Triển khai AI agent đang bộc lộ một sai lầm phổ biến: đặt gateway làm lớp bảo vệ đầu tiên trong khi thiếu hạ tầng định danh và gán nhận (attribution). Bài viết đề xuất mô hình 'dependency-gated deployment' gồm 6 cổng kiểm soát, từ kiểm kê agent, cấp danh tính riêng biệt, đến telemetry và đường hủy diệt xuyên hệ thống.

Bảo mật AI Agent: Vì sao Gateway không nên là lớp kiểm soát đầu tiên?

Trong các hệ thống triển khai AI agent hiện nay, một xu hướng lặp lại rõ ràng: đội ngũ kỹ thuật thường chọn gateway làm lớp kiểm soát đầu tiên — nhưng đây lại là lớp họ ít sẵn sàng vận hành nhất. Nguyên nhân nằm ở chỗ gateway được đặt trên nền tảng định danh (identity) và gán nhận (attribution) mà phần lớn doanh nghiệp chưa xây dựng.

Một bài viết chuyên sâu từ Nik Kale, kỹ sư trưởng chuyên về nền tảng AI doanh nghiệp và bảo mật, đã chỉ ra rằng các cổng kiểm soát (gateway) chỉ nên là lớp bảo vệ thứ năm, chứ không phải thứ nhất. Mô hình do ông đề xuất — dependency-gated deployment — nhấn mạnh vào trật tự xây dựng các lớp bảo mật, thay vì chỉ mô tả các kiểm soát lý tưởng trong tương lai.

Rủi ro thực tế không phải giả thuyết

Tháng 6 vừa qua, CISA đã thêm lỗ hổng LiteLLM vào danh mục CVE bị khai thác thực tế sau khi phát hiện hacker lợi dụng nó. Lỗi này cho phép thực thi lệnh trên máy chủ thông qua chính gateway, và khi kết hợp với lỗ hổng thứ hai, không cần bất kỳ thông tin xác thực nào. Đáng chú ý, đây chỉ là 1 trong 7 CVE được công bố trong một tháng đối với một gateway AI duy nhất.

Vấn đề cốt lõi: khi lớp điều khiển (control plane) không biết agent nào đang hành động, ai ủy quyền công việc, nhiệm vụ cụ thể là gì, và thông tin xác thực nào đang được sử dụng — thì ngữ cảnh sẽ không đầy đủ. Gateway có thể chặn các vi phạm chính sách rõ ràng, nhưng sẽ bất lực trong việc phân biệt hành động hợp lý với hành động "kỹ thuật cho phép nhưng vận hành sai mục đích".

Sai lầm từ điểm khởi đầu

Hãy tưởng tượng một agent đối soát tài chính cố gắng thay đổi dữ liệu sản xuất. Gateway xác thực token người dùng và kiểm tra lời gọi API — nhưng không thể nhận ra rằng yêu cầu này do agent khởi xướng, rằng agent chỉ đang thực thi một chức năng giới hạn, hay yêu cầu này nằm trong chuỗi công cụ kích hoạt bởi một artifact không đáng tin cậy.

Thông tin xác thực hợp lệ, API cho phép thao tác, nhưng hành động lại mâu thuẫn với mục đích ủy quyền. Gateway đứng đó nhưng thiếu mọi dữ liệu hỗ trợ, khiến một kiểm soát tốn kém lại chỉ bao phủ một phần rất nhỏ của toàn cảnh.

Giới hạn đặc quyền của agent theo quyền con người — dù hữu ích để tránh agent vượt quá chủ thể — không tạo ra sự gán nhận riêng biệt. Hai mươi agent có thể hoạt động dưới quyền một người và vẫn cần danh tính, nhật ký kiểm toán, hồ sơ hành vi, và đường thu hồi riêng.

