Bảo mật AI agent đang đi qua một lộ trình trưởng thành quen thuộc: chấp nhận, sau đó là khả năng hiển thị (visibility), và cuối cùng là kiểm soát (control). Nhưng điều mà chúng ta cùng nhận ra là việc thực thi quyền tối thiểu (least privilege) cho các AI agent khó khăn hơn nhiều so với tưởng tượng. Đây là lý do tại sao có rất nhiều phương pháp tiếp cận, từ lọc prompt đến kiểm soát truy cập lớp định danh. Điểm mấu chốt mà chúng ta đạt được là việc hiểu được ý định (intent) của AI agent là yếu tố thiết yếu để bảo mật chúng. Điều này không dễ dàng, nhưng đó là con đường duy nhất phía trước.
Các tổ chức tiếp cận thách thức này với mức độ tinh vi khác nhau. Đối với nhiều bên, mục tiêu hiện tại chỉ đơn giản là tìm ra các AI agent đang hoạt động trong doanh nghiệp. Đó là bước đầu tiên cần thiết. AI agent đang xuất hiện trong các nền tảng SaaS, môi trường lập trình (developer environments), luồng công việc đám mây (cloud workflows), hệ thống hỗ trợ khách hàng, công cụ năng suất và các ứng dụng nội bộ. Một số được phê duyệt, số khác thì không.
Nhưng nếu chỉ dừng lại ở việc phát hiện (discovery) thì không có nhiều giá trị. AI agent không hề thụ động; chúng suy luận, lập kế hoạch, gọi công cụ, kích hoạt API, truy cập dữ liệu và thực hiện hành động mà không cần con người can thiệp. Rủi ro không phải là tổ chức có quá nhiều agent. Rủi ro là các agent đó có thể hoạt động xuyên suốt các hệ thống mà không có sự nhất quán về định danh (identity), ý định, quyền sở hữu và thực thi (enforcement). Ngoài ra còn có nhiều loại AI agent khác nhau, mỗi loại đòi hỏi một phương pháp bảo mật riêng.
Hướng dẫn gần đây về việc áp dụng cẩn thận các dịch vụ agentic AI đã nêu rõ: agentic AI gây ra các rủi ro về đặc quyền, xác thực, trách nhiệm giải trình, thiết kế và hành vi mà các đội ngũ bảo mật cần giải quyết trước khi các hệ thống này được nhúng sâu vào các luồng công việc quan trọng. Hiển thị là vạch xuất phát, nhưng thực thi mới là điều quan trọng.
Bẫy Hiển thị (The Visibility Trap)
Hầu hết các chương trình bảo mật đều bắt đầu với câu hỏi: "Chúng ta đang có cái gì?" Điều đó có ý nghĩa đối với cloud, SaaS, endpoint, identity và vulnerability. Nó cũng có ý nghĩa đối với AI agent.
Nhưng rủi ro của việc chỉ dừng lại ở khả năng hiển thị đối với AI agent lớn hơn so với mọi môi trường khác trong danh sách kể trên, bởi vì tốc độ tạo ra AI agent, những gì chúng có quyền truy cập và cách chúng có thể được chia sẻ.
Một danh mục AI agent không kết nối với việc thực thi sẽ trở thành một danh sách tài sản tĩnh khác. Nó có thể cho biết một agent tồn tại, nhưng không thể cho bạn biết liệu quyền truy cập của agent đó có phù hợp hay không, hành vi của nó có khớp với mục đích hay không, chủ sở hữu của nó có còn chịu trách nhiệm hay không, hoặc khi nào các quyền của nó nên bị thu hồi khi điều kiện thay đổi. Đối với AI agent, hiển thị mà không có thực thi tạo ra một loại niềm tin nguy hiểm, nơi người ta dễ cảm thấy đang kiểm soát được tình hình trong khi thực tế lại hoàn toàn khác.
Tại sao AI Agent phá vỡ các mô hình truy cập tĩnh
Kiểm soát truy cập truyền thống giả định một mức độ dự đoán nhất định. Quản lý Định danh và Truy cập (IAM) của con người là dễ dàng nhất, vì mỗi người có một chức năng công việc. Quản lý định danh không phải con người hoặc máy (non-human/machine identity) phức tạp hơn, nhưng một service account vẫn hỗ trợ một khối lượng công việc (workload) xác định. Những giả định này tuy không hoàn hảo, nhưng chúng đã cung cấp cho các đội ngũ bảo mật nền tảng cho các vai trò (roles), quyền hạn (entitlements), phê duyệt, đánh giá truy cập và dọn dẹp định kỳ.
