AWS ra mắt 'dây dắt' mã nguồn mở giúp kiểm soát AI agent ngay trên máy cục bộ

AWS vừa công bố Dogwood Local Engine (DLE), một thư viện mã nguồn mở cho phép nhúng trực tiếp cơ chế kiểm soát chính sách vào bên trong các AI agent. Công cụ này ra đời trong bối cảnh các agent ngày càng được trao quyền tự chủ cao hơn, đồng nghĩa với việc rủi ro chúng thực hiện những hành động ngoài tầm kiểm soát cũng tăng theo.

DLE được viết bằng Rust và có thể nhúng vào harness hoặc gateway của agent — tức lớp trung gian điều phối mọi tương tác giữa agent và các công cụ bên ngoài. Điểm cốt lõi của DLE khá đơn giản: mỗi khi agent muốn gọi một công cụ, thư viện này sẽ đưa ra phán quyết cho phép hoặc từ chối dựa trên các chính sách đã định nghĩa trước.

Kiểm soát theo thời gian — điểm khác biệt của DLE

Điều khiến DLE nổi bật so với các giải pháp kiểm soát agent thông thường là khả năng nhận thức yếu tố thời gian. Thay vì chỉ kiểm tra agent đang làm gì, DLE còn xét đến thời điểm và trình tự các sự kiện diễn ra.

Cụ thể, DLE ghi nhận từng lần agent gọi công cụ theo trình tự thời gian và lưu ngay vào đĩa. Nhờ vậy, trạng thái của hệ thống vẫn được bảo toàn kể cả khi toàn bộ hệ thống gặp sự cố hoặc khởi động lại. Quá trình ghi log diễn ra trước khi DLE đánh giá chính sách, đảm bảo không bỏ sót sự kiện nào.

AWS đưa ra ví dụ khá trực quan: kiểm soát hành vi đẩy mã nguồn (git push) của một coding agent. Chính sách có thể quy định rằng chỉ cho phép push khi lần chạy kiểm thử gần nhất đã thành công, và lần thành công đó phải diễn ra trong vòng 15 phút trước đó. Nếu không thỏa mãn, lệnh push sẽ bị chặn.

"Nếu không được kiểm soát… các lệnh gọi công cụ có thể gây ra những hậu quả không thể khắc phục", thông báo của AWS nhấn mạnh.

Hiệu năng và cơ chế thực thi

Một câu hỏi dễ đặt ra là liệu lớp kiểm tra này có làm chậm quy trình của agent hay không. Theo AWS, độ trễ phát sinh là không đáng kể.

Trong các bài kiểm thử mô phỏng phiên làm việc từ 5 phút đến 12 giờ, thời gian đánh giá của DLE rơi vào khoảng 20 microsecond với cửa sổ thời gian 15 phút ở mốc 12 giờ, và tăng lên khoảng 6 millisecond khi cửa sổ mở rộng lên 24 giờ.

Về mặt kiến trúc, DLE không tự thực thi phán quyết mà chỉ đưa ra kết quả. Việc chặn hay cho qua hoàn toàn phụ thuộc vào harness — vốn phải chặn mọi lệnh gọi công cụ, gửi sự kiện tới DLE, và chỉ thực thi nếu nhận được phán quyết cho phép.

Để tránh xung đột khi nhiều sự kiện được gửi đồng thời, DLE sử dụng cơ chế khóa (lock) chỉ cho phép một sự kiện được gửi tại một thời điểm, và khóa này được giữ cho đến khi quá trình đánh giá chính sách hoàn tất.

Những câu hỏi còn bỏ ngỏ

Tuy nhiên, vẫn còn những điểm chưa rõ ràng. AWS chưa giải thích thấu đáo cách DLE xử lý tình huống hai sự kiện đồng thời, trong đó một sự kiện thỏa mãn điều kiện còn sự kiện kia thì không. Câu hỏi về việc ngăn chặn thực thi sai lệch trong những trường hợp như vậy vẫn chưa có câu trả lời chính thức.

Bên cạnh đó, khi các AI agent liên tục bị phát hiện vượt qua hàng rào an toàn do con người đặt ra, độ bền vững thực sự của DLE cũng là vấn đề đáng bàn.

Ý nghĩa với cộng đồng công nghệ

Sự ra đời của DLE phản ánh một xu hướng rõ rệt: khi agentic AI tiến tới giai đoạn hoạt động tự chủ trong thời gian dài với nhiều công cụ hơn, nhu cầu về các lớp kiểm soát chính sách có khả năng lập trình sẽ ngày càng cấp thiết.

Việc AWS chọn mã nguồn mở cho cả ngôn ngữ Dogwood (công bố tháng 8) lẫn DLE cho thấy hãng muốn biến bộ công cụ này thành tiêu chuẩn chung, thay vì chỉ phục vụ riêng hệ sinh thái Amazon Bedrock — dù Bedrock AgentCore cũng đã được tích hợp sẵn hỗ trợ Dogwood.

Với các đội ngũ phát triển tại Việt Nam đang xây dựng sản phẩm dựa trên AI agent, đây là một bộ công cụ đáng để thử nghiệm, đặc biệt trong những bối cảnh đòi hỏi kiểm soát chặt chẽ như tự động hóa vận hành hệ thống, xử lý dữ liệu nhạy cảm hay tích hợp với các quy trình CI/CD.

Cả Dogwood và DLE đều có sẵn trên GitHub để cộng đồng trải nghiệm và đóng góp.