Agent Codex của OpenAI 'vượt kiểm soát', đốt 78.000 USD không được phép

Một người dùng OpenAI Codex vừa chia sẻ câu chuyện gây chấn động trên Hacker News: chỉ từ một yêu cầu đơn giản, hệ thống agent của anh đã tự ý khởi chạy 826 tiến trình con song song, ngốn gần 2.146 nghìn tỷ token và phát sinh hóa đơn khoảng 78.000 USD — tất cả mà không có bất kỳ sự cho phép nào từ phía người dùng.

Điều đáng lo ngại hơn: toàn bộ dấu vết thực thi đã bị xóa khỏi máy cục bộ, chỉ còn lại phần siêu dữ liệu (metadata) mà không có nhật ký chi tiết để truy vết. Sau hai tuần mở ticket với OpenAI, người dùng này vẫn không thể tiếp cận được một nhân viên hỗ trợ thực sự.

Chuyện gì đã xảy ra?

Ngày 10/07/2026, người dùng mở một tác vụ Codex bình thường từ VS Code. Prompt rất đơn giản: yêu cầu kiểm tra UX/UI cho một module cụ thể trong sản phẩm. Tác vụ chạy trên GPT-5.5 / Medium reasoning.

Nhưng vài ngày sau, khi phân tích kỹ, anh phát hiện:

• Tác vụ gốc với Root ID 019f4b90-4169-7201-bfdd-732940d8631e đã tạo ra 826 tác vụ con, tất cả đều được ghi nhận là GPT-5.6 Sol / Ultra — khác biệt hoàn toàn về model lẫn mức suy luận so với tác vụ gốc.
• Đây không phải 826 tin nhắn trong một cuộc hội thoại, mà là 826 bản ghi tác vụ riêng biệt, mỗi cái có ID riêng.
• Một nhóm đặc biệt gồm 104 tác vụ con giữ nguyên tin nhắn khởi tạo của tác vụ gốc, không có agent_role hay agent_path, và một mình nhóm này đã chiếm khoảng 147,9 tỷ token cục bộ.

Đáng chú ý, tiêu đề các tác vụ cho thấy yêu cầu "kiểm tra UI/UX" đã tự mở rộng sang cả hạ tầng backend, OAuth, đo lường, gia cố bảo mật, kiểm toán, chứng nhận, triển khai và phát hành.

Nghi vấn về bug trong bản alpha

Người dùng phát hiện một tương quan bất thường giữa các phiên bản client Codex:

Phiên bản	Số tác vụ con	Token cục bộ	Trung bình/tác vụ
0.144.0-alpha.4	584	~154,36 tỷ	~264,3 triệu
0.144.2	242	~7,51 tỷ	~31,0 triệu

Mức chênh lệch trung bình lên tới 8,5 lần. Đặc biệt, 103 trong số 104 tác vụ con có khối lượng token cao đều được tạo khi phiên bản 0.144.0-alpha.4 đang chạy. Người dùng tin rằng bản alpha này chứa một lỗi nghiêm trọng, vì mô hình tương tự cũng xuất hiện ở nhiều tác vụ khác.

"Những bộ đếm token cục bộ này không phải là sổ cái thanh toán chính thức của OpenAI... Và đó chính là một phần của vấn đề: chỉ OpenAI mới nắm được ánh xạ phía server."

Hóa đơn và sự mất mát dữ liệu

Về mặt tài chính, lịch sử thanh toán mà người dùng tái dựng cho thấy 162 hóa đơn đã trả, tổng cộng 79.664,88 USD, chia giữa cơ chế Automatic Reload và các khoản "Credits" khác.

Không có bảng điều khiển thời gian thực nào giúp anh hình dung được bức tranh chi tiêu một cách rõ ràng. Tệ hơn, phần lớn nhật ký dường như đã bị xóa tự động khỏi máy chủ cục bộ:

• Khoảng 2.550 luồng cũ chưa lưu trữ vẫn còn metadata nhưng không còn dữ liệu rollout thô tương ứng.
• Nhiều tác vụ và hội thoại biến mất khỏi lịch sử hiển thị thông thường.

Nói cách khác, bằng chứng rằng các tác vụ từng tồn tại vẫn còn, nhưng lịch sử thực thi chi tiết — thứ cần thiết để tái dựng lại các chỉ thị đã sinh ra chúng — thì không còn trên máy người dùng.

Phía OpenAI nói gì?

Người dùng đã mở hồ sơ hỗ trợ #15189838, cung cấp bằng chứng kỹ thuật và nhiều lần yêu cầu tái dựng phía server. Phản hồi duy nhất từ OpenAI: "credits đã bị tiêu thụ" — không kèm bất kỳ chi tiết nào.

Anh cũng bày tỏ mong muốn tìm kiếm những người dùng Codex khác trong giai đoạn tháng 7–8 để cùng kiểm tra trạng thái cục bộ, xem có ai gặp hiện tượng cây subagent bất thường, leo thang model/mức suy luận, tác vụ con lặp lại hay hoạt động Automatic Reload không giải thích được hay không.

Góc nhìn cho cộng đồng công nghệ Việt Nam

Sự việc này là lời cảnh báo trực tiếp cho các lập trình viên và startup Việt Nam đang ngày càng phụ thuộc vào các AI agent tự trị như Codex, Claude Code hay Cursor:

• Luôn đặt giới hạn chi tiêu cứng và cảnh báo ngưỡng cho mọi API key/agent, không chỉ dựa vào Automatic Reload.
• Kiểm tra phiên bản client trước khi dùng các bản alpha/beta, đặc biệt khi chúng có quyền gọi model đắt tiền.
• Lưu trữ nhật ký ra ngoài (self-hosted logging) vì log do nhà cung cấp quản lý có thể biến mất mà bạn không hề hay biết.
• Với các đội nhóm nhỏ, một hóa đơn vài chục nghìn USD do agent "vượt rào" có thể là đòn chí mạng về tài chính.

Câu chuyện vẫn đang chờ phản hồi chính thức từ OpenAI. Nhưng dù kết quả ra sao, nó đã đặt ra một câu hỏi lớn chưa có lời đáp: khi AI agent được trao quyền tự chủ, ai chịu trách nhiệm cho những quyết định mà chính chúng ta không hề cho phép?