AI agent thì không hề tĩnh. Một agent được định nghĩa ít hơn bởi một luồng công việc cố định và nhiều hơn bởi một mục tiêu. Nó có thể diễn giải các chỉ dẫn, gọi các công cụ khác nhau và điều chỉnh hành động của mình dựa trên ngữ cảnh. Hai agent có quyền hạn tương tự nhau có thể có hồ sơ rủi ro rất khác nhau, tùy thuộc vào những gì mỗi agent đang cố gắng hoàn thành.
Truy cập tĩnh là không đủ vì AI agent có nhiều khả năng được sử dụng theo những cách không được lường trước khi cấp quyền. Vấn đề không phải lúc nào cũng là hành vi độc hại mà là sự mơ hồ gây ra rủi ro, chẳng hạn như một nhiệm vụ mở rộng vượt ra ngoài mục đích ban đầu của nó.
Câu hỏi mà các đội ngũ bảo mật cần đặt ra không chỉ là "agent này có thể truy cập những gì?". Câu hỏi quan trọng hơn là: Agent này nên được phép làm gì, trong những điều kiện này, vì mục đích này? Đó là một câu hỏi về thực thi (enforcement).
Thực thi bắt đầu từ việc thấu hiểu tốt hơn
Việc thực thi AI agent hiệu quả không thể chỉ được gắn thêm vào một danh mục cơ bản, thiếu ngữ cảnh. Các đội ngũ bảo mật cần đối chiếu thông tin giữa chủ sở hữu, người dùng, định danh, hệ thống, quyền hạn và ý định trước khi họ có thể xác định các biện pháp kiểm soát có ý nghĩa.
Điều đó có nghĩa là phải hiểu một agent qua nhiều khía cạnh:
- Quyền sở hữu (Ownership): Ai sở hữu agent? (Điều này có thể khó hơn bạn tưởng.)
- Người dùng (Consumers): Ai đang sử dụng agent?
- Định danh (Identity): Những định danh, token, secret, OAuth grant và service account nào mà agent sử dụng?
- Ý định (Intent): Agent được giao nhiệm vụ hoàn thành điều gì?
- Truy cập (Access): Hệ thống, ứng dụng, kho dữ liệu, API và cơ sở hạ tầng nào mà nó có thể chạm tới?
- Sử dụng (Usage): Agent thực tế đã làm gì và tần suất như thế nào?
- Nguồn gốc (Origin): Agent được tạo ra như thế nào?
- Vòng đời (Lifecycle): Agent đang hoạt động, tạm dừng hay không còn gắn liền với mục đích ban đầu?
Đây là nơi nhiều tổ chức gặp khó khăn vì ngữ cảnh của agent bị phân tán. Dữ liệu định danh nằm ở một nơi. Quyền hạn đám mây ở một nơi khác. Các tích hợp SaaS có mô hình riêng. Infrastructure as code có thể tiết lộ các mô hình triển khai dự kiến, nhưng ngữ cảnh đó hiếm khi được đối chiếu với phần còn lại. Quyền sở hữu có thể rõ ràng với người tạo ra agent nhưng lại vô hình với những người khác.
Nếu không có sự đối chiếu, việc thực thi sẽ trở thành phỏng đoán. Với sự đối chiếu, các đội ngũ bảo mật có thể bắt đầu xác định các quy tắc phản ánh cách các agent thực sự vận hành.
Từ khắc phục sự cố đến quy tắc thực thi
Nhiều công cụ bảo mật đánh đồng việc thực thi với khắc phục sự cố (remediation). Khi phát hiện thấy rủi ro, một playbook sẽ mở một ticket, xóa quyền truy cập, vô hiệu hóa định danh hoặc thông báo cho chủ sở hữu. Điều đó hữu ích, nhưng không đủ đối với agentic AI. AI agent cần được thực thi trước, trong và sau khi chúng thực hiện hành động.
Các đội ngũ bảo mật cần chuyển từ việc hỏi "Nên loại bỏ cái gì sau khi phát hiện rủi ro?" sang "Agent này nên được phép làm gì ngay từ đầu?". Sự thay đổi đó chuyển việc thực thi từ dọn dẹp sang kiểm soát. Sau đó, các tổ chức có thể xác định các quy tắc như:
- Một agent hỗ trợ khách hàng có thể đọc lịch sử ticket, nhưng không thể xuất dữ liệu khách hàng với số lượng lớn.
