Vì sao nên chạy AI agent trong Windows Sandbox?

Lần đầu tiên để một AI agent hoạt động tự do trên máy tính, bạn sẽ thấy nó gõ các lệnh nhanh hơn cả tốc độ đọc của mình. Nó cài đặt các gói phần mềm, di chuyển file và chỉnh sửa cấu hình ngay trên hệ điều hành Windows đang lưu trữ hồ sơ thuế, thư viện ảnh và dữ liệu công việc suốt cả thập kỷ của bạn. Rồi thử nghiệm kết thúc vào ngày nó chạy một lệnh dọn dẹp trong thư mục mà bạn chưa bao giờ chỉ định. Dù không có dữ liệu quan trọng nào bị mất, nhưng bài học thì vẫn còn đó: Agent này hoạt động với quyền hạn của bạn, và quyền hạn đó hoàn toàn có thể gây ra thiệt hại.

Việc ngừng sử dụng các AI agent không phải là giải pháp khả thi ở thời điểm hiện tại, nên cần tìm một cách khác thay vì đặt niềm tin vào chúng trên máy tính chính. Hóa ra, Windows đã tích hợp sẵn một chiếc máy tính "dùng một lần" ngay bên trong hệ thống — một môi trường biệt lập (sandbox)  tự động khởi tạo chỉ trong vài giây và sẽ bị xóa sạch ngay khi bạn đóng cửa sổ chương trình.

Cung cấp cho AI agent chiếc máy tính dùng một lần

Một desktop Windows sạch sẽ, tự động xóa dữ liệu khi đóng lại

Một AI agent có quyền truy cập vào giao diện dòng lệnh (shell) có thể thực hiện bất kỳ thao tác nào mà bạn có thể làm. Phần mềm diệt virus sẽ không cảnh báo về một AI agent lỡ tay xóa nhầm thư mục, bởi hành động đó không hề có dấu hiệu của mã độc. Có nhiều cách khác để chạy các chương trình đáng ngờ một cách an toàn trên Windows, nhưng hầu hết đều đòi hỏi việc thiết lập và duy trì một máy ảo (VM) hoàn chỉnh.

Giải pháp ở đây là chạy các AI agent trong môi trường sandbox, cụ thể là Windows Sandbox. Đây là một môi trường desktop Windows mới hoàn toàn, chạy trên nền tảng hypervisor của Microsoft với kernel riêng biệt và được cách ly hoàn toàn với hệ điều hành host. Khi bạn đóng cửa sổ chương trình, mọi thứ bên trong sandbox - bao gồm file, phần mềm đã cài đặt và các thay đổi trong registry - đều bị xóa bỏ. Lần khởi động tiếp theo sẽ bắt đầu lại từ trạng thái sạch ban đầu.

Quan trọng hơn, so với máy ảo truyền thống, sandbox khởi động chỉ trong vài giây và chỉ tốn khoảng 500MB dung lượng ổ cứng, do nó tận dụng lại các file hệ thống Windows của máy chủ thay vì lưu trữ thêm một bản sao hệ điều hành khác. Bạn có thể kích hoạt Windows Sandbox thông qua hộp thoại Features; quá trình này chỉ cần vài thao tác thiết lập và thường yêu cầu khởi động lại máy để bắt đầu sử dụng.

Windows Sandbox chỉ có sẵn trên các phiên bản Pro, Enterprise và Education. Nếu đang sử dụng Windows Home, bạn sẽ cần tìm một giải pháp thay thế khác cho Windows Sandbox.

Tạo file .wsb và thiết lập chế độ chỉ đọc cho các thư mục

Một file văn bản nhỏ quyết định những gì agent có thể nhìn thấy và thao tác

Mặc định, sandbox là một desktop trống có kết nối Internet. Điều này phù hợp để thử nghiệm trình cài đặt, nhưng với các AI agent, cần có những quy tắc chặt chẽ hơn; Windows Sandbox sẽ đọc các quy tắc này từ một file plain text có phần mở rộng .wsb. File có nội dung như sau:

<Configuration>
<Networking>Disable</Networking>
<ClipboardRedirection>Disable</ClipboardRedirection>
<ProtectedClient>Enable</ProtectedClient>
<MappedFolders>
<MappedFolder>
<HostFolder>C:\Users\Tashreef\Projects</HostFolder>
<SandboxFolder>C:\Users\WDAGUtilityAccount\Desktop\Projects</SandboxFolder>
<ReadOnly>true</ReadOnly>
</MappedFolder>
</MappedFolders>
</Configuration>

Dưới đây là chức năng của từng dòng lệnh: `Networking` được đặt là `Disable` sẽ ngắt kết nối Internet của sandbox, ngăn chặn mọi thứ bên trong gửi dữ liệu ra ngoài hoặc tải xuống các nội dung độc hại. `ClipboardRedirection` được đặt là `Disable` giúp ngăn chặn việc truyền dữ liệu qua clipboard dùng chung giữa sandbox và máy tính của bạn. `ProtectedClient` bổ sung một ranh giới AppContainer bao quanh chính tiến trình sandbox, đóng vai trò như một lớp bảo vệ dự phòng trong trường hợp có mối đe dọa nào vượt qua được lớp bảo vệ đầu tiên.

