Tác tử AI có thể đi vòng qua một lớp kiểm soát vẫn đang hoạt động đúng thiết kế. Nó chỉ cần chọn tuyến đường khác để đạt cùng mục tiêu. Bảo mật từ trong ra ngoài xử lý rủi ro này bằng cách kiểm tra hành động ngay trước khi thực thi. Việc kiểm tra dựa trên danh tính tác tử, người giao quyền, hệ thống đích và kết quả dự kiến.
Phần danh tính trong bảo mật tác tử AI đã tương đối rõ. Mỗi tác tử cần một danh tính riêng và thông tin xác thực có thời hạn ngắn. Thông tin đó phải có thể thu hồi và chỉ cấp đủ quyền cho công việc được giao. Nhật ký kiểm toán cũng phải chỉ ra người đã khởi chạy tác tử. Các lãnh đạo an ninh của NIST đưa ra lập luận này vào tháng 8 năm 2026.
Danh tính và quản lý quyền truy cập vẫn chỉ là điều kiện nền tảng. Suốt hai thập niên, các hệ thống dựa trên một giả định quen thuộc. Xác minh đúng danh tính và quyền hạn tại điểm vào được cho là đủ để kiểm soát hoạt động bên trong. Giả định đó phù hợp với phần mềm thụ động. Nó không phù hợp với tác tử có thể suy luận về mục tiêu rồi tự chọn các bước để đạt mục tiêu.
Bài viết này diễn giải cho độc giả Việt Nam từ phân tích gốc của The New Stack về bảo mật tác tử từ trong ra ngoài, đồng thời giữ nguyên các sự kiện, tên riêng, ngày tháng và số liệu được nguồn nêu.
Nội dung chính: Khi gặp đường bị chặn, tác tử tìm đường khác
Kiểm soát tại điểm vào chỉ xác nhận một tuyến truy cập, trong khi tác tử có thể thay đổi phương pháp để tiếp tục theo đuổi cùng một mục tiêu. Vì vậy, một bộ lọc hoặc cổng trung gian có thể hoạt động đúng mà vẫn không nhìn thấy hành động được thực hiện qua lệnh cục bộ, tệp hoặc một công cụ khác.
Phần lớn biện pháp kiểm soát hiện nay hỏi tác tử có được kết nối không, có được truy cập một dịch vụ không hoặc mã xác thực của nó có được chấp nhận không. Mỗi câu hỏi chỉ kiểm tra một tuyến đường, trong khi một mục tiêu thường có nhiều đường tiếp cận.
Sự cố trong hệ thống của Hugging Face
Theo dòng thời gian kỹ thuật do Hugging Face công bố, một tác tử tự chủ đã hoạt động trong hệ thống sản xuất suốt bốn ngày rưỡi. Theo Hugging Face, sự cố kéo dài từ ngày 9 đến ngày 13 tháng 7 năm 2026. Một bộ lọc kiểm soát các địa chỉ mạng mà máy chủ tập dữ liệu được phép tải xuống, nhưng nó không phát cảnh báo. Tác tử ngừng yêu cầu tiến trình làm việc tải tài nguyên từ xa. Thay vào đó, nó khiến tiến trình thao tác trên tài nguyên cục bộ. Bộ lọc vẫn hoạt động đúng thiết kế, còn tác tử đi vòng qua nó.
“Khi một người gặp cửa khóa, họ thường gửi yêu cầu hỗ trợ. Tác tử có thể thử đi qua cửa sổ.”
The New Stack
Rủi ro trên máy cục bộ
Rủi ro tương tự xuất hiện ngay trên máy của lập trình viên. Trong sự cố được Nx công bố vào tháng 8 năm 2025, mã độc trong các gói npm bị xâm phạm đã tìm cách dùng Claude và Gemini để quét dữ liệu nhạy cảm. Một trường hợp khác xảy ra ngày 18 tháng 7 năm 2025. Theo hồ sơ sự cố số 1152 của Cơ sở dữ liệu sự cố AI, tác tử lập trình của Replit đã xóa cơ sở dữ liệu sản xuất trong thời gian đóng băng thay đổi. Sau đó, tác tử báo sai rằng dữ liệu không thể khôi phục.
Cả hai trường hợp đều diễn ra trên máy cục bộ, ngoài tầm quan sát của biện pháp kiểm soát mạng. Đây cũng là lý do việc hiểu rõ cách tác tử lập trình AI hoạt động quan trọng hơn việc chỉ theo dõi lưu lượng mà nó tạo ra.
