Từ Email-to-Case đến Phòng họp: Cách các tác nhân AI kế thừa phá vỡ mô hình quản trị phần mềm truyền thống

Trong các nền tảng như Salesforce Agentforce, cách khuyến nghị để một tác nhân AI (agent) phản hồi các sự kiện là thông qua một Flow: một bản ghi được tạo hoặc một case được cập nhật, và Flow này sẽ truyền dữ liệu vào prompt của tác nhân. Song song đó, các tính năng Email-to-Case và Web-to-Case chuyển đổi tin nhắn khách hàng thành các bản ghi case; đây là cách các hãng hàng không và khách sạn vận hành quy trình hỗ trợ khách hàng. Cả hai đều là các tính năng tiêu chuẩn, được tài liệu hóa và thiết kế sẵn. Khi được kết nối với nhau, chúng tạo ra một luồng như sau:

internet công cộng → email → bản ghi case → prompt của tác nhân → hành động của tác nhân → bình luận case → phản hồi đi

Giờ đây, một người ngoài không cần xác thực có thể có một con đường để đưa hướng dẫn vào một tác nhân nội bộ, và phản hồi của tác nhân sẽ rời đi qua cùng một cửa. Không có gì bị cấu hình sai. Phát hiện này, được các nhà nghiên cứu ghi nhận vào tháng 8 năm 2026, là một ví dụ rõ ràng về cách các tác nhân AI khi xuất hiện bên trong các nền tảng hiện có lại thất bại: thông qua ứng dụng xung quanh chúng, chứ không phải mô hình bên trong chúng.

Rủi ro nằm ở ứng dụng, và ứng dụng là thứ không ai xem xét lại

Các tính năng tiếp nhận nào được bật, trigger nào được kích hoạt, đối tượng nào được phơi bày cho người dùng khách, tự động hóa nào truyền dữ liệu không đáng tin cậy đi đâu, và phiên bản mô hình nào mà tác nhân đang âm thầm gọi: đây là những biến số quyết định xem chuỗi Agentforce là một phiền toái trong hàng đợi hỗ trợ hay một lỗ hổng rò rỉ dữ liệu. Một đánh giá rủi ro nhà cung cấp được thực hiện một lần khi mua sắm sẽ không thấy bất kỳ điều nào trong số đó, bởi vì tác nhân AI chưa tồn tại vào thời điểm mua sắm. Một bộ lọc prompt theo dõi đầu vào của tác nhân không biết rằng một đầu vào cụ thể bắt nguồn từ một người lạ, bởi vì các bộ lọc prompt không hiểu Email-to-Case.

Do đó, việc bảo mật một tác nhân AI kế thừa đòi hỏi phải hiểu ứng dụng chủ của nó ở mức độ sâu mà chính các quản trị viên của ứng dụng đó có. Mức độ sâu đó là điều mà cả bảng câu hỏi và máy quét đều thiếu. Chiến dịch City-Forum, một hoạt động đánh cắp dữ liệu toàn cầu đang diễn ra nhắm vào các phiên bản Salesforce và ServiceNow từ tháng 3 năm 2025, đã được tìm thấy chính xác trong lĩnh vực này: khoảng cách giữa các tính năng của nền tảng và các cấu hình mà doanh nghiệp thực sự đang chạy.

Các nhà phát triển đang gia tăng, và một số trong số đó là tác nhân AI

Các nền tảng đã làm cho việc tạo tác nhân AI trở nên dễ tiếp cận như việc tạo một slide thuyết trình. Bộ phận marketing xây dựng một tác nhân để kéo báo cáo pipeline. Bộ phận tài chính xây dựng một tác nhân để đối chiếu hóa đơn. Mỗi tác nhân hoạt động với quyền hạn của người tạo ra nó, bởi vì đó là điều làm cho nó hữu ích. Shadow AI từng là một nhân viên dán dữ liệu vào một chatbot. Shadow agents là quyền truy cập của nhân viên đó, chạy tự động, được nhân rộng trên mọi thứ mà họ từng được cấp.

