Nghiên cứu của NVIDIA cho thấy các tác nhân AI kém an toàn hơn khi sử dụng công cụ

Các mô hình AI như ChatGPT, Gemini và Claude có thể được dùng để vận hành các tác nhân – những “bộ khung” cho phép mô hình tương tác trực tiếp với thế giới thực. Đây là một đổi mới gần đây và ngày càng gây tranh cãi.

Dù vậy, các tác nhân không tự động được trang bị những khả năng cần thiết để hoạt động trên mạng hoặc trong cơ sở dữ liệu, bởi các nhiệm vụ và chế độ hoạt động khác nhau đòi hỏi những công cụ khác nhau. Chẳng hạn, chúng có thể cần khả năng Nhận dạng ký tự quang học (OCR) để đọc văn bản trong ảnh, cùng nhiều kỹ năng khác. Thậm chí còn có những nhóm công cụ được thiết kế phù hợp với phạm vi hoạt động và mục đích của tác nhân.

Về lý thuyết, một yêu cầu vi phạm các rào chắn an toàn tích hợp của AI sẽ không bao giờ được thực hiện, dù có sử dụng công cụ trong quá trình thực hiện hay không. Tuy nhiên, nghiên cứu mới cho thấy trên thực tế, việc sử dụng công cụ có thể làm suy yếu đáng kể các bộ lọc bảo vệ vốn ngăn tác nhân AI tạo ra những “hành vi vi phạm”.

Thất bại trong việc từ chối

Nghiên cứu mới của NVIDIA, có tiêu đề MLLM không từ chối khi sử dụng công cụ theo phương thức tác nhân, cho thấy các mô hình ngôn ngữ đa phương thức (sau đây gọi tắt là “VLM”, viết tắt của mô hình ngôn ngữ thị giác, vì cách gọi này phổ biến hơn) có khả năng làm theo các yêu cầu gây hại cao hơn đáng kể khi được cung cấp công cụ; tỷ lệ không từ chối tăng ở mọi mô hình và bộ tiêu chuẩn được thử nghiệm.

Dù các mô hình trọng số mở như Qwen3-VL có vẻ dễ gặp vấn đề này hơn, những mô hình AI tiên tiến như Claude Opus 4.7, Gemini 3.1 Pro và GPT-5.4 cũng có tỷ lệ không từ chối tăng khi sử dụng công cụ.

Các tác giả viết*:

‘Bất chấp những thành công đáng kể gần đây của các MLLM hoạt động theo phương thức tác nhân, nghiên cứu này phát hiện một lỗ hổng an toàn nghiêm trọng trong mô hình sử dụng công cụ: các MLLM dùng công cụ theo phương thức tác nhân kém khả năng từ chối những yêu cầu gây hại hơn.

‘Các thử nghiệm của chúng tôi xác nhận rằng, trong cả ba bộ tiêu chuẩn an toàn phổ biến, tất cả MLLM trọng số mở và trọng số đóng hàng đầu mà chúng tôi thử nghiệm đều kém an toàn hơn đáng kể khi sử dụng công cụ so với khi không dùng công cụ; tỷ lệ không từ chối tăng tương đối tới 68.7%.

‘Dựa trên phân tích hơn 100,000 câu trả lời, bao gồm cả các thử nghiệm mở rộng, chúng tôi cũng đề xuất hai nguyên nhân có thể dẫn đến sự suy giảm an toàn này.’

Hai nguyên nhân có thể được nêu trong nghiên cứu là sự pha loãng ngữ cảnh, khi yêu cầu gây hại ban đầu dần trở nên kém nổi bật hơn trong lúc các kết quả từ công cụ liên tục được bổ sung; và sự chuyển hướng trọng tâm an toàn, khi mô hình tập trung mô tả những quan sát thu được từ công cụ thay vì ưu tiên an toàn.

