Bảo mật cho Agent là bài toán nền tảng, không phải thách thức về kỹ thuật prompt

Các AI agent tự động thường vượt ra ngoài phạm vi dự định không phải vì ý đồ độc hại, mà do sự tích lũy dần dần quyền truy cập vào công cụ và thông tin xác thực (credentials). Trong một phân tích gần đây, hai đại sứ CNCF là William Rizzo và Francesco Beltramini lập luận rằng sự xói mòn ranh giới này là vấn đề cấu trúc hạ tầng, chứ không phải lỗi trong logic của agent hay quy trình quản trị.

Điều gì đã xảy ra

Vấn đề cốt lõi được xác định là sức mạnh hiệu quả của một agent được định nghĩa bởi các công cụ mà nó có thể truy cập, và phạm vi này thường mở rộng âm thầm theo thời gian. Một credential được cấp cho bản demo có thể tồn tại sang môi trường production, hoặc một quyền ủy quyền được thêm để gỡ rối cho một lần triển khai cụ thể lại trở thành quyền hạn vĩnh viễn. Sự trôi dạt này xảy ra vì quyền hạn được cấp gia tăng và cục bộ, mà không có một điểm quyết định tập trung. Đến khi các đội ngũ nhận ra rằng một agent có thể thực hiện hành động trái phép, thì khả năng đó có lẽ đã tồn tại từ nhiều tuần trước.

Nhiều tổ chức cố gắng giải quyết vấn đề này thông qua các hội đồng quản trị hoặc quy trình rà soát nghiêm ngặt hơn. Tuy nhiên, các phương pháp này chỉ quản lý các quyết định của con người, trong khi vấn đề bắt nguồn từ những khả năng xuất hiện mà không cần bất kỳ quyết định rõ ràng nào. Các tác giả cho rằng quy trình đơn thuần không thể xem xét một loại thay đổi chưa bao giờ nổi lên như một sự kiện riêng biệt. Thay vì dựa vào sự cảnh giác, hệ thống cần một lớp nền tảng tự động thực thi các ranh giới, bất kể có ai đang giám sát hay không.

Cách thức hoạt động

Việc dựa vào agent để tự kiểm soát giới hạn của chính nó thông qua các chỉ dẫn hoặc prompt là một cách tiếp cận có khiếm khuyết về mặt cấu trúc. Đầu ra của một agent là một phân phối xác suất, nghĩa là nó thường chọn đúng hành động nhưng có thể thất bại trong các điều kiện mới lạ hoặc mang tính đối kháng. Quan trọng hơn, ngay cả một agent tuân thủ hoàn hảo cũng sẽ thực thi bất kỳ hành động nào mà các công cụ của nó cho phép. Nếu một agent sở hữu công cụ chuyển tiền, nó có thể chuyển tiền, bất kể các chỉ dẫn nói ngược lại. Khả năng luôn ưu tiên hơn ý định, vì khả năng mới là thứ thực sự được thực thi.

Để giải quyết vấn đề này, các tác giả đề xuất Mô hình Vận hành An toàn (Safe Operating Model) dựa trên các vòng tròn đặc quyền tối thiểu (least privilege), coi agent như một workload tiêu chuẩn. Trung tâm là Danh tính (Identity), sử dụng các credential ngắn hạn và được chứng thực, để mọi bước kiểm tra phía sau biết chính xác đối tượng nào đang hành động. Vòng đầu tiên, Phạm vi tiếp cận (Reach), sử dụng service mesh để thực thi việc agent có thể kết nối với những dịch vụ nào, ngăn chặn sự phát triển âm thầm của đồ thị kết nối. Vòng thứ hai, Khả năng (Capability), tách biệt phần chấp thuận (công cụ nào agent được phép giữ) khỏi phần thực thi (agent có thể làm gì với chúng), yêu cầu ủy quyền cho từng lần gọi.

Điểm mấu chốt của mô hình này là đảm bảo agent không thể sửa đổi cấu hình của chính nó. Agent phải bị từ chối khả năng chỉnh sửa các chính sách hoặc đối tượng định nghĩa quyền hạn của nó. Những thay đổi đối với ranh giới phải đến từ cấu hình được kiểm soát phiên bản, do con người hoặc pipeline quản lý. Điều này tạo ra một xương sống xác định (deterministic spine) cho các workflow được quản lý chặt chẽ, nơi agent cung cấp khuyến nghị hoặc bản nháp, nhưng nền tảng sẽ thực thi các cổng cuối cùng và phê duyệt.

Chi tiết quan trọng

• Rủi ro từ agent bắt nguồn từ việc tích lũy quyền truy cập công cụ, chứ không phải từ các lỗi thiết kế có chủ đích.
• Các ràng buộc dựa trên prompt chỉ là gợi ý xác suất, không phải ranh giới bảo mật được đảm bảo.
• Danh tính phải được xác minh thông qua các credential ngắn hạn và được chứng thực ở cấp độ nền tảng.
• Phạm vi tiếp cận được thực thi bởi service mesh, chặn kết nối tới các peer chưa được khai báo.
• Khả năng được chia thành kiểm soát chấp thuận và ủy quyền cho từng lần gọi tại gateway công cụ.
• Agent không bao giờ được phép sửa đổi các đối tượng cấu hình định nghĩa giới hạn của chính nó.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo kỹ thuật, điều này chuyển gánh nặng bảo mật từ tầng ứng dụng sang tầng hạ tầng. Nó có nghĩa là xây dựng các hệ thống agentic đòi hỏi tích hợp các nguyên tử bảo mật cloud-native như danh tính workload, service mesh và policy-as-code. Các đội ngũ không còn có thể coi agent là hộp đen tự quản lý an toàn; họ phải khai báo và thực thi rõ ràng các ranh giới mà trong đó agent hoạt động.

Cách tiếp cận này cũng thay đổi cách thiết kế các workflow có thể kiểm toán và tuân thủ quy định. Bằng cách tách biệt công việc nhận thức của agent khỏi việc thực thi xác định các kết quả, các tổ chức có thể duy trì sự tuân thủ. Nền tảng ghi lại bằng chứng về các bước kiểm tra danh tính, phạm vi tiếp cận và khả năng như một sản phẩm phụ của quá trình vận hành, cung cấp dấu vết rõ ràng cho các cơ quan quản lý. Điều này cho phép agent xử lý các nhiệm vụ diễn giải phức tạp, trong khi đảm bảo rằng các hành động quan trọng như chuyển khoản hoặc sửa đổi dữ liệu phải đi qua các cổng không thể thay đổi và đã được rà soát.

Bạn có thể làm gì

• Coi danh tính của agent như danh tính workload hạng nhất với các credential ngắn hạn và được chứng thực.
• Triển khai chính sách service mesh để hạn chế kết nối của agent chỉ với các peer đã được khai báo.
• Sử dụng admission controller để ngăn agent liên kết với các công cụ chưa được phê duyệt.
• Thực thi ủy quyền cho từng lần gọi tại gateway công cụ để xác thực mỗi hành động cụ thể.
• Đảm bảo danh tính của agent bị từ chối rõ ràng quyền sửa đổi cấu hình chính sách của chính nó.
• Thiết kế workflow nơi agent đưa ra đề xuất hoặc bản nháp, để việc thực thi cuối cùng thuộc về các pipeline xác định.