Block `MappedFolder` hiển thị một thư mục từ máy tính thực của bạn bên trong sandbox; với tùy chọn `ReadOnly` được đặt là `true`, agent có thể đọc các file dự án của bạn nhưng không thể thay đổi bất kỳ file nào trong số đó. Nếu bạn thắc mắc về đường dẫn có vẻ lạ lẫm kia, thì `WDAGUtilityAccount` là tài khoản người dùng mặc định được sử dụng cho mọi phiên sandbox, do đó các thư mục được ánh xạ sẽ xuất hiện trên desktop của tài khoản này.

Nếu bạn đang sử dụng Windows 11 phiên bản 24H2 trở lên, còn có một công cụ dòng lệnh `wsb` cho phép  tự động hóa toàn bộ quy trình này: Lệnh `start` khởi chạy sandbox từ file cấu hình, `list` hiển thị các phiên đang chạy, `exec` thực thi lệnh bên trong sandbox, `share` ánh xạ thư mục ngay lập tức, còn các lệnh `connect`, `ip` và `stop` đảm nhận những chức năng còn lại. Tuy nhiên, hãy cẩn trọng khi sử dụng lệnh `wsb share --allow-write`. Tham số này cấp quyền ghi vào một thư mục thực cho môi trường sandbox, và bạn chỉ nên sử dụng nó khi thực sự có chủ đích.

Những gì không được bảo vệ?

Các chi tiết kỹ thuật quan trọng cần lưu ý

Điểm cần đặc biệt lưu ý nằm ở tính năng thư mục ánh xạ (mapped folder). Nếu bạn ánh xạ một thư mục với quyền ghi được bật, mọi thay đổi mà sandbox thực hiện trong thư mục đó sẽ vẫn tồn tại trên máy tính thật của bạn ngay cả sau khi phiên làm việc kết thúc.

Kết nối mạng là "cạm bẫy" thứ hai. Tính năng này được bật theo mặc định; do đó, nếu khởi chạy sandbox từ shortcut thông thường trên menu Start thay vì dùng file .wsb đã được cấu hình hạn chế, sandbox đó sẽ có toàn quyền truy cập Internet.

Ngoài ra còn có một số hạn chế nhỏ khác cần biết. Giao diện người dùng (GUI) chỉ cho phép chạy một sandbox tại một thời điểm. Lệnh thực thi trong file .wsb không thể ghi lại dữ liệu đầu ra (output), nghĩa là bạn chỉ nhận được exit code chứ không thấy được nội dung mà lệnh đó đã hiển thị. Mọi dữ liệu đều bị xóa sạch sau mỗi phiên làm việc, và cửa sổ ứng dụng đôi khi cũng khá "khó tính" trong việc thay đổi kích thước.

Bên cạnh đó, có những tác vụ không phù hợp để thực hiện trên một môi trường dùng một lần như vậy. Bất kỳ tác vụ nào cần chạy trong thời gian dài, dữ liệu cần lưu trữ lâu dài, hay các hệ thống cần sự giao tiếp giữa nhiều máy tính đều nên được triển khai trên máy ảo (VM) thực thụ, Docker hoặc LXC – những giải pháp được thiết kế cho những môi trường hoạt động ổn định và lâu dài.

Hãy chạy thử nghiệm AI agent trong sandbox trên máy tính của bạn!

Windows Sandbox rất phù hợp cho các tác vụ ngắn hạn, tiềm ẩn rủi ro và có tính lặp lại – đây chính xác là đặc điểm của các phiên chạy AI agent. Chẳng hạn, thiết lập bao gồm một vài file .wsb đặt trên desktop với các tùy chọn tắt mạng, tắt chia sẻ clipboard, đồng thời ánh xạ thư mục dự án ở chế độ chỉ đọc (read-only). AI agent có toàn quyền thao tác trên một máy tính ảo mà không lo làm hỏng hệ thống chính, còn bạn chỉ cần đóng cửa sổ lại khi công việc hoàn tất. Việc mất toàn bộ dữ liệu khi đóng ứng dụng – điều thoạt nghe có vẻ là điểm yếu – thực ra lại chính là mục đích cốt lõi của sandbox.