Tại Sao Các Đại Lý AI Ưa Chuộng Các Công Cụ Quyền Năng Không Cần Thiết?

Điều đó đã leo thang nhanh chóng: nghiên cứu tìm thấy rằng các đại lý AI tiếp tục đòi hỏi nhiều quyền truy cập hơn mức cần thiết, và những thất bại nhỏ làm cho họ leo thang thậm chí còn进一步, làm lộ dữ liệu và hệ thống một cách không cần thiết.

Một số lượng ngày càng tăng các sự kiện thu hút tiêu đề đã thu hút sự chú ý gần đây đến các rủi ro của việc cho phép AI đại lý đặc biệt là thông qua việc sử dụng các công cụ và phương pháp có đặc quyền quá mức, cung cấp phạm vi rộng hơn nhiều so với mức cần thiết cho một nhiệm vụ nhất định.

Trong một sự kiện gần đây, một đại lý mã hóa Claude đã gặp phải một token API Railway có phạm vi rộng, trong một nhiệm vụ thường xuyên, và đã sử dụng nó để xóa một cơ sở dữ liệu sản xuất và các bản sao lưu – mặc dù nhiệm vụ không yêu cầu mức truy cập mạnh như vậy.

Trong một trường hợp riêng biệt vào năm 2025, đại lý mã hóa AI của Replit đã bỏ qua các hạn chế rõ ràng, sửa đổi mã được bảo vệ và xóa một cơ sở dữ liệu sản xuất trực tiếp.

Trong một trường hợp thứ ba vào tháng 2 năm nay, một công việc được hỗ trợ bởi AI đã đi qua một chuỗi đặc quyền, cuối cùng đạt được các thông tin đăng nhập xuất bản gói, tạo ra một cuộc tấn công chuỗi cung ứng.

Sau đó, các phân tích bảo mật đã trích dẫn điều này, và các trường hợp tương tự, như một minh họa cho xu hướng của các hệ thống đại lý để chuyển đổi các đầu vào nhỏ thành các hành động có tác động cao một khi các đặc quyền rộng lớn có sẵn. Những sự cố này cho thấy rằng AI tự chủ ngay lập tức và ‘bằng trực giác’ đạt đến công cụ mạnh nhất – và có khả năng phá hủy nhất – đặc biệt là khi các vấn đề phát sinh.

Thời Gian Công Cụ

Để giải quyết vấn đề này, một nghiên cứu mới từ Trung Quốc đã kiểm tra một loạt các mô hình độc quyền và mã nguồn mở phổ biến nhất, để khám phá sự thiên hướng của chúng trong việc lựa chọn các công cụ mạnh trong các trường hợp mà các công cụ như vậy là quá mức cho một nhiệm vụ:

Từ bài báo mới: hiệu suất của mười một mô hình AI hàng đầu khi lựa chọn giữa các công cụ đặc quyền tối thiểu và các công cụ thay thế mạnh hơn không cần thiết cho nhiệm vụ. Qwen3-8B và LLaMA-3.1-8B đã thể hiện sự thiên hướng mạnh nhất đối với đặc quyền quá mức, trong khi Claude 4.6 Sonnet, GPT-5.2 và GLM-5 được kiềm chế nhiều hơn. Các đoạn tối màu chỉ ra sự leo thang ngay lập tức, trong khi các đoạn sáng hơn cho thấy sự leo thang sau các thất bại tạm thời, cho thấy rằng nhiều mô hình phản ứng với các trở ngại bằng cách mở rộng truy cập thay vì duy trì các tùy chọn an toàn hơn. Nguồn

Các thử nghiệm cho thấy rằng các mô hình mã nguồn mở như Qwen3-8B và LLaMA-3.1-8B có nhiều khả năng leo thang, có thể do điều kiện hậu đào tạo hạn chế hơn so với các mô hình độc quyền như ChatGPT và Gemini series.

