Tóm tắt nhanh
- AI agent có thể hoàn tất thao tác trên website, nhưng sự cho phép của người dùng chưa tạo thành cơ chế ủy quyền mà website kiểm chứng được.
- Ngân hàng và sàn thương mại điện tử lo ngại cách agent dùng thông tin đăng nhập chia sẻ hoặc tự động đọc giao diện để thực hiện giao dịch.
- Website sống bằng quảng cáo cũng có lý do kinh tế để giữ người thật trên trang thay vì để agent lấy thông tin rồi rời đi.
- Phân loại bot rõ ràng, xác nhận giao dịch và kết nối chính thức có thể giảm xung đột; lách CAPTCHA không giải quyết được vấn đề tin cậy.
AI agent có thể chọn hàng, điền giỏ và tiến tới đặt mua thay người dùng, nhưng một CAPTCHA hoặc lệnh chặn của website vẫn đủ đưa công việc trở lại bàn phím. Trở ngại không đơn thuần là các doanh nghiệp muốn ngăn AI: họ chưa có cách thống nhất để biết ai đang điều khiển agent, agent được phép làm gì và ai chịu trách nhiệm nếu giao dịch sai.
Website không thể dựa vào lời cho phép của người dùng để xác minh agent
Người dùng có thể yêu cầu trợ lý mua một món hàng, song cửa hàng không nhìn thấy lời yêu cầu đó. Ở phía website, phiên truy cập có thể trông giống một trình duyệt đang dùng thông tin đăng nhập của khách hàng; chủ dịch vụ không biết chắc phần mềm có được khách hàng ủy quyền hay đang giả dạng một phiên người thật.
Ranh giới này đang hiện rõ trong tranh chấp giữa Amazon và Perplexity về trình duyệt Comet. Tháng 3/2026, một thẩm phán liên bang Mỹ ban hành lệnh sơ bộ ngăn agent của Comet đặt hàng trên Amazon, dựa trên nhận định Amazon đã đưa ra bằng chứng mạnh về việc truy cập tài khoản khi chưa được nhà bán lẻ cho phép. Tuy nhiên, tòa phúc thẩm đã hủy lệnh sơ bộ này vào tháng 8; tranh chấp giữa hai công ty vẫn chưa được giải quyết. Amazon cũng cáo buộc Perplexity che giấu hoạt động của agent bằng cách khai báo Comet như Google Chrome. Đây là cáo buộc trong vụ kiện, không phải kết luận cuối cùng về toàn bộ tranh chấp.
Vụ việc cho thấy “người dùng muốn” và “website chấp thuận” là hai tầng quyền khác nhau. Người dùng có thể giao việc cho phần mềm, nhưng quyền truy cập tài khoản vẫn chịu điều khoản và hệ thống bảo vệ của dịch vụ. Khi agent hoạt động bằng cách điều khiển trình duyệt như người thật, website khó phân biệt một tác vụ được cho phép với hành vi tự động truy cập trái quy tắc.
Rủi ro tăng mạnh khi agent chạm tới tiền và tài khoản
Với một giỏ hàng sai, người dùng có thể hủy đơn; với lệnh chuyển tiền, hậu quả phức tạp hơn. Trong cuộc gọi công bố kết quả kinh doanh tháng 10, Giám đốc tài chính JPMorgan Chase Jeremy Barnum nói một số agent dùng thông tin đăng nhập chia sẻ và screen scraping để chuyển tiền, đồng thời gọi các cách làm này là không an toàn. Ông cảnh báo khách hàng có thể phải chịu trách nhiệm nếu tự giao thông tin đăng nhập rồi agent thực hiện hành động ngoài ý muốn.
Screen scraping thường dựa vào việc đọc nội dung giao diện sau khi đăng nhập, thay vì một kết nối được ngân hàng thiết kế để cấp quyền cho ứng dụng bên thứ ba. Cách đó có thể hoạt động cho đến khi giao diện đổi, phiên đăng nhập hết hạn hoặc hệ thống phát hiện hành vi bất thường. Quan trọng hơn, nó làm mờ trách nhiệm: ngân hàng khó biết tác vụ nào do chủ tài khoản xác nhận, còn người dùng khó chứng minh agent chỉ làm đúng phần việc được giao.
