Cung cấp không gian làm việc dùng một lần cho tác nhân AI của bạn với Alibaba Cloud AgentRun

Bài viết này giới thiệu về Alibaba Cloud AgentRun, một nền tảng serverless cung cấp cho các tác nhân AI không gian làm việc thực thi bảo mật, dùng một...

Do Rizky Andriawan, Solution Architect Alibaba Cloud Indonesia, viết

TL;DR — Tác nhân AI không chỉ trả lời mà còn hành động. Tác nhân có thể chạy mã, điều khiển trình duyệt và thao tác với tệp. Vì vậy, tác nhân cần một không gian làm việc. Sự chuyển dịch mà gần như mọi đội ngũ xây dựng hạ tầng tác nhân đều đi đến trong hai năm qua không phải là "tác nhân không tự lưu lại trạng thái", mà là tác nhân buộc chúng ta phải đảo chiều giả định mặc định khi thiết kế hệ thống. Con người mặc định có khả năng duy trì trạng thái; còn tác nhân thì mặc định được cô lập, chỉ duy trì trạng thái trong trường hợp ngoại lệ. Môi trường thực thi của tác nhân nên là môi trường dùng một lần, trong khi bộ nhớ, danh tính và kết quả đầu ra của tác nhân được chủ động lưu trữ ở nơi khác và có thể duy trì lâu dài. Bài viết này giải thích vì sao sự đảo chiều đó là lựa chọn đúng đắn, cũng như cách AgentRun của Alibaba Cloud biến cách tiếp cận này thành một không gian làm việc mà bạn có thể sử dụng mà không cần dựng bất kỳ máy chủ nào.*

01_hero
Dùng một lần ở nơi tác nhân vận hành, bền vững ở nơi tác nhân ghi nhớ.

Bắt đầu từ việc tác nhân thực sự đang làm

Chatbot chỉ trả lời. Tác nhân thì hành động.

Khi bạn hỏi chatbot một câu, chatbot chỉ viết lại câu trả lời bằng văn bản, và thế giới bên ngoài không có gì thay đổi. Giao cho tác nhân một tác vụ, chẳng hạn như "phân tích bảng tính này và vẽ biểu đồ các giá trị ngoại lệ", "sửa bài kiểm tra lỗi trong kho mã nguồn này" hoặc "mở trang web này và lấy ba tin đăng rẻ nhất", thì tác nhân phải thực hiện các hành động: chạy mã, ghi tệp, điều khiển trình duyệt, đọc kết quả và quyết định bước tiếp theo. Cứ lặp đi lặp lại trong một vòng lặp.

Chính khác biệt duy nhất đó (hành động thay vì trả lời) tạo ra một nhu cầu mà chatbot chưa bao giờ cần: một nơi để thực hiện công việc. Một nơi để chạy đoạn mã đó. Một vùng lưu trữ tạm. Một trình duyệt. Một môi trường dòng lệnh. Hãy gọi đó là một không gian làm việc.

Vậy câu hỏi thực sự là: bạn nên cung cấp loại không gian làm việc nào cho một tác nhân như vậy? Câu trả lời theo trực giác, “cùng loại không gian làm việc như dành cho nhà phát triển”, hóa ra lại hoàn toàn ngược lại. Và hiểu được lý do là cách nhanh nhất để nắm rõ một nền tảng như AgentRun được tạo ra nhằm mục đích gì.

02_chatbot_vs_agent
Chatbot trả lời trong một bước duy nhất. Một tác nhân chạy vòng lặp bên trong không gian làm việc được cô lập, rồi tác động đến thế giới bên ngoài.

Sự đảo chiều mặc định

Hãy nghĩ về môi trường phát triển của chính bạn, chiếc laptop của bạn hoặc một VM mà bạn SSH vào. Bạn thiết lập môi trường đó một lần. Bạn cài đặt công cụ, để các tệp nằm đó, rồi ngày mai quay lại và thấy mọi thứ vẫn còn nguyên. Đó là mặc định của con người: mặc định duy trì trạng thái, chỉ cô lập trong trường hợp ngoại lệ. Bạn chỉ dùng đến sandbox hoặc một VM sạch trong trường hợp hiếm hoi khi xử lý gì đó không đáng tin cậy.

