Bảo mật AI agent bằng gVisor và microVM trong Kubernetes

Vào ngày 26 tháng 10 năm 2026, Cloud Native Computing Foundation (CNCF) đã công bố một bài phân tích kỹ thuật chuyên sâu về việc bảo mật các AI agent tự hành trong môi trường Kubernetes. Bài viết chi tiết hóa cách kagent v1.0, kết hợp với nền tảng Agent Substrate, giải quyết những khoảng trống quan trọng về cách ly, bảo mật và khả năng mở rộng cho các khối lượng công việc dạng agentic. Cách tiếp cận này vượt ra ngoài mô hình container hóa tiêu chuẩn để cung cấp cơ chế thực thi chính sách mạnh mẽ và quản lý tài nguyên cho các hệ thống AI cấp độ sản xuất.

Điều gì đã xảy ra

Các runtime container tiêu chuẩn thường cung cấp mức độ cách ly không đủ an toàn cho mã không đáng tin cậy. Mặc dù Docker và các engine tương tự tạo ra các namespace riêng biệt, chúng vẫn chia sẻ kernel của host, để lại các lỗ hổng tiềm tàng cho việc thoát khỏi sandbox hoặc di chuyển ngang. Trong bối cảnh của các AI agent, vốn có thể thực thi các lệnh gọi tool tùy ý, xử lý thông tin đăng nhập nhạy cảm hoặc xử lý đầu ra từ các model không đáng tin cậy, mô hình sandboxing "phẳng" này đặt ra rủi ro đáng kể. Lưu lượng ingress và egress thường được mở rộng, và nếu không có các chính sách mạng nghiêm ngặt, một agent có thể giao tiếp với bất kỳ endpoint nào mà nó chọn.

Để giải quyết các lỗ hổng này, bài viết của CNCF giới thiệu một kiến trúc phân lớp tập trung vào kagent và Agent Substrate. Kagent đóng vai trò là môi trường runtime cho các agent khai báo (declarative) và bring-your-own (BYO), hỗ trợ các framework như LangGraph và ADK. Agent Substrate hoạt động như lớp hạ tầng bên dưới, cung cấp các khả năng sandboxing cần thiết. Cùng nhau, chúng đảm bảo rằng các agent hoạt động trong các ranh giới được định nghĩa chặt chẽ, giảm thiểu phạm vi ảnh hưởng (blast radius) của bất kỳ sự xâm nhập tiềm ẩn nào và đảm bảo tính sẵn sàng cao thông qua việc đa hợp tài nguyên hiệu quả.

Giải pháp đề xuất yêu cầu cả cách ly ở cấp độ phần cứng lẫn phần mềm. Nó cũng bắt buộc thực thi chính sách ở cấp độ AI Gateway để kiểm soát lưu lượng khi đến đích. Bằng cách triển khai các biện pháp kiểm soát này, các nhóm kỹ sư có thể ngăn mã agent không đáng tin cậy thoát ra khỏi môi trường host hoặc làm tổn hại hạ tầng cơ sở. Cấu hình này cũng cho phép chụp trạng thái (state snapshotting), giúp các agent tiếp tục hoạt động liền mạch sau khi bị gián đoạn.

Cơ chế hoạt động

Agent Substrate đạt được sự cách ly bằng cách chạy các agent trong các Worker, đây là các Pod Kubernetes được quản lý bởi một control plane tên là ateapi. Đổi mới cốt lõi nằm ở cách các Worker này cách ly các tiến trình agent. Đối với cách ly cấp độ phần mềm, hệ thống sử dụng gVisor. gVisor chạy workload trong user space bằng cách sử dụng một application kernel chuyên dụng gọi là Sentry. Sentry đánh chặn và xử lý các system call, ngăn cản agent tương tác trực tiếp với kernel của host. Điều này bổ sung một ranh giới bảo mật vững chắc mà không gây ra overhead của ảo hóa đầy đủ.

Đối với cách ly cấp độ phần cứng, Agent Substrate sử dụng microVM. Các máy ảo nhẹ này chạy trực tiếp trên các lõi CPU vật lý bằng cách sử dụng các extension ảo hóa phần cứng. Cách tiếp cận này đảm bảo rằng ngay cả khi lớp cách ly phần mềm bị xâm phạm, agent vẫn bị giới hạn trong một môi trường phần cứng ảo hóa. Sự kết hợp giữa gVisor và microVM cung cấp chiến lược phòng thủ theo chiều sâu (defense in depth), bảo vệ cả kernel lẫn phần cứng vật lý khỏi hành vi độc hại hoặc thất thường của agent.

