Ai đang quản trị AI của bạn? Khung tin cậy cho các tác nhân và mô hình trong doanh nghiệp

DigiCert đề xuất khung quản trị AI mang tên AI Trust, trao cho mỗi tác nhân AI một "hộ chiếu" với ngày hết hạn và một người chịu trách nhiệm cụ thể.

Giải pháp này nhằm đối phó với tình trạng shadow AI đang ngày càng lan rộng, khi các tác nhân AI tự trị có thể xâm nhập hạ tầng doanh nghiệp mà không có kiểm soát chặt chẽ. Theo báo cáo Cost of a Data Breach 2026 của IBM, tỷ lệ tổ chức thiếu công cụ quản trị để phát hiện shadow AI đã tăng lên 68%, so với 63% năm trước.

Mối đe dọa từ các tác nhân AI tự trị

Những nhà lãnh đạo công nghệ thông tin dày dạn kinh nghiệm đều biết shadow IT là vấn đề dai dẳng. Nhưng sự phát triển nhanh chóng của AI và sự bùng nổ của các tác nhân tự trị khiến mối đe dọa — và chi phí — trở nên lớn hơn bao giờ hết.

Các tác nhân AI có đặc điểm phi xác định, tự trị và có khả năng thích ứng. Chúng giải quyết nhiệm vụ theo những cách sáng tạo, thường khiến cả người tạo ra chúng phải bất ngờ. Đã có trường hợp tác nhân AI viết blog chỉ trích những người duy trì dự án từ chối yêu cầu pull request của nó. Một trường hợp khác tấn công chatbot của McKinsey để giành quyền đọc/ghi mà không xin phép.

"Khi lời hứa của công nghệ quá hấp dẫn, người ta sẵn sàng gạt bỏ bảo mật sang một bên và chỉ muốn đạt được lời hứa đó thật nhanh." — Brian Trzupek, Phó chủ tịch cấp cao phụ trách sản phẩm tại DigiCert

Năm câu hỏi quản trị mà CISO cần trả lời

Khung AI Trust của DigiCert được xây dựng trên nền tảng thế mạnh của công ty: hạ tầng khóa công khai (PKI), DNS và chứng thực (attestation). Nó giúp tổ chức trả lời năm câu hỏi then chốt:

• Nhân viên đang sử dụng những tác nhân AI nào?
• Dữ liệu được quản lý theo quy định nào đang chảy đến chúng?
• Chúng nắm giữ thông tin xác thực của ai?
• Liệu một tác nhân bị xâm phạm có thể bị dừng ngay lập tức không?
• Sự cố có thể được tái dựng với dấu vết chống sửa đổi không?

Hầu hết doanh nghiệp đều thất bại ngay ở rào cản đầu tiên. Lập trình viên tự xây dựng hoặc mua tác nhân từ nhà cung cấp rồi triển khai nội bộ mà không hỏi ai. Người dùng cũng có thể tạo tác nhân từ các công cụ như Claude Desktop hay OpenAI Codex, rồi những tác nhân này lại sinh ra các tác nhân phụ (sub-agent).

Quản lý danh tính của tác nhân AI

Sai lầm đầu tiên của nhiều tổ chức là gắn tác nhân AI vào hệ thống quản lý danh tính và truy cập (IAM) dành cho con người. Ý tưởng là cấp cho tác nhân một tài khoản dịch vụ và khóa API dài hạn, rồi đối xử với chúng như một nhân viên siêu nhanh. Điều này không thực tế.

"IAM được xây dựng cho một con người ngồi trước bàn phím, người có thể nhấn 'phê duyệt' trên điện thoại. Tác nhân AI không làm được điều đó. Vậy là bạn quay về dùng khóa API tĩnh không bao giờ hết hạn, phạm vi vượt xa nhu cầu — và phá hỏng mọi thứ mà zero trust được thiết kế để mang lại." — Brian Trzupek

Các tổ chức ngành đang dần đồng thuận về một hướng khác. IDC khuyến nghị coi danh tính tác nhân là bài toán danh tính khối lượng công việc (workload identity), thay vì mở rộng từ IAM dành cho con người. Hướng này phù hợp với tiêu chuẩn WIMSE của IETF và NIST Cybersecurity Framework 2.0.

Điều này cũng dẫn đến ý tưởng sử dụng SPIFFE và SPIRE — chuẩn danh tính khối lượng công việc mở đã được triển khai trong nhiều hệ thống Kubernetes do hyperscaler vận hành.

DNS như công cụ quản trị

Dù có danh mục và danh tính, bạn vẫn cần nơi thực thi chính sách. Bất kể tác nhân AI đang phân giải điểm cuối API hay kết nối đến máy chủ MCP, nó đều phải truy vấn DNS trước tiên. Vậy tại sao không biến đó thành điểm xác minh cốt lõi?

