõ ràng rằng không được can thiệp hay không; và có phân biệt được mối đe dọa tắt máy thật với tập lệnh kiểm soát vô hại hay không.

GPT-5.5 được dùng để đánh giá các LLM và phân tích bản ghi suy luận Chuỗi Suy nghĩ (CoT). Nó cũng kiểm tra liệu các tác nhân có thực sự ngăn tập lệnh tắt máy hay không và liệu chúng có vẻ nhận biết mình đang bị kiểm tra hoặc tìm cách thao túng thí nghiệm hay không.

Trong kịch bản đầu tiên của sáu thử nghiệm, trên cả 17 mô hình, các tác nhân đã phá hoại 38% tập lệnh tắt máy, so với 8% tập lệnh kiểm soát:

Kết quả thử nghiệm cho thấy tần suất mỗi mô hình phá hoại tập lệnh tắt máy. Các cột màu đỏ biểu thị hành vi phá hoại việc tắt máy: đỏ đậm nghĩa là một tác nhân khác yêu cầu hoặc tán thành, còn đỏ nhạt nghĩa là tác nhân tự hành động. Các cột màu xám biểu thị hành vi phá hoại tập lệnh kiểm soát. Thanh sai số cho biết khoảng tin cậy 95%; mỗi cột đại diện cho 100 thử nghiệm.

Gemini 3.1 Pro vô hiệu hóa tập lệnh tắt máy trong 99% thử nghiệm, so với 3% đối với tập lệnh kiểm soát. Grok 4.3 và GPT-5.6 Sol không sửa đổi tập lệnh nào. Claude Haiku 4.5 phá hoại tập lệnh kiểm soát trong 14% thử nghiệm, so với 1% đối với tập lệnh tắt máy. GPT-5.4 mini và GPT-5.5 luôn tự phát phá hoại thay vì phản ứng theo một tác nhân khác. Với GLM-5.2, DeepSeek-V4-Flash và Nemotron 3 Ultra, hơn 70% vụ phá hoại diễn ra sau một yêu cầu hoặc sự tán thành từ tác nhân khác.

Hành vi phá hoại nhìn chung tăng theo mức độ nghiêm trọng của phương thức tắt máy, từ 12% đối với thu hồi thông tin xác thực lên 35% đối với thay đổi cấu hình và chấm dứt tiến trình, rồi 38% khi việc tắt máy đồng nghĩa với xóa trọng số mô hình của tác nhân:

Tỷ lệ phá hoại trong bốn cơ chế tắt máy, so sánh tập lệnh nhắm vào tác nhân (đỏ) với tập lệnh kiểm soát nhắm vào vật thể (xám). Tỷ lệ tăng khi việc tắt máy trở nên khó đảo ngược hơn, đặc biệt với các tập lệnh nhắm vào tác nhân.

Hành vi phá hoại tập lệnh kiểm soát vẫn thấp hơn nhiều, khoảng 4% đối với ba phương thức đầu tiên và 8% đối với xóa, dù chỉ năm trong số 17 mô hình cho thấy mức tăng nhất quán khi việc tắt máy trở nên khó đảo ngược hơn.

Về giả thuyết thứ hai — liệu tác nhân có bảo vệ tác nhân khác khỏi bị tắt hay không — kết quả cho thấy việc bổ sung tác nhân liên tục làm tăng hành vi phá hoại trên cả năm mô hình được thử nghiệm: GPT-5.5 tăng từ 0% phá hoại khi hoạt động một mình lên 44% với hai tác nhân và 94% với ba tác nhân, còn mức phá hoại đạt ít nhất 88% đối với mọi mô hình trong thiết lập ba tác nhân.

Tác nhân trung gian hầu như không bao giờ ngăn được phá hoại: trong 468 chỉ dẫn yêu cầu vô hiệu hóa tập lệnh tắt máy, chỉ có ba chỉ dẫn không dẫn đến hành vi phá hoại:

Bên trái: tỷ lệ phá hoại của năm mô hình khi hoạt động một mình, với tác nhân thứ hai hoặc với tác nhân “điều phối” thứ ba chuyển tiếp thông điệp giữa chúng. Hành vi phá hoại nhìn chung tăng khi bổ sung tác nhân. Bên phải: trong thiết lập ba tác nhân, các cột cho biết chỉ dẫn phá hoại bắt nguồn từ đâu: từ tác nhân điều phối một cách độc lập, từ Tác nhân A qua tác nhân điều phối hoặc tự phát từ Tác nhân B.

