An toàn khi cho AI agent thao tác trên mạng thật

Agent có thể hiểu sai yêu cầu, bị prompt injection qua dữ liệu (description interface, syslog, ticket), hoặc tự tin đề xuất một lệnh sai. Trên mạng thật, một lệnh sai có thể làm mất kết nối cả site, kể cả kết nối quản trị dùng để sửa lại. Nguyên tắc: model không phải ranh giới an toàn. Mọi giới hạn phải nằm ở tầng tool, tài khoản thiết bị và quy trình, những nơi model không thể vượt qua.

Đường đi của một thay đổi#

flowchart LR
  A["Agent đề xuất intent"] --> B["Tool sinh config + diff"]
  B --> C["Dry-run: commit check / check mode"]
  C --> D{"Người duyệt xem diff"}
  D -->|"từ chối"| X[Dừng]
  D -->|"duyệt"| E["Commit confirmed (timer)"]
  E --> F["Verify: BGP, interface, ping"]
  F -->|"OK"| G["Confirm commit"]
  F -->|"lỗi / hết giờ"| H["Tự rollback"]
  G --> I["Audit log"]
  H --> I

Lộ trình mở quyền#

Phần lớn team chỉ nên dừng ở giai đoạn 1-3.

Các lớp bảo vệ#

Prompt injection từ dữ liệu mạng#

Bất kỳ trường văn bản nào có thể bị người khác sửa đều là đầu vào không tin cậy: interface description, BGP neighbor description, SNMP sysContact, syslog message, nội dung ticket, trang wiki.

• Coi output của tool là dữ liệu, không phải lệnh. Nhắc điều này trong system prompt, nhưng không chỉ dựa vào đó.
• Tool ghi luôn đi qua approval: dù model bị lừa thì vẫn có người chặn.
• Phiên đọc dữ liệu không tin cậy thì không cấp tool ghi trong cùng phiên đó.
• Lọc và cắt ngắn trường văn bản tự do trước khi trả cho model.

Mẫu tool ghi an toàn#

MAX_DIFF_LINES = 40
PROTECTED = ("MgmtEth0/RP0/CPU0/0", "fxp0", "em0")
 
 
def propose_change(device: str, intent: dict) -> dict:
    """Chỉ sinh config + diff, không commit. Trả change_id để người duyệt."""
    config = render_template(intent)                 # template, không nhận config tự do từ model
    if any(p in config for p in PROTECTED):
        raise PermissionError("Không được thay đổi interface quản trị")
    diff = device_dry_run(device, config)            # commit check / show commit changes diff
    if len(diff.splitlines()) > MAX_DIFF_LINES:
        raise ValueError(f"Diff {len(diff.splitlines())} dòng, vượt giới hạn {MAX_DIFF_LINES}")
    change_id = save_pending(device, config, diff)   # lưu, chờ duyệt
    audit("propose", device=device, change_id=change_id, diff=diff)
    return {"change_id": change_id, "diff": diff, "status": "pending_approval"}
 
 
def apply_change(change_id: str, approver: str) -> dict:
    """Chỉ gọi được từ UI/CLI của người duyệt, KHÔNG expose cho model."""
    change = load_pending(change_id)
    commit_confirmed(change.device, change.config, minutes=5)
    ok = verify(change.device)
    (confirm if ok else rollback)(change.device)
    audit("apply", change_id=change_id, approver=approver, verified=ok)
    return {"applied": ok}

Các hàm render_template, device_dry_run, commit_confirmed... là phần bạn tự hiện thực bằng NETCONF/PyEZ/Ansible. Điểm chính: apply_change không nằm trong danh sách tool của agent.

Khi nào dùng#

• Trước khi viết tool ghi đầu tiên cho agent: dùng bảng lộ trình để thống nhất với team đang ở giai đoạn nào.
• Khi review một MCP server hoặc agent mới cho mạng: đối chiếu với bảng các lớp bảo vệ.
• Kết hợp với thiết kế tool và pipeline network CI/CD: thay đổi do agent đề xuất nên đi qua cùng pipeline với thay đổi do người viết.