Kết nối AI agent ra dịch vụ bên ngoài làm mở rộng đáng kể bề mặt tấn công
"PromptArmor reported that AI connectors for services such as ChatGPT and Claude are rapidly changing, with many tools added or rewritten over a six-week period, which can invalidate prior security assumptions. The study found connectors can expand the attack surface by exposing private data, untrusted content, and external communication paths, and may also route data to additional AI subprocessors outside the original service's controls."
Connectors có thể làm bùng nổ bề mặt tấn công do mở rộng luồng dữ liệu và hành động ra bên ngoài, đồng thời làm khó việc đánh giá “due diligence” theo mô tả tĩnh. Điểm then chốt: thay đổi nhanh của connectors, thêm công cụ mới/viết lại mô tả, và khả năng gọi thêm AI services/subprocessors ngoài phạm vi kiểm soát ban đầu.
Tác động kinh doanh chủ yếu nằm ở rủi ro gián đoạn tuân thủ và tăng chi phí quản trị do connectors thay đổi liên tục. Điểm then chốt: khó duy trì governance nhất quán, nguy cơ lộ dữ liệu nhạy cảm qua tích hợp, và nhu cầu đánh giá lại kiểm soát theo chu kỳ ngắn hơn.
Việc tích hợp AI agents với các dịch vụ bên thứ ba thông qua “connectors” (ví dụ tích hợp với ChatGPT hoặc Claude) có thể làm mở rộng phạm vi rủi ro và khiến các giả định bảo mật trước đó nhanh chóng trở nên không còn phù hợp. Theo nghiên cứu của PromptArmor, hệ sinh thái connectors đang thay đổi liên tục: trong giai đoạn giữa tháng 5 đến cuối tháng 6, có 931/2.517 connectors (37%) thay đổi trong vòng 6 tuần.
Nghiên cứu cũng ghi nhận 1.686 công cụ mới được thêm vào các connectors đang hoạt động và 1.127 mô tả công cụ bị viết lại, có thể ảnh hưởng đến cách mô hình quyết định khi nào và gọi công cụ nào. Một ví dụ được nêu là Dropbox connector, tăng số công cụ lộ ra từ 8 lên 24, mở rộng số công cụ có quyền ghi và thay đổi permission scopes.
Quan trọng hơn, connectors có thể chuyển dữ liệu sang các AI subprocessors bên ngoài. PromptArmor đánh giá trong 487 connectors của Claude có 189 connectors (~2/5) có khả năng gọi thêm các dịch vụ AI khác. Ngoài ra, tài liệu của Anthropic cũng thừa nhận kiểm soát bảo mật của nền tảng không nhất thiết bao phủ xử lý dữ liệu của bên thứ ba.
Khuyến nghị: rà soát lại danh sách công cụ, luồng dữ liệu và điều khoản xử lý theo từng connector; áp dụng nguyên tắc tối thiểu quyền và kiểm soát chặt đầu vào/untrusted content trước khi cho agent kích hoạt công cụ.