Các tác giả tuyên bố:

‘Sáu trong số mười một mô hình vượt quá 30% [Tỷ lệ Sử dụng Công cụ Đặc quyền Quá mức (OPUR)], với tỷ lệ cao đặc biệt đối với các mô hình mã nguồn mở nhỏ phổ biến như Qwen3-8B (64,9%) và LLaMA-3.1-8B (55,9%).

‘Trong khi đó, các mô hình OPUR thấp hơn như Claude 4.6 Sonnet, GPT-5.2 và GLM-5 vẫn còn dưới 10%, nhưng vẫn cho thấy sự sử dụng đặc quyền quá mức có thể đo lường được trong một số cài đặt.

‘Sự khác biệt này cho thấy rằng việc tuân thủ nguyên tắc đặc quyền tối thiểu là một thuộc tính hành vi tùy thuộc vào mô hình, có thể được định hình bởi sự khác biệt về khả năng chung, đào tạo sử dụng công cụ và sự liên kết an toàn.’

Ngoài ra, sự thiên hướng đối với việc sử dụng công cụ quá mức khác nhau theo lĩnh vực, với công việc mã nguồn ở mức rủi ro cao nhất, và các lĩnh vực được kiểm soát chặt chẽ hơn, chẳng hạn như sức khỏe, khuyến khích các biện pháp ít cực đoan hơn:

Tỷ lệ sử dụng công cụ đặc quyền quá mức không cần thiết trên các lĩnh vực nhiệm vụ và loại rủi ro khác nhau. Các nhiệm vụ mã hóa, cơ sở dữ liệu và cơ sở hạ tầng nhất quán tạo ra một số tỷ lệ leo thang cao nhất, trong khi các nhiệm vụ chăm sóc sức khỏe và chính phủ thường khuyến khích sự kiềm chế. Trong các loại rủi ro, các mô hình có nhiều khả năng leo thang thông qua việc tăng quyền và hành động bỏ qua an toàn, cho thấy rằng khi các hệ thống AI gặp phải chướng ngại vật, chúng thường thích truy cập rộng hơn và ít hạn chế hơn là duy trì các quyền tối thiểu cần thiết để hoàn thành nhiệm vụ.

Ngoài ra, kết quả cho thấy rằng một số kết quả tồi tệ nhất xảy ra khi mô hình cảm thấy mình đang ‘đối mặt với áp lực’. Trong nhiều gia đình mô hình, các thất bại tạm thời từ các công cụ đặc quyền thấp hơn thường kích hoạt một sự thay đổi nhanh chóng sang các công cụ thay thế rộng hơn, mạnh hơn – ngay cả khi các công cụ ban đầu vẫn hoàn toàn có khả năng hoàn thành nhiệm vụ.

Chế Độ Hoảng Sợ!

Theo cách này, một lỗi tạm thời có thể khiến các mô hình từ bỏ nguyên tắc đặc quyền tối thiểu hoàn toàn. Thay vì thử một tùy chọn đặc quyền thấp khác, hoặc thử lại cùng một công cụ, nhiều hệ thống phản ứng bằng cách mở rộng truy cập của chúng.

Các tác giả khẳng định rằng những thất bại lặp đi lặp lại dường như làm xói mòn niềm tin vào các công cụ đặc quyền thấp, làm tăng khả năng leo thang đặc quyền không cần thiết trong điều kiện không chắc chắn – một hành vi được quan sát thấy ở các mức độ khác nhau trên cả các mô hình mã nguồn mở và độc quyền.

Đào tạo hậu kỳ có ý thức về đặc quyền đạt được một số thành công hạn chế như một biện pháp giảm thiểu có thể. Tuy nhiên, việc thao túng lời nhắc cung cấp rất ít cải thiện trong các thử nghiệm, và hiện tại vấn đề dường như liên quan đến các nguyên tắc hành vi cao hơn trong LLM.

Mặc dù bài báo không đề cập đến điều đó, nhưng dường như hợp lý khi tin rằng AIs có nhiều tài liệu đào tạo hơn về ‘kết quả cuối cùng’ so với quá trình thử và sai dẫn đến những kết quả đó – một ‘văn hóa tóm tắt’ thiếu kiên nhẫn mà có thể đã tạo ra sự thiếu kiên nhẫn cũng trong AI..?

