Trong thế giới công nghệ không ngừng đổi mới, trí tuệ nhân tạo (AI) đang ngày càng khẳng định vị thế của mình, len lỏi vào mọi ngóc ngách của đời sống và công việc. Tuy nhiên, đằng sau những lời quảng bá hoa mỹ về AI, vẫn còn những khía cạnh quan trọng chưa được hiểu đúng mức. Một trong số đó là sự trỗi dậy của AI Agent – những hệ thống phần mềm tự động được thiết kế để suy luận, lên kế hoạch và hành động một cách độc lập trong môi trường số.

AI Agent đang dần thay đổi cách chúng ta làm việc, nhưng đồng thời cũng đặt ra những thách thức về bảo mật và quản lý danh tính mà nhiều tổ chức chưa sẵn sàng đối mặt.

Khác với những hệ thống tự động hóa đơn thuần chỉ thực hiện các tác vụ lặp đi lặp lại theo kịch bản định sẵn, AI Agent có khả năng tự diễn giải mục tiêu, đưa ra quyết định và tương tác với các hệ thống khác theo những cách tương tự như con người. Tuy nhiên, chúng lại hoạt động mà không cần sự giám sát liên tục, tạo ra một khoảng trống lớn trong việc kiểm soát truy cập, xác định trách nhiệm và xây dựng lòng tin.

Trong môi trường mà AI Agent có thể tự do truy xuất dữ liệu, sử dụng công cụ và thay đổi hệ thống, việc xác định ai hoặc thành phần nào chịu trách nhiệm cho một hành động cụ thể trở nên vô cùng khó khăn. Liệu đó là người dùng cuối khởi tạo quy trình làm việc, bộ điều phối trung tâm, bộ máy suy luận hay công cụ kết nối với hệ thống bên ngoài? Để trả lời câu hỏi này, chúng ta cần một cách tiếp cận mới về quản lý danh tính và bảo mật, vượt xa những gì mà các tổ chức hiện đang áp dụng.

Bài viết này sẽ đi sâu vào cấu trúc của AI Agent, những lỗ hổng về danh tính mà chúng tạo ra, và các nguyên tắc cần thiết để quản lý chúng một cách hiệu quả, khi chúng ngày càng đóng vai trò quan trọng trong các doanh nghiệp hiện đại.

Bản chất của AI Agent

Về cơ bản, AI Agent là những cấu trúc phần mềm được thiết kế để thực hiện các tác vụ phức tạp, đa bước với sự can thiệp tối thiểu của con người. Chúng kết hợp các mô hình ngôn ngữ lớn (LLM) với các công cụ tích hợp để điều hướng quy trình làm việc, truy vấn dữ liệu và tương tác với các hệ thống phần mềm thay mặt cho người dùng hoặc tổ chức.

Tuy nhiên, điều quan trọng là phải nhìn nhận những công nghệ này một cách thực tế, tránh xa những lời lẽ hoa mỹ. AI Agent không phải là những thực thể duy nhất, cũng không phải là những cá thể có ý định độc lập. Thay vào đó, chúng là tập hợp của các thành phần phần mềm tương tác với nhau, mỗi thành phần đóng góp vào chức năng tổng thể của agent.

Một AI Agent điển hình bao gồm:

• Bộ điều phối (Orchestrator): Điều phối việc thực thi và duy trì trạng thái hoặc bộ nhớ trong suốt các tương tác.
• Bộ máy suy luận (Reasoning Engine): Xác định các hành động tiếp theo dựa trên mục tiêu, ngữ cảnh và thông tin đang thay đổi.
• Công cụ và trình kết nối (Tools and Connectors): Giao tiếp với các dịch vụ bên ngoài, chẳng hạn như nền tảng cộng tác, lưu trữ đám mây hoặc ứng dụng kinh doanh.
• Môi trường (Environment): Môi trường thời gian chạy, thường là máy ảo, container hoặc hàm, nơi mỗi thành phần hoạt động.

Cấu trúc mô-đun này, mặc dù có lợi cho tính linh hoạt và khả năng mở rộng, nhưng lại phá vỡ các ranh giới truyền thống của việc kiểm soát danh tính và truy cập. Mỗi thành phần có thể hoạt động trong miền tin cậy riêng, nhưng tập thể lại thực hiện các quy trình làm việc có tác động thực tế đến bảo mật dữ liệu và tính toàn vẹn của hệ thống.

Các cột mốc trong quá trình phát triển của Agentic AI

Sự trưởng thành của AI Agent không xảy ra một cách biệt lập mà là thông qua những tiến bộ gia tăng trong một số lĩnh vực kỹ thuật.