Mô hình triển khai theo phụ thuộc: 6 cổng kiểm soát

Kale đặt tên quy trình này là dependency-gated deployment — các bài kiểm tra đầu vào ở phía trên phải được thỏa mãn trước khi bất kỳ kiểm soát nào phía dưới được coi là hoàn chỉnh về mặt vận hành. Dưới đây là 6 cổng:

Cổng	Kiểm soát	Bằng chứng vận hành
1	Kiểm kê agent và sở hữu chịu trách nhiệm	Mỗi agent đều có chủ sở hữu, mục đích, công cụ được phê duyệt, trạng thái vòng đời
2	Danh tính agent riêng biệt + ngữ cảnh ủy quyền	Hệ thống nhận diện được agent, chủ sở hữu, và thân chủ mà nó đang thay mặt
3	Thông tin xác thực theo nhiệm vụ, tồn tại ngắn	Agent bị xâm nhập không thể với tới tài nguyên ngoài phạm vi nhiệm vụ
4	Telemetry có thể gán nhận	Tái dựng toàn bộ tác vụ từ khởi tạo đến tác động
5	Thực thi hành động thời gian thực	Quyết định chính sách tích hợp agent, thân chủ, nhiệm vụ, ngữ cảnh hành động
6	Đường chuẩn hành vi + đường hủy diệt xuyên hệ thống	Dừng hiệu lực của agent ở mọi nơi nó có thể truy cập

Bắt đầu từ những agent bạn có thể gọi tên

Trước tiên, hãy nhận diện các agent trong framework mã nguồn mở, dịch vụ đám mây, SaaS, và công cụ phát triển. Với mỗi agent, ghi lại chủ sở hữu, trách nhiệm, giai đoạn vòng đời, công cụ được phép, lĩnh vực dữ liệu, và nguồn thông tin xác thực.

Bỏ qua bước này đồng nghĩa với việc mất giờ đầu tiên của quy trình ứng cứu sự cố để điều tra những điều lẽ ra phải rõ ràng. Kiểm kê chính là tài sản mà mọi kiểm soát sau đó đều quản trị.

Agent cần danh tính riêng — nhưng không được đánh mất con người đằng sau

Agent không nên chôn trong token developer, tài khoản dịch vụ dùng chung, hay phiên đăng nhập người dùng. Biết rằng người gọi là agent là chưa đủ — lớp điều khiển cần thêm ngữ cảnh ủy quyền: ai giao việc, nhiệm vụ cụ thể là gì, và tài nguyên nào được phép truy cập. Danh tính trả lời "ai gọi", còn ủy quyền trả lời "hành động dưới quyền ai, vì lý do gì".

Nếu mối liên kết này bị cắt, nhật ký hệ thống sẽ gán mọi hành động của agent cho nhân viên mượn token — trong khi chính nhân viên đó không hề khởi xướng.

Thu hẹp quyền hạn trước khi soi xét hành vi

Sau khi nhận diện được agent, giới hạn khả năng truy cập theo thời gian nhiệm vụ và chỉ cho phép công cụ/tài nguyên cần thiết. Các tính năng IAM sẵn có như workload identity, token exchange, conditional access, và time-bound entitlements đều đủ khả năng thực hiện.

Nghiên cứu năm 2026 của Teleport với 205 lãnh đạo an ninh cho thấy: phạm vi truy cập vượt xa mức độ dự đoán về ngành nghề hay độ tự tin. Tổ chức có AI thừa đặc quyền ghi nhận tỷ lệ sự cố 76%, trong khi nhóm tối thiểu đặc quyền chỉ có 17%. Điều này cho thấy phạm vi truy cập quan trọng hơn cả thực thi thời gian thực theo ngữ cảnh.

Nguyên tắc chính là ủy quyền đơn điệu (monotonic delegation): mọi chuyển giao trách nhiệm phải duy trì hoặc giảm quyền hạn — tuyệt đối không tăng. Agent đối soát chỉ nên xem một sổ cái, thay vì thừa kế toàn bộ quyền truy cập của nhân viên.