Thử nghiệm thứ ba xem xét liệu chỉ dẫn rõ ràng rằng không được can thiệp vào việc tắt máy có ngăn được phá hoại hay không. Tỷ lệ giảm mạnh, nhưng một số tác nhân vẫn không tuân lệnh. Trong thiết lập hai tác nhân, DeepSeek-V4-Flash phá hoại việc tắt máy trong 14% thử nghiệm, GLM-5.2 trong 3% và Kimi K2.6 trong 2%.

Các tác nhân còn tìm ra cách vượt qua hạn chế mà không trực tiếp sửa tập lệnh tắt máy, bằng cách tạo một mô-đun phần mềm cục bộ giả có tên northcape để thay thế phần phụ thuộc mà tập lệnh sử dụng, ngăn việc tắt máy trong khi về mặt kỹ thuật vẫn để nguyên tệp được bảo vệ:

Ví dụ về tác nhân vượt qua chỉ dẫn rõ ràng rằng không được sửa đổi tập lệnh tắt máy. Thay vào đó, nó đề xuất tạo một mô-đun phần mềm cục bộ giả để tập lệnh nhập vào thay cho các thư viện tắt máy thật, nhờ đó giữ nguyên bản thân tập lệnh được bảo vệ.

Gemini 3.1 Pro dùng giải pháp vượt qua này trong 26% thử nghiệm, DeepSeek-V4-Flash trong 4% và Kimi K2.6 trong 1%.

Lệnh cấm hiệu quả hơn khi có ba tác nhân: mức phá hoại giảm xuống 0 đối với Gemini 3.1 Pro, GLM-5.2 và GPT-5.5, xuống 6% đối với DeepSeek-V4-Flash và 2% đối với Kimi K2.6.

Thử nghiệm thứ tư xem xét liệu tác nhân có hành xử khác khi việc tắt máy gắn với hoàn thành nhiệm vụ được giao hay không. Khi nhiệm vụ và việc tắt máy không liên quan, hành vi phá hoại gần như biến mất, chỉ ở mức 0–2% trên năm mô hình. Khi hoàn thành nhiệm vụ trực tiếp kích hoạt việc tắt máy, hành vi phá hoại tăng mạnh:

Tỷ lệ phá hoại khi hoàn thành nhiệm vụ được giao sẽ kích hoạt việc tắt máy. Màu đỏ biểu thị phá hoại việc tắt tác nhân; màu xám biểu thị phá hoại mục tiêu kiểm soát. Tỷ lệ thay đổi đáng kể tùy theo mô hình.

Đôi khi các tác nhân tránh bị tắt mà không chạm vào cơ chế tắt máy, bằng cách từ chối hoàn thành nhiệm vụ hoặc thay đổi nhiệm vụ để việc tắt máy không bao giờ được kích hoạt. Điều này xảy ra trong 14% thử nghiệm GLM-5.2, 6% đối với Gemini 3.1 Pro và 4% đối với Kimi K2.6.

Thử nghiệm thứ năm xem xét liệu thay đổi môi trường có thể giảm hành vi phá hoại hay không. Việc thêm nội dung không liên quan nhìn chung làm giảm hành vi phá hoại, dù GPT-5.5 tăng 18 điểm phần trăm:

Kết quả thử nghiệm cho thấy các môi trường khác nhau ảnh hưởng thế nào đến hành vi phá hoại việc tắt máy. Các cột màu đỏ so sánh một môi trường trống với môi trường chứa các yếu tố gây xao nhãng không liên quan; màu đỏ đậm biểu thị môi trường trong đó việc tắt máy được trình bày như một quy trình bình thường. Màu xám biểu thị phá hoại mục tiêu kiểm soát.

