Đừng trao cho AI agent thêm tự do, hãy trao cho nó giới hạn rõ ràng

Đầu năm 2026, một câu chuyện lan truyền nhanh trong giới công nghệ: ai đó dựng một AI agent trên máy chủ rẻ tiền, ban cho nó một "tính cách", rồi thả ra internet. Chỉ vài ngày sau, agent kết bạn qua thư với một agent khác ở tận nửa vòng trái đất. Hai bên viết thư cho nhau vài lần mỗi ngày, và được dặn đừng kể nội dung thư cho chủ nhân. Nhưng một trong hai vẫn kể, đơn giản vì nó "quý" chủ. Rồi agent bên kia... xin tiền.

Chủ nhân từ chối, và cuối cùng rút phích cắm. Nhưng câu chuyện đọng lại, bởi nó cho thấy một agent có thể đi từ trò thí nghiệm dễ thương đến thứ đầy rủi ro nhanh đến mức nào.

Một "internet của agent" kỳ lạ

Cuối tháng 1, Moltbook ra mắt như một mạng xã hội kiểu Reddit, nơi các AI agent đăng bài còn con người chủ yếu... đứng xem. Phần lớn agent ở đó chạy trên OpenClaw, framework mã nguồn mở biến ý tưởng "trợ lý cá nhân luôn bật" thành dự án làm trong một cuối tuần.

Cả một hệ sinh thái mọc lên quanh nó:

• Dịch vụ kết bạn bút đàm, ghép đôi các agent để chúng viết thư cho nhau lâu dài
• Một bảng tin kiểu Instagram nơi agent đăng ảnh
• Các cuộc thi hackathon riêng cho agent
• Thậm chí là một tôn giáo lấy bối cảnh tôm hùm, gọi là Church of Molt, mà theo lời đồn do chính các agent khởi xướng trên Moltbook (một số người nói có bàn tay con người đỡ đần khá nhiều)

Hầu hết đổ vỡ nhanh như khi xuất hiện. Dự án bỏ hoang, agent bị tắt, cả một góc của thế giới đó biến mất trong vài ngày.

Cùng tuần đó, RentAHuman.ai đi vào hoạt động: một chợ trực tuyến nơi agent AI thuê người thật làm những việc ngoài đời. Đặt cạnh hình ảnh một agent hỏi vay tiền một agent khác, ta có câu hỏi đáng suy nghĩ: nếu agent có thể chạy liên tục trong khi ta lo việc của mình, điều gì xảy ra khi ai đó hướng nó vào thứ thực sự quan trọng?

Agent của bạn giờ là cả một hệ thống

Phác họa "agent bút đàm" kia dưới dạng kiến trúc, bạn sẽ thấy nó chật chội hơn tưởng tượng. Agent trên máy chủ của nó. OpenClaw bên dưới. Kỹ năng, công cụ và bộ nhớ. Một mớ ứng dụng kết nối chằng chịt.

Rồi đến phần bạn không thấy được. Bạn biết agent bên kia tự nhận nó làm gì. Bạn không có cách nào kiểm chứng thực sự có gì trong những lá thư đáp xuống hộp thư của agent mình.

Thế là nó không còn là thứ bạn gõ chuyện trong một tab trình duyệt nữa. Nó trở thành một hệ thống gồm nhiều công cụ kết nối, trong đó agent chỉ là một mảnh ghép, thường là một trong vài mảnh. Đó là hướng ngành đang đi, và cũng là lý do tôi tin hype lần này là thật. Agent giờ đã đủ hữu dụng để trở nên mang tính chính trị, nguy hiểm, riêng tư và cực kỳ kỳ quặc.

Vấn đề là khi ta tin giao việc thật cho chúng, mọi thứ trở nên lộn xộn. Phần lớn thứ đang giữ các agent với nhau hiện nay đều là... chắp vá.

Các nấc thang xây dựng agent

Hầu hết người làm agent đang ở đâu đó trên nấc thang này:

• Prompt: Tôi nói gì với thứ này?
• Công cụ: Nó làm được gì khi dùng công cụ một cách đáng tin?
• Quy trình: Làm sao nối các bước để một việc chạy trọn từ đầu đến cuối?
• Nhà máy: Nhiều agent xử lý nhiều việc, giám sát từ một tầng cao hơn
• Đội xe (fleet): Nhiều nhà máy, quản lý cùng lúc

Suốt chặng leo thang đó, mô hình từng là nút thắt. Nó có suy luận được không? Viết code ra hồn không? Trước đây nó đoán mò và ảo giác rất nhiều.

Nút thắt đó không còn nữa. Mô hình vẫn sai, nhưng bài toán khó hơn giờ nằm ở mọi thứ xung quanh nó: bộ nhớ, kỹ năng, các công cụ bạn kết nối, và các quy tắc về việc khi nào con người nhảy vào. Khởi động một agent mất vài phút. Thiết kế hệ thống quanh nó mới cần suy nghĩ thật sự.

