ADR: bảo mật AI agent trong doanh nghiệp
/ADR
ADR (Agentic AI Detection and Response) là bộ công cụ mã nguồn mở của Uber để theo dõi hành vi AI agent lập trình và phát hiện phiên làm việc rủi ro trước khi gây hại. Các phần đã phát hành — Sensor, ADR-Bench và Detector — tạo thành một hệ thống hoàn chỉnh, không phải bản demo: bộ phát hiện hai tầng là thiết kế hợp lý. Hãy dùng nếu bạn muốn benchmark hệ thống bảo mật agent trước các kỹ thuật tấn công đã biết; bỏ qua nếu cần chặn hành động tự động, vì Prevention chưa phát hành.
ADR là gì?
ADR (Agentic AI Detection and Response) là hệ thống bảo mật doanh nghiệp Uber xây dựng để bảo vệ AI agent như Cursor, Claude Code và Codex, cùng agent chăm sóc khách hàng, theo README dự án. ADR ghi lại ý định của agent và công cụ nó thực sự gọi, rồi đưa dấu vết đó qua bộ phát hiện để gắn cờ phiên đáng ngờ. Bản mã nguồn mở gồm Sensor, ADR-Bench và Detector — không gồm Prevention, thành phần chặn hành động không an toàn.
Thách thức Bảo mật AI Agent
Các doanh nghiệp triển khai AI agent lập trình như Cursor, Claude Code và Codex cho nhân viên, cùng agent chăm sóc khách hàng của riêng họ, chưa có cách chung để xem những agent đó đã làm gì trong một phiên làm việc, hay kiểm tra xem lớp phòng vệ có bắt được một cuộc tấn công prompt injection trước khi nó chạm tới lệnh gọi công cụ hay không. Đội bảo mật đành phải tin tưởng đầu ra của agent một cách mù quáng hoặc tự dựng log riêng cho từng công cụ. README của ADR nói thẳng vấn đề này: nếu thiếu khả năng quan sát AI agent và một benchmark bao phủ các kỹ thuật tấn công thực tế, đội ngũ không thể biết lớp phòng thủ của mình có hiệu quả cho tới khi sự cố xảy ra.
Năng lực Cốt lõi của ADR
- ✓ADR Observability theo dõi việc một AI agent thực sự đã làm gì — mục tiêu của nó, những công cụ nó gọi, và toàn bộ đường đi thực thi phía sau mỗi hành động — trải rộng trên hơn 7 trợ lý lập trình AI, dù chạy trên macOS, Linux hay Windows, phục vụ tự động hóa nội bộ, hay xử lý hỗ trợ khách hàng trực tiếp.
- ✓ADR-Bench kiểm tra bảo mật agent với hơn 300 tác vụ, 133 MCP server, và bao phủ toàn bộ 17 kỹ thuật tấn công agent đã biết.
- ✓Detector của ADR chạy kiến trúc hai tầng: sàng lọc độ nhạy cao trước, rồi mới áp dụng suy luận agentic sâu hơn cho những phiên bị đánh dấu đáng ngờ.
- ✓Thành phần Sensor thu thập và chuẩn hóa dữ liệu giám sát từ Claude Code, Cursor, Codex và các công cụ khác về chung một schema, theo Sensor/README.md.
- ✓docs/REPRODUCIBILITY.md hướng dẫn toàn bộ quy trình đánh giá — giải nén bộ benchmark đã đóng gói, chạy các detector, và vẽ lại các biểu đồ trong bài báo.
- ✓Detector mặc định `adr` (song agent) đi kèm baseline `llamafirewall` không cần API key, giúp kiểm thử nhanh pipeline trước khi gắn key thật.
Bắt đầu với ADR Detection
Clone repo rồi thiết lập thành phần Detection bằng uv và khai báo API key của model: ```bash git clone https://github.com/uber/ADR cd ADR/Detection uv sync export ANTHROPIC_API_KEY="..." OPENAI_API_KEY="..." ``` Đó là toàn bộ phần Detection (ADR-Bench cộng với Detector). Việc cài đặt Sensor — thu thập dữ liệu giám sát và schema thống nhất — được tài liệu hóa riêng trong Sensor/README.md; README chính không nêu chi tiết các bước cài Sensor, nên bạn cần xem trực tiếp file đó.
Chạy ADR Benchmark và Detector
Detector mặc định là `adr`, thiết kế song agent của Uber; nếu chưa có API key, hãy đổi sang `--detector llamafirewall` để kiểm thử nhanh không cần key, theo Detection/README.md. Toàn bộ quy trình đánh giá — giải nén bộ benchmark đã đóng gói, chạy các detector, rồi vẽ lại biểu đồ của bài báo — được trình bày từng bước trong docs/REPRODUCIBILITY.md, đây cũng là nơi bạn tái tạo lại các con số trong bài báo MLSys 2026. Chi tiết ở cấp lệnh cho 133 MCP server và các tác vụ benchmark nằm trong Detection/README.md cùng với các detector baseline.
Điểm mạnh
- ✓Đã triển khai thực tế tại Uber và có bài báo được bình duyệt tại MLSys 2026 đứng sau — đây không phải bản nghiên cứu thử nghiệm chưa ai chạy với lưu lượng thật.