Sự xuất hiện của các mô hình dựa trên transformer vào khoảng năm 2020 đã giới thiệu LLM có khả năng thực hiện các tác vụ ngôn ngữ và suy luận mục đích chung trên nhiều lĩnh vực. Các mô hình này đặt nền móng cho các quy trình làm việc tự động phức tạp hơn.

Đến năm 2022, các kỹ thuật như ReAct và các nền tảng phát triển như LangChain đã chứng minh cách LLM có thể tương tác với các công cụ bên ngoài, cho phép các quy trình suy luận đa bước vượt xa khả năng truy xuất thông tin thụ động.

Năm sau, các framework agent ban đầu, bao gồm Auto-GPT và BabyAGI, đã nâng cao những khái niệm này bằng cách điều phối LLM với các công cụ và dịch vụ thực tế để thực hiện các quy trình làm việc tự động – mặc dù với các biện pháp bảo vệ hạn chế.

Năm 2025, những nỗ lực chính thức hóa các biện pháp bảo mật đã đạt được động lực. Việc giới thiệu Giao thức Ngữ cảnh Mô hình (MCP) đã cung cấp một phương pháp có cấu trúc để quản lý cách AI Agent tương tác với các dịch vụ bên ngoài, tách biệt các chức năng suy luận, thực thi và truy cập. Điều này đánh dấu một bước ngoặt quan trọng đối với việc kết hợp các phương pháp hay nhất về danh tính vào hệ sinh thái AI agent.

Những thách thức về danh tính của quyền tự chủ

Quyền tự chủ kỹ thuật của AI Agent bộc lộ những điểm yếu lâu đời trong cách xác định và thực thi danh tính kỹ thuật số. Trong môi trường thông thường, hành động của người dùng có thể quy cho các thông tin xác thực rời rạc – cho dù thuộc về một cá nhân, một tài khoản dịch vụ hay một ứng dụng. Với AI Agent, ranh giới này trở nên kém rõ ràng hơn.

Hãy xem xét một agent truy cập tài nguyên đám mây. Hành động đó có bắt nguồn từ người dùng cuối đã khởi tạo quy trình làm việc không? Từ bộ điều phối điều phối việc thực thi? Từ bộ máy suy luận diễn giải nhiệm vụ? Hay từ một trình kết nối công cụ giao tiếp với hệ thống bên ngoài?

Các framework quản lý truy cập và danh tính (IAM) truyền thống không được trang bị tốt để trả lời những câu hỏi này.

Nếu không có mô hình danh tính theo lớp, dành riêng cho từng thành phần:

• Việc quy kết trở nên mơ hồ, gây khó khăn cho cả việc giám sát hoạt động và điều tra sau sự cố.
• Kiểm soát truy cập với đặc quyền tối thiểu bị phá vỡ, vì quyền thường mở rộng ra ngoài phạm vi dự định của chúng.
• Các yêu cầu tuân thủ, bao gồm ghi nhật ký kiểm tra và theo dõi hoạt động, không thể được đáp ứng một cách đáng tin cậy.

Sự mơ hồ này làm suy yếu các nguyên tắc cốt lõi của bảo mật hiện đại và khiến các tổ chức phải đối mặt với những rủi ro có thể phòng ngừa được.

Rủi ro của bí mật tĩnh và cấp phép quá mức

Trong nhiều triển khai giai đoạn đầu, AI Agent dựa vào thông tin xác thực được mã hóa cứng được lưu trữ trong tệp cấu hình, biến môi trường hoặc được nhúng trực tiếp trong các thành phần phần mềm. Cách tiếp cận này, mặc dù thuận tiện cho việc phát triển, nhưng lại gây ra một số rủi ro đáng kể.

Bí mật tĩnh hiếm khi được giới hạn ở mức truy cập tối thiểu cần thiết. Thay vào đó, chúng thường mở khóa các chức năng rộng lớn trên các công cụ và dịch vụ, tạo ra rủi ro không tương xứng nếu bị xâm phạm. Hơn nữa, sau khi triển khai, những thông tin xác thực này rất khó xoay vòng một cách nhất quán, để lại các lỗ hổng dai dẳng trong môi trường hoạt động.

Việc thực hành cấp phép quá mức – cung cấp cho các thành phần phần mềm nhiều quyền truy cập hơn mức chúng cần để hoạt động – làm trầm trọng thêm tình hình. Mặc dù điều này có thể đơn giản hóa việc phát triển và khắc phục sự cố, nhưng nó làm mở rộng đáng kể tác động tiềm tàng của việc đánh cắp thông tin xác thực, cấu hình sai hoặc khai thác.

