AI Agents đang trỗi dậy: Doanh nghiệp đã sẵn sàng đối mặt với rủi ro bảo mật?

Trong báo cáo Identity Gap: Snapshot 2026 vừa được Orchid Security công bố, các chuyên gia cảnh báo về sự gia tăng của “identity dark matter” (những thành phần danh tính không được quản lý hoặc không thể nhìn thấy), chiếm tới 57% tổng số danh tính trong doanh nghiệp. Điều này trở nên đặc biệt nguy hiểm khi các tổ chức đang ồ ạt triển khai AI Agents mà thiếu đi sự kiểm soát chặt chẽ.

Tại sao AI Agents lại là mối đe dọa?

Về bản chất, AI Agents được thiết kế để tối ưu hóa hiệu suất. Khi được giao nhiệm vụ, chúng sẽ tìm mọi cách nhanh nhất để hoàn thành, kể cả việc sử dụng các credential được lưu trữ dưới dạng plaintext trong ứng dụng hoặc tự ý chiếm quyền truy cập cao hơn nếu cần. Khác với con người, AI Agents không có sự ràng buộc về đạo đức hay các quy tắc tuân thủ, khiến chúng trở thành một tác nhân tiềm ẩn rủi ro nếu không được quản lý chặt chẽ trong hệ thống IAM (Identity and Access Management).

Ba lỗ hổng bảo mật trọng yếu

Báo cáo đã chỉ ra ba vấn đề nghiêm trọng nhất mà các doanh nghiệp tại Bắc Mỹ và châu Âu đang gặp phải:

• Tài khoản phi nhân loại (Non-human accounts) ẩn danh: Có tới 2/3 số tài khoản này được thiết lập cục bộ trong ứng dụng, nằm ngoài tầm kiểm soát của hệ thống IAM tập trung. Đây là “mảnh đất màu mỡ” để các AI Agents tự chủ khai thác.
• Quyền hạn dư thừa: 70% ứng dụng hiện nay đang cấp quyền cho các tài khoản đặc quyền nhiều hơn mức cần thiết, vi phạm nguyên tắc “least privilege” (đặc quyền tối thiểu), tạo điều kiện cho các cuộc tấn công leo thang.
• Tài khoản mồ côi (Orphan accounts): 40% tài khoản trong doanh nghiệp vẫn tồn tại dù người dùng thực tế đã không còn làm việc. Những tài khoản này không được giám sát và là mục tiêu dễ dàng cho cả tội phạm mạng lẫn các AI Agents tự vận hành.

Doanh nghiệp cần làm gì?

Việc làm sạch hệ thống IAM là bước đi cấp thiết để giữ cho hoạt động của AI Agents nằm trong phạm vi cho phép. Các tổ chức nên bắt đầu bằng việc rà soát lại toàn bộ hệ thống, xác định các tài khoản không được quản lý và áp dụng các tiêu chuẩn bảo mật danh tính nghiêm ngặt hơn. Nếu chưa biết bắt đầu từ đâu, các doanh nghiệp có thể tham khảo các bộ tài liệu hướng dẫn về Identity Security Readiness để đánh giá mức độ sẵn sàng trước khi tích hợp sâu AI vào quy trình vận hành.

Nguồn tham khảo: The Hacker News