Rủi ro bảo mật từ tác nhân AI bên thứ ba trong phần mềm doanh nghiệp
"The article argues that third-party AI agents embedded in existing enterprise software create a security gap because they often bypass traditional identity, review, and control points used for first-party AI deployments. It highlights inherited, configured, and built agents, and recommends continuous inventory, identity ownership, least-privilege permissions, connectivity mapping, and activity monitoring to manage risk and support compliance with emerging regulations such as the EU AI Act."
Tăng rủi ro từ tác nhân AI ẩn trong ứng dụng, khó kiểm soát bằng IAM truyền thống; cần kiểm kê liên tục và giám sát hành vi để giảm bề mặt tấn công.
Có thể ảnh hưởng đến tuân thủ, quản trị nhà cung cấp và vận hành an toàn; thiếu kiểm soát có thể làm tăng chi phí xử lý sự cố và đánh giá rủi ro.
Bài viết nêu ra một khoảng trống bảo mật mới khi tác nhân AI bên thứ ba được nhúng sẵn trong phần mềm doanh nghiệp. Khác với mô hình AI nội bộ do doanh nghiệp chủ động triển khai, các tác nhân này thường xuất hiện qua cập nhật sản phẩm, cấu hình sẵn hoặc runtime của nhà cung cấp, nên có thể bỏ qua các điểm kiểm soát danh tính và phê duyệt truyền thống.
Theo bài viết, trong môi trường được khảo sát cho State of Agent Security Report 2026, khoảng 1.280 sản phẩm bên thứ ba đã tích hợp AI, trong đó khoảng 282 sản phẩm nằm sau single sign-on; phần còn lại không được hệ thống danh tính quản lý mặc định. Điều này làm tăng rủi ro về quyền truy cập, kết nối liên thông và giám sát hoạt động.
Khuyến nghị kỹ thuật gồm: duy trì kiểm kê liên tục các tác nhân đang hoạt động, xác định rõ chủ sở hữu danh tính, áp dụng least privilege, lập bản đồ connectivity và theo dõi activity monitoring theo hành vi thực tế. Cách tiếp cận này cũng hỗ trợ yêu cầu tuân thủ từ các quy định mới như EU AI Act.