- ✓Detector hai tầng (sàng lọc nhanh, rồi mới suy luận sâu cho các phiên bị đánh dấu) là một đánh đổi hợp lý giữa chi phí và độ chính xác, thay vì chạy suy luận agentic đầy đủ cho mọi phiên.
- ✓133 MCP server và 17 kỹ thuật tấn công của ADR-Bench cho bạn một benchmark cụ thể, lặp lại được, thay vì một tuyên bố mơ hồ kiểu 'đã test nội bộ'.
- ✓Giấy phép Apache-2.0 giúp các phần mã nguồn mở dễ đưa vào codebase thương mại.
Phạm vi Bản Mã nguồn mở
- △ADR Prevention — phần chặn hành động không an toàn trước khi nó xảy ra — chưa có trong bản phát hành này; README chỉ ghi 'stay tuned' (hãy đón chờ).
- △Công cụ ADR Explorer chạy offline, dùng cho red team trước khi triển khai, cũng không được đưa vào repo mã nguồn mở.
- △Detection/ chỉ đi kèm dữ liệu benchmark tổng hợp — thông tin đăng nhập giả, môi trường mô phỏng — chứ không phải lưu lượng thực tế, nên điểm benchmark phản ánh các cuộc tấn công mô phỏng, không phải dữ liệu thực tế của Uber.
- △Đây là một dự án còn non, chưa có nhiều báo cáo lỗi từ bên thứ ba để đánh giá độ ổn định.
- △Detection/benchmark/agentdojo/ là mã nguồn bên thứ ba được đóng gói kèm theo, dùng giấy phép MIT riêng, khác với Apache-2.0 của phần còn lại trong repo — cần lưu ý khi rà soát giấy phép.
Các Công cụ Bảo mật AI Agent Khác
Câu hỏi Thường gặp
ADR (Agentic AI Detection and Response) được phát hành theo Apache License 2.0, ngoại trừ mã nguồn đóng gói kèm tại Detection/benchmark/agentdojo/ dùng giấy phép MIT riêng.
Bản mã nguồn mở gồm ADR Sensor (thu thập dữ liệu giám sát), ADR-Bench (benchmark bảo mật) và ADR Detector. Thành phần Prevention cùng công cụ ADR Explorer chạy offline cho red team chưa được công khai.
ADR (Agentic AI Detection and Response) đã được triển khai trong môi trường thực tế tại Uber, theo README của dự án và bài báo MLSys 2026 đi kèm.
Bài báo về ADR, được chấp nhận tại MLSys 2026, được gắn liên kết PDF trực tiếp trong repo, cùng với bộ slide trình bày cùng nội dung.
Các dữ liệu benchmark trong Detection/ của ADR-Bench là dữ liệu tổng hợp — thông tin đăng nhập giả, môi trường mô phỏng — phục vụ nghiên cứu bảo mật phòng thủ, không phải lưu lượng thực tế, theo ghi chú dữ liệu của repo.
Sensor của ADR thu thập dữ liệu giám sát từ Claude Code, Cursor và Codex cùng các công cụ lập trình AI khác, với README ghi nhận hơn 7 công cụ trên macOS, Linux và Windows, cùng agent chăm sóc khách hàng.
Trường hợp sử dụng tốt nhất
- •Benchmark hệ thống bảo mật AI agent tự xây hoặc mua ngoài trước hơn 300 tác vụ và 17 kỹ thuật tấn công của ADR-Bench, trước khi tin tưởng đưa vào production.
- •Dựng khâu thu thập dữ liệu giám sát cho Claude Code, Cursor và Codex qua một schema chuẩn hóa duy nhất, thay vì tự viết log riêng cho từng công cụ.
- •Chạy baseline `llamafirewall` không cần API key để kiểm tra nhanh pipeline detector trước khi gắn key thật.
- •Tái tạo lại các biểu đồ và số liệu phát hiện trong bài báo MLSys 2026 qua docs/REPRODUCIBILITY.md phục vụ đánh giá bảo mật nội bộ.
Nên dùng ai — và ai nên bỏ qua
Hãy thử ADR nếu bạn thuộc đội bảo mật hoặc platform đang chạy Claude Code, Cursor hoặc Codex nội bộ và muốn một benchmark cụ thể — hơn 300 tác vụ và 133 MCP server của ADR-Bench — để đo hệ thống phát hiện của chính mình, hoặc muốn một schema dữ liệu giám sát mẫu thay vì tự xây từ đầu. Bỏ qua nếu bạn cần chặn hành động tự động ngay hôm nay: Prevention chưa được mã nguồn mở, nên đầu ra của Detector vẫn phải đưa qua quy trình xử lý riêng của bạn. Nó cũng không hợp nếu bạn muốn một công cụ kiểm tra gọn nhẹ một file — Sensor, Detection và benchmark tạo thành một hệ thống nhiều phần với công sức cài đặt thật sự (uv, API key, hạ tầng MCP).
Repo liên quan
Muốn nghe thêm một ý kiến về ADR?
Hỏi một AI đọc được trang này — một cú bấm là có ngay nhận định về ADR.