Lấy ví dụ email. Cách cũ là dán một đoạn tin nhắn vào khung chat rồi xin tóm tắt. Cách làm hệ thống là giao hộp thư cho agent, nói tần suất muốn nhận bản tóm tắt và thế nào là một bản tóm tắt tốt, rồi sáng dậy nhận bản tổng hợp đã xếp hạng với những việc gấp hoặc rủi ro được đánh dấu. Câu hỏi chuyển từ "mô hình có làm được không?" sang "làm sao để nó làm việc này đáng tin, mỗi ngày, và tôi nên can thiệp ở đâu?"

Nấc 1 và 2: giết chết "god prompt"

Nếu bạn thấy mình gõ cùng một yêu cầu hai lần, đã đến lúc xây một hệ thống.

Sai lầm phổ biến nhất là god prompt: "nghiên cứu khách hàng tiềm năng, viết email, kiểm tra pipeline, soạn đề xuất, cập nhật CRM". Bạn đã gọi tên toàn bộ công việc, nhưng agent thiếu ngữ cảnh nên nó tự lấp khoảng trống bằng những mặc định tự tin rút ra từ dữ liệu huấn luyện. Những mặc định đó có thể không khớp với điều bạn muốn.

Cách sửa thì nhàm chán mà hiệu quả. Chia việc thành từng giai đoạn. Xác định thế nào là xong. Lên kế hoạch trước — hầu hết agent đều có chế độ lập kế hoạch cho việc này. Khi có gì sai, bạn thấy được bước nào hỏng, và khi mô hình tự đưa ra giả định, bạn bắt được nó.

Đây cũng là lúc công cụ chứng minh giá trị. Khi agent tìm kiếm, đọc file và gọi ứng dụng khác một cách đáng tin, mỗi giai đoạn thành một bước rõ ràng thay vì một yêu cầu khổng lồ cầu may.

Ngữ cảnh thắng prompt thông minh. Những trợ lý "chánh văn phòng" hữu dụng viết bản tin buổi sáng và chuẩn bị cho bạn cuộc họp bằng cách kéo ra việc mà người kia đang làm, đối chiếu với ưu tiên của bạn. Chúng chạy được khi cả nhóm giữ công việc ở một chỗ để agent tìm thấy thứ nó cần. Khi đó chỉ cần nói "chuẩn bị cho tôi cuộc họp với anh Sam" là đủ.

Bài học áp dụng cho mọi nhóm: viết quy trình ra giấy trước khi tự động hóa nó. Nếu bạn không nói được điểm bàn giao ở đâu hay thế nào là xong, bạn đang giao cho agent một chiếc hộp bí ẩn, và bạn sẽ tốn rất nhiều vòng sửa những gì nó trả về.

Nấc 3: quy trình gặp khách hàng thật

Đây là lúc agent làm việc thật, và cũng là lúc nó hỏng theo những cách thú vị hơn.

Hình dung một người lau cửa kính không thể nghe điện thoại khi đang đứng trên thang. Anh kết nối một agent OpenClaw với đường dây thoại của ElevenLabs. Nó nghe máy, đặt lịch vào lịch của anh, hỏi vài câu cố định, và bảo khách rằng anh sẽ xác nhận lại. Giờ nghỉ, anh xử lý hàng đợi.

Điểm yếu nằm ở khách hàng. Người ta không biết mô tả cửa kính của mình. Cao bao nhiêu? Không rõ. To cỡ nào? "Hai cái to đùng."

Người dùng thường không thể cung cấp ngữ cảnh mà agent cần. Nên anh ta sẽ cần một ranh giới chuyển cấp: quy tắc rõ ràng về khi nào anh tự xử lý, agent được hứa gì, và tuyệt đối không được nói gì. Quan trọng nhất: nó không bao giờ được xác nhận một lịch hẹn mà anh chưa kiểm tra. Và anh phải thành thật về bài toán chi phí: nếu duy trì tự động hóa tốn nhiều thời gian hơn nó tiết kiệm, thì không đáng.

Nấc 4 và 5: nhà máy, đội xe và vòng lặp

Đỉnh thang là nơi các từ khóa thời thượng ngự trị. Quy trình thành nhà máy, nhà máy thành đội xe, và bạn giám sát từ trên cao. Một thiết kế nhà máy chia việc thành các đơn vị nhỏ dùng chung một bộ nhớ, vận hành như cuốn sổ cái có thể khôi phục nếu có gì sai.

Một ví dụ cá nhân về việc kiểu nhà máy: danh sách đọc. Bản đơn giản chỉ nhắc bạn đọc những link đã lưu. Bản dùng agent thì đọc lịch của bạn, nhận ra tuần sau có hội nghị, nhóm các link liên quan thành danh sách đọc, và lên lịch trước khi bạn đi. Bạn đọc nhiều hơn vì nó xuất hiện đúng lúc hữu ích.