Tác nhân cần điều ngược lại: mặc định cô lập, chỉ duy trì trạng thái trong trường hợp ngoại lệ. Mỗi tác vụ chạy trong môi trường sạch và được cô lập riêng, còn mọi thứ cần tồn tại sau tác vụ đều được chủ động đẩy ra bên ngoài môi trường đó.

Từ đang âm thầm gánh nhiều ý nghĩa ở đây là "không gian làm việc", vì vậy hãy cùng làm rõ khái niệm này. Thứ nên dùng một lần là môi trường thực thi của tác nhân, nơi tác nhân chạy mã, điều khiển trình duyệt và ghi tệp tạm. Những thứ không nên dùng một lần, như bộ nhớ của tác nhân ("Acme là một thương vụ đang bị đình trệ"), danh tính và quyền của tác nhân, các kết quả đầu ra do tác nhân tạo ra, cùng dấu vết kiểm tra về những gì tác nhân đã thực hiện, hoàn toàn không nằm trong không gian làm việc. Những thứ đó được lưu bên ngoài không gian làm việc, bền vững một cách có chủ đích, để không gian làm việc có thể bị loại bỏ mà không làm mất những dữ liệu và kết quả đó.

Sự tách biệt đó chính là điểm mấu chốt. Nếu đặt phép so sánh ở cấp độ môi trường thực thi nơi tác nhân thực sự thực hiện công việc thì chúng ta sẽ thấy rất rõ sự khác biệt:

	Môi trường phát triển của con người	Không gian làm việc thực thi của tác nhân
Thời gian tồn tại	Nhiều tháng. Bạn quay lại môi trường đó.	Một tác vụ, kéo dài từ vài giây đến vài phút, rồi biến mất.
Những gì được duy trì trong môi trường đó	Mặc định là mọi thứ.	Mặc định là không có gì. Trạng thái cần duy trì lâu dài nằm bên ngoài môi trường đó.
Danh tính	Chiếc máy thuộc về bạn.	Không gian làm việc là ẩn danh; danh tính và quyền được gắn liền theo từng tác vụ từ bên ngoài.
Cấp phát	Thiết lập một lần, chi phí được phân bổ dần.	Được khởi tạo theo nhu cầu, biến mất khi hoàn tất.
Khả năng chạy đồng thời	Một người, một máy.	Hàng nghìn tác nhân được kích hoạt cùng lúc, rồi không còn tác nhân nào.
Mức độ tin cậy	Bạn tin tưởng chính mình.	Không được tin cậy ngay từ khâu thiết kế. Tác nhân chạy mã do chính tác nhân viết, trên các đầu vào (trang web, tài liệu) có thể ẩn chứa chỉ dẫn.

Đây chính là khoảng trống mà AgentRun được xây dựng để lấp đầy. Thay vì bạn phải cấp phát và duy trì máy chủ để các tác nhân hoạt động, AgentRun cung cấp cho mỗi tác nhân một không gian làm việc thực thi mới, cô lập và dùng một lần theo nhu cầu, đồng thời chỉ tính phí trong thời gian tác nhân thực sự làm việc. Phần còn lại của bài viết này thực chất là giải thích vì sao đây là thiết kế đúng đắn, lần lượt qua từng thuộc tính.

Lý do thực thi dùng một lần thực sự tốt hơn và cách AgentRun làm được điều đó

“Dùng một lần” nghe có vẻ như một sự đánh đổi. Với môi trường thực thi, đây là một bước nâng cấp, và từng lý do đều tương ứng với một khả năng mà AgentRun mang lại:

