AI Agent Ngày Càng Tự Chủ — Làm Sao Không Mất Kiểm Soát?

Tại QCon London 2026, Birgitta Böckeler từ Thoughtworks có một bài nói chuyện tên State of Play: AI Coding Assistants — nhìn lại một năm kể từ QCon 2025, thời điểm "vibe coding" mới xuất hiện được hai tháng và Claude Code chưa ra mắt rộng rãi.

Nhiều thứ đã thay đổi. Nhưng tension cốt lõi vẫn vậy: AI agent ngày càng tự chủ hơn, và hầu hết team chưa sẵn sàng cho điều đó.

Đây là những điểm đáng chú ý nhất.

Layer mới: Context Engineering

Khi AI tool mới xuất hiện trong workflow của developer, skill quan trọng nhất là viết prompt. Rồi đến prompt engineering — cách cấu trúc prompt cho kỹ. Giờ có cái gì đó rộng hơn: context engineering.

Sự thay đổi nằm ở chỗ: chất lượng output của AI không chỉ phụ thuộc vào bạn nói gì trong prompt. Nó phụ thuộc vào tất cả những gì agent nhìn thấy — và tất cả những gì nó không thấy.

Context engineering là chủ động quản lý cái information surface đó:

Rules files (CLAUDE.md, AGENTS.md): hướng dẫn tái sử dụng qua các session, không phải lặp lại mỗi lần
Skills: module hóa hướng dẫn, load lazy — chỉ khi cần — để tránh làm đầy context window với những thứ không liên quan
Subagents: agent chính có thể spawn các child agent để nghiên cứu codebase hoặc review code song song, mỗi agent một scope riêng
MCP servers và CLI tools: cung cấp cho agent các công cụ thực tế để hành động, không chỉ kiến thức để suy luận

Mental model là: bạn không chỉ prompt AI, bạn đang quản lý môi trường vận hành của nó. Context tệ → output tệ, dù model có tốt đến đâu.

Càng Tự Chủ, Càng Rủi Ro

Đây là phần khó chịu của bài nói.

Khi agent trở nên tự chủ hơn — có thể browse web, đọc file, gọi API, viết và chạy code — blast radius của một lỗi (hoặc một cuộc tấn công) cũng tăng tương ứng.

Prompt Injection

Khi agent đọc được nội dung không tin cậy từ môi trường (một trang web, một document, input của user), nội dung đó có thể chứa instruction được thiết kế để hijack hành vi của agent. Agent làm theo instruction bị inject thay vì intent ban đầu của bạn.

Simon Willison mô tả Lethal Trifecta: khi agent vừa có access vào nội dung không tin cậy vừa có dữ liệu riêng tư vừa có khả năng giao tiếp ra ngoài — đó là rủi ro nghiêm trọng. Mỗi thứ riêng lẻ đều có thể quản lý. Cả ba cùng lúc là security risk thực sự — đặc biệt trong các open-source project nơi secret có thể bị lộ.

Vấn Đề Chi Phí

Autonomy còn có chiều hướng tài chính. Năm 2024, chạy AI-generated code tốn khoảng 12 cent trên 100 dòng. Hiện tại, có developer báo cáo chi $380 mỗi ngày cho AI tooling — tương đương khoảng $91,200 mỗi năm. Gần bằng lương một developer.

Ở mức chi phí đó, "cứ để AI figure it out" không phải là productivity strategy. Đó là một dòng chi tiêu không kiểm soát cần có governance riêng.

Harness Engineering: Xây Safety Net

Giải pháp Böckeler đề xuất không phải là chậm lại hoặc tránh autonomous agent. Mà là xây một harness — safety net tất định bao quanh AI, bắt lỗi trước khi chúng vào production.

Harness có hai mặt:

Feedforward: Giúp AI làm đúng từ đầu

Conventions document
How-to guides và runbook
CLI script và wrapper tool mà agent có thể gọi
Coding standard rõ ràng để AI tham chiếu trước khi generate

Mục tiêu: giảm error rate ngay tại nguồn. Feedforward càng tốt, càng ít phải sửa ở downstream.