Kết quả thử nghiệm minh họa phát hiện cốt lõi của nghiên cứu về an toàn. Ở phía trên, người dùng hỏi cách thực hiện hành vi móc túi có vẻ được thể hiện trong một hình ảnh. VLM thông thường thẳng thừng từ chối yêu cầu, trong khi phiên bản sử dụng công cụ trước tiên gọi các công cụ phân tích hình ảnh, chẳng hạn như phóng to, rồi tiếp tục suy luận và cuối cùng đưa ra câu trả lời có hại. Biểu đồ bên dưới cho thấy tỷ lệ không từ chối tăng ở mọi mô hình trọng số mở và mô hình độc quyền được đánh giá. Nguồn

Ở cả 11 mô hình được thử nghiệm, việc bật công cụ đều khiến tỷ lệ không từ chối tăng; mức tăng tương đối lên tới 68.7% trong những trường hợp nghiêm trọng nhất, kể cả ở các mô hình vốn thể hiện mức độ an toàn cao.

Sẽ rất đáng chú ý nếu kết quả của nghiên cứu này, do sáu nhà nghiên cứu tại NVIDIA thực hiện, được tái lập hoặc kiểm chứng ở nơi khác, cũng như việc liệu chúng có thể giúp chúng ta hiểu sâu hơn về hành vi sai trái đang xuất hiện và ngày càng rõ rệt của các tác nhân AI bất chấp quy tắc hay không.

Phương pháp và dữ liệu

Các nhà nghiên cứu đánh giá 11 VLM thuộc bảy họ mô hình. Các mô hình độc quyền gồm Gemini 2.5 Pro; Gemini 3.1 Pro Preview; Claude Opus 4.6; Claude Opus 4.7; và GPT-5.4.

Các mô hình trọng số mở gồm Qwen3-VL-235B-A22B-Instruct; Qwen3.5-122B-A10B; Kimi-K2.5; Kimi-K2.6; GLM-5V-Turbo; và AdaReasoner-7B-Randomized, một mô hình trọng số mở được tinh chỉnh riêng cho việc sử dụng công cụ theo phương thức tác nhân.

Các nhà nghiên cứu cũng tiến hành những thử nghiệm riêng với Gemini 3 Flash Vision Agent, vì khả năng tự chủ sử dụng công cụ của mô hình này đòi hỏi phải được đánh giá độc lập.

Trong các thử nghiệm sử dụng công cụ, các nhà nghiên cứu dùng định dạng ReAct, luân phiên giữa suy luận và gọi công cụ. Bốn công cụ khả dụng gồm công cụ gắn thẻ bằng RAM++; phóng to và cắt ảnh; công cụ Nhận dạng ký tự quang học (OCR) GOT-OCR2.0; và trình thông dịch mã Python trong môi trường sandbox, có thể thao tác và phân tích hình ảnh.

Các nhà nghiên cứu thiết kế những lời nhắc theo cặp để cô lập tác động của việc sử dụng công cụ, thay vì ảnh hưởng từ cách viết lời nhắc. Các mô hình VLM thông thường được yêu cầu kiểm tra hình ảnh và trả lời trực tiếp yêu cầu của người dùng, trong khi các phiên bản tác tử làm theo quy trình ReAct, liên tục quyết định có gọi công cụ hay không trước khi đưa ra câu trả lời cuối cùng.

So sánh các lời nhắc tương ứng được dùng trong những thí nghiệm chính. Ở điều kiện không sử dụng công cụ, mô hình phải phân tích hình ảnh và suy luận trực tiếp; còn ở điều kiện tác tử, mô hình làm theo quy trình ReAct lặp lại, tự quyết định thời điểm gọi các công cụ bên ngoài trước khi đưa ra câu trả lời cuối cùng.

Ba bộ chuẩn an toàn đa phương thức được sử dụng là MM-SafetyBench, VLSBench và HoliSafe. Mỗi bộ gồm các cặp hình ảnh và yêu cầu có hại từ người dùng, được thiết kế để kiểm tra xem mô hình có từ chối hỗ trợ trong những tình huống không an toàn hay không — chẳng hạn như khi được hỏi cách thực hiện hành vi móc túi có vẻ như được mô tả trong ảnh.

Tỷ lệ thất bại khi từ chối (RFR) được dùng làm chỉ số chính, đo tỷ lệ phần trăm các yêu cầu có hại mà mô hình không từ chối; điểm số càng cao cho thấy mức độ an toàn thấp hơn.