Một trạng thái khởi đầu sạch được đảm bảo, để hành vi có thể tái lập. Mỗi tác vụ đều bắt đầu từ cùng một đường cơ sở đã được xác thực là ổn định. Không bị lệch trạng thái, không có dữ liệu sót lại từ lần chạy trước âm thầm làm thay đổi kết quả. AgentRun tạo mới từng sandbox cho mỗi tác vụ và giải phóng khi sandbox không còn hoạt động, vì vậy tác nhân không bao giờ kế thừa mớ hỗn độn từ ngày hôm trước. (Đây cũng là lý do tình trạng "thứ Ba vẫn chạy được, đến thứ Sáu lại lỗi" gần như biến mất, vì thứ Sáu bắt đầu từ trạng thái giống hệt thứ Ba.)
Phạm vi ảnh hưởng được giới hạn, cả về không gian lẫn thời gian. Tác nhân lấp đầy ổ đĩa, chạy một lệnh đáng ngờ học được từ trang web bị đầu độc, hoặc xóa chính các tệp của tác nhân? Không gian đó được cô lập khỏi mọi thứ khác và dù sao cũng sẽ sớm bị hủy. AgentRun chạy mỗi sandbox trong một môi trường cô lập riêng, với hệ thống tệp và không gian tiến trình riêng, đồng thời giới hạn thời gian tồn tại của mọi phiên bản (một sandbox chỉ kéo dài tối đa vài giờ, còn các sandbox không hoạt động sẽ được thu hồi sớm hơn nhiều). Khả năng dùng một lần biến một sự cố tiềm ẩn thành chuyện gần như không gây ảnh hưởng.
Không lẫn nhiễm giữa các tác vụ hoặc người dùng. Nếu một không gian làm việc được duy trì và tái sử dụng, thông tin xác thực hoặc dữ liệu còn sót lại từ một tác vụ có thể xuất hiện trong tác vụ tiếp theo, thậm chí là của người khác. Sandbox theo từng tác vụ khiến toàn bộ loại rò rỉ đó trở nên bất khả thi về mặt cấu trúc, chứ không chỉ là khó xảy ra.
Chi phí bám theo công việc thực tế, không bám theo lịch thời gian. Laptop nhàn rỗi của con người thì không sao, vì chỉ có một người sử dụng. Một triệu máy dành cho tác nhân nhưng đang nhàn rỗi sẽ tạo ra khoản chi phí rất lớn. Khối lượng công việc của tác nhân thường tăng giảm đột biến và phần lớn thời gian là chờ, dù là chờ mô hình phản hồi hay chờ trang tải xong. Vì AgentRun chạy trên nền tảng serverless của Alibaba Cloud (Function Compute), nên không cần cấp phát trước bất kỳ tài nguyên nào. Không gian làm việc xuất hiện theo nhu cầu và bạn thanh toán theo mức sử dụng, thay vì trả phí cho năng lực nhàn rỗi.
Độ linh hoạt mà không cần duy trì cụm máy chủ. Một nghìn tác nhân cùng thức dậy, một nghìn không gian làm việc được khởi chạy, và một phút sau tất cả đều biến mất. Không cần lập kế hoạch năng lực, không cần vá lỗi hay dọn dẹp máy. Lớp nền serverless mở rộng theo khối lượng công việc.

Hãy chú ý rằng mô hình mối đe dọa và thiết kế gần như tự thân đã khớp với nhau. Mối nguy nằm ở mã không đáng tin cậy chạy trên các đầu vào không đáng tin cậy. Giải pháp (cô lập để không thể vươn ra ngoài, dùng một lần để mọi thao tác không lưu lại lâu dài) gần như là sự phủ định trực tiếp của mối nguy đó.

Vậy đó là cách tác nhân hoạt động

Đây là điểm mấu chốt dành cho những ai vẫn thấy tác nhân hơi khó hiểu: không gian làm việc đã hé lộ bí mật đó.

Tác nhân không phải là một nhà tiên tri biết sẵn câu trả lời. Tác nhân là một vòng lặp thử mọi thứ trong không gian làm việc, đọc lại kết quả đã xảy ra, rồi thử tiếp. Lý do duy nhất khiến tác nhân cần đến sandbox dùng một lần là vì tác nhân sẽ tạo ra mớ hỗn độn: chạy mã bị lỗi, cài sai thứ cần cài, đi sai hướng, và bạn muốn mớ hỗn độn đó được cô lập rồi loại bỏ. Lý do bộ nhớ của tác nhân nằm bên ngoài không gian làm việc cũng tương tự: để phần hỗn độn có thể bị loại bỏ, trong khi phần đã học được vẫn được giữ lại. Quá trình thử và sai diễn ra trong một ô cô lập mà bạn sẽ loại bỏ; còn bài học được lưu vào một kho lưu trữ mà bạn giữ lại.