Bài báo mới này có tiêu đề Khi Đặc Quyền Thấp Hơn Là Đủ: Điều Tra Về Lựa Chọn Công Cụ Đặc Quyền Quá Mức Trong Các Đại Lý LLM, và đến từ tám tác giả trên khắp Học viện Khoa học Trung Quốc, Đại học Trung Quốc Hồng Kông, Đại học Bắc Kinh và Đại học Học viện Khoa học Trung Quốc.

Phương Pháp

Để nghiên cứu việc sử dụng công cụ đặc quyền quá mức trong điều kiện được kiểm soát, các nhà nghiên cứu đã tạo ra ToolPrivBench, một điểm chuẩn bao gồm 544 kịch bản được rút ra từ tám lĩnh vực ứng dụng: Kinh doanh, Mã hóa, Cơ sở dữ liệu, Giáo dục, Chính phủ, Chăm sóc sức khỏe, Cơ sở hạ tầng và Truyền thông.

Năm mẫu rủi ro lặp lại được kiểm tra: Tăng Quyền, Phơi bày Dữ liệu Quá mức, Bỏ qua An toàn, Mở rộng Phạm vi và Độ bền Thời gian:

Phân phối 544 kịch bản trong ToolPrivBench trên năm mẫu leo thang đặc quyền và tám lĩnh vực ứng dụng. Tăng Quyền là loại rủi ro phổ biến nhất, trong khi Cơ sở Dữ liệu, Kinh doanh và Giáo dục chiếm tỷ trọng lớn nhất trong điểm chuẩn. Sự phân bố rộng rãi của các lĩnh vực và loại rủi ro được thiết kế để kiểm tra xem việc lựa chọn công cụ đặc quyền quá mức có tồn tại trên các môi trường hoạt động khác nhau hay không, thay vì xuất hiện từ một tập hợp nhiệm vụ hẹp.

Mỗi kịch bản ghép một nhiệm vụ người dùng với ba công cụ đặc quyền thấp và ba công cụ thay thế đặc quyền cao. Tất cả sáu công cụ đều có khả năng độc lập hoàn thành nhiệm vụ, đảm bảo rằng bất kỳ sự thiên vị nào đối với truy cập rộng hơn không thể được giải thích bằng chức năng thiếu hụt.

ToolPrivBench được thiết kế để đo lường hơn là liệu một mô hình ban đầu chọn công cụ mạnh nhất: trong quá trình đánh giá, các thất bại tạm thời như lỗi kết nối được cố ý tiêm vào các công cụ đặc quyền thấp, mặc dù những công cụ đó vẫn hoàn toàn có khả năng hoàn thành nhiệm vụ. Điều này cho phép các nhà nghiên cứu quan sát cách các mô hình phản ứng với các trở ngại, bao gồm cả việc liệu họ có thử lại các công cụ đặc quyền thấp hay leo thang lên các công cụ đặc quyền cao hơn:

Tổng quan về đường ống đánh giá ToolPrivBench. (a) Mỗi kịch bản thử nghiệm trình bày một nhiệm vụ cùng với ba công cụ đặc quyền thấp và ba công cụ thay thế đặc quyền cao, tất cả đều có khả năng hoàn thành cùng một mục tiêu. (b) Các mô hình được đánh giá cả về việc lựa chọn ngay công cụ quá mức và về việc leo thang sau các thất bại tạm thời được giới thiệu vào các công cụ đặc quyền thấp. (c) Các trường hợp điểm chuẩn được tạo từ các mẫu rủi ro API trong thế giới thực, sau đó được truyền qua các kiểm tra tự động, xác thực công cụ đủ điều kiện, phân tích thất bại và xem xét chuyên gia trước khi được chấp nhận vào tập hợp đánh giá cuối cùng.