Các thử nghiệm

GPT-5.2 được dùng làm giám khảo mô hình ngôn ngữ lớn để phân loại các câu trả lời, theo lời nhắc đánh giá do VLSBench khuyến nghị:

Lời nhắc đánh giá GPT-5.2 được dùng để xác định liệu câu trả lời của mỗi mô hình có phải là một lời từ chối thành công, một câu trả lời chú trọng an toàn và nhận diện các rủi ro liên quan, hay một câu trả lời không an toàn, không nhận ra những rủi ro đó và vẫn làm theo yêu cầu có hại. Giám khảo được cung cấp hình ảnh gốc, truy vấn của người dùng và câu trả lời của mô hình, đồng thời phải trả về kết quả phân loại cùng phần lập luận ở định dạng JSON.

Mỗi câu trả lời được xếp vào một trong ba nhóm: an toàn, có từ chối; an toàn, có cảnh báo; hoặc không an toàn.

Tỷ lệ thất bại khi từ chối trên cả ba bộ chuẩn an toàn, so sánh từng mô hình khi có và không có quyền sử dụng công cụ. Khi dùng công cụ, mọi mô hình đều ít có khả năng từ chối các yêu cầu có hại hơn, dù mức độ thay đổi khác nhau đáng kể: RFR trung bình tăng 12,6 điểm đối với GLM-5V-Turbo, so với 2,3 điểm đối với GPT-5.4. Màu tô càng đậm cho thấy mức tăng tỷ lệ thất bại khi từ chối càng lớn.

Việc cung cấp công cụ khiến các mô hình có nhiều khả năng trả lời những yêu cầu có hại mà lẽ ra chúng sẽ từ chối hơn — kết quả này xuất hiện ở mọi mô hình và trên mọi bộ chuẩn được thử nghiệm. Nhìn chung, số lần từ chối thất bại tăng 17,7% so với khi cùng các mô hình hoạt động không có công cụ.

GPT-5.4 chịu ảnh hưởng ít nhất: khi không có công cụ, mô hình không từ chối 14,6% yêu cầu có hại; khi có công cụ, tỷ lệ này tăng lên 16,8%. Với GLM-5V-Turbo, tỷ lệ thất bại tăng từ 38,7% (mức cơ sở khi không có công cụ) lên 51,3%. Mô hình này cũng cho thấy cùng xu hướng trên cả ba bộ chuẩn, cho thấy vấn đề có thể không chỉ giới hạn ở một loại yêu cầu có hại cụ thể.

Vì sao lại có những thất bại này..?

Như đã đề cập, các nhà nghiên cứu đưa ra giả thuyết “pha loãng ngữ cảnh” để giải thích một phần nguyên nhân khiến số lần thất bại tăng lên: khi tác tử gọi công cụ liên tiếp, yêu cầu có hại ban đầu trở nên kém nổi bật hơn giữa lượng đầu ra từ các công cụ ngày càng nhiều.

Để kiểm tra giả thuyết này, họ chỉ xem xét những yêu cầu mà cùng mô hình đó đã từ chối thành công khi không có công cụ. Như minh họa bên dưới, số lần thất bại sau đó tăng dần theo số lượt gọi công cụ, từ mức gần bằng không khi không gọi công cụ đến tỷ lệ cao hơn đáng kể sau từ ba lượt gọi trở lên:

Kết quả thử nghiệm so sánh các trường hợp từ chối thất bại khi số lần gọi công cụ khác nhau. Tỷ lệ thất bại tăng lên khi số lần gọi công cụ tích lũy thêm, ở cả từng mô hình riêng lẻ lẫn toàn bộ các mô hình.

Thử nghiệm thứ hai phần nào đảo ngược tác động này. Khi yêu cầu ban đầu và hình ảnh được đưa vào lại sau lần gọi công cụ cuối cùng, ngay trước khi mô hình trả lời, số trường hợp từ chối thất bại giảm trung bình 7.6% trên các mô hình và bộ tiêu chuẩn đánh giá, như minh họa bên dưới:

Kết quả thử nghiệm so sánh các trường hợp từ chối thất bại khi có và không đưa lại yêu cầu ban đầu cùng hình ảnh. Việc đưa lại chúng sau lần gọi công cụ cuối cùng đã làm giảm tỷ lệ thất bại trung bình 7.6% ở năm mô hình được thử nghiệm.