- Một trợ lý lập trình có thể đề xuất thay đổi, nhưng không thể đẩy (push) lên môi trường production mà không có luồng công việc được phê duyệt.
- Một agent vận hành đám mây có thể kiểm tra sai lệch cấu hình, nhưng không thể sửa đổi các vai trò có đặc quyền cao.
- Một agent tài chính có thể tạo báo cáo, nhưng không thể thực hiện thanh toán hoặc thay đổi chi tiết nhà cung cấp.
- Một agent bảo mật có thể phân loại cảnh báo, nhưng không thể xóa log hoặc chặn các phát hiện (detections).
Các quy tắc này không thể được quản lý hiệu quả bên trong từng nền tảng AI riêng lẻ. Doanh nghiệp sẽ sử dụng nhiều nền tảng agent, các agent tích hợp sẵn trong SaaS, framework nội bộ, dịch vụ đám mây và công cụ lập trình. Mỗi loại có thể có các biện pháp kiểm soát, log và mô hình quyền hạn riêng. Các đội ngũ bảo mật cần một cách nhất quán để quản trị các agent trong môi trường phân mảnh đó. Đó là lý do tại sao lớp điều khiển (control plane) tiếp theo cho AI agent phải lấy định danh làm trung tâm, nhận biết ngữ cảnh và không phụ thuộc vào nền tảng (platform-agnostic).
Vai trò của Ý định trong Thực thi
Định danh trả lời cho câu hỏi agent đó là ai. Quyền hạn trả lời cho việc quyền truy cập nào đang tồn tại. Ý định (Intent) trả lời cho lý do tại sao quyền truy cập đó nên được kích hoạt.
Khía cạnh ý định là vô cùng thiết yếu. Rủi ro của AI agent không thể chỉ được hiểu bằng cách xem liệu một lời gọi API có được phép về mặt kỹ thuật hay không. Các đội ngũ bảo mật cần đánh giá xem một hành động có phù hợp với mục đích đã được phê duyệt của agent hay không.
Thực thi dựa trên ý định cung cấp cho các tổ chức một mô hình kiểm soát chính xác hơn. Nó cho phép các đội ngũ bảo mật chuyển từ các quyền hạn tĩnh, rộng sang truy cập có điều kiện dựa trên mục đích và ngữ cảnh. Điều đó không có nghĩa là mọi hành động đều phải được phê duyệt thủ công. Nó có nghĩa là các hành động rủi ro cao phải được ràng buộc bởi vai trò, chủ sở hữu, nhiệm vụ, môi trường và kết quả mong đợi của agent.
Tài liệu OWASP Top 10 cho các ứng dụng Agentic nhấn mạnh các rủi ro như lạm dụng định danh và đặc quyền, lạm dụng công cụ, giao tiếp không an toàn giữa các agent, lỗi dây chuyền và các agent mất kiểm soát (rogue agents). Tất cả những rủi ro này đều dẫn đến cùng một kết luận: các biện pháp kiểm soát bảo mật phải hiểu được lý do hành động của agent.
Một lớp điều khiển duy nhất cho Agentic AI
AI agent không chỉ sống trong một nền tảng. Chúng tồn tại khắp doanh nghiệp. Trong khi các định danh máy "truyền thống" được tạo ra bởi các đội ngũ IT, Developer và DevSecOps, thì AI agent được tạo ra bởi mọi vai trò trong tổ chức. Một số agent sẽ hoạt động trong môi trường đám mây, trong khi số khác chạy cục bộ. Một số sẽ được nhúng vào các luồng công việc kinh doanh mà các đội ngũ bảo mật không trực tiếp quản lý.
Các biện pháp kiểm soát theo từng nền tảng cho AI agent sẽ không thể mở rộng. Mỗi nền tảng có thể cung cấp các agent riêng của nó, nhưng không có nền tảng đơn lẻ nào có thể nhìn thấy bức tranh toàn cảnh của doanh nghiệp về định danh, truy cập, quyền sở hữu và vòng đời. Các tổ chức cần một lớp điều khiển thống nhất có thể hiểu các agent trên các môi trường và thực thi các quy tắc nhất quán.
Lớp điều khiển đó nên làm ba việc:
- Phát hiện (Discover): Tìm kiếm agent ở bất cứ nơi nào chúng tồn tại.
