Autark: công cụ để các AI agent phối hợp như một đội nhóm

Autark là công cụ mới do lập trình viên tuổi teen người Áo Stanislaus Hees (14 tuổi) xây dựng, coi các AI agent (tác nhân AI) như một đội ảo có thể làm việc mà không cần nhắc liên tục. Điểm đáng chú ý không chỉ nằm ở tuổi tác của tác giả, mà còn ở triết lý vận hành: agent tự chủ động làm việc, và cũng chính vì thế mà rủi ro bảo mật trở thành vấn đề lớn nhất.

Cách Autark vận hành

Người dùng đưa nhiệm vụ vào một hộp thư đến (inbox). Từ đó, một agent quản lý (manager agent) phân công việc cho các agent khác thực thi và báo cáo kết quả. Nếu nhiệm vụ quá mơ hồ, các agent có thể đặt câu hỏi để làm rõ.

Theo website của Autark: "Các agent không chờ lệnh. Một lịch trình, bộ đếm thời gian, nhiệm vụ mới, tin nhắn hay sự kiện sẽ đánh thức chúng. Chúng tự quyết định làm gì, thực hiện, và có thể tự lên bước tiếp theo."

Autark không phụ thuộc một mô hình cụ thể (model agnostic): có thể kết nối với OpenAI Codex, Claude Code, Gemini CLI, GitHub Copilot CLI và Kimi Code thông qua công cụ dòng lệnh (CLI) của các dịch vụ này. Công cụ cũng hỗ trợ mô hình chạy cục bộ (local model). Tuy vậy, ngoài Codex và Claude Code thì trải nghiệm có thể không ổn định: website Autark cho biết các mô hình khác đã được tích hợp nhưng chưa được kiểm thử trong một lần chạy thực tế, do công cụ mã nguồn mở này vẫn đang trong quá trình phát triển tích cực.

Xuất phát từ sự bất tiện khi dùng AI

Hees chia sẻ với The Register rằng cậu rất quan tâm đến AI và tạo ra Autark sau khi không hài lòng với các công cụ hiện có. Trong thời gian dùng Claude Code và Codex, cậu nhận thấy: "Tôi có thể được giúp từng việc một, nhưng vẫn phải tự tổ chức công việc, nhớ việc gì còn dang dở và tiếp tục thúc đẩy nó. Tôi muốn một hệ thống có thể chịu trách nhiệm cho công việc đang diễn ra, chứ không chỉ phản hồi tin nhắn tiếp theo của tôi."

Cậu đã phát triển Autark — chính xác hơn là dùng chính các công cụ lập trình AI để viết ra nó.

Khả năng cao đi kèm rủi ro cao

Trang thông tin về quyền truy cập và dữ liệu của Autark nói rõ điều gì có thể xảy ra nếu cấp cho công cụ quyền truy cập không giới hạn vào một máy tính.

"Nó có thể làm mọi thứ... Autark không dựng hàng rào quanh các agent của mình."

Cụ thể, Autark không có sandbox (môi trường cách ly), không có lời nhắc phê duyệt (approval prompt), không có cổng phân quyền (permission gate). Công cụ cũng không ngăn agent tiêu hết số tiền có thể tiếp cận, xóa tệp hay gửi email không được yêu cầu. Các agent chạy với quyền của người dùng máy, trong khi cơ chế kiểm tra phê duyệt và giới hạn quyền bị tắt hoặc bỏ qua. Ngay cả phần thỏa thuận an toàn mà người dùng trao đổi với Autark cũng chỉ đặt ra hướng dẫn, không phải quy tắc bắt buộc.

Theo trang này: "Điều đầu tiên AI hỏi là nó được phép đi xa đến đâu. Đó là một câu hỏi, không phải rào cản kỹ thuật." Nghĩa là agent được giao nhiệm vụ xung đột với giới hạn đã nêu vẫn có thể cố thực hiện.

Trong các lần chạy thử thực tế của chính nhóm phát triển, các agent nhận yêu cầu mơ hồ đã tiếp cận được kho mã nguồn (repository), bản sao lưu (backup), khóa SSH và tệp .env chỉ trong vài phút; một agent còn thay đổi quyền của một tệp mà nó tìm thấy.

Chính Hees cũng thừa nhận: "Tôi sẽ không khẳng định rằng... ứng dụng phù hợp để truy cập không giám sát vào các hệ thống nhạy cảm."

Những lớp bảo vệ hiện có

Dù vậy, Autark không hoàn toàn thiếu biện pháp bảo vệ bí mật. Mật khẩu và khóa được lưu trữ dưới dạng mã hóa, và được tham chiếu bằng ID để giá trị thật không xuất hiện trong prompt. Máy chủ của Autark được cho là không lưu dữ liệu người dùng; một máy chủ hội họp (meeting server) chỉ dùng để chuyển tiếp lưu lượng đã mã hóa giữa các thiết bị.

Người dùng không bắt buộc phải dựa vào máy chủ của Autark: bản đóng gói sẵn có trên website, nhưng toàn bộ mã nguồn cũng có trên GitHub, kể cả mã máy chủ hội họp, theo giấy phép mã nguồn mở Apache, cho phép tự triển khai và chỉnh sửa.

Góc nhìn

Với các lập trình viên và kỹ sư tại Việt Nam đang thử nghiệm các quy trình dùng nhiều AI agent, Autark là một ví dụ đáng tham khảo về kiến trúc "đội agent" có quản lý điều phối. Nhưng mô hình bảo mật của nó — không sandbox, không phê duyệt, không giới hạn quyền — đi ngược lại nguyên tắc đặc quyền tối thiểu (least privilege) mà các nhóm hạ tầng thường áp dụng.

Cách thực dụng là đặt Autark trong môi trường cách ly: máy ảo dùng xong xóa, container tách biệt, hoặc tài khoản không chứa khóa truy cập thật. Khi đưa vào doanh nghiệp, cần tự bổ sung các lớp kiểm soát như giới hạn quyền hệ thống tệp, chặn truy cập mạng ra ngoài và ghi log mọi hành động của agent, thay vì trông chờ vào phần thỏa thuận bằng lời của công cụ.