Trong nhiều năm, việc điều hướng lưu lượng truy cập qua các Cloud Proxy là giải pháp đủ tốt. Tuy nhiên, khi công việc dần chuyển dịch sang trình duyệt, AI bắt đầu tham gia vào quy trình làm việc, và mô hình kiểm tra gói tin truyền thống đã không còn theo kịp.
Các quy trình làm việc của doanh nghiệp hiện nay diễn ra trên các ứng dụng SaaS, trình duyệt và một hệ sinh thái đang mở rộng của các công cụ AI tạo sinh (Generative AI), các tiện ích mở rộng trình duyệt chưa được phê duyệt và các tác nhân tự trị (Autonomous Agents). Nhân viên thường xuyên dán tài sản trí tuệ vào các LLM công cộng để tối ưu hóa mã nguồn, trong khi các tác nhân tự động truy vấn tài liệu nội bộ và di chuyển dữ liệu qua các hệ thống với tốc độ máy học. Thách thức không phải là do SASE thất bại, mà là do các tương tác dữ liệu đã chuyển sang lớp trình diễn (presentation layer) – một khu vực mà các kiến trúc lấy mạng làm trung tâm chưa bao giờ được thiết kế để giám sát. Sự chuyển đổi mô hình cấu trúc này được khám phá chi tiết trong Hướng dẫn về Kiến trúc SASE Hiện đại.
Tại sao các biện pháp thực thi truyền thống lại gặp khó khăn
SASE truyền thống dựa vào việc truyền tải lưu lượng về các Cloud Proxy để giải mã, kiểm tra và thực thi chính sách. Tuy nhiên, các giao thức internet hiện đại, cụ thể là TLS 1.3, HTTP/3 và Certificate Pinning, được thiết kế rõ ràng để ngăn chặn loại hình can thiệp trung gian (Man-in-the-middle) này.
Khi một Cloud Proxy cố gắng ép buộc giải mã trên một phiên TLS 1.3 có sử dụng Certificate Pinning, ứng dụng khách thường sẽ ngắt kết nối. Để ngăn chặn việc gián đoạn các dịch vụ kinh doanh quan trọng, các đội ngũ mạng buộc phải tạo ra các ngoại lệ bỏ qua (bypass exceptions). Điều này tạo ra một vấn đề về cấu trúc: các tổ chức kết thúc bằng việc duy trì danh sách ngoại lệ khổng lồ, âm thầm thu hẹp phạm vi bảo mật của mình trên từng ứng dụng chỉ để giữ cho các công cụ hoạt động bình thường.
Ngoài lỗ hổng bảo mật, mô hình này còn gây ra gánh nặng về hiệu suất cho lực lượng lao động. Việc ép buộc các phiên làm việc đi qua các lộ trình kiểm tra đám mây xa xôi tạo ra một loại "thuế đường vòng", gây ra độ trễ ứng dụng và làm giật lag các cuộc gọi video. Khi hạ tầng bảo mật làm cho các công cụ quan trọng trở nên chậm chạp hoặc không ổn định, người dùng sẽ chủ động tìm kiếm các giải pháp Shadow IT để duy trì năng suất, từ đó mở rộng chính bề mặt tấn công mà bộ phận IT đang cố gắng bảo vệ.
AI và "Thời điểm của ý định" (Moment of Intent)
AI và các quy trình làm việc dựa trên tác nhân (Agentic Workflows) đã khiến khoảng cách kiến trúc này không thể bị ngó lơ. Một Proxy mạng truyền thống chỉ nhìn thấy một kết nối HTTPS hợp lệ, đã mã hóa tới nhà cung cấp LLM. Nó không thể thấy được ý định trong nội dung tải trọng (payload), chẳng hạn như một tác nhân AI tự trị sử dụng các lệnh gọi công cụ Model Context Protocol (MCP) để lấy mã nguồn độc quyền hoặc tài liệu nội bộ.
Vào thời điểm dữ liệu đến điểm kiểm tra mạng, tương tác đã diễn ra xong. "Thời điểm của ý định" đã trôi qua. Điều này khiến các đội ngũ bảo mật rơi vào thế tiến thoái lưỡng nan: chặn hoàn toàn AI và đẩy người dùng sang Shadow IT, hoặc cho phép sử dụng không hạn chế và chấp nhận việc dữ liệu bị mờ mịt hoàn toàn. Hướng dẫn về Kiến trúc SASE Hiện đại cung cấp các khung đánh giá chi tiết cho vấn đề này.
Sự chuyển dịch kiến trúc
Để quản lý AI và SaaS hiện đại, việc thực thi phải diễn ra tại điểm tương tác, ngay trên thiết bị: trình duyệt và điểm cuối (Endpoint). Khi yêu cầu bảo mật hoặc điều hướng ở cấp độ mạng, lưu lượng phải được chuyển hướng linh hoạt đến hạ tầng biên gần nhất hiện có, loại bỏ các bước nhảy (hops) dư thừa và các vòng lặp gây giảm hiệu suất.
Việc đánh giá chính sách tại "dặm cuối" (last mile) thay đổi hoàn toàn mô hình thực thi:
- Bảo vệ dữ liệu theo ngữ cảnh: Nội dung sao chép, dán và câu lệnh (prompt) được kiểm tra cục bộ trước khi dữ liệu rời khỏi thiết bị.
- Căn chỉnh giao thức gốc: Các giao thức mã hóa hiện đại hoạt động nguyên bản mà không cần các quy trình giải mã xâm lấn.
- Hiệu suất đường truyền trực tiếp: Lên đến 90% lưu lượng đáng tin cậy đi theo đường trực tiếp đến đích, loại bỏ "thuế đường vòng" của Proxy và khôi phục tốc độ ứng dụng nguyên bản cho người dùng cuối.
Sự chuyển dịch này đang thúc đẩy việc áp dụng kiến trúc "Perfect Packet", một mô hình đánh giá ngữ cảnh tại điểm cuối trước khi điều hướng, chỉ yêu cầu kiểm tra đám mây khi một phiên làm việc cần xác minh bổ sung.
Tìm hiểu thêm
Việc thực thi lấy mạng làm trung tâm không thể quản lý những gì xảy ra bên trong một tab ứng dụng hoặc một quy trình làm việc AI. Để tìm hiểu cách các kiến trúc hiện đại đang lấp đầy khoảng trống hiển thị của Proxy trong khi vẫn khôi phục hiệu suất ứng dụng, hãy tải xuống bản hướng dẫn The Perfect Packet: A Guide to Modern SASE Architecture.
