AI agent: ranh giới bảo mật phải nằm ở nền tảng, không phải prompt
CNCF cho rằng prompt không phải ranh giới bảo mật đáng tin cậy cho AI agent. Quyền của agent cần được giới hạn tại nền tảng bằng identity đã xác minh, kiểm soát kết nối, capability và cơ chế ngăn agent tự mở rộng quyền.
AI agent thường được cấp thêm một tool, một credential hoặc một liên kết ủy quyền để hoàn thành một workflow cụ thể. Vấn đề là các quyền đó có thể tiếp tục tồn tại sau khi workflow kết thúc.
Theo một bài viết của CNCF, rủi ro không nhất thiết bắt đầu từ một quyết định mở rộng quyền rõ ràng. Quyền của agent có thể tích lũy qua các thay đổi nhỏ, cục bộ và ít được chú ý: một tool được thêm cho một việc, một credential dùng từ giai đoạn thử nghiệm, hay một quyền ủy quyền được cấp để xử lý một lần triển khai.
Đó là lý do CNCF đặt trọng tâm vào nền tảng vận hành, thay vì prompt. Agent chỉ có thể làm những gì tool, credential và các quan hệ ủy quyền của nó thực sự cho phép.
Prompt nói ý định, hạ tầng quyết định năng lực
Prompt có thể yêu cầu agent không sửa cấu hình, không chuyển tiền hoặc chỉ đọc dữ liệu. Nhưng nếu agent vẫn giữ tool có quyền ghi hay credential gọi được API nhạy cảm, năng lực thực thi vẫn tồn tại.
Bài viết phân biệt hai lớp khác nhau:
Ý định: những gì prompt hoặc hướng dẫn nghiệp vụ yêu cầu agent làm.
Năng lực: những gì identity, kết nối mạng, tool và credential thực sự cho phép agent thực hiện.
Khi hai lớp này không khớp, năng lực là thứ được thực thi. Một prompt không thể thay thế cơ chế từ chối ở lớp quyền.
CNCF lập luận rằng đầu ra của agent mang tính xác suất, nên việc agent thường xuyên tuân thủ hướng dẫn không tạo thành một ranh giới bảo mật đáng tin cậy. Những tình huống mới, đầu vào đối kháng hoặc trạng thái bất thường cũng chính là lúc giới hạn cần được áp dụng chặt nhất.
Với đội security, câu hỏi quan trọng không chỉ là: “Prompt có cấm hành động này không?” Mà là: “Nếu prompt bị hiểu sai hoặc agent suy luận sai, hạ tầng có chặn được hành động đó không?”
Xem agent như một workload mạnh nhưng không xác định hoàn toàn
CNCF đề xuất áp dụng tư duy bảo vệ workload cho AI agent. Một agent là workload có vòng lặp điều khiển không xác định hoàn toàn, nhưng vẫn bị chi phối bởi identity, kết nối mạng và quyền mà nền tảng cấp.
Theo mô hình này, quyền cần được tổ chức thành các lớp đặc quyền tối thiểu. Identity là lõi, sau đó đến khả năng kết nối, capability và phạm vi dữ liệu.
Identity: chính xác thành phần nào đang hành động?
Mọi kiểm soát tiếp theo đều phụ thuộc vào việc xác định đúng thành phần đang thực hiện hành động.
Bài viết đề xuất mỗi agent và tool server có một workload identity đi kèm credential ngắn hạn, có xác thực. Nền tảng không chỉ tin vào khai báo của agent, mà xác minh identity trước khi áp dụng các quyết định kiểm soát phía sau.
Identity đã xác minh là điểm neo cho các policy về kết nối và capability.
Reach: agent được phép kết nối tới đâu?
Sau identity là reach: agent được phép kết nối với những service hoặc peer nào.
CNCF nêu service mesh như một cách thực thi giới hạn này theo từng kết nối và dựa trên identity đã xác minh, thay vì chỉ dựa vào topology mạng. Mặc định, agent chỉ được nói chuyện với các thành phần cần cho công việc của nó.
