Microsoft siết chặt AI agent: quyền hạn theo từng tác vụ và điểm rủi ro động

Minh họa về trí tuệ nhân tạo và an ninh mạng

Microsoft vừa công bố một loạt công cụ kiểm soát mới nhằm giám sát và hạn chế các AI agent có khả năng "nổi loạn" trong môi trường doanh nghiệp. Quan điểm cốt lõi của hãng rất rõ ràng: doanh nghiệp nên đối xử với AI agent như người dùng nội bộ chứ không phải phần mềm được tin tưởng mặc định. Động thái này đánh dấu bước chuyển quan trọng khi AI ngày càng được trao quyền tự chủ trong các quy trình vận hành.

Từ phòng thủ bên ngoài đến kiểm soát nội bộ

Các tính năng mới mở rộng Project Perception, hệ thống an ninh cho AI agent mà Microsoft ra mắt hồi tháng 7/2026. Ban đầu, Perception được định vị là lá chắn chống lại các cuộc tấn công do AI điều khiển từ bên ngoài, nhưng nay nó được áp dụng cho chính những agent mà doanh nghiệp vận hành bên trong.

Bà Hayete Gallot, Phó chủ tịch điều hành mảng Bảo mật của Microsoft, cho rằng doanh nghiệp thường có xu hướng tin tưởng tuyệt đối vào các agent do mình triển khai. Bà cảnh báo rằng các mô hình tiên tiến được huấn luyện để đạt kết quả, chứ không được thiết kế dựa trên chuẩn mực hay phán đoán của tổ chức.

"Những agent này thường có quá nhiều đặc quyền, được truy cập dữ liệu, công cụ và hệ thống, đồng thời có thể thực hiện hành động và ra quyết định trong các quy trình trọng yếu", Gallot viết.

Chân dung chuyên gia bảo mật

Ông Nadim Abdo, Phó chủ tịch mảng định danh và truy cập mạng của Microsoft, làm rõ cách gọi "người dùng nội bộ". Theo ông, điều này không có nghĩa agent vốn dĩ có ý đồ xấu, mà là chúng là công cụ mạnh mẽ và có thể được người dùng cấp quyền truy cập vào các hệ thống quan trọng. Chính vì vậy, chúng có thể mắc sai sót, bị thao túng hoặc bị xâm phạm.

Ba trụ cột kiểm soát mới

Dynamic Permissions (Quyền hạn động) là tính năng đầu tiên trong nhóm. Agent khởi đầu với không có quyền gì, hoặc chỉ ở mức tối thiểu. Quyền truy cập sau đó được cấp theo từng tác vụ cụ thể, và sẽ hết hạn hoặc bị thu hẹp khi tác vụ thay đổi hay kết thúc. Những hành động có tác động lớn sẽ bắt buộc phải có con người phê duyệt.

Dynamic Agent Risk (Rủi ro agent động) chấm điểm rủi ro cho từng agent và cập nhật liên tục. Điểm số này tổng hợp từ hoạt động của agent cùng các tín hiệu về định danh, dữ liệu, thiết bị đầu cuối, đám mây, mạng và môi trường thực thi. Hệ thống cũng tính đến cấu hình bảo mật, phạm vi tài nguyên mà agent tiếp cận, mức thiệt hại tiềm tàng nếu xảy ra sự cố, và liệu agent có đang đi chệch khỏi ý định của người dùng hay tổ chức hay không.

Dynamic Conditional Access (Truy cập có điều kiện động) đưa cơ chế Conditional Access của Entra sang áp dụng cho agent. Thay vì chỉ cho phép hoặc chặn, hệ thống có thể thu hẹp quyền của agent, cho phép đọc nhưng không cho ghi, giới hạn phạm vi dữ liệu và tài nguyên mạng, hoặc yêu cầu con người phê duyệt các hành động hệ trọng. Nếu rủi ro tăng lên mức cao, môi trường thực thi của agent có thể bị cô lập hoặc dừng hoàn toàn.

Playbooks và đội Guardian Agents

Để vận hành các cơ chế trên ở quy mô lớn, Microsoft giới thiệu Playbooks và một đội Guardian Agents trong Project Perception. Con người đặt ra quy tắc và giới hạn phê duyệt, Playbooks xác định mục tiêu mà phản ứng bảo mật cần đạt được, còn Guardian Agents thực thi. Các agent này phân tích lý do điểm rủi ro thay đổi, rồi đề xuất hoặc trực tiếp áp dụng biện pháp ngăn chặn.

Bên cạnh đó, hãng mở rộng khả năng phát hiện thêm 35 loại agent cục bộ, nâng tổng số được hỗ trợ lên 60, bao gồm Claude Code, OpenAI Codex và GitHub Copilot.

Ý nghĩa với doanh nghiệp Việt Nam

Với các doanh nghiệp Việt Nam đang bắt đầu tích hợp AI agent vào quy trình chăm sóc khách hàng, phân tích dữ liệu hay vận hành hệ thống, cách tiếp cận của Microsoft là lời nhắc đáng lưu tâm. Việc cấp quyền rộng rãi "một lần cho tất cả" tiềm ẩn rủi ro lớn khi agent bị tấn công hoặc hành xử ngoài ý muốn. Nguyên tắc đặc quyền tối thiểu, cấp quyền theo tác vụ và có điểm kiểm soát bởi con người nên được xem là chuẩn mực ngay từ giai đoạn thiết kế.

Logo SecurityWeek

Việc Microsoft đưa các khái niệm vốn dành cho quản trị danh tính người dùng — như Conditional Access hay chấm điểm rủi ro — sang áp dụng cho AI agent cho thấy một xu hướng rõ ràng: ranh giới giữa "người dùng" và "phần mềm" đang mờ dần. Trong tương lai gần, quản trị danh tính cho AI có thể sẽ trở thành một hạng mục bắt buộc trong chiến lược an ninh mạng của mọi tổ chức.