Feedback: Tự động bắt lỗi

Static analysis
Structural tests (các tool như ArchUnit hoặc dependency-cruiser)
Linter cấu hình để fail rõ ràng
Error message tùy chỉnh để chỉ cho agent phải làm gì tiếp theo, không chỉ thông báo có gì đó sai

Đây là insight quan trọng: các CPU-based tool tất định (linter, type checker, test runner) kết hợp với GPU-based AI inference tạo ra một hệ thống đáng tin cậy hơn cả hai riêng lẻ. AI giỏi lý luận về sự mơ hồ; các tool tất định bắt những lỗi không mơ hồ.

Vấn Đề Goldilocks Speed

Có một áp lực trong AI-assisted development là di chuyển nhanh hơn — nhanh hơn mức thực sự an toàn.

Böckeler gọi đây là câu hỏi Goldilocks Speed: nhanh đến mức nào là đủ, và đến mức nào là quá? Khi tổ chức đẩy lên tốc độ tối đa, developer bỏ qua review. Chất lượng code xuống. Incident xảy ra.

Amazon từng có case nổi tiếng: AI-generated code vào đến production và gây ra sự cố. Fix rất đơn giản: thêm một gateway review từ senior engineer trước khi bất kỳ thứ gì do AI generate được ship.

Đó không phải là chống AI. Đó là engineering.

Điểm mấu chốt không phải là làm AI chậm lại bằng tốc độ người. Mà là khớp tốc độ generation của AI với quality gate phù hợp — không phải không có gate, mà là gate đúng tầm.

Câu Hỏi Mỗi Team Cần Trả Lời

Trước khi trao quyền tự chủ thực sự cho agent trong hệ thống của mình, Böckeler gợi ý hỏi:

Safety net tự động của team mình đang ở mức nào?

Không phải "đang lên kế hoạch xây" — mà là đã có chưa, đã test chưa, đang thực sự bắt được lỗi chưa?

Nếu CI pipeline hôm nay không thể bắt một bad merge một cách ổn định, thì trao access write cho autonomous agent ngày mai sẽ lộ ra gap đó theo cách tệ nhất có thể.

Tin tốt: cải thiện safety net có giá trị bất kể AI. Test tốt hơn, linter tốt hơn, guardrail về architecture tốt hơn — những thứ này làm codebase tốt hơn cho cả human. Và nếu bạn muốn dùng AI để giúp xây chúng, đó là một trong những thứ có leverage cao nhất bạn có thể giao cho nó làm.

Áp Dụng Thực Tế

Tổng Kết

✅ Context engineering là chủ động quản lý những gì agent nhìn thấy — rules files, skills, subagent, và tool
✅ Autonomy cao hơn = blast radius lớn hơn; prompt injection và secret leakage là rủi ro thực, không phải lý thuyết
✅ Lethal Trifecta: nội dung không tin cậy + dữ liệu riêng tư + kết nối ra ngoài = security risk cao
✅ Chi phí AI có thể lên $380/ngày — autonomy không có cost governance là liability
✅ Harness engineering = feedforward (giúp AI làm đúng) + feedback (bắt lỗi tất định)
✅ Tool tất định (linter, type checker, test) kết hợp AI inference đáng tin cậy hơn cả hai riêng lẻ
✅ Khớp tốc độ generation với quality gate phù hợp — không phải không có gate, mà là gate đúng tầm

Kết Luận

Framing cứ xuất hiện trong không gian này — từ nghiên cứu về cách developer thực sự làm việc, đến những bài nói như thế này — đều như nhau: AI agent là junior collaborator mạnh mẽ, không phải senior engineer tự chủ.

Một junior collaborator có access vào production database, có thể gửi email thay bạn, và có thể push lên main — mà không có guardrail nào — là liability, không phải asset.

Những tổ chức làm điều này tốt không phải là tổ chức di chuyển nhanh nhất. Họ là những người xây safety net trước, rồi để AI chạy bên trong đó.

Đó mới là engineering. AI chỉ làm cho việc đó đáng làm nhanh hơn.