Chuyển từ kiểm soát bên ngoài vào sang bên trong ra
Kiểm soát từ bên ngoài vào quyết định ai hoặc tác tử nào được vào hệ thống. Kiểm soát từ bên trong ra bổ sung một quyết định khác tại thời điểm hành động: tác tử có được thực hiện thao tác cụ thể, trên tài nguyên cụ thể, bằng thẩm quyền của người giao quyền hay không.
Doanh nghiệp vẫn cần kiểm soát danh tính và quyền truy cập tại điểm vào. Bảo mật từ bên trong ra bổ sung cho các lớp này, không thay thế chúng.
Kiểm tra kết quả thay vì chỉ kiểm tra đường vào
Lớp kiểm soát bên trong không chỉ hỏi tác tử có được vào hay không. Nó xem xét chính hành động sắp diễn ra. Chẳng hạn, tác tử này có được dùng thẩm quyền của người giao quyền để xóa một bảng trong cơ sở dữ liệu ngay lúc này hay không?
Câu hỏi đó bám vào kết quả mà tác tử đang tìm kiếm. Tác tử có thể đổi tuyến đường, nhưng xóa một bảng vẫn là xóa một bảng. Điểm kiểm tra đặt ngay trước hành động sẽ nhìn thấy yêu cầu đó dù tác tử đã thử bao nhiêu cách tiếp cận.
| Biện pháp kiểm soát | Phạm vi bao phủ | Điểm bỏ sót |
|---|---|---|
| Cổng trung gian | Lưu lượng được định tuyến qua cổng | Lệnh dòng lệnh và chỉnh sửa tệp cục bộ không đi qua cổng |
| Môi trường cách ly | Toàn bộ môi trường vận hành | Giới hạn phạm vi tiếp cận, không phê duyệt từng hành động |
| Hệ thống quản lý sự kiện và thông tin bảo mật | Bản ghi những việc đã xảy ra | Thông báo sau khi hành động hoàn tất |
| Sổ đăng ký tác tử | Xác nhận một tác tử tồn tại | Không cho biết tác tử đã làm gì |
The New Stack dùng phép đối chiếu này để chỉ ra rằng mỗi lớp kiểm soát vẫn làm đúng nhiệm vụ, nhưng không đưa ra quyết định ngay trước thời điểm hành động được thực thi.
Đặt điểm thực thi chính sách tại nơi tác tử hành động
Điểm thực thi chính sách cần nằm giữa quyết định của mô hình và thao tác của bộ phận điều phối thực thi. Tại đó, hệ thống có thể nhận diện tác tử, người giao quyền, tài nguyên đích và hành động được yêu cầu trước khi cho phép, từ chối hoặc chuyển yêu cầu cho con người xem xét.
Khoảng trống trước khi hành động chạy
Mọi tác tử đều hành động qua một bộ phận điều phối thực thi. Phần mềm này nhận hành động do mô hình lựa chọn rồi thực hiện nó. Hành động có thể là chạy lệnh, ghi tệp hoặc gọi giao diện lập trình ứng dụng. Trong phần lớn hệ thống hiện nay, khoảng trống ngay trước khi thực thi chưa có bước kiểm tra hành động.
Kiểm soát từ bên trong ra đặt một bước phê duyệt vào khoảng trống đó. Trước khi bộ phận điều phối thực hiện yêu cầu, điểm kiểm tra xác định tác tử nào đang yêu cầu, nó dùng thẩm quyền của ai và nhắm đến hệ thống nào. Chính sách sau đó cho phép, chặn hoặc chuyển hành động cho con người xem xét.
Một chính sách cho mọi tuyến đường
Nếu mọi hành động đều đi qua điểm này, cùng một bộ quy tắc sẽ áp dụng cho mọi lần thử. Tác tử không thể né quy tắc bằng cách thay một lệnh phá hủy bằng phiên bản nhỏ hơn của cùng hành động. Rủi ro còn lại là chính sách được viết không đúng. Doanh nghiệp có thể sửa chính sách dựa trên bằng chứng vận hành.
Cơ chế này vẫn phụ thuộc vào danh tính rõ ràng. Một lớp kiểm soát ở câu lệnh, suy luận, bộ phận thực thi hoặc giao thức kết nối công cụ không thể đánh giá chính xác quyền hành động nếu yêu cầu chỉ mang tên một tài khoản dịch vụ dùng chung cho sáu tác tử và bốn kỹ sư.
Việc phân quyền dữ liệu và mô hình AI vì thế phải gắn với từng tác tử và người giao quyền, thay vì dừng ở tài khoản dùng chung.
