Alter (YC S25): Khi AI agent cần được quản trị như một "người dùng đặc quyền"

Bảo mật và kiểm soát truy cập cho AI agent

Trong làn sóng AI agent bùng nổ, một lỗ hổng bảo mật âm thầm đang lan rộng trong các doanh nghiệp: agent được cấp quyền thao tác thay mặt nhiều người dùng, nhưng lại không hề có cơ chế phân quyền thực sự. Hai nhà sáng lập Srikar và Kevan của startup Alter (thuộc Y Combinator mùa S25) vừa công bố sản phẩm nhằm lấp đầy khoảng trống này.

Vấn đề: một API key làm được mọi thứ

Nếu từng xây dựng một agent nội bộ mà nhân viên truy cập qua Slack, bạn có thể đã gặp tình huống quen thuộc: mỗi người đăng nhập bằng tài khoản riêng của mình, nhưng agent lại kết nối với hệ thống CRM hay thanh toán bằng một API key dùng chung. Hệ quả là agent có thể làm bất cứ điều gì mà key đó cho phép — và việc xác thực ở cấp người dùng trên Slack không hề kiểm soát được hành vi của agent trong hệ thống bên ngoài.

"Xác thực người dùng trên Slack không giúp kiểm soát được những gì agent có thể làm trong CRM hay hệ thống thanh toán" — nhóm sáng lập Alter chia sẻ.

Đi kèm với đó là hàng loạt rủi ro vận hành: các khóa bí mật bị rải rác trong file .env, dán vào prompt hay cấu hình repo; một key đơn lẻ phục vụ cho cả chục agent; và khi sự cố xảy ra, không ai trả lời được câu hỏi "agent nào đã hoàn tiền cho khách này, thay mặt ai?".

Alter giải quyết bài toán đó như thế nào?

Nền tảng của Alter hoạt động như một proxy trung gian, quản lý thông tin xác thực phía sau cho mọi yêu cầu API mà agent thực hiện. Cụ thể, sản phẩm mang đến ba năng lực cốt lõi:

• Proxy và quản lý credentials: xử lý, làm mới và luân chuyển thông tin xác thực cho từng yêu cầu, hỗ trợ khoảng 140 nhà cung cấp dịch vụ.
• Định danh theo từng người dùng cuối: mọi hành động của agent đều gắn với danh tính thực của người được thao tác thay mặt.
• Chính sách runtime chi tiết và nhật ký kiểm toán chuẩn tuân thủ: áp đặt quy tắc theo thời gian thực, đồng thời lưu lại dấu vết kiểm toán có thể xuất trình cho kiểm toán viên.

Kiến trúc nền tảng xoay quanh bốn trụ cột chính: Credential Vault (kho lưu bí mật mã hóa, agent dùng được mà không bao giờ nhìn thấy giá trị thật), Policy Engine (mặc định từ chối, kiểm tra từng yêu cầu theo quy tắc), Agent Identity (mỗi agent có key và phạm vi quyền riêng, truy vết được về một người thật) và Human in the loop (các lệnh nhạy cảm phải chờ một người có tên phê duyệt).

Bảo mật của chính nền tảng cũng được thiết kế theo tư duy zero-trust: ủy quyền thất bại thì từ chối luôn (fail-closed), khóa bí mật được quản lý bên ngoài cơ sở dữ liệu ứng dụng, và key chỉ dùng qua proxy thì hoàn toàn không thể đọc ngược lại thông tin xác thực gốc.

Những ứng dụng thực tế

Theo nhóm sáng lập, Alter đã được dùng để xây dựng một agent đa người dùng mã nguồn mở cho chính đội ngũ của họ (plugin openclaw-alter trên GitHub), giúp tiết kiệm đáng kể thời gian cho hoạt động tiếp cận thị trường. Nhiều startup khác đang dùng nền tảng để tạo agent SRE hoặc agent xử lý sổ sách, bảng lương qua Quickbooks và Rippling. Đáng chú ý, một nhà thầu quốc phòng cũng đang xây agent chạy trong môi trường không kết nối mạng (air-gapped) cho lực lượng đặc nhiệm biển bằng Alter.

Bối cảnh với doanh nghiệp Việt Nam

Với các doanh nghiệp trong nước đang bước đầu triển khai AI agent vào vận hành — từ chatbot CSKH đến trợ lý nội bộ xử lý dữ liệu nhạy cảm như lương, hợp đồng hay thông tin khách hàng — bài toán mà Alter đặt ra rất đáng lưu tâm. Luật Bảo vệ dữ liệu cá nhân và các chuẩn tuân thủ trong ngành tài chính, y tế càng đòi hỏi khả năng truy vết "ai đã làm gì, thay mặt ai". Việc để agent chạy bằng một API key "vạn năng" là cách tiếp cận nhanh nhưng tiềm ẩn rủi ro rất lớn khi mở rộng quy mô.

Mô hình kinh doanh

Alter áp dụng tính phí theo mức sử dụng: miễn phí tới 10.000 yêu cầu, sau đó thu phí theo bậc. Sản phẩm đã có tích hợp sẵn với LangChain, MCP và AWS, kèm theo chứng nhận SOC 2 đang trong quá trình hoàn thiện.

Với những đội ngũ đang phải tự viết lớp xác thực riêng cho agent đa người dùng, Alter rõ ràng muốn trở thành "hạ tầng ngầm" không ai muốn tự làm lại từ đầu. Câu hỏi mà startup này gửi tới cộng đồng công nghệ rất đáng suy ngẫm: nếu bạn đã xây agent phục vụ nhiều người dùng, hiện tại bạn đang xử lý quyền hạn ra sao?