Zalando ra mắt Agentic Identity Broker mã nguồn mở

Zalando Incubator vừa công bố Agentic Identity Broker (AIB) phiên bản v0.1, một broker OAuth2 mã nguồn mở theo giấy phép MIT, giúp người dùng trao cho AI agent quyền truy cập có phạm vi và có thể thu hồi vào các dịch vụ MCP (Model Context Protocol — giao thức chuẩn để agent kết nối với công cụ và dữ liệu bên ngoài).

Điểm đáng chú ý: AIB đã chạy trong môi trường production nội bộ của Zalando, kết nối hàng trăm agent với hàng chục MCP server nội bộ lẫn bên ngoài. Đây là một trong những hạ tầng hiếm hoi giải quyết bài toán định danh cho agent theo hướng mã nguồn mở, trong khi các nhóm làm việc của IETF vẫn đang hoàn thiện tiêu chuẩn về định danh agent.

Agentic Identity Broker

Ba bài toán lớn trong môi trường doanh nghiệp

Theo tác giả Jan, đồng tác giả của dự án, AIB được thiết kế để giải quyết ba thách thức đặc biệt quan trọng trong môi trường doanh nghiệp:

• Ủy quyền mà không lộ token: cho phép người dùng giao việc cho agent mà không phải đưa toàn bộ token của mình cho agent.
• Kết nối các hệ thống định danh bị phân mảnh: cầu nối giữa các hệ thống xác thực và phân quyền khác nhau.
• Tập trung hóa phê duyệt công cụ và ghi log kiểm toán.

Nhóm phát triển cho biết họ xây dựng AIB để lấp khoảng trống hạ tầng trong chính nền tảng agent của mình, vì các sản phẩm đóng gói sẵn cho nhu cầu này chưa có trên thị trường.

Cách hoạt động

Người dùng chỉ cần đồng ý một lần cho mỗi cặp agent và dịch vụ. Broker lưu token của bên thứ ba dưới dạng mã hóa. Khi có yêu cầu, một gateway (ví dụ Agentgateway) thực hiện trao đổi token theo RFC 8693 — tiêu chuẩn của IETF về token exchange.

Nhờ vậy, agent không bao giờ nhìn thấy token của người dùng, còn các MCP server chỉ cần triển khai công cụ mà không phải lo toàn bộ quy trình OAuth 2.1 phức tạp.

Trạng thái CI và phiên bản phát hành

Tính năng chính

• Quản lý định danh an toàn: đăng ký agent, xác thực principal và quản lý phiên.
• Ủy quyền và đồng ý qua OAuth2: quản lý scope và sự đồng ý của người dùng cho các dịch vụ bên thứ ba như Google, GitHub, Databricks hay Linear.
• Thiết kế ưu tiên bảo mật: che giấu giá trị nhạy cảm, chống chèn lệnh (command injection), kiểm tra mã hóa và kiến trúc fail-closed (mặc định từ chối khi có sự cố).
• Giao diện đồng ý trực quan: UX hiện đại để quản lý các ủy quyền OAuth2.
• Ghi log kiểm toán toàn diện: log JSON có cấu trúc phục vụ tuân thủ và giám sát bảo mật.

Các kịch bản sử dụng

Với MCP server nội bộ, thay vì mỗi server phải tự cấu hình và vận hành các nghi thức OAuth2.1 theo đặc tả MCP, đội phát triển có thể đơn giản hóa việc xây dựng server chỉ còn phần cung cấp công cụ. Các nghi thức OAuth2, lưu trữ token và chuyển đổi token được xử lý minh bạch ở trung tâm.

Với MCP server cho SaaS, broker cung cấp thêm một lớp đồng ý (consent surface) ghi lại agent nào thực sự được dùng, kèm nhật ký phê duyệt phía nhà cung cấp bất kể khách hàng chạy agent nào.

Với agent được host sẵn, agent chỉ cần một token người dùng duy nhất để dùng với nhiều MCP server tùy ý.

Tính năng impersonation cho phép khởi tạo chuỗi ủy quyền mà không cần người dùng hiện diện, chẳng hạn qua một cầu nối Google Chat hay Slack. Broker có thể được chỉ định tin tưởng hai định danh máy độc lập để mạo nhận phiên của một người dùng cụ thể.

Bên cạnh đó, tính năng phê duyệt công cụ tập trung cho phép áp đặt kiểm soát lệnh gọi công cụ độc lập với giao diện agent đang dùng — một chốt kiểm tra cuối cùng trước khi email được gửi hay tài liệu được chia sẻ.

Lộ trình phát triển

Dự án hiện tập trung vào các kịch bản on-behalf-of (OBO), trong đó con người ủy quyền cho agent. Các hạng mục lớn tiếp theo gồm: chính thức hóa trao đổi token cho giao tiếp agent-với-agent, phân quyền dựa trên ý định (intent-based authorization) và log hoạt động dành cho người dùng.

Để chạy thử cục bộ, chỉ cần clone repo và chạy lệnh just compose-up-detached.

Góc nhìn

Với các đội phát triển tại Việt Nam đang thử nghiệm agent kết nối MCP server nội bộ, AIB đáng để xem xét vì nó gỡ được một phần việc lặp đi lặp lại: mỗi MCP server mới không cần tự dựng thêm một OAuth2 authorization server riêng. Việc token exchange diễn ra tập trung ở gateway cũng giúp giới hạn nơi token nhạy cảm có thể rò rỉ.

Tuy nhiên, dự án mới ở v0.1 và chưa hỗ trợ agent không có người dùng tương tác (headless agent). Các đội nên đánh giá kỹ mô hình vận hành gateway và quy trình cấp quyền trong bối cảnh hệ thống của mình trước khi đưa vào luồng thật.