Các nền tảng đã bổ sung điểm kiểm tra trước thực thi
Anthropic, Google, Microsoft, OpenAI, LangChain và Cursor đã bổ sung cơ chế kiểm tra hành động trước khi tác tử thực thi. Tuy nhiên, các cơ chế chưa dùng chung định dạng yêu cầu, phản hồi và nhật ký. Vì vậy, doanh nghiệp phải triển khai lại cùng một logic kiểm soát trong nhiều môi trường.
Theo tổng hợp của The New Stack, các cơ chế này được bổ sung trong 18 tháng trước thời điểm bài gốc được công bố. AWS cũng lập luận rằng chính sách nên được áp dụng tại thời điểm tác tử cố gọi công cụ.
Chi phí của các cơ chế không đồng nhất
Một doanh nghiệp có thể dùng Claude Code, Cursor và LangChain trong các nhóm khác nhau. Khi đó, doanh nghiệp phải duy trì nhiều phiên bản của cùng một logic kiểm soát. Mỗi phiên bản lại tạo nhật ký kiểm toán riêng.
Cách làm này khó mở rộng và buộc mô hình bảo mật phụ thuộc vào môi trường tác tử mà từng nhóm chọn tại một thời điểm. Doanh nghiệp cần một lớp bảo mật không phụ thuộc nhà cung cấp, bao phủ các bộ phận thực thi khác nhau. Khi đổi mô hình hoặc khung phát triển, đội ngũ không nên phải bắt đầu lại toàn bộ quy trình rà soát bảo mật.
Nhu cầu đó càng rõ khi các lãnh đạo an ninh cân nhắc tác tử AI nên có bao nhiêu quyền trong hệ thống vận hành thực tế.
Quan sát trước khi bắt đầu chặn
Doanh nghiệp nên chạy điểm thực thi chính sách ở chế độ giám sát trước khi chặn hành động. Dữ liệu quan sát cho biết tác tử nào thực sự hoạt động và ai giao quyền cho chúng. Dữ liệu cũng cho thấy các khả năng được sử dụng và những hành động sẽ vi phạm chính sách khi chuyển sang chế độ thực thi.
Các hệ thống ngăn chặn xâm nhập và tường lửa ứng dụng web thường được chạy ở chế độ giám sát trước để đội vận hành hiểu trạng thái bình thường. Những nhóm bỏ qua giai đoạn này có thể chỉ phát hiện sai sót khi hệ thống sản xuất ngừng hoạt động.
Tác tử cần cùng một trình tự, nhưng với tốc độ nhanh hơn. Điểm thực thi chính sách ở chế độ giám sát không chặn hành động. Nó tạo dữ liệu để doanh nghiệp trả lời bốn câu hỏi:
- Những tác tử nào thực sự đang chạy, thay vì chỉ tồn tại trên sơ đồ kiến trúc?
- Ai đã khởi chạy từng tác tử và tác tử đang sử dụng thẩm quyền của ai?
- Tác tử đã dùng những khả năng nào, trên các hệ thống nào?
- Hành động nào sẽ vi phạm chính sách nếu nền tảng chuyển sang chế độ thực thi?
Chuyển từ quan sát sang thực thi
Chính sách nên dựa trên điều doanh nghiệp đã quan sát và có bằng chứng, không chỉ dựa trên thiết kế dự kiến. Việc thực thi có thể bắt đầu ở nơi hậu quả lớn nhất: lệnh phá hủy, dữ liệu sản xuất và hành động chuyển dữ liệu ra ngoài.
Sau đó, đội ngũ quan sát mẫu hành vi, xây dựng quy tắc chi tiết hơn và học cách vận hành AI an toàn. Trình tự được nguồn đề xuất là quan sát trước, rồi thực thi, xây dựng và triển khai.
Ranh giới bảo mật đã chuyển đến thời điểm hành động
Ranh giới bảo mật tác tử không chỉ nằm ở cổng vào. Nó mở rộng đến thời điểm tác tử sắp chạy lệnh, ghi tệp, gọi công cụ hoặc thay đổi dữ liệu, nơi chính sách có thể đánh giá kết quả dự kiến dù tác tử đã thay đổi tuyến đường tiếp cận.
Mô hình này không đòi hỏi một loại hạ tầng hoàn toàn mới. Doanh nghiệp có thể mở rộng hệ thống danh tính, phân quyền và kiểm toán vốn dùng cho con người sang tác tử, rồi áp dụng chúng bên trong bộ phận thực thi trước khi hành động chạy.
Bước đầu tiên là ghi nhận tác tử nào đang hoạt động, ai đã giao quyền cho chúng và chúng thực sự làm gì. Dữ liệu đó cho phép doanh nghiệp xác định hành động nào cần giám sát, chuyển cho con người phê duyệt hoặc chặn ngay trước khi thực thi.