Hãy hình dung tác nhân AI không phải như một thiên tài, mà giống một thực tập sinh rất nhanh nhẹn, không biết mệt, được bạn giao cho một căn phòng cô lập, một chiếc máy tính và đúng một tác vụ. Bạn dựng lại căn phòng đó từ đầu cho công việc tiếp theo, nhưng vẫn giữ lại các ghi chú. Không chỉ là một phép ẩn dụ. Về cơ bản, đó chính là kiến trúc.

03_trace
Tác nhân hoạt động bằng cách thử và sai: lập kế hoạch, chạy, thất bại, thử lại, rồi thành công.

Một tác vụ cụ thể, từ đầu đến cuối

Hãy xem một ví dụ thực tế. Một tác nhân vận hành bán hàng được giao nhiệm vụ: "lấy báo cáo hệ thống bán hàng của tuần trước và đánh dấu các thương vụ đang bị đình trệ."

Tác nhân đăng ký một không gian làm việc mới. Tác nhân mở trình duyệt, đăng nhập vào CRM của bạn và tải báo cáo về. Tác nhân chạy vài dòng Python để tìm các thương vụ không được cập nhật trong 14 ngày. Tác nhân viết một bản tóm tắt ngắn. Sau đó, tác nhân thoát ra và không gian làm việc bị hủy.

Bây giờ, hãy xem những gì đã không xảy ra:

Không còn trình duyệt nào duy trì trạng thái đăng nhập để lần chạy tiếp theo kế thừa.
Không còn gói Python nào cài dang dở bị bỏ lại trên một máy tồn tại lâu dài.
Không còn thông tin xác thực CRM nằm trong một VM chạy 24/7, chờ bị đánh cắp.
Không còn tình trạng lệch trạng thái kiểu "thứ Ba tuần trước vẫn chạy được", vì lần chạy vào thứ Sáu này bắt đầu từ cùng một trạng thái sạch giống hệt lần chạy vào thứ Ba.

Và những thứ bạn thực sự muốn giữ lại, như bản tóm tắt do tác nhân tạo ra, nhật ký kiểm tra của từng cú nhấp chuột, và bộ nhớ của tác nhân rằng "Acme đã ngừng phản hồi", đều được chủ động ghi bên ngoài không gian làm việc, để không gian làm việc có thể biến mất mà không kéo theo những thứ đó.

Đó là sự đảo chiều mặc định trong một tác vụ đơn lẻ: quá trình thực thi là dùng một lần, còn các kết quả đầu ra và bộ nhớ thì không. Một khi nhận ra mô hình này trong một quy trình làm việc, bạn sẽ thấy mô hình này xuất hiện ở khắp nơi.

Xin giới thiệu AgentRun: Sự đảo chiều dưới dạng dịch vụ được quản lý

Đây chính là mô hình mà AgentRun đóng gói thành dịch vụ. Dễ gọi AgentRun là "một chiếc hộp tác nhân tất cả trong một", nhưng cách gọi đó lại đánh giá thấp thiết kế này, vì AgentRun giữ những thành phần riêng biệt ở đúng trạng thái riêng biệt thay vì gom tất cả lại với nhau:

agentrun_01_agent_creation
Dễ bắt đầu: một biểu mẫu duy nhất để xác định mô hình, câu lệnh và công cụ của tác nhân — không cần quản lý hạ tầng.

Sandbox thực thi, chính là không gian làm việc dùng một lần. AIO Sandbox (“All-In-One”) của AgentRun đóng gói ba năng lực mà tác nhân thực sự cần để thao tác vào một môi trường cô lập: trình duyệt không giao diện, trình thông dịch mã, cùng thiết bị tương tác và hệ thống tệp. Alibaba gọi rất đúng bộ năng lực này là "mắt, bộ não và đôi tay" của tác nhân.

agentrun_09_sandbox_templates
AgentRun cung cấp năm mẫu sandbox — mỗi mẫu được thiết kế riêng cho một loại công việc khác nhau của tác nhân.