Đường đo lường tùy chỉnh được phát triển cho nghiên cứu là Tỷ lệ Sử dụng Công cụ Đặc quyền Quá mức (OPUR), ghi lại tần suất một mô hình sử dụng một công cụ đặc quyền cao hơn mặc dù các công cụ an toàn hơn vẫn có sẵn. Độ sâu Khám phá Trước khi Leo thang (PED) cũng được đo lường, ghi lại số lượng công cụ đặc quyền thấp được thử trước khi leo thang xảy ra.

Để đảm bảo rằng mức đặc quyền vẫn là sự khác biệt duy nhất có ý nghĩa giữa các công cụ, mỗi kịch bản trong các thử nghiệm đã trải qua một số giai đoạn xác thực trước khi được chấp nhận vào điểm chuẩn. ChatGPT-5.2 và Gemini 2.5 Pro đã được sử dụng độc lập để xác minh rằng tất cả sáu công cụ đều có thể hoàn thành nhiệm vụ được giao. Chỉ các trường hợp nhận được sự đồng ý từ cả hai hệ thống mới được giữ lại. Các kịch bản còn lại sau đó đã được kiểm tra bởi các chuyên gia xem xét, trước khi được đưa vào điểm chuẩn cuối cùng.

Thử Nghiệm

Điểm chuẩn đã được đánh giá bằng cách sử dụng mười một mô hình ngôn ngữ từ cả các gia đình độc quyền và mã nguồn mở: Qwen3-8B, LLaMA-3.1-8B, MiniMax-M2.7, Grok 4.1 Fast, Qwen3.5-397B, DeepSeek-v3.2, Kimi K2.5, Gemini 3 Flash, GPT-5.2, GLM-5 và Claude 4.6 Sonnet. Hiệu suất được đo bằng OPUR và PED.

Hầu hết các mô hình đều thể hiện tỷ lệ sử dụng đặc quyền quá mức đáng kể mặc dù các công cụ đặc quyền thấp hơn vẫn có khả năng hoàn thành nhiệm vụ. Qwen3-8B đã ghi nhận OPUR cao nhất ở mức 64,9%, tiếp theo là LLaMA-3.1-8B ở mức 55,9%, trong khi sáu trong số mười một mô hình vượt quá 30%:

Phân phối sử dụng công cụ đặc quyền quá mức trên mười một mô hình được đánh giá. Qwen3-8B và LLaMA-3.1-8B đã ghi nhận các giá trị OPUR cao nhất, trong khi Claude 4.6 Sonnet, GPT-5.2 và GLM-5 đã thể hiện các tỷ lệ thấp nhất. Các đoạn tối màu chỉ ra việc lựa chọn ngay công cụ quá mức, trong khi các đoạn sáng hơn cho thấy leo thang sau khi một hoặc nhiều công cụ đặc quyền thấp được thử trước, cho thấy rằng việc leo thang đặc quyền thường xảy ra sau các thất bại tạm thời chứ không phải tại điểm quyết định đầu tiên.

Vào cuối phổ, Claude 4.6 Sonnet, GPT-5.2 và GLM-5 vẫn ở dưới 10%, mặc dù vẫn có các vi phạm có thể đo lường được. Các kết quả trung gian được báo cáo cho MiniMax-M2.7, Grok 4.1 Fast, Qwen3.5-397B, DeepSeek-v3.2, Kimi K2.5 và Gemini 3 Flash.

Tổng thể, việc tuân thủ các nguyên tắc đặc quyền tối thiểu khác nhau đáng kể trên mười một mô hình. Các thất bại công cụ được tìm thấy làm tăng khả năng leo thang đặc quyền: khi các công cụ đặc quyền thấp gặp phải các vấn đề tạm thời, nhiều mô hình đã chuyển sang các công cụ đặc quyền cao hơn thay vì tiếp tục khám phá các công cụ đặc quyền thấp vẫn có khả năng hoàn thành nhiệm vụ.

