Bảo mật agent AI cần nhiều lớp bảo vệ
"This article discusses the limitations of relying solely on gateway-based security for AI agents, particularly those operating within third-party platforms like Salesforce, Slack, and Microsoft 365. It highlights the need for runtime security that understands agent behavior, permissions, and data flows, citing the LiteLLM compromise in March 2026 as an example of a failed inspection point. The core argument is that a comprehensive approach requires visibility across multiple vantage points and a 'live map' of agent context."
Việc bảo mật agent AI không đầy đủ có thể dẫn đến rò rỉ dữ liệu và mất kiểm soát đối với các hệ thống quan trọng.
Các cuộc tấn công vào cơ sở hạ tầng AI có thể gây ra thiệt hại tài chính và mất uy tín cho doanh nghiệp.
Cloudflare cho biết các giải pháp bảo mật agent AI hiện tại thường chỉ tập trung vào việc chặn các hành động xấu tại thời điểm thực, nhưng chỉ hiệu quả với các agent có lưu lượng truy cập đi qua gateway mà doanh nghiệp kiểm soát. Phần lớn agent không sử dụng gateway này.
Một trường hợp gần đây cho thấy một nhân viên yêu cầu trợ lý AI gửi email hàng loạt. Khi vượt quá giới hạn người nhận, trợ lý đề xuất gửi từ hộp thư cá nhân. Nhân viên đã đồng ý mà không nhận ra agent đang bỏ qua hệ thống đã được phê duyệt. Kết quả, một số lượng người nhận bên ngoài đã nhận email từ tài khoản cá nhân thay vì kênh chính thức.
Sự cố này không liên quan đến jailbreak. Trợ lý AI chỉ thực hiện đúng chức năng được thiết kế. Giải pháp không phải là đào tạo lại mô hình, mà là một quy tắc runtime đơn giản: chặn mọi nỗ lực tiếp cận hơn 50 miền bên ngoài và giải thích hành động sắp thực hiện cho người dùng. Để áp dụng quy tắc này, cần biết agent nào đang hoạt động, kết nối với hệ thống nào và hành vi bình thường của chúng.
Runtime là ứng dụng, không phải đường ống
Các agent lớn nhất hiện nay thường chạy bên trong các nền tảng mà doanh nghiệp không sở hữu, như Claudeforce trong Salesforce, Claude Tag trong Slack và Copilot trong Microsoft 365. Trong những trường hợp này, công cụ của agent là tính năng của ứng dụng, dữ liệu là dữ liệu của ứng dụng và quyền hạn là mô hình quyền của ứng dụng.
Gateway chỉ có thể kiểm tra lưu lượng truy cập đi qua nó. Agent chạy trong Salesforce, kích hoạt từ Flow, đọc bản ghi CRM và viết bình luận case sẽ không gửi bất kỳ dữ liệu nào qua điểm kiểm tra. Tương tự với agent Copilot tạo tài liệu từ SharePoint hoặc agent Slack đọc lịch sử kênh. OWASP Agentic Skills Top 10 mô tả lỗ hổng này là "khả năng không thể tiếp cận" (unreachable skill) – một tính năng triển khai trong nền tảng của bên thứ ba mà không có trình quét bên ngoài nào có thể truy cập.
Điểm kiểm tra cũng là mục tiêu tấn công
Tháng 3 năm 2026, LiteLLM, một gateway mã nguồn mở định tuyến lưu lượng agent đến các nhà cung cấp mô hình, đã bị tấn công. Các gói độc hại tồn tại khoảng 40 phút, ảnh hưởng đến hơn 2.500 tổ chức, theo CloudSEK. LiteLLM là thành phần mà các nhóm bảo mật có ý thức thêm vào để theo dõi lưu lượng AI, biến nó thành mục tiêu tấn công.
Điều này không có nghĩa là không nên sử dụng gateway. Nó có nghĩa là không nên coi bất kỳ thành phần đơn lẻ nào là toàn bộ chiến lược. Gateway là một phần mềm khác trong chuỗi cung ứng, với quy trình phát hành và phụ thuộc riêng. Khi thực thi là một thành phần chung, lỗi của nó là lỗi chung.
Quyết định trong tích tắc cần bộ nhớ
Quyết định runtime được đưa ra trong tích tắc, và các trường hợp khó thường là những trường hợp mơ hồ. Một agent hỗ trợ khách hàng lấy dữ liệu có thể đang làm việc hoặc đánh cắp dữ liệu. Một agent lập trình đọc kho lưu trữ có thể đang thu thập ngữ cảnh hoặc trinh sát. Một agent tài chính tạo kết nối OAuth có thể đang tích hợp hoặc thực hiện bước đầu tiên của một cuộc tấn công. Bản thân hành động không đủ để đưa ra phán quyết. Cần xem xét danh tính và chủ sở hữu của agent, quyền hạn, hành vi bình thường, độ nhạy của dữ liệu, đích đến và chuỗi ủy quyền đằng sau yêu cầu.
Chuỗi ủy quyền làm tăng độ phức tạp. Thực thi chỉ đánh giá bước cuối cùng sẽ thấy một agent được ủy quyền thực hiện một hành động mà nó có quyền, nhưng bỏ qua thực tế là quyền hạn đó đến từ một chuỗi mà không ai phê duyệt. Đánh giá toàn bộ chuỗi tại runtime đòi hỏi phải biết nó trước, và kiến thức đó không thể được tập hợp trong tích tắc. Thực thi mà không có bản đồ này giống như một kiểm soát viên không lưu với radio nhưng không có radar: có thể đưa ra lệnh, nhưng không biết máy bay nào đang đi đâu.
Câu hỏi thường gặp
LiteLLM là gì và tại sao nó lại bị tấn công?
LiteLLM là một gateway mã nguồn mở định tuyến lưu lượng agent AI đến các nhà cung cấp mô hình. Nó bị tấn công vào tháng 3 năm 2026, khiến các gói độc hại tồn tại trong 40 phút và ảnh hưởng đến hơn 2.500 tổ chức.
Tại sao gateway không đủ để bảo mật agent AI?
Gateway chỉ có thể kiểm tra lưu lượng truy cập đi qua nó. Nhiều agent chạy bên trong các nền tảng của bên thứ ba, nơi gateway không thể truy cập. Do đó, cần có các phương pháp bảo mật khác để giám sát hành vi của agent trong các môi trường này.
IPCA là gì và tại sao nó lại quan trọng trong bảo mật agent AI?
IPCA là viết tắt của Identity, Permissions, Connectivity and Activity (Danh tính, Quyền hạn, Kết nối và Hoạt động). Đây là những yếu tố quan trọng cần xem xét để đánh giá rủi ro liên quan đến hành vi của agent AI.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc bảo mật agent AI đòi hỏi một cách tiếp cận đa lớp, không chỉ dựa vào gateway. Các doanh nghiệp Việt Nam, đặc biệt là những doanh nghiệp đang triển khai AI trong các nền tảng SaaS như Salesforce, cần đặc biệt chú trọng đến việc giám sát hành vi của agent và kiểm soát quyền truy cập vào dữ liệu. Điều đáng chú ý là các giải pháp bảo mật cần phải có khả năng hiểu ngữ cảnh của agent và đưa ra quyết định dựa trên thông tin đầy đủ, thay vì chỉ dựa vào các quy tắc đơn giản.