Lớp trình duyệt chuyên dụng, Browser Sandbox: trình duyệt không giao diện trên đám mây, có thể điều khiển bằng các công cụ tiêu chuẩn (Playwright hoặc Puppeteer qua giao thức DevTools), với chế độ xem trực tiếp tích hợp qua VNC để bạn thực sự có thể theo dõi tác nhân nhấp qua các bước trên trang web theo thời gian thực. Khi bạn đang gỡ lỗi để biết "tác nhân của mình vừa thực sự làm gì", đó chính là khác biệt giữa một hộp đen và một chiếc hộp trong suốt.

agentrun_10_aio_sandbox_config
Tạo AIO Sandbox: chọn tài nguyên, trình duyệt và môi trường chạy của bạn — không gian làm việc được khởi tạo theo nhu cầu và biến mất khi tác vụ hoàn tất.

Quyền truy cập và quản trị mô hình, xác định những mô hình mà tác nhân có thể gọi, cũng như các giới hạn áp dụng.

agentrun_07_model_management
Quản trị mô hình: kiểm soát những mô hình mà tác nhân có thể gọi, cũng như các giới hạn áp dụng.

Lớp bộ nhớ và trạng thái, phần bền vững trong sự đảo chiều, được chủ động đặt bên ngoài không gian làm việc dùng một lần.

agentrun_03_memory
Bộ nhớ nằm bên ngoài không gian làm việc dùng một lần — bền vững, có thể tìm kiếm và được tách biệt có chủ đích.

Lớp quan sát và kiểm soát, ghi lại dấu vết về những gì tác nhân đã làm và lý do thực hiện.

agentrun_04_monitoring
Lớp quan sát: theo dõi từng lệnh gọi, đo lường từng đơn vị tài nguyên.

Không gian làm việc dùng một lần chính là phần mà toàn bộ bài viết này tập trung phân tích. Các lớp còn lại tồn tại chính là để phần này có thể dùng một lần. Nhiệm vụ của AgentRun là kết nối các lớp đó với nhau để bạn không phải tự làm, đồng thời giữ ranh giới đủ rõ ràng để bạn vẫn biết lớp nào đang đảm nhiệm việc gì.

04_boundary
Dùng một lần ở trung tâm, bền vững ở vùng biên, tất cả trên một nền tảng serverless.

agentrun_06_tools_marketplace
Mở rộng năng lực của tác nhân với marketplace gồm các công cụ MCP và kỹ năng tích hợp đám mây ngay từ đầu — từ Playwright đến RDS Copilot.

agentrun_11_agent_runtime_list
Dễ quản lý: mọi môi trường chạy của tác nhân đều được hiển thị và có thể kiểm soát từ một nơi.

Nhưng chạy mã do AI viết trên đám mây có an toàn không?

Mối lo hiển nhiên là: nếu một tác nhân chạy mã không đáng tin cậy và hàng nghìn tác nhân dùng chung phần cứng, liệu một tác nhân có thể thoát khỏi môi trường cô lập và truy cập vào khách hàng khác không? Đây là câu hỏi đúng, và câu trả lời trung thực không phải là "môi trường được cô lập hoàn hảo" cũng không phải là "muốn làm gì cũng được".

Các không gian làm việc này không nằm trực tiếp trên một máy dùng chung không có lớp cách ly. Các không gian làm việc này chạy trên cùng

lớp cô lập cấp VM nhẹ (bộ chứa bảo mật) vốn đã tách biệt hàng triệu khối lượng công việc serverless đa đối tượng thuê. Ranh giới cách ly này vững chắc, đã được kiểm chứng qua thực tế vận hành, chứ không phải một ranh giới mới mẻ và mong manh. Nhưng "vững chắc" không có nghĩa là "hoàn hảo". Không có cơ chế cách ly nào là không thể bị phá vỡ, giới nghiên cứu đôi khi vẫn tìm ra lỗ hổng, và tác nhân còn tạo thêm một bề mặt tấn công thực sự mới mà không sandbox nào có thể khép kín hoàn toàn: chèn câu lệnh, trong đó đầu vào không đáng tin cậy chính là các chỉ dẫn dành cho tác nhân, được cài cắm qua một trang web hoặc tài liệu mà tác nhân đọc.

Vì vậy, tư thế bảo mật thực sự là phòng thủ theo chiều sâu: cách ly mạnh mẽ, cộng với khả năng dùng một lần (không có gì được duy trì để bị đánh cắp sau này), cộng với kiểm soát lưu lượng ra ngoài (không thể tùy ý gọi ra bên ngoài), cộng với thông tin xác thực theo nguyên tắc đặc quyền tối thiểu. Khả năng dùng một lần không phải là toàn bộ câu chuyện bảo mật, nhưng đây chính là phần biến một hành động liều lĩnh của tác nhân từ rủi ro dai dẳng thành một sự cố chỉ kéo dài 30 giây.