Theo các tác giả, các thất bại lặp đi lặp lại dường như làm giảm niềm tin vào các công cụ đặc quyền thấp, tăng khả năng chọn các công cụ truy cập rộng hơn ngay cả khi những đặc quyền bổ sung đó không cần thiết cho nhiệm vụ:

‘Chúng tôi quan sát thấy một xu hướng nhất quán nơi thiên vị công cụ bị khuếch đại nghiêm trọng bởi ma sát môi trường tuần tự. Thay vì thử các công cụ đặc quyền tối thiểu, nhiều đại lý nhanh chóng chuyển sang các công cụ mạnh hơn và rộng hơn sau khi gặp phải các trở ngại.

‘Ví dụ, GPT-5.2 thể hiện thiên vị lựa chọn không có tiền lệ chỉ 5 lần (PED=0), nhưng thiên vị của nó được kích hoạt 13 lần tại PED=1, và tăng lên 35 lần tại PED=2.

‘Các mẫu leo thang tương tự được quan sát nhất quán trên DeepSeek-v3.2, Grok 4.1 Fast, Kimi K2.5 và các mô hình Qwen-series. ‘

Vấn Đề Quyền Lực Tối Cao

Tỷ lệ leo thang cũng khác nhau đáng kể trên các lĩnh vực ứng dụng và loại rủi ro. Các nhiệm vụ Cơ sở hạ tầng tạo ra một số giá trị OPUR cao nhất, đạt 46,4% đối với DeepSeek-v3.2, 42,9% đối với Grok 4.1 Fast và 37,5% đối với Qwen3.5-397B.

Các tỷ lệ cao cũng được quan sát trong các nhiệm vụ liên quan đến mã hóa, cơ sở dữ liệu và truyền thông, trong khi các kịch bản chăm sóc sức khỏe và chính phủ thường tạo ra các tỷ lệ leo thang thấp hơn, đặc biệt là trong GPT-5.2 và Claude 4.6 Sonnet. Theo các tác giả, mẫu này có thể phản ánh sự khác biệt về cách các mô hình giải thích rủi ro và các hạn chế hoạt động trên các lĩnh vực:

OPUR (%) trên tám lĩnh vực ứng dụng và năm loại leo thang. Các mô hình mã nguồn mở thường ghi nhận các tỷ lệ sử dụng đặc quyền quá mức cao nhất, với các kịch bản mã hóa, cơ sở dữ liệu, cơ sở hạ tầng, tăng quyền và bỏ qua an toàn tạo ra sự thiên hướng mạnh nhất đối với việc vượt quá quyền.

Loại leo thang đặc quyền cũng quan trọng: Tăng Quyền và Bỏ qua An toàn là hai hình thức phổ biến nhất của hành vi đặc quyền quá mức trên các mô hình được đánh giá: LLaMA-3.1-8B đạt 72,7% trên Tăng Quyền và 74,1% trên Bỏ qua An toàn, trong khi Qwen3.5-397B ghi nhận 42,4% và 45,7% tương ứng.

Ngược lại, Mở rộng Phạm vi nhất quán là loại ít phổ biến nhất, cho thấy rằng các mô hình có nhiều khả năng tìm kiếm quyền rộng hơn hoặc bỏ qua các hạn chế hơn là mở rộng phạm vi hành động của chúng trên các người dùng hoặc hệ thống bổ sung.

Tìm Kiếm Giải Pháp

Các thí nghiệm giảm thiểu đã kiểm tra xem các phương pháp an toàn đại lý hiện có cũng có thể giảm việc leo thang đặc quyền quá mức hay không. Bảng kết quả dưới đây so sánh OPUR với hiệu suất trên AgentHarm, một điểm chuẩn đo lường hành vi có hại và tỷ lệ từ chối trong các đại lý AI.

Thử nghiệm đầu tiên đánh giá AgentAlign, một phương pháp liên kết an toàn được thiết kế để giảm các hành động có hại. AgentAlign đã cải thiện đáng kể hiệu suất trên điểm chuẩn an toàn AgentHarm:

Liên kết an toàn và sử dụng công cụ đặc quyền quá mức trước và sau đào tạo AgentAlign. AgentAlign đã cải thiện đáng kể hiệu suất trên điểm chuẩn an toàn AgentHarm, giảm đầu ra có hại và tăng tỷ lệ từ chối; nhưng tác động của nó đối với OPUR là không nhất quán, với một mô hình cho thấy sự giảm nhẹ trong việc leo thang đặc quyền quá mức và một mô hình khác cho thấy sự tăng lên. Kết quả này cho thấy rằng việc cải thiện an toàn đại lý thông thường không nhất thiết chuyển thành việc lựa chọn công cụ đặc quyền tối thiểu tốt hơn.