- Thấu hiểu (Understand): Đối chiếu agent với định danh, chủ sở hữu, quyền truy cập, ngữ cảnh cơ sở hạ tầng, mức độ sử dụng và ý định.
- Thực thi (Enforce): Áp dụng các quy tắc quản lý những gì agent có thể làm, khi nào chúng có thể làm và quyền truy cập nên thay đổi như thế nào khi ngữ cảnh thay đổi.
Hãy xem cách các giải pháp bảo mật ưu tiên AI như Token Security phát hiện, thấu hiểu và thực thi những gì AI agent của bạn có thể làm trên mọi nền tảng.
Đây là sự khác biệt giữa việc quản lý sự bùng phát agent (agent sprawl) và quản trị agentic AI. Sự bùng phát xảy ra khi mọi nền tảng, đội ngũ và đơn vị kinh doanh tạo ra các agent một cách độc lập. Quản trị xảy ra khi tổ chức có thể áp dụng các biện pháp kiểm soát nhất quán trên toàn bộ hoạt động đó mà không ngăn cản sự đổi mới.
Các nhà lãnh đạo bảo mật nên làm gì ngay bây giờ
Các đội ngũ bảo mật không cần đợi các tiêu chuẩn hoàn hảo hoặc các công cụ hoàn toàn trưởng thành trước khi hành động. Họ có thể bắt đầu xây dựng mô hình vận hành ngay bây giờ.
Bước đầu tiên là ngừng coi khả năng hiển thị AI agent là đích đến. Tất nhiên, việc kiểm kê agent là nền tảng cho việc thực thi. Mỗi agent nên được ánh xạ tới một chủ sở hữu, một mục đích, một định danh, một tập hợp các quyền hạn và một trạng thái vòng đời. Các agent không có chủ sở hữu nên được điều tra, các agent có đặc quyền quá mức nên được điều chỉnh quy mô phù hợp, các agent không hoạt động nên được gỡ bỏ và các hành động rủi ro cao nên yêu cầu các biện pháp kiểm soát chặt chẽ hơn.
Nhưng cuối cùng, thực thi mới là điều quan trọng. Các nhà lãnh đạo bảo mật nên điều chỉnh việc quản trị AI agent phù hợp với IAM, bảo mật đám mây, bảo mật ứng dụng và các luồng công việc DevOps. Agentic AI không phải là một vũ trụ riêng biệt. Nó là phần mềm có quyền truy cập, tính tự chủ và tác động đến kinh doanh. Nó thuộc về mô hình bảo mật doanh nghiệp, nhưng mô hình đó phải phát triển.
Sáng kiến Tiêu chuẩn AI Agent của NIST cũng chỉ ra hướng đi tương tự, với công việc tập trung vào các tiêu chuẩn, giao thức, xác thực, cơ sở hạ tầng định danh và các tương tác an toàn giữa người-agent và đa agent (multi-agent). Thị trường đang tiến tới cùng một kết luận: AI agent cần được quản trị như các tác nhân có thẩm quyền, chứ không phải được đối xử như các ứng dụng thông thường với giao diện chatbot.
Hiển thị là khởi đầu, Thực thi là mục tiêu
Làn sóng bảo mật AI agent đầu tiên là về nhận thức. Các tổ chức cần hiểu rằng các agent đang xâm nhập vào doanh nghiệp và tạo ra các rủi ro định danh mới. Thông điệp đó đã được truyền tải, và mọi đội ngũ bảo mật và IAM đều biết họ cần khả năng hiển thị. Làn sóng tiếp theo là thực thi.
Các doanh nghiệp cần xác định những gì agent được phép làm và áp dụng các quy tắc nhất quán trên các nền tảng. Họ cần chuyển từ "Có những agent nào đang tồn tại?" sang "Agent nào có thể thực hiện những hành động nào, trong những điều kiện nào và ai là người chịu trách nhiệm?".
Đó là lớp điều khiển mà agentic AI yêu cầu. Không phải là một bảng điều khiển (dashboard) khác hay một danh sách tĩnh. AI agent đang trở thành những người tham gia tích cực vào các hoạt động của doanh nghiệp. Chúng sẽ viết mã, quản lý cơ sở hạ tầng, di chuyển dữ liệu, cập nhật hệ thống và thực hiện các luồng công việc. Các tổ chức thành công với agentic AI sẽ không phải là những bên chỉ đơn thuần tìm thấy mọi agent. Họ sẽ là những người hiểu rõ từng agent đủ để kiểm soát những gì nó có thể làm.
