Bắt đầu từ điểm kết thúc: Cách hiện thực hóa khắc phục tự chủ bằng AI

Việc triển khai các chương trình ứng dụng AI đang trở thành mệnh lệnh cấp thiết tại nhiều doanh nghiệp. Trong lĩnh vực an ninh mạng, tích hợp chatbot AI vào bảng điều khiển chỉ là bước khởi đầu. Ngành công nghiệp và các tổ chức cần tiến xa hơn để áp dụng AI tự chủ (agentic AI). Nhưng sự tự chủ thực sự không chỉ là tăng tốc độ – mà là thay đổi hoàn toàn mục tiêu.

Từ tự động hóa phát hiện đến tự động hóa khắc phục

Mục tiêu tối thượng là Shift Zero – loại bỏ hoàn toàn tình trạng tồn đọng lỗ hổng bảo mật và ngăn chặn phơi nhiễm ngay từ gốc. Để đạt được điều này, điểm khởi đầu tốt nhất chính là điểm kết thúc.

Quản lý phơi nhiễm mối đe dọa liên tục (CTEM) là một khung phương pháp để phát hiện và khắc phục các mối đe dọa và phơi nhiễm. Bước cuối cùng của khung này – huy động (mobilization) – chính là điểm vận hành then chốt. Cho đến nay, bước này vẫn là một quy trình thủ công tốn nhiều thời gian.

Đội ngũ an ninh mạng đang làm việc

Tự động hóa trong lịch sử tập trung vào phát hiện, ưu tiên và xác thực. Bằng cách đảo ngược khung CTEM truyền thống để tập trung vào tự động hóa khắc phục, các tổ chức có thể khép kín vòng lặp quản lý phơi nhiễm.

Biên giới cuối cùng của CTEM

Mọi đội ngũ bảo mật khi tìm và xử lý phơi nhiễm đều trải qua cùng một vòng đời: xác định điều gì quan trọng, tìm hiểu môi trường có gì, lập kế hoạch, kiểm thử kế hoạch và vận hành hóa.

Trình tự này chính là khung CTEM: xác định phạm vi (scoping), phát hiện (discovery), ưu tiên (prioritization), xác thực (validation) và huy động (mobilization).

Nửa đầu của khung này mang tính chẩn đoán. Xác định phạm vi định nghĩa tài sản và bề mặt tấn công dựa trên tác động kinh doanh – phần lớn vẫn là quy trình thủ công dựa vào phán đoán con người. Phát hiện cũng mang tính chẩn đoán, nhưng nhờ quét liên tục và tự động hóa, đã trở nên dễ dàng hơn nhiều so với thời kỳ dùng bảng tính tĩnh.

Tương tự, ưu tiên hóa cũng đã được tăng cường tự động hóa trong vài năm qua. Thay vì chỉ dựa vào hệ thống chấm điểm lỗ hổng phổ biến (CVSS), các giải pháp hiện đại ưu tiên dựa trên việc lỗ hổng có bản khai thác ngoài thực tế hay không, có biện pháp kiểm soát bù trừ nào bảo vệ phơi nhiễm, và tác động kinh doanh của tài sản. Xử lý tất cả các biến số này là ứng dụng lý tưởng cho học máy.

Điểm nghẽn thủ công ở bước huy động

Nửa sau của khung là hành động. Xác thực là quá trình xác nhận phơi nhiễm ưu tiên có thể bị khai thác và biện pháp kiểm soát thực sự ngăn chặn được tấn công. Trong năm năm qua, mô phỏng tấn công, kiểm thử xâm nhập và xác thực đối kháng cũng đã trở nên tự động hóa hơn.

Bước cuối cùng – huy động – là nơi có nhiều cơ hội nhất để áp dụng tự động hóa. Đây là bước vận hành hóa các thông tin chi tiết xuyên suốt con người và quy trình.

Nhưng khi đến bước này, tự động hóa dừng lại. Ai đó mở một phiếu yêu cầu. Phiếu đó được chuyển qua các đội nhóm, bị trì hoãn bởi cửa sổ thay đổi, thương lượng, gom lô, và đôi khi bị đóng lại mà chưa bao giờ được khắc phục.

Chúng ta đã xây dựng được giải pháp xuất sắc để tạo ra các phát hiện được ưu tiên hoàn hảo và xác thực nghiêm ngặt, nhưng việc khắc phục vẫn đòi hỏi quy trình thủ công. CTEM được thiết kế để mang lại trật tự cho quản lý phơi nhiễm, nhưng khâu huy động thủ công đã khiến các đội ngũ bảo mật mắc kẹt trong vòng lặp phản ứng.

Shift Zero đảo ngược mô thức này. Thay vì quản lý số lượng phát hiện ngày càng tăng, Shift Zero nhúng khả năng khắc phục tự chủ trực tiếp vào dòng vận hành – chuyển từ "chúng ta tìm thấy vấn đề, giờ hãy sửa nó" sang loại bỏ hoàn toàn cửa sổ rủi ro.

