Agent Access Model: Định hình lại mô hình kiểm soát truy cập trong kỷ nguyên AI Agent

Trong suốt 12 năm qua, an ninh doanh nghiệp đã chuyển dịch mạnh mẽ từ việc tin tưởng vào mạng nội bộ sang mô hình Zero Trust. Nguyên lý cốt lõi của BeyondCorp là không dựa vào vị trí của yêu cầu (trong hay ngoài mạng công ty) để quyết định quyền truy cập, mà dựa vào danh tính và tình trạng thiết bị. Tuy nhiên, mô hình này vốn được thiết kế cho con người, trong khi hiện nay các tổ chức đang triển khai ngày càng nhiều AI Agent—những thực thể phần mềm có khả năng suy luận và hành động với tốc độ vượt xa con người.

Tại sao mô hình bảo mật cho con người không còn phù hợp?

Các biện pháp kiểm soát hiện tại thường thất bại khi áp dụng cho Agent vì bốn lý do chính:

• Tính chất tạm thời (Ephemeral): Agent thường thực hiện các tác vụ ngắn hạn, trong khi các credential (thông tin xác thực) truyền thống thường tồn tại lâu dài, tạo ra lỗ hổng nếu bị rò rỉ.
• Tốc độ máy tính: Agent hoạt động ở tốc độ cao, khiến các hệ thống phát hiện bất thường dựa trên hành vi con người trở nên quá chậm để ngăn chặn hành vi độc hại.
• Prompt không phải là ranh giới bảo mật: Việc chỉ ra lệnh cho Agent “không được truy cập dữ liệu nhạy cảm” không đủ để ngăn chặn các cuộc tấn công khai thác lỗ hổng hoặc thao túng dữ liệu.
• Sự phức tạp trong ủy quyền: Agent có thể gọi các công cụ khác hoặc các Agent khác, làm mất đi tính minh bạch của chuỗi truy cập.

Giới thiệu Agent Access Model (AAM)

AAM được xây dựng dựa trên nguyên tắc: Không tin tưởng vào quá trình chạy (run), mọi hành động phải được xác thực dựa trên tác vụ và trạng thái tích lũy.

Mô hình này bao gồm 5 nguyên tắc chính:

1. Credential ngắn hạn và bị ràng buộc: Thông tin xác thực chỉ tồn tại trong thời gian thực hiện tác vụ và được gắn với khóa chứng thực (proof key).
2. Thực thi tại Harness và Network: Chính sách bảo mật phải được áp dụng tại điểm thực thi (harness) và lớp mạng, thay vì chỉ dựa vào câu lệnh (prompt).
3. Sự giám sát của con người là ngoại lệ: Chỉ yêu cầu phê duyệt cho các quyết định quan trọng để tránh tình trạng “mệt mỏi vì phê duyệt”.
4. Đánh giá quyền dựa trên bằng chứng: Các quyền truy cập được điều chỉnh dựa trên nhật ký hoạt động thực tế.
5. Trạng thái năng lực chỉ đi theo một hướng: Sử dụng cơ chế “Trust Ratchet” để thu hồi dần các quyền hạn khi tác vụ tiến triển, đảm bảo nguyên tắc đặc quyền tối thiểu (least privilege).

Kiến trúc tham chiếu

Kiến trúc AAM bao gồm các thành phần chủ chốt:

• Agent Identity Broker: Cấp phát các credential ngắn hạn, có thể xác thực và giới hạn theo tác vụ cụ thể.
• Task-Scoped Access Engine: Quyết định xem danh tính này có quyền thực hiện hành động này trên tài nguyên này hay không, dựa trên phạm vi tác vụ đã được khai báo từ trước.
• Mediation Layer (Harness và Network): Đóng vai trò là “người gác cổng”, kiểm soát các lệnh gọi công cụ (tool calls) và lưu lượng mạng outbound.

Việc chuyển dịch sang mô hình AAM không chỉ giúp doanh nghiệp kiểm soát tốt hơn các Agent mà còn tạo ra một hệ thống tự động hóa an toàn, minh bạch và có khả năng kiểm toán cao trong môi trường cloud hiện đại.

Nguồn tham khảo: Cloudflare Blog