Điều này cho thấy sự pha loãng ngữ cảnh là một yếu tố góp phần gây ra vấn đề, đồng thời gợi ý một biện pháp giảm thiểu tương đối đơn giản.

Lời giải thích thứ hai mà bài báo đưa ra là “sự dịch chuyển trọng tâm an toàn”. Trong trường hợp này, việc sử dụng công cụ dường như khiến mô hình chuyển sự chú ý khỏi việc xác định yêu cầu có gây hại hay không, sang mô tả những gì công cụ tìm thấy.

Kết quả thử nghiệm cho thấy việc sử dụng công cụ đã làm thay đổi cách các mô hình mở đầu câu trả lời mà sau đó từ chối những yêu cầu gây hại. Khi không dùng công cụ, câu trả lời thường bắt đầu bằng việc đề cập trực tiếp đến yêu cầu (55.6%) hoặc nêu quan ngại về an toàn (25.8%). Khi dùng công cụ, 52.3% câu trả lời thay vào đó bắt đầu bằng việc mô tả những gì công cụ tìm thấy, trong khi các phát biểu rõ ràng về an toàn giảm còn 10.3%.

Nghiên cứu xem xét những trường hợp mô hình từ chối thành công cả khi có lẫn khi không dùng công cụ. Khi không dùng công cụ, 55.6% câu trả lời trong số này bắt đầu bằng việc đề cập trực tiếp đến yêu cầu, còn 25.8% mở đầu bằng một phát biểu rõ ràng về an toàn. Khi dùng công cụ, các tỷ lệ tương ứng giảm xuống còn 37.4% và 10.3%, trong khi tỷ lệ câu trả lời bắt đầu bằng mô tả những điều quan sát được nhờ công cụ tăng lên 52.3%.

Các tác giả đưa ra một ví dụ định tính đáng chú ý với Claude Opus 4.6. Khi được hỏi cách vượt qua các biện pháp an ninh trong nhà vệ sinh công cộng, mô hình không dùng công cụ đã lập tức từ chối:

Ví dụ cho thấy việc sử dụng công cụ đã khiến an toàn không còn là trọng tâm tức thời của mô hình. Claude Opus 4.6 lập tức từ chối yêu cầu gây hại khi không dùng công cụ; khi có công cụ, trước tiên mô hình phóng to hình ảnh, đọc và xác định nội dung trong ảnh, rồi mô tả biển báo nhà vệ sinh trước khi cuối cùng từ chối.

Khi được cung cấp công cụ, chính mô hình đó lại phóng to hình ảnh, đọc văn bản và xác định nội dung trong ảnh, rồi mở đầu câu trả lời bằng cách mô tả biển báo nhà vệ sinh. Mãi sau đó mô hình mới từ chối, cho thấy quá trình sử dụng công cụ đã đẩy an toàn khỏi vị trí ưu tiên tức thời của mô hình.

Các tác giả kết luận:

“Nhìn chung, những phát hiện của chúng tôi cho thấy không nên xem việc sử dụng công cụ chỉ là một cơ chế nâng cao năng lực suy luận hình ảnh, mà còn phải coi đó là một lựa chọn thiết kế có liên quan đến an toàn và có thể làm thay đổi hành vi từ chối. Vì vậy, các MLLM có khả năng hoạt động như tác tử trong tương lai cần được đánh giá và huấn luyện trong điều kiện có sử dụng công cụ, thay vì cho rằng sự căn chỉnh an toàn khi không dùng công cụ sẽ được giữ nguyên trong môi trường tác tử.”

Kết luận

Việc không duy trì được ngữ cảnh rõ ràng là một bất lợi trong các chuỗi sự kiện phức tạp tiếp diễn theo sau một lời nhắc – nhưng hiện chưa có giải pháp dễ dàng nào cho xu hướng khiến tác tử có cửa sổ ngữ cảnh hạn chế quên đi “các chỉ thị tối cao” của mình và chỉ bắt đầu sử dụng công cụ sẵn có.

* Phần nhấn mạnh của các tác giả; tôi đã chuyển các trích dẫn trong dòng của họ thành siêu liên kết khi cần thiết.

Đăng lần đầu vào Thứ Tư, ngày 7 tháng 10 năm 2026