Nadir Izrael, tác giả bài viết

Hiện thực hóa khắc phục bằng AI tự chủ

Khắc phục tự chủ không phải là hành động liều lĩnh. Chúng ta đang nói về việc sửa các vấn đề đã biết, không phải đưa ra phán đoán về rủi ro lạ. Một tác tử (agent) áp dụng bản vá đã biết cho một tài sản đã biết đang thực thi một quyết định đã được đưa ra từ trước.

Chúng ta có thể tham khảo lý thuyết kiểm soát giám sát (supervisory control theory) – lý thuyết quy định cách con người kiểm soát máy móc mà họ không thể quản lý vi mô. Trường phái này đưa ra một phân biệt quan trọng: con người trong vòng lặp (human in the loop) và con người trên vòng lặp (human on the loop).

• Con người trong vòng lặp: Tác tử chờ phê duyệt. Chúng thu thập bối cảnh, xác định cách sửa, dàn dựng thay đổi rồi dừng lại. Con người phê duyệt hoặc từ chối. Tác tử làm phần việc nặng, con người đưa ra quyết định.

• Con người trên vòng lặp: Tác tử hành động và báo cáo. Nó thực thi nhiệm vụ trong phạm vi xác định, con người giám sát kết quả qua bảng điều khiển và cảnh báo thay vì xem xét từng hành động. Con người đặt chính sách, tác tử xử lý khối lượng.

Cách phân chia tự nhiên giữa hai mô hình này là dựa trên điểm rủi ro đã có. Xếp hạng quản lý phơi nhiễm ưu tiên là tín hiệu mạnh hơn điểm CVSS. Hãy dùng con người xem xét các phát hiện rủi ro cao, và xây dựng niềm tin vào tự động hóa tự chủ với các phát hiện rủi ro thấp.

Ba rào chắn quan trọng

Các nhà lãnh đạo bảo mật thường ngần ngại để tác tử không giám sát hành động trên những phơi nhiễm tác động lớn nhất – và điều đó hoàn toàn hợp lý. Các hệ thống AI vẫn tiếp tục hành xử theo những cách khó lường trước. Nỗi lo là tác tử áp dụng giải pháp gây tổn hại thêm.

Để giải tỏa lo ngại này, tác tử nên hoạt động trong không gian hành động bị giới hạn: áp dụng bản vá từ tập hợp đã phê duyệt, sửa các tham số cấu hình cụ thể, cô lập một phân đoạn, và mở phiếu cho mọi việc khác. Việc phá hủy không nằm trong từ vựng hành động – đó là điều khiến tự chủ trở nên an toàn.

Hai rào chắn nữa cũng quan trọng:

• Mọi hành động cần có kế hoạch khôi phục (rollback).
• Đường dẫn phê duyệt cần được chuẩn hóa trước khi tự động hóa. Nếu quyền sở hữu các lớp tài sản hiện đang mơ hồ, tác tử sẽ khuếch đại sự mơ hồ đó với tốc độ máy.

Tiếp theo, hãy diễn tập thất bại. Chuẩn bị các bài tập tình huống để luyện tập kịch bản tác tử vá sai máy chủ vào sai thời điểm. Tìm hiểu ai sẽ phát hiện, ai có quyền dừng nó, và mất bao lâu. Những bài học đó tốt hơn nên rút ra trong phòng họp hơn là trong môi trường sản xuất.

Biểu tượng SecurityWeek

Tương lai: Mạng tự chữa lành

Trong tương lai, lời hứa của khắc phục tự chủ còn tham vọng hơn: mạng tự chữa lành (self-healing networks) – những mạng tự giám sát dữ liệu từ xa, mô phỏng hành vi bình thường và tự động cô lập các bất thường.

CTEM được cho là một vòng đời khép kín. Phát hiện, ưu tiên và xác thực đã chạy ở tốc độ máy trong nhiều năm, nhưng huy động vẫn là quy trình thủ công – nghĩa là vòng lặp vẫn bị để mở.

Khắc phục tự chủ là nơi mệnh lệnh áp dụng AI gặp một bài toán đáng giải quyết. Các phơi nhiễm đã được tìm thấy, xếp hạng và xác thực. Điều còn lại là khắc phục. Hãy bắt đầu từ điểm kết thúc, khép kín vòng lặp, và Shift Zero trở thành hiện thực vận hành.

Khắc phục tự chủ không phải là một hành động đức tin. Chúng ta đang sửa các vấn đề đã biết, không phải đưa ra phán đoán về rủi ro lạ.

Đối với các tổ chức tại Việt Nam đang trong quá trình chuyển đổi số và tăng cường năng lực an ninh mạng, việc áp dụng khắc phục tự chủ có thể là bước đi chiến lược để giảm gánh nặng thủ công cho đội ngũ bảo mật vốn thường thiếu nhân lực. Tuy nhiên, cần cân nhắc kỹ lưỡng về giới hạn hành động, kế hoạch khôi phục và quy trình phê duyệt trước khi triển khai rộng rãi.