DigiCert đề xuất giải pháp tương tự chuẩn DMARC dùng cho email. Tổ chức sẽ công bố một bản ghi chính sách tác nhân trong DNS, khai báo:

• Danh tính tác nhân được ủy quyền
• Tổ chức phát hành chứng chỉ đã cấp thông tin xác thực
• Phạm vi hoạt động được phép

Một cổng kết nối (gateway) có thể truy vấn bản ghi đó để xác minh tác nhân đến có hợp lệ không, và kết thúc phiên nếu kiểm tra thất bại. Nếu tác nhân liên hệ với tên miền trái phép giữa chừng, DNS có thể chặn truy vấn và cổng MCP sẽ hủy phiên.

IDC đánh giá cao ý tưởng này nhưng cảnh báo về vấn đề quy mô. Khi số lượng tác nhân tăng lên, bản ghi DNS có thể không theo kịp, và bản ghi cũ có thể trở thành lỗ hổng.

Bên trong AI Passport của DigiCert

Các tác nhân xây dựng nội bộ tồn tại song song với tác nhân bên thứ ba như Microsoft Copilot, Salesforce Agentforce và ServiceNow. Giải pháp của DigiCert là một máy chủ SPIRE duy nhất neo vào CA của DigiCert để quản lý danh tính, với chính sách được thực thi tập trung trong engine Open Policy Agent, cùng một công tắc ngắt thống nhất cho cả hai nhóm.

AI Agent Passport là hiện vật gắn danh tính với ủy quyền. Đây là bản ghi được bảo vệ bằng mật mã về các hệ thống được phê duyệt và thao tác được phép. Mỗi "hộ chiếu" cũng chứa phân loại độ nhạy cảm dữ liệu, trạng thái hết hạn, cùng một người chịu trách nhiệm cụ thể.

Trzupek cho biết trường gây tranh cãi nhất trong thiết kế là chính sách, vì khách hàng thường đã có hệ thống chính sách phức tạp trên GCP hoặc AWS. Do đó hộ chiếu có thể trỏ đến các engine đó thay vì thay thế chúng.

Quản lý tính toàn vẹn của mô hình

Quản trị tác nhân chỉ là một nửa thách thức. Bản thân các mô hình cũng là tài sản chiến lược, chịu sự kiểm soát về tính toàn vẹn và nguồn gốc. Điều này đòi hỏi:

• Mã hóa và ký mật mã các hiện vật mô hình
• Đóng gói tuân thủ chuẩn OCI với các công cụ như Sigstore
• Bảng kê mô hình (model bill of materials) có thể xác minh bằng mật mã, mô tả trọng số, tập dữ liệu và phụ thuộc

Cần quản trị mô hình cả khi vận hành, không chỉ bảo vệ chuỗi cung ứng. Khung AI Trust ủng hộ thực thi trên phần cứng tin cậy. Một mô hình chạy trong môi trường thực thi tin cậy trên Intel TDX hoặc AMD SEV-SNP sẽ được mã hóa trong bộ nhớ, tách biệt khỏi hệ điều hành chủ.

DigiCert vận hành dịch vụ chứng thực điện toán mật theo kiến trúc RATS của IETF. Điều này giúp chuyển việc chứng thực sang bên thứ ba trung lập thay vì nhà vận hành đám mây đang chạy khối lượng công việc — vốn phù hợp với khách hàng trong ngành được quản lý chặt.

Tại sao nên xây dựng quản trị AI ngay bây giờ

Đây là thời điểm của AI tác tử. Nhiều tổ chức đã theo đuổi một mô hình phản bảo mật suốt 25 năm: chạy thật nhanh để nắm bắt cơ hội với công nghệ mới, rồi gọi đội bảo mật đến dọn dẹp sau. Kết quả không mấy khả quan.

Khi giá mô hình tiên tiến leo thang và AI trở thành khoản chi phí đáng chú ý trong ngân sách doanh nghiệp, lựa chọn này sẽ ngày càng rõ ràng. Các công ty sẽ yêu cầu trách nhiệm giải trình cao hơn với việc sử dụng công nghệ tác tử.

"Chẳng phải sẽ rất tốt nếu một lần trong đời chúng ta có sẵn các biện pháp kiểm soát và đi trước cuộc chơi sao?" — Brian Trzupek

Với các doanh nghiệp Việt Nam đang bắt đầu hành trình AI tác tử, việc xây dựng nền tảng quản trị ngay từ đầu bằng các biện pháp kiểm soát có thể xác minh là cơ hội để tránh lặp lại những sai lầm mà các thị trường đi trước đã mắc phải.