SASE có “lỗ hổng” về AI: kiểm tra gói tin không còn đủ
"The article argues that traditional SASE architectures are losing visibility as enterprise work shifts into browsers, SaaS apps, and AI workflows, where encrypted traffic and certificate pinning limit proxy-based inspection. It proposes endpoint- and browser-level enforcement, with dynamic edge steering when needed, to inspect context such as copy/paste and prompt content before data leaves the device and reduce reliance on decryption-heavy cloud proxies."
Tác động chính là giảm khả năng quan sát nội dung khi lưu lượng bị mã hóa và certificate pinning hạn chế man-in-the-middle; đồng thời việc tạo ngoại lệ để tránh gián đoạn có thể mở rộng bề mặt rủi ro. Điểm then chốt: lỗ hổng “moment of intent”, giảm hiệu quả kiểm tra tại mạng, và phải dựa vào kiểm soát tại endpoint.
Nếu tiếp tục ép lưu lượng qua proxy để kiểm tra, tổ chức có thể gặp tăng độ trễ và ảnh hưởng trải nghiệm (ví dụ gọi video/ứng dụng web), khiến người dùng tìm cách “lách” quy trình. Điểm then chốt: detour tax làm giảm hiệu năng, ngoại lệ vận hành tăng dần theo ứng dụng, và mô hình mới hướng tới đường đi trực tiếp để giảm tác động lên năng suất.
Bài viết cho rằng các kiến trúc SASE truyền thống đang mất dần khả năng quan sát khi hoạt động doanh nghiệp chuyển sang trình duyệt, ứng dụng SaaS và các luồng AI/agent. Trong các kịch bản này, lưu lượng thường được mã hóa đầu-cuối và cơ chế như certificate pinning làm giảm hiệu quả của kiểm tra dựa trên proxy. Hệ quả là đội bảo mật khó nhìn thấy “ý định” dữ liệu (intent) ngay tại thời điểm tương tác.
Theo bài viết, mô hình phổ biến trước đây là backhaul về cloud proxy để decryption và thực thi chính sách. Tuy nhiên, với TLS 1.3, HTTP/3 và pinning, proxy cố ép giải mã có thể khiến ứng dụng khách ngắt kết nối, buộc tổ chức tạo ngoại lệ để tránh gián đoạn. Điều này vừa tạo khoảng trống bảo mật, vừa gây “detour tax” về độ trễ.
Để quản trị AI và SaaS hiện đại, bài viết đề xuất chuyển thực thi về endpoint và browser: kiểm tra cục bộ copy/paste và prompt content trước khi rời thiết bị; chỉ điều hướng sang edge/cloud khi cần xác minh bổ sung. Mục tiêu là giảm phụ thuộc vào proxy nặng về giải mã và khôi phục hiệu năng đường truyền trực tiếp.