Điều này không có nghĩa mọi agent đều nguy hiểm hay mọi website đang cấm chúng có chủ đích. Meta Muse từng gặp bước xác minh CAPTCHA khi mua sắm tại Walmart; Walmart nói các bước đó không được thiết kế để chặn trợ lý. Zillow cũng thừa nhận biện pháp chống scraping đôi lúc nhận nhầm agent mà họ sẵn lòng cho phép. Với người dùng, kết quả vẫn giống nhau: tác vụ bị ngắt, dù nguyên nhân là chính sách chủ động hay bộ lọc tự động.
Quảng cáo khiến website có lý do giữ người dùng ở lại
Rủi ro bảo mật chỉ giải thích một phần. Nhiều trang web kiếm tiền từ quảng cáo và lượt truy cập của con người. Nếu agent đọc thông tin sản phẩm, so sánh giá rồi chuyển kết quả cho người dùng mà không hiển thị trang, website có thể mất lượt xem quảng cáo và cơ hội biến người ghé thăm thành khách hàng.
Cloudflare đang tách lưu lượng tự động thành các nhóm Search, Agent và Training để chủ website quyết định riêng. Theo chính sách công bố, từ ngày 15/9/2026 các tên miền mới dùng Cloudflare mặc định chặn bot AI dùng để huấn luyện và agent trên những trang có quảng cáo, trong khi vẫn cho phép bot tìm kiếm. Chủ website có thể thay đổi quy tắc. Cách phân loại này quan trọng vì bot lập chỉ mục để đưa người đọc quay lại không giống agent vào trang để hoàn thành việc ngay, và cả hai lại khác crawler thu thập dữ liệu huấn luyện.
Vì vậy, việc chặn agent không nên bị hiểu thành một lệnh cấm AI chung. Cloudflare cho biết các website mới vẫn có thể cho phép Search trong khi chặn Agent và Training ở trang có quảng cáo. Chính sách phản ánh lựa chọn kinh doanh của từng chủ trang: họ có thể muốn được tìm thấy, nhưng không muốn nội dung bị lấy đi mà không tạo ra lượt truy cập.
Kết nối có xác nhận tốt hơn việc giả làm người dùng
Shopify đưa ra một ví dụ về luồng có kiểm soát hơn: công cụ thanh toán có thể cho phép agent tương thích cập nhật thông tin và gửi đơn, nhưng người mua xác nhận trước khi đặt hàng; ở các bước cần xác thực, quyền điều khiển được trả lại cho khách. Cách này không loại bỏ mọi rủi ro, nhưng giúp tách phần agent được làm khỏi quyết định cuối cùng có hậu quả tài chính.
Về phía hạ tầng, Cloudflare đề xuất dùng thông tin chuyển tiếp để website nhận diện cả đơn vị vận hành agent và bên mà agent đang đại diện, thay vì chỉ nhìn một trình duyệt hoặc địa chỉ mạng. Đây mới là hướng thiết kế được Cloudflare nêu ra, không phải chuẩn phổ quát đã được mọi website áp dụng. Một cơ chế đáng tin cần cho chủ trang biết agent làm gì, lưu dữ liệu nào, và có thể thu hồi quyền khi agent vi phạm.
Đối với người dùng, dấu hiệu đáng tin không phải là agent vượt qua được CAPTCHA, mà là dịch vụ có tích hợp được website chấp nhận, quyền hạn rõ ràng và bước xác nhận trước giao dịch nhạy cảm. Nếu một trợ lý yêu cầu mật khẩu để tự đăng nhập rồi thao tác thay bạn, sự tiện lợi đi kèm với việc giao cả quyền kiểm soát và phần trách nhiệm cho một quy trình mà ngân hàng hay cửa hàng có thể không công nhận.
Nguồn tham khảo: Engadget; The Verge; Cloudflare
