Zero Trust cho AI agent cần bắt đầu từ khả năng quan sát
"The article argues that securing AI agents requires first establishing visibility, because many organizations are deploying agents and AI workflows without full inventory, ownership, or oversight. It highlights shadow AI, blind spots across network/endpoint/browser/SaaS environments, and the risk of uncontrolled access to sensitive data and API keys; the recommended fix is to discover and inventory agents first, then apply Zero Trust enforcement and monitoring controls."
Tăng cường phát hiện shadow AI, giảm nguy cơ truy cập trái phép vào dữ liệu nhạy cảm và API keys; nếu thiếu inventory, các lớp Zero Trust khó có điểm để thực thi.
Ảnh hưởng đến quản trị CNTT, kiểm soát chi phí và tuân thủ; thiếu quan sát có thể làm tăng rủi ro vận hành và phát sinh sử dụng AI ngoài kiểm soát.
Bài viết cho rằng việc bảo vệ AI agents không nên bắt đầu từ kiểm soát chặn hay chính sách, mà từ khả năng quan sát và kiểm kê đầy đủ. Nhiều tổ chức đang triển khai AI workflows khi chưa có danh mục tài sản, chưa xác định chủ sở hữu, và chưa biết rõ agent đang truy cập vào đâu. Theo nghiên cứu được trích dẫn, 70% tổ chức thừa nhận luồng AI đã chạm tới dữ liệu nhạy cảm khi chưa có giám sát đầy đủ, và 67% cho biết bộ phận IT không theo dõi được các workflow tự động do nhân viên xây dựng.
Rủi ro chính đến từ shadow AI, các agent chạy ẩn trong network, endpoint, browser và SaaS. Khi không nhìn thấy toàn bộ bề mặt triển khai, doanh nghiệp có thể bỏ sót API keys, quyền truy cập vào CRM hoặc dữ liệu nội bộ, dẫn đến lạm dụng tài nguyên hoặc rò rỉ thông tin. Bài viết nhấn mạnh nguyên tắc: “biết trước, rồi mới hạn chế”.
Khuyến nghị kỹ thuật là ưu tiên discovery, lập inventory cho agent, theo dõi API-key issuance, chi tiêu cho AI và các nguồn tín hiệu từ finance/procurement. Sau đó mới áp dụng Zero Trust enforcement, giám sát liên tục và chính sách truy cập theo phạm vi rõ ràng.