AI agent đang chuyển từ khả năng trả lời câu