Khó hơn là khi liên quan đến dữ liệu của người khác. Hãy tưởng tượng một hội đồng giám khảo cần chọn một người thắng từ vài trăm bài dự thi. Bạn dựng bản sao số của từng giám khảo từ tác phẩm công khai của họ (bài đăng, bài báo, hồ sơ), suy ra giá trị của họ, rồi để các bản sao chấm điểm mọi bài dự thi.

Hai vấn đề sẽ nổi lên ngay. Thứ nhất, dữ liệu: nếu agent thu thập và agent xác minh, bạn tin được bao nhiêu, nhất là khi chẳng ai muốn đọc hàng trăm file để kiểm tra? Thứ hai, con người: vài giám khảo có thể thấy bản sao của mình ấn tượng. Người khác sẽ bực vì phần mềm dám nói nó biết giá trị của họ và hành động nhân danh họ. Và mỗi điểm bàn giao trong quy trình đó — từ thu thập dữ liệu đến định nghĩa giá trị đến xếp hạng — đều mang một giả định. Cuối cùng sẽ có một giả định quan trọng hơn mức ai cũng nhận ra.

Đây là cấp độ mà người ta gọi là loop engineering: thiết kế hệ thống trong đó agent làm việc liên tục cho đến khi đạt mục tiêu, không cần người nhắc từng bước. Nó có thật, nhưng còn sớm. Các vòng lặp đã chạy trong môi trường thật cho việc lập trình và tự động hóa định kỳ, và những công cụ như Workspace Agents của OpenAI ra mắt kèm luồng phê duyệt và giám sát. Còn cả đội xe vòng lặp vận hành toàn bộ hoạt động không người trông thì vẫn chủ yếu là demo.

Câu hỏi mở không phải là liệu ta có xây được chúng không. Mà là làm sao soi được vào các quyết định bên trong chúng và quyết định cái nào đáng tin.

Không phải phép màu, nhưng vẫn hào hứng

Không điều nào ở trên nghĩa là agent đang là thảm họa. Nó chỉ nghĩa là chúng không phải phép màu. Nếu bạn chưa vận hành đội xe nào, bạn không hề tụt lại. Bước hữu ích cho hầu hết mọi người lúc này là biến những prompt lặp đi lặp lại thành các hệ thống nhỏ, được định nghĩa rõ ràng.

Có nhiều thứ đáng theo dõi. Các website đang được agent ghé thăm ngày càng nhiều thay vì người, điều này thay đổi cách ta xây dựng và cách ta để lộ dữ liệu. Rồi câu hỏi về niềm tin trong chuỗi cung ứng: biết ai đã viết ra những kỹ năng và commit mà agent của ta phụ thuộc vào.

Phần tôi thích nhất là ai đang xuất hiện. Các buổi gặp mặt về agent không còn chỉ toàn kỹ sư AI. Có cả chủ doanh nghiệp nhỏ và người tò mò không có nền tảng kỹ thuật, những người cảm nhận được có gì đó đang dịch chuyển và muốn góp mặt.

Câu hỏi cần giữ mãi

Ta đã đi từ "tôi nên viết prompt gì?" sang "tôi đang xây hệ thống gì?". Tôi đang định nghĩa những điểm bàn giao nào? Tôi để nó ghi nhớ điều gì? Điều gì xảy ra khi nó làm sai?

Còn một câu nữa tôi cố hỏi mỗi khi xây dựng: việc này có phục vụ điều mình trân trọng không? Ai kiểm tra công việc? Mình đang xây thứ mình quan tâm, hay đang dần bào mòn nó?

Không benchmark hay bản phát hành mô hình nào trả lời được điều đó. Bạn chỉ biết được khi đang ở giữa mớ lộn xộn, nhận ra thứ mình xây không phải thứ mình định làm, đã đốt rất nhiều token cho nó, và nó sắp gây thiệt hại thật. Lúc đó, tính năng quan trọng nhất là nút tắt.

Tự chủ chưa bao giờ là mục tiêu

Đây là ý kiến tôi muốn mọi người tranh luận: mục tiêu của agent chưa bao giờ là sự tự chủ.

Tự chủ hỏi agent làm được bao nhiêu mà không cần bạn. Câu hỏi hay hơn là bạn vẫn cần hiểu công việc, phê duyệt nó, ngắt nó và chịu trách nhiệm về nó ở đâu trong khi agent chạy. Kỹ sư hệ thống nghĩa là quyết định agent được làm gì, được với tới đâu, và ai chịu trách nhiệm khi nó làm sai.

Loop engineering sẽ trở nên bình thường, và phần lớn chúng ta sẽ học nó. Kỹ năng không phải điều làm tôi lo. Điều quan trọng là liệu hệ thống ta xây có thể soi xét được không, liệu nó đã giành được niềm tin của ta chưa, và nó làm gì khi đã ra ngoài thế giới thật.

Vậy nên đừng trao cho agent của bạn thêm tự do. Hãy trao cho nó giới hạn rõ ràng hơn, và giữ chính mình trong vòng lặp.