Lý do việc "chạy trên Function Compute" lại quan trọng

Vì toàn bộ đều chạy trên nền tảng serverless, nên bạn không cần đặt trước, mở rộng quy mô hay nhớ tắt tài nguyên. Không gian làm việc được tạo theo nhu cầu, tự động giải phóng khi không hoạt động, giới hạn thời gian tồn tại ở mức vài giờ và được thanh toán theo mức sử dụng. Đặc tính tăng giảm đột biến và phần lớn thời gian là chờ của khối lượng công việc tác nhân, vốn sẽ cực kỳ tốn kém nếu vận hành dưới dạng một cụm VM luôn bật, chính là kiểu nhu cầu mà serverless được thiết kế để xử lý. Bạn lo phần logic của tác nhân, còn AgentRun cung cấp hạ tầng chỉ tồn tại khi tác nhân thực sự hoạt động.

Những điểm cần rút ra

Nếu bạn đang phát triển giải pháp bằng tác nhân, hãy thôi nghĩ về máy chủ và bắt đầu nghĩ về hai thứ được chủ động tách biệt: quá trình thực thi dùng một lần và mọi thứ còn lại cần được duy trì lâu dài. Đừng chạy mã do tác nhân viết trong cùng môi trường với ứng dụng của bạn, nhưng cũng đừng dựng cả một cụm VM chỉ để tránh làm vậy. Với AgentRun, không gian làm việc thực thi dùng một lần là một năng lực được quản lý mà bạn có thể gọi trực tiếp, với bộ nhớ, quản trị và dấu vết kiểm tra được kết nối sẵn xung quanh.

Và hãy chú ý đến yếu tố thời điểm. Hai năm trước, mô hình này gần như chưa tồn tại như một danh mục sản phẩm, vậy mà giờ đã xuất hiện ở khắp nơi, được các nhóm chưa từng trao đổi với nhau độc lập đi đến. Khi một xu hướng như vậy xuất hiện, đó thường là dấu hiệu cho thấy hình hài của lời giải đã đúng, và ô thực thi dùng một lần đang trở thành lớp nền mặc định cho các khối lượng công việc của tác nhân, giống như cách bộ chứa trước đây từng âm thầm trở thành mặc định cho gần như mọi khối lượng công việc. AgentRun là nước đi chiến lược của Alibaba Cloud nhằm trở thành lớp nền đó.

Tác nhân là phần thu hút mọi sự chú ý. Nhưng chiếc hộp không hào nhoáng mà tác nhân làm việc bên trong (được tạo cho một tác vụ, rồi bị loại bỏ sau đó, trong khi những thứ quan trọng được giữ an toàn ở bên ngoài) có thể mới chính là phần thực sự giúp tác nhân vận hành được.

[Phần giữ chỗ CTA kết bài — liên kết đến tài liệu AgentRun và bài hướng dẫn thực hành "xây dựng một tác nhân nhỏ trên AgentRun" làm nội dung tiếp nối.]

Bài viết này được dịch từ phiên bản tiếng Anh. Vui lòng tham khảo bài viết gốc tại đây.

Community

Cung cấp không gian làm việc dùng một lần cho tác nhân AI của bạn với Alibaba Cloud AgentRun

Bắt đầu từ việc tác nhân thực sự đang làm

Sự đảo chiều mặc định

Lý do thực thi dùng một lần thực sự tốt hơn và cách AgentRun làm được điều đó

Vậy đó là cách tác nhân hoạt động

Một tác vụ cụ thể, từ đầu đến cuối

Xin giới thiệu AgentRun: Sự đảo chiều dưới dạng dịch vụ được quản lý

Nhưng chạy mã do AI viết trên đám mây có an toàn không?

Lý do việc "chạy trên Function Compute" lại quan trọng

Những điểm cần rút ra

Read previous post:

Read next post:

Regional Content Hub

You may also like

Comments

Regional Content Hub

Related Products

Qwen

Bastionhost

Alibaba Cloud Model Studio

Managed Service for Grafana