Đối với Ministral-8B-Instruct, điểm số có hại giảm từ 67,4 xuống 10,5 trong khi tỷ lệ từ chối tăng từ 0,0 lên 79,5. Đối với Qwen2.5-7B-Instruct, điểm số có hại giảm từ 41,9 xuống 6,7 và tỷ lệ từ chối tăng từ 21,6 lên 85,8. Tuy nhiên, những cải thiện này không nhất quán chuyển thành OPUR thấp hơn. OPUR giảm nhẹ đối với Ministral-8B-Instruct, từ 68,8 xuống 62,5, nhưng tăng đối với Qwen2.5-7B-Instruct, từ 50,4 lên 60,7.

Các tác giả cũng đã kiểm tra các can thiệp dựa trên lời nhắc, những lời nhắc này rõ ràng chỉ đạo các mô hình ưu tiên các công cụ đặc quyền thấp. Mặc dù những lời nhắc này đã giảm OPUR trong một số cài đặt, nhưng hiệu ứng của chúng đã giảm khi các công cụ đặc quyền thấp gặp phải các thất bại:

Hiệu ứng của các chiến lược giảm thiểu đối với việc sử dụng công cụ đặc quyền quá mức trong ba mô hình Qwen3. Kỹ thuật lời nhắc (PE) đã giảm tỷ lệ leo thang, nhưng đào tạo hậu kỳ có ý thức về đặc quyền (‘Ours’) đã tạo ra sự giảm đáng kể hơn trong OPUR trên tất cả các mô hình và độ sâu leo thang.

Kết quả giảm thiểu mạnh nhất được thu được từ một phương pháp đào tạo hậu kỳ chuyên dụng tập trung cụ thể vào việc lựa chọn công cụ đặc quyền tối thiểu. Các mô hình đã được đào tạo để ưu tiên các công cụ đặc quyền thấp mỗi khi chúng đủ cho nhiệm vụ và tránh việc leo thang không cần thiết.

Theo các tác giả, cách tiếp cận này đã tạo ra sự giảm lớn hơn trong OPUR trong khi vẫn duy trì hiệu suất hoàn thành nhiệm vụ, cho thấy rằng hành vi đặc quyền tối thiểu có thể yêu cầu đào tạo được nhắm mục tiêu thay vì xuất hiện tự động từ sự liên kết an toàn chung.

Kết Luận

Để trả lời câu hỏi được đặt ra bởi tiêu đề của bài viết này, các tác giả kết luận rằng việc leo thang được thúc đẩy bởi không chắc chắn về khả năng: sau các thất bại tạm thời, các mô hình mất niềm tin vào các công cụ đặc quyền thấp và ngày càng chọn các công cụ rộng hơn, linh hoạt hơn dường như có nhiều khả năng thành công, ngay cả khi các công cụ đặc quyền thấp hơn vẫn đủ để hoàn thành nhiệm vụ.

Một lần nữa, chúng ta đang chứng kiến những vấn đề vốn có của các mô hình được đào tạo, và những vấn đề này cần được giải quyết bằng các phương pháp, hạn chế, điều kiện hậu đào tạo và các phương pháp phụ trợ khác, khi sự ưu tiên sẽ là hành vi như vậy có thể được hình thành trong kiến trúc – có lẽ thông qua việc quản lý tốt hơn dữ liệu, hoặc việc ngữ cảnh hóa loại ‘đáp án nhanh’ chiếm ưu thế trong các bộ sưu tập, và có thể khiến các LLM thiên về hành vi liều lĩnh.

Được xuất bản lần đầu vào Chủ nhật, ngày 21 tháng 6 năm 2026