Kiểm soát ‘Wild Code’: Thách thức bảo mật khi nhân viên tự xây dựng ứng dụng AI

Trong môi trường doanh nghiệp hiện đại, việc nhân viên tự xây dựng các workflow hỗ trợ bởi AI để tối ưu hóa công việc đang trở thành xu hướng tất yếu. Từ việc tự động hóa xử lý đơn hàng đến kết nối dữ liệu khách hàng, các ứng dụng này giúp tăng năng suất đáng kể. Tuy nhiên, sự tiện lợi này lại tạo ra một khái niệm mới mà giới bảo mật gọi là wild code – những đoạn mã, ứng dụng hoặc tác nhân (agent) được tạo ra nhanh chóng nhưng nằm ngoài tầm kiểm soát của quy trình quản trị công nghệ thông tin.

Rủi ro tiềm ẩn từ ‘Wild Code’

Vấn đề không chỉ nằm ở các lỗ hổng bảo mật trong mã nguồn, mà còn ở cách thức vận hành của chúng:

• Quyền hạn quá mức (Excessive permissions): Workflow thường được cấp quyền truy cập rộng hơn mức cần thiết, tạo điều kiện cho việc rò rỉ dữ liệu.
• Phơi nhiễm dữ liệu nhạy cảm: Thông tin quan trọng có thể bị đẩy vào các mô hình AI hoặc lưu trữ trong log không an toàn.
• Hành động ngoài ý muốn: Các agent có thể thay đổi dữ liệu hoặc cấu hình hệ thống mà không qua quy trình phê duyệt.
• Quyền truy cập bị bỏ quên (Orphaned access): Khi nhân viên tạo ra workflow nghỉ việc hoặc chuyển bộ phận, không ai chịu trách nhiệm quản lý quyền truy cập của ứng dụng đó.
• Thiếu khả năng điều tra: Khi sự cố xảy ra, đội ngũ bảo mật khó có thể truy vết danh tính thực hiện hoặc phạm vi tác động của workflow.

Tại sao các giải pháp truyền thống chưa đủ?

Nhiều doanh nghiệp đang áp dụng đào tạo nhận thức, môi trường sandbox hoặc các ủy ban xét duyệt AI. Tuy nhiên, các biện pháp này thường gặp hạn chế:

• Đào tạo không thay thế được kiểm soát: Dù nhân viên hiểu về bảo mật, áp lực công việc và thời hạn dự án vẫn khiến họ ưu tiên tốc độ hơn là tuân thủ quy trình.
• Sandbox chỉ giải quyết khâu thử nghiệm: Một prototype thành công thường được đưa thẳng vào môi trường production mà thiếu các biện pháp bảo mật đi kèm trong suốt vòng đời vận hành.
• Ủy ban không thể kiểm soát những gì họ không thấy: Tốc độ tạo ứng dụng của nhân viên vượt xa tốc độ xét duyệt của các ủy ban chuyên trách.

Xây dựng cơ chế kiểm soát ngay từ môi trường làm việc

Để quản lý hiệu quả, các đội ngũ bảo mật cần chuyển dịch từ tư duy “ngăn chặn” sang “thiết lập ranh giới”:

1. Quản trị xuyên suốt vòng đời: Thiết lập quyền truy cập và các hành động được phép ngay từ trước khi triển khai và duy trì giám sát liên tục sau đó.
2. Tối ưu hóa trải nghiệm người dùng: Biến quy trình bảo mật thành con đường dễ đi nhất. Nếu quy trình an toàn quá phức tạp, nhân viên sẽ tìm cách né tránh.
3. Tích hợp khả năng điều tra: Đảm bảo mọi workflow đều có chủ sở hữu rõ ràng, danh tính thực thi minh bạch và khả năng thu hồi quyền truy cập ngay lập tức khi phát hiện bất thường.

Thay vì cố gắng kiểm soát từng đoạn mã, các chuyên gia bảo mật nên tập trung vào việc định hình môi trường mà nhân viên đang sử dụng để xây dựng ứng dụng. Bằng cách tích hợp các rào chắn bảo mật vào quy trình làm việc hàng ngày, doanh nghiệp có thể tận dụng sức mạnh của AI mà vẫn đảm bảo an toàn cho hạ tầng dữ liệu.

Nguồn tham khảo: The Hacker News