Kagent đơn giản hóa việc tương tác với hạ tầng phức tạp này. Nếu không có kagent, các nhà phát triển sẽ cần tương tác với Agent Substrate thông qua các lời gọi chương trình cấp thấp, chẳng hạn như các request curl tới các Actor cụ thể. Kagent cung cấp một giao diện người dùng và các tùy chọn cấu hình khai báo, cho phép các nhóm quản lý agent bằng các mẫu Kubernetes quen thuộc. Nó trừu tượng hóa độ phức tạp của Substrate bên dưới, giúp quy trình dễ tiếp cận cho các workflow phát triển tiêu chuẩn trong khi vẫn duy trì các đảm bảo bảo mật nghiêm ngặt.

Chi tiết chính

• Lớp cách ly: Agent Substrate sử dụng gVisor cho cách ly cấp độ phần mềm thông qua kernel user-space Sentry và microVM cho cách ly cấp độ phần cứng trên các lõi CPU vật lý.
• Quản lý runtime: Kagent v1.0 đóng vai trò là runtime, hỗ trợ triển khai khai báo và các agent BYO từ các framework như LangGraph và ADK.
• Hiệu quả tài nguyên: Các agent chạy dưới dạng Actor, chỉ khởi động trong các phiên hoạt động và tắt đi sau đó, tối ưu hóa việc sử dụng tài nguyên phần cứng trong môi trường multi-tenant.
• Quản lý trạng thái: Hệ thống hỗ trợ chụp trạng thái (snapshotting), cho phép các agent lưu trữ trạng thái và tiếp tục hoạt động từ điểm dừng.
• Mô hình triển khai: Việc cài đặt bao gồm cấu hình kubectl-ate, cài đặt Agent Substrate và triển khai kagent qua Helm, quá trình này tạo ra một WorkerPool mặc định với hai Worker.
• Cấu hình: Các agent được định nghĩa bằng cách sử dụng các Custom Resource Definition (CRD) Harness và AgentTemplate, chỉ định đường dẫn image, vị trí snapshot và các template được phép.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và trưởng nhóm kỹ thuật, sự chuyển dịch sang các workflow agentic đặt ra những thách thức vận hành mới. Các microservice truyền thống có đầu vào và đầu ra dự đoán được, nhưng AI agent có thể tạo mã động, thực hiện các cuộc gọi API bên ngoài và truy cập dữ liệu nhạy cảm dựa trên prompt ngôn ngữ tự nhiên. Nếu không có sự cách ly mạnh mẽ, một agent bị xâm nhập có thể truy cập vào các dịch vụ khác trong cụm hoặc đánh cắp dữ liệu. Kiến trúc được mô tả bởi CNCF cung cấp một bản thiết kế để giảm thiểu những rủi ro này mà không hy sinh hiệu suất hoặc tốc độ phát triển.

Hơn nữa, khả năng khai báo cấu hình agent và quản lý chúng thông qua UI phù hợp với các thực hành DevOps hiện đại. Các nhóm có thể quản lý phiên bản định nghĩa agent, áp dụng các chính sách nhất quán trên nhiều môi trường và giám sát việc sử dụng tài nguyên một cách hiệu quả. Mô hình actor dựa trên phiên đảm bảo rằng chi phí vẫn nằm trong tầm kiểm soát, vì tài nguyên chỉ được tiêu thụ khi agent đang tích cực xử lý yêu cầu. Hiệu quả này rất quan trọng để mở rộng các ứng dụng agentic lên hàng nghìn người dùng đồng thời.

Việc áp dụng mức độ bảo mật này cũng tạo điều kiện thuận lợi cho tuân thủ quy định. Bằng cách đảm bảo rằng mã agent không thể thoát khỏi sandbox và tất cả lưu lượng đều chịu sự thực thi chính sách, các tổ chức có thể chứng minh tốt hơn quyền kiểm soát đối với các hệ thống AI của họ. Điều này ngày càng trở nên quan trọng khi các chính phủ và cơ quan ngành đưa ra các hướng dẫn nghiêm ngặt hơn cho việc triển khai AI trong các lĩnh vực then chốt.

Bạn có thể làm gì

• Thiết lập một cụm Kubernetes cục bộ bằng Kind hoặc Minikube để thử nghiệm các bước cài đặt được nêu trong hướng dẫn của CNCF.
• Cài đặt kubectl-ate để kích hoạt tương tác dòng lệnh với control plane của Agent Substrate.
• Triển khai kagent v1.0 qua Helm, đảm bảo rằng cài đặt substrateWorkerPool.create được bật để cung cấp các Worker mặc định.
• Định nghĩa một AgentTemplate và Harness bằng cách sử dụng các ví dụ YAML được cung cấp, thay thế các đường dẫn image và vị trí snapshot placeholder bằng giá trị của bạn.
• Sử dụng UI của kagent để tạo các template agent và harness mới, xác minh rằng các Actor chỉ khởi động trong các phiên hoạt động.
• Xem xét lại các chính sách mạng hiện tại của bạn và cân nhắc cách mà sự cách ly của gVisor và microVM có thể bổ sung cho các biện pháp bảo mật hiện có cho các workload AI.