Ý nghĩa của lớp này là các quan hệ kết nối mới phải trở thành thay đổi được khai báo, có thể xem xét và truy vết. Một integration mới không nên âm thầm biến thành một đường kết nối thường trực cho agent.
Capability: agent được cầm tool nào và gọi được tool nào?
Việc agent kết nối được tới một tool server không đồng nghĩa agent được quyền thực hiện mọi hành động trên đó.
Bài viết tách kiểm soát capability thành hai điểm:
Admission: kiểm soát việc một tool có được gắn vào định nghĩa của agent hay không. Policy có thể từ chối một tool binding chưa được phê duyệt trước khi binding đó tồn tại.
Call path: kiểm soát từng lần gọi tool. Gateway có thể xác thực và ủy quyền từng invocation theo identity của agent.
Nhờ đó, việc một tool tồn tại hoặc có thể được reach không đồng nghĩa tool đó mặc nhiên có thể được gọi. Capability được cấp cho hành động cụ thể, thay vì trở thành quyền tiềm ẩn chờ bị dùng sai.
Keystone: agent không được tự sửa ranh giới của mình
Điểm then chốt của mô hình là agent không được có quyền sửa các đối tượng xác định authority của chính nó.
Nếu agent có thể tự thay đổi tool allow-list, nới policy kết nối, tự gán role hoặc chỉnh sửa cấu hình capability, các lớp kiểm soát còn lại không tạo thành ranh giới thực sự. Agent có thể tự tháo bỏ chúng từ bên trong.
CNCF đề xuất thay đổi quyền của agent phải diễn ra thông qua cấu hình có version control, do con người hoặc pipeline thực hiện và được review, thay vì do agent thay đổi tại runtime.
Đây là điều biến một tập hợp policy thành ranh giới có thể duy trì: agent được hành động trong phạm vi đã cấp, nhưng không được tự viết lại phạm vi đó.
Cách diễn giải mô hình này trong review bảo mật
Từ nguyên tắc của CNCF, một buổi review agent có thể tập trung vào các câu hỏi sau:
Agent đang có workload identity nào, và identity đó được xác minh ra sao?
Agent được phép kết nối đến những service hoặc tool server nào?
Những tool nào được phép gắn với agent, và ai có quyền thay đổi danh sách đó?
Mỗi tool invocation có được kiểm soát theo identity của agent hay không?
Agent có thể sửa policy, role, tool binding hoặc cấu hình xác định quyền của mình không?
Mọi thay đổi làm mở rộng reach hoặc capability có phải là thay đổi được khai báo và review không?
Một kết quả tốt không phải là lời khẳng định rằng agent có prompt an toàn. Đó là một ranh giới có thể kiểm chứng: agent có identity rõ ràng, chỉ kết nối được với các thành phần đã khai báo, chỉ gọi được tool đã được cho phép và không thể tự mở rộng các giới hạn đó.
Checklist trước khi đưa agent vào production
[ ] Agent và tool server có identity riêng, được xác minh.
[ ] Credential được cấp theo identity workload và có thời hạn ngắn.
[ ] Các kết nối của agent tới service hoặc peer được khai báo và kiểm soát.
[ ] Tool binding chưa được phê duyệt bị từ chối tại admission.
[ ] Việc gọi tool được kiểm soát trên call path theo identity agent.
[ ] Agent không có quyền sửa role, policy, tool allow-list hoặc cấu hình xác định authority của mình.
[ ] Mở rộng quyền phải đi qua thay đổi cấu hình có version control và review.
Prompt vẫn cần thiết để định hướng hành vi của agent. Nhưng prompt không thể thay thế identity, policy và enforcement ở tầng nền tảng. Với AI agent, ranh giới bảo mật chỉ đáng tin cậy khi nó được đặt tại nơi capability thực sự được cấp và thực thi.