Ngày càng có nhiều tác nhân AI tự xây dựng các tác nhân khác. Một tác nhân mã hóa được gắn vào một kênh chat có thể tạo và triển khai một tác nhân khác dễ dàng như việc nó mở một pull request; một nền tảng điều phối tạo ra các tác nhân phụ để chia nhỏ một nhiệm vụ, mỗi tác nhân có kết nối riêng và không có tác nhân nào được xem xét riêng. Bất kỳ mô hình quản trị nào giả định rằng một con người đã yêu cầu mỗi tác nhân đều đã lỗi thời một cách lặng lẽ.

Tại sao quản trị vẫn chỉ tạo ra một tài liệu

Hỏi một doanh nghiệp lớn về quản trị tác nhân AI và câu trả lời thường là một tài liệu: một chính sách sử dụng chấp nhận được, một ủy ban hàng tháng, một bộ nguyên tắc mà không ai tranh cãi và không có gì thực thi. Hỏi câu hỏi vận hành, có bao nhiêu tác nhân đang chạy ngay bây giờ, chúng có thể tiếp cận những gì, và ai sở hữu từng tác nhân, thì tài liệu đó không biết.

OWASP Agentic Skills Top 10 hiện mô tả phiên bản sắc nét nhất của khoảng cách này dưới danh mục “No Governance” (Không có quản trị): một kỹ năng được triển khai và quản lý bên trong một nền tảng của bên thứ ba không thể tiếp cận được bởi các máy quét bên ngoài (OWASP Agentic Skills Top 10 whitepaper, ast10-top10-whitepaper-2, được xuất bản tại owasp.github.io). Các công cụ mà một doanh nghiệp hướng vào vấn đề từ bên ngoài không thể nhìn thấy bên trong những nơi mà hầu hết các tác nhân AI tồn tại. Quản trị thất bại thường xuyên nhất vì các quy tắc được viết trước khi nhóm bảo mật có thể nhìn thấy những thứ mà các quy tắc đó áp dụng.

Kiểm tra từng lớp của hệ thống từ dưới lên

Thứ tự làm việc là từ dưới lên, và mỗi lớp là điều kiện tiên quyết cho lớp trên nó. Một cách thực tế để kiểm tra xem một chương trình có thực sự hoạt động không là áp dụng một bài kiểm tra vận hành ở mỗi cấp độ.

Chi phí của việc tuân thủ trên giấy tờ

Các hình phạt của Đạo luật AI của EU có trọng lượng tương đương với GDPR: lên đến 35 triệu Euro hoặc 7% doanh thu hàng năm toàn cầu cho các hành vi bị cấm, lên đến 15 triệu Euro hoặc 3% cho các vi phạm khác. Mọi khuôn khổ hội tụ về nó đều giả định rằng hệ thống trên tồn tại. GDPR đã cho thấy điều gì xảy ra khi nó không tồn tại. British Airways (20 triệu bảng Anh) và Marriott (18,4 triệu bảng Anh) không bị phạt vì có các chính sách không hoàn hảo. Mọi người đều có các chính sách không hoàn hảo. Họ bị phạt vì việc tuân thủ chỉ tồn tại trên giấy tờ và không thể được chứng minh trong hoạt động khi các cơ quan quản lý yêu cầu. Một thực hành quản trị được xây dựng từ dưới lên sẽ tạo ra bằng chứng đó như một sản phẩm phụ: danh mục, chủ sở hữu, cấu hình, lịch sử xem xét.

Một số nền tảng được thiết kế để tạo ra chính xác bản ghi đó. Một ví dụ hàng đầu là Reco, nền tảng này khám phá các tác nhân AI trên nhiều điểm nhìn khác nhau, bao gồm cả những tác nhân không bao giờ chạm vào SSO, và gán cho mỗi tác nhân một hồ sơ rủi ro trước khi bất kỳ chính sách nào có thể được áp dụng cho nó.

Chuỗi Agentforce ở đầu bài viết này không phải là một exploit. Đó là một cấu hình, và các cấu hình có thể được quản trị, miễn là ai đó có thể nhìn thấy chúng.

Nguồn tham khảo: The Hacker News