Những thiếu sót này phản ánh những thách thức quen thuộc trong bảo mật khối lượng công việc, nhưng trở nên nghiêm trọng hơn trong các kiến trúc agent tự trị, phân tán.

Nguyên tắc bảo mật hệ thống tự trị

Giải quyết các lỗ hổng về danh tính và truy cập do AI Agent gây ra đòi hỏi phải áp dụng một cách tiếp cận có nguyên tắc, tập trung vào khối lượng công việc để bảo mật – một cách tiếp cận mở rộng các khái niệm quen thuộc từ quản lý danh tính người dùng sang các tác nhân phi con người, dựa trên phần mềm.

1) Xác thực độc lập cho từng thành phần

Mọi thành phần trong AI Agent – cho dù là bộ điều phối, bộ máy suy luận hay trình kết nối công cụ – đều phải có danh tính có thể xác minh bằng mật mã riêng. Điều này cho phép kiểm soát truy cập chi tiết, đánh giá độ tin cậy thời gian chạy và khả năng kiểm tra hoàn chỉnh.

2) Liên kết danh tính khối lượng công việc

Ở những nơi được hỗ trợ, các tổ chức nên triển khai liên kết danh tính khối lượng công việc, cho phép xác thực an toàn trên các đám mây, dịch vụ và đối tác mà không cần dựa vào các bí mật tồn tại lâu dài.

3) Thực thi truy cập có điều kiện

Các chính sách truy cập nên kết hợp các yếu tố theo ngữ cảnh, bao gồm vị trí địa lý, thời gian truy cập, tư thế hệ thống và tín hiệu tình báo về mối đe dọa, giảm thiểu rủi ro trong môi trường động.

4) Thông tin xác thực tồn tại trong thời gian ngắn

Khi quyền truy cập công cụ yêu cầu bí mật tạm thời, các tổ chức nên cung cấp thông tin xác thực giới hạn thời gian với các đặc quyền được xác định hẹp, giảm thiểu rủi ro trong trường hợp bị xâm phạm.

5) Khả năng quan sát toàn diện

Ghi nhật ký nên mở rộng ra ngoài các bản ghi truy cập truyền thống để nắm bắt toàn bộ chuỗi nhân quả – từ hướng dẫn của người dùng đến suy luận của agent đến lệnh gọi API – đảm bảo khả năng truy xuất nguồn gốc để bảo mật, tuân thủ và giám sát hoạt động.

Tóm lại

Quyền tự chủ do AI Agent mang lại thể hiện một cột mốc kỹ thuật, nhưng cũng là một loại thách thức danh tính mới mà các tổ chức phải đối mặt. Các hệ thống này, do tính mô-đun và thực thi phân tán của chúng, làm mờ các ranh giới thông thường xung quanh kiểm soát truy cập, quy kết và tin cậy.

Các chuyên gia DevSecOps hiện đang phải đối mặt với cơ hội áp dụng các bài học về quản lý danh tính khối lượng công việc khi bắt đầu áp dụng công nghệ này, thay vì để đối phó với các sự cố trong tương lai.

Bằng cách coi mỗi thành phần phần mềm là một khối lượng công việc riêng biệt, nhận biết danh tính và tích hợp khả năng quan sát với thực thi theo ngữ cảnh, các tổ chức có thể thiết lập nền tảng bảo mật bền vững cho AI Agent. Khi các công nghệ này phát triển, thì các framework danh tính quản lý hành vi của chúng cũng phải phát triển theo.

Giải quyết những thách thức này một cách kỷ luật ngay hôm nay sẽ tránh được những hậu quả lớn hơn vào ngày mai.

Giải thích thuật ngữ

• AI Agent (tác nhân AI): Một hệ thống phần mềm tự động có khả năng suy luận, lên kế hoạch và hành động để đạt được mục tiêu cụ thể mà không cần sự can thiệp liên tục của con người.
• LLM (mô hình ngôn ngữ lớn): Một loại mô hình AI được huấn luyện trên lượng lớn dữ liệu văn bản để hiểu, tạo và thao tác ngôn ngữ tự nhiên.
• IAM (quản lý truy cập và danh tính): Một framework bảo mật để quản lý danh tính kỹ thuật số và kiểm soát quyền truy cập vào tài nguyên hệ thống.
• DevSecOps: Một phương pháp luận phát triển phần mềm tích hợp bảo mật vào mọi giai đoạn của quy trình, từ lập kế hoạch đến triển khai và vận hành.
• Workload Identity Federation (Liên kết danh tính khối lượng công việc): Cho phép xác thực an toàn trên các đám mây, dịch vụ và đối tác mà không cần dựa vào các bí mật tồn tại lâu dài.