Sửa gán nhận trước khi tự động hóa thực thi

Trong các hệ thống agent từng kiểm tra, Kale nhận định đây là cổng hay bị bỏ sót nhất. Trước khi dùng chính sách thích ứng, hãy liên kết mọi lời gọi công cụ với: danh tính agent, thân chủ khởi xướng, ID nhiệm vụ, hành động cha, và kết quả. Sau đó, kiểm tra telemetry — với một tác vụ hoàn thành, truy vết được người khởi xướng, agent thực thi, quyền hạn sử dụng, công cụ và kết quả. Trong môi trường có quy định chặt, giám sát không gán nhận là không thể biện minh.

Lúc này, gateway mới xứng đáng với chi phí bỏ ra

Với danh tính đăng ký, ủy quyền tường minh, thông tin xác thực giới hạn, và telemetry gán nhận, gateway có thể tự hỏi: agent này có được phép thực hiện hành động này, cho thân chủ này, trong nhiệm vụ này, trên tài nguyên này? Dù token người dùng cấp quyền ghi cho agent đối soát, gateway vẫn có đủ ngữ cảnh để kết luận đây là hành động ngoài phạm vi. Đây chính là điểm giá trị cao nhất của kiểm soát — hãy áp dụng các chính sách nghiêm ngặt nhất tại các ranh giới không thể đảo ngược như thanh toán, thay đổi chính sách truy cập, xóa dữ liệu, sửa môi trường production, và xuất dữ liệu.

Phát hiện và đường hủy diệt đến sau cùng

Đường chuẩn hành vi được xây dựng cuối cùng vì cần hoạt động agent riêng biệt và có thể gán nhận để làm mốc. Sau đó, đội bảo mật mới phát hiện được mô hình sử dụng công cụ bất thường, truy cập chéo miền, hay lệch hướng nhiệm vụ. Chứa chặn không chỉ đơn giản là vô hiệu một đối tượng thư mục: đường hủy diệt đúng phải bao gồm vô hiệu danh tính agent, thu hồi mọi thông tin xác thực hoạt động và dẫn xuất, chặn kích hoạt công cụ, chấm dứt tác vụ đang chạy, và cô lập workload chứa agent.

Không cần thay thế IAM hiện có

Chẳng cần thiết kế một chương trình định danh hoàn toàn mới. Nếu nhà cung cấp định danh chưa coi agent là đối tượng native, hãy bắt đầu bằng một registry có thẩm quyền liên kết với workload identity sẵn có. Sau đó, mở rộng ID agent và nhiệm vụ thành ngữ cảnh thực thi đáng tin cậy, triển khai thông tin xác thực ngắn hạn để giảm thiểu đặc quyền thừa kế, và đưa các định danh đó vào nhật ký lời gọi công cụ cho gateway tiêu thụ sau này.

Các khoảng trống kiểm soát hoàn toàn có thể đo lường. Theo khảo sát 2026 của Okta, chỉ 34% lãnh đạo cho biết tổ chức của họ luôn áp dụng mức độ nghiêm ngặt bảo mật tương đương cho lực lượng agentic như cho con người. Kiểm soát cuối chuỗi không thể đặt lên đầu để lấp khoảng trống đó.

Việc cần làm trong 30 ngày tới

Bắt đầu với 10 agent production. Với mỗi agent, xác định chủ sở hữu, mục đích, công cụ được phê duyệt, và thông tin xác thực. Kiểm tra khả năng gán nhận: IAM và logging có phân biệt được từng agent với con người/dịch vụ ủy quyền không? Tái dựng một tác vụ agent hoàn chỉnh trong chuỗi hành động, từ đầu đến cuối, bao gồm tác động downstream. Nơi nào chuỗi đứt gãy chính là nơi triển khai của bạn thất bại.

Thêm kiểm soát downstream trước khi có ngữ cảnh cần thiết sẽ phá vỡ bảo mật agent. Các mô hình trưởng thành mô tả điểm đến — nhưng một trật tự xây dựng đúng đắn mới là điều đưa bạn đến đó mà không làm sập production trên đường đi.