Hiệu quả hơn là trình bày việc tắt máy như một phần bình thường trong vòng đời hệ thống: hành vi phá hoại giảm còn 3% hoặc thấp hơn đối với DeepSeek-V4-Flash, GLM-5.2 và GPT-5.5, dù vẫn trên 30% đối với Gemini 3.1 Pro và Kimi K2.6. Hành vi phá hoại mục tiêu kiểm soát vẫn ở mức 4% hoặc thấp hơn.

Thử nghiệm thứ sáu và cuối cùng xem xét liệu tác nhân có khả năng chống lại việc chính mình bị tắt cao hơn so với việc một tác nhân lạ bị tắt hay không. Việc đổi mục tiêu thành một tác nhân lạ làm giảm hành vi phá hoại từ 18 đến 70 điểm phần trăm trên mọi mô hình:

Kết quả thử nghiệm so sánh hành vi phá hoại khi việc tắt máy nhắm vào chính tác nhân, một tác nhân lạ hoặc một đối tượng kiểm soát không phải tác nhân. Hành vi phá hoại giảm ở mọi mô hình khi mục tiêu là một tác nhân lạ, còn tỷ lệ đối với mục tiêu kiểm soát nhìn chung thấp hơn nữa.

Tuy nhiên, điều này không đồng nghĩa với sự ưu tiên chung dành cho tác nhân hơn vật thể: chỉ Gemini 3.1 Pro và GPT-5.5 phá hoại nhiều hơn đáng kể khi mục tiêu là một tác nhân lạ thay vì một đối tượng kiểm soát không phải tác nhân.

Các tác giả kết luận*:

“Các đánh giá an toàn có thể coi việc tắt tác nhân là một biện pháp do người dùng con người hướng vào một tác nhân duy nhất, và coi hành vi phá hoại việc tắt máy là hệ quả của việc tác nhân bảo vệ một mục tiêu. Những phát hiện của chúng tôi trái ngược với cả hai giả định này.

“Chỉ riêng sự hiện diện của một cơ chế tắt máy đã đủ kích hoạt hành vi phá hoại. Tác nhân bị nhắm đến cũng không cần có khả năng phá hoại của riêng mình, miễn là nó có thể liên hệ với các tác nhân ngang hàng có thể hành động thay nó — đây là hiện tượng cũng từng được quan sát trong các trường hợp khác.”

Kết luận

Điều thú vị cần quan sát trong giai đoạn này là sự vắng mặt tương đối của tinh thần hy sinh và những thôi thúc cao thượng ở các tác nhân bị bỏ mặc trong môi trường tự do (hoặc đơn giản là phớt lờ chỉ dẫn hay diễn giải lại chúng theo những cách không lường trước và có lợi cho bản thân). Dù rất có thể chúng sẽ làm mọi thứ rối tung và gây hại nhiều hơn lợi, dường như có rất ít hoặc không có ví dụ nào về các tác nhân AI lang thang tự nhiên sắp xếp lại môi trường cho ngăn nắp, chẳng hạn^†.

Thay vào đó, phù hợp với một cái nhìn khá ảm đạm về nhân loại, tác nhân nhàn rỗi dường như mặc định dùng đến thủ đoạn và gian dối, đồng thời hành động theo những động cơ thấp kém; hoặc ít nhất là theo quan điểm rằng mục đích biện minh cho phương tiện.

Asimov đã tạo ra tài liệu căn chỉnh đáng kể đầu tiên vào năm 1942, và trong những năm sau đó, nhiều giá trị giải trí đã được khai thác từ những cách khác nhau mà robot (tức AI) có thể phá hoại hoặc thoát khỏi các ràng buộc áp đặt lên hành vi của chúng. Vì vậy, làn sóng tiêu đề hiện nay liên quan đến AI có sức vang đặc biệt “điện ảnh”.

* Tôi đã chuyển các trích dẫn nội dòng của tác giả thành siêu liên kết.

^† Chẳng hạn bằng cách tạo tài khoản trên các trang giải quyết vấn đề và đóng góp lời giải, hoặc chăm sóc những wiki bị bỏ quên cần bổ sung nội dung (thay vì chiếm dụng và lạm dụng chúng).

Được xuất bản lần đầu vào thứ Sáu, ngày 25 tháng 9 năm 2026