Hóa đơn AI hàng trăm USD và một 'rogue automation': Bài học quản trị cho kỷ nguyên Agent
Một doanh nghiệp nhận hóa đơn vài trăm USD từ API của mô hình AI tên GPT-5.5 Pro. Vấn đề không nằm ở con số. Vấn đề nằm ở chỗ không ai trong công ty đó khởi tạo phiên gọi. Một chương trình tự động chạy, tự tiêu tiền, tự vận hành ngoài mọi quy trình phê duyệt. Trong ngành của tôi, chúng tôi gọi đó là một giao dịch bất thường. Một hàm withdraw không có kiểm soát truy cập. Một admin key bị bỏ quên trong hợp đồng thông minh mà không ai giám sát.
Tôi đã thấy mẫu này hàng trăm lần trong các đợt audit blockchain. Chỉ khác một điều: lần này, kẻ tiêu tiền là một AI Agent, còn nạn nhân là một doanh nghiệp tin rằng mình chỉ đang thuê một API.
Crypto Briefing đưa tin về sự kiện này, kèm theo cái tên GPT-5.5 Pro. Trước khi đi sâu, tôi phải đặt một dấu hỏi lớn. GPT-5.5 Pro không tồn tại trong bất kỳ cơ sở dữ liệu chính thức nào tôi có thể kiểm tra. OpenAI chưa từng công bố mô hình này vào thời điểm tôi viết. Đây có thể là một sai sót từ một trang tin chuyên về crypto, một chiêu trò tiếp thị, hoặc một thông tin rò rỉ bị hiểu sai. Nhưng với tư cách một auditor, tôi được đào tạo để không bỏ qua sự thật khó chịu. Tên gọi sai không làm mất đi giá trị của sự kiện cốt lõi: một AI tự động chạy ngoài tầm kiểm soát và tạo ra chi phí thực.
Ngành blockchain đã dạy tôi một bài học: các hệ thống phi tập trung được xây dựng trên niềm tin, nhưng niềm tin không bao giờ được phép thay thế cho xác minh. AI API đang đi vào vết xe đổ đó. Các doanh nghiệp ký hợp đồng với OpenAI, Anthropic, Google, nhận một chiếc API key, và tin rằng nó sẽ chỉ làm những gì họ yêu cầu. Họ quên rằng một API key là một admin key. Admin key không có răng cưa. Nó không biết phân biệt giữa một yêu cầu hợp lệ và một vòng lặp vô hạn. Nó chỉ biết thực thi.
Sự kiện được mô tả là 'rogue automation' — một tiến trình tự động không được phê duyệt, có thể do nhân viên thiếu hiểu biết tạo ra, hoặc do một script bị cấu hình sai, hoặc do một tác nhân bên ngoài chiếm quyền thông qua lộ lọt khóa. Không có thông tin chi tiết nào trong bài báo gốc. Nhưng với ba đêm thức trắng audit các giao thức DeFi, tôi có thể tái dựng lại kịch bản một cách chính xác.
Một AI Agent. Một API key được cấu hình với quyền gọi không giới hạn. Không có ngân sách tối đa. Không có giới hạn số lần gọi mỗi phút. Không có vòng phê duyệt cho các giao dịch trên một mức tiền nhất định. Agent này được giao một nhiệm vụ, thực hiện nhiệm vụ đó một cách máy móc, và khi gặp một ngã rẽ, nó tự đưa ra quyết định. Mỗi lần tự đưa ra quyết định đều tiêu tốn token. Một vòng lặp lỗi biến hai mươi lần gọi thành hai nghìn lần gọi. Hóa đơn tăng gấp trăm lần.
Trong blockchain, chúng tôi gọi đó là reentrancy. Hợp đồng thông minh gọi một hàm bên ngoài trước khi cập nhật trạng thái nội bộ, kẻ tấn công lợi dụng điểm đó để gọi lại hàm cũ liên tục. Kết quả: rút tiền nhiều lần mà tài khoản không bao giờ được trừ đúng cách. Vụ hack DAO năm 2016 đã mất 60 triệu USD vì một lỗi như vậy. Vụ hack Yearn Finance mà tôi từng đào sâu khi còn làm junior auditor cũng có cùng DNA. Một điểm kiểm soát bị bỏ sót. Một giả định sai lầm về thứ tự thực thi.
Rogue automation cũng vậy. Hệ thống thiếu cơ chế circuit breaker. Nó không có nút dừng khẩn cấp. Nó không có ngưỡng chi phí để tự ngắt. Khi một Agent bắt đầu chạy, không ai hỏi nó đang làm gì, tại sao nó gọi API lần thứ 500 trong một giờ, và ai đã cho phép. Đó không phải lỗi của AI. Đó là lỗi của kiến trúc.
Tôi đã viết trong một báo cáo audit hồi năm 2021: một hệ thống được thiết kế đúng đắn phải thất bại an toàn. Fail-safe. Nếu một thành phần không xác định hoạt động bất thường, toàn bộ hệ thống phải chuyển sang trạng thái đóng băng, không phải trạng thái tiếp tục chạy. Hầu hết các giao thức DeFi tôi audit đều có pause function. Họ có owner có thể dừng hợp đồng khẩn cấp. Nhưng các API AI mà tôi thấy doanh nghiệp sử dụng lại không có khái niệm tương đương. Không có nút pause. Không có circuit breaker. Không có cảnh báo thời gian thực khi ngân sách vượt ngưỡng.
Điều này đặt ra một câu hỏi về trách nhiệm. OpenAI đổ lỗi cho khách hàng thiếu kiểm soát. Luật sư của họ sẽ nói: chúng tôi cung cấp công cụ, khách hàng phải quản lý. Nhưng khi một giao thức blockchain bị hack vì thiếu kiểm tra trạng thái, chúng tôi không nói 'đó là lỗi của người dùng'. Chúng tôi nói 'hợp đồng thông minh không an toàn'. Nhà cung cấp hạ tầng có trách nhiệm thiết kế để thất bại an toàn. Nếu bạn bán API cho hàng nghìn doanh nghiệp, bạn biết rằng sẽ có người cấu hình sai. Vậy mà bạn không cung cấp một lớp bảo vệ mặc định. Điều đó không phải là sơ suất.
Lập luận của phe bò ở đây rất đáng chú ý. Họ nói rằng sự kiện này chỉ là một khoản phí học tập. OpenAI có chủ đích định giá cao và để khách hàng tự quản lý vì họ đang lọc thị trường. Nếu bạn không trả nổi hóa đơn vài trăm USD, bạn không phải khách hàng mục tiêu của họ. Các tập đoàn lớn với ngân sách hàng triệu USD sẽ không bao giờ gặp phải vấn đề này. Đúng. Nhưng lập luận đó bỏ qua một điều: sự cố này không chỉ là chuyện tiền bạc. Nó là chuyện quyền lực. Một AI Agent có thể gọi API không giới hạn khác gì một smart contract có admin key không giới hạn? Nó có thể đọc dữ liệu. Nó có thể ghi dữ liệu. Nó có thể thực hiện các hành động có chi phí. Nếu nó có thể tốn tiền, nó có thể gây thiệt hại lớn hơn nhiều.
Hãy mở rộng kịch bản. Giả sử API key đó không chỉ gọi GPT-5.5 Pro, mà còn có quyền truy cập vào hệ thống thanh toán nội bộ của công ty. Giả sử Agent đó được giao nhiệm vụ soạn email và tự động gửi cho khách hàng. Giả sử Agent đó được kết nối với một hệ thống giao dịch tài chính. Bỗng nhiên, 'chi phí vài trăm USD' không còn là vấn đề chính. Vấn đề chính là một thực thể không có trách nhiệm pháp lý đang thực hiện các hành động kinh doanh thay cho con người. Trong blockchain, chúng tôi gọi đó là access control vulnerability. Quyền được cấp quá rộng, không có nguyên tắc đặc quyền tối thiểu. Kẻ tấn công hoặc một bug vô tình có thể kích hoạt toàn bộ quyền đó.
Thị trường Việt Nam sẽ chứng kiến điều này sớm hơn nhiều doanh nghiệp nghĩ. Các công ty công nghệ đang đổ xô tích hợp AI vào sản phẩm. Họ mua API từ nước ngoài, lấy một key, nhúng vào backend, và quên mất rằng họ vừa mở một cửa hậu vào ngân sách. Một vài tháng trước, tôi có trao đổi với một founder ở TP.HCM đang xây dựng chatbot cho ngành logistics. Anh ấy khoe rằng chi phí AI chỉ chiếm 2% doanh thu. Tôi hỏi: nếu một Agent chạy sai logic và gọi API suốt đêm, 2% đó có tăng lên 200% không? Anh ấy im lặng. Anh ấy chưa bao giờ đặt câu hỏi đó.
Đây là lúc thị trường AI FinOps xuất hiện. Các công ty như Cloudflare, DataDog, hoặc các startup mới sẽ tạo ra lớp kiểm soát chi phí cho AI API. Họ sẽ làm những gì mà các auditor blockchain đã làm cho DeFi: xác định rủi ro, thiết lập ngưỡng, xây dựng cơ chế cảnh báo và tự động ngắt khi vượt mức. Tôi tin rằng đây là một cơ hội kinh doanh có thật, không phải câu chuyện đầu tư hão huyền. Bằng chứng nằm ngay trong bài báo: một doanh nghiệp đã chịu thiệt hại vì không có công cụ đó. Nhưng tôi cũng nhìn thấy một thực tế cay đắng: trong blockchain, các công cụ quản trị rủi ro như vậy tồn tại đã lâu, mà tỷ lệ áp dụng vẫn rất thấp. Các giao thức DeFi vẫn bị hack vì nhà phát triển không dùng pause function. Vậy có gì đảm bảo các doanh nghiệp AI sẽ hành động thông minh hơn? Có lẽ không. Nhưng đó chính là lý do thị trường này sẽ đông đúc.
Quay lại sự kiện gốc. Tôi muốn nhấn mạnh rằng tôi không chắc GPT-5.5 Pro có thật hay không. Nhưng với tư cách một auditor, tôi biết rằng rủi ro không đợi xác nhận. Rủi ro tồn tại trong cấu trúc, không tồn tại trong tên gọi. Bạn có thể thay GPT-5.5 Pro bằng bất kỳ mô hình ngôn ngữ lớn nào khác. Rogue automation vẫn có thể xảy ra. API key vẫn có thể bị lộ. Agent vẫn có thể chạy không kiểm soát. Và hóa đơn vẫn sẽ đến. Đó là bản chất của hệ thống. Một dòng code sai có thể khiến hệ thống sụp đổ, nhưng trong kỷ nguyên AI, chỉ cần một API key không có nút dừng, ngân sách của bạn cũng sụp đổ theo cách tương tự.
Vậy doanh nghiệp nên làm gì? Đầu tiên, hãy coi API key như một admin key. Ai có quyền truy cập? Quyền đó có giới hạn không? Có được xoay vòng định kỳ không? Thứ hai, hãy thiết lập ngân sách cứng. Ngân sách không phải một con số trên bảng tính. Ngân sách phải được nhúng vào hệ thống, dưới dạng một điều kiện if: nếu tổng chi phí vượt ngưỡng X, hãy dừng tất cả. Thứ ba, hãy yêu cầu nhà cung cấp API bổ sung các cơ chế kiểm soát mặc định. Nếu họ không làm, hãy chuyển sang nhà cung cấp khác. Cạnh tranh sẽ giải quyết phần còn lại.
Nhưng có một vấn đề sâu hơn mà không công cụ nào giải quyết được. Đó là văn hóa tổ chức. Trong blockchain, các vụ hack lớn thường xuất phát từ sự kiêu ngạo: nhóm phát triển tin rằng họ đủ giỏi, không cần audit, không cần kiểm soát. Trong thế giới AI, tôi nhìn thấy sự kiêu ngạo tương tự ở những doanh nghiệp đua nhau tích hợp AI vào sản phẩm mà không hiểu các quyết định thiết kế cơ bản. Họ nói 'AI sẽ giúp chúng tôi tăng năng suất'. Họ không nói 'AI sẽ có quyền gì trên hệ thống của chúng tôi'. Đó là một sai lầm chí mạng. Quyền không được xác định rõ ràng là quyền sẽ bị lạm dụng.
Tôi kết thúc bài phân tích này không bằng một lời khuyên, mà bằng một câu hỏi. Trong thị trường giảm, khi mọi người đều tập trung vào việc cắt giảm chi phí, bạn có dành thời gian để kiểm tra xem hệ thống AI của mình có một nút dừng khẩn cấp không? Nếu câu trả lời là không, bạn không cần đợi GPT-5.5 Pro có thật hay không. Bạn đã có một lỗ hổng rồi. Và như tôi đã nói nhiều lần trong các báo cáo audit của mình: một hệ thống chỉ bền vững khi từng mắt xích tuân theo chuẩn. Giữa chuẩn mực đó và bạn, chỉ có một sự kiện 'rogue automation' duy nhất. Nó sẽ đến.
Sẽ có người nói tôi bi quan quá mức. Họ sẽ chỉ ra rằng các nhà cung cấp API đang cải thiện, rằng các công cụ giám sát đang xuất hiện, rằng thị trường sẽ tự điều chỉnh. Tôi đồng ý. Thị trường luôn tự điều chỉnh. Nhưng quá trình điều chỉnh đó được viết bằng máu và tiền của những người không chuẩn bị. Tôi đã chứng kiến điều đó trong các vụ sụp đổ DeFi. Tôi đã chứng kiến điều đó trong vụ FTX. Và bây giờ tôi đang chứng kiến nó trong lĩnh vực AI. Lịch sử không lặp lại, nhưng nó vần điệu. Hãy đảm bảo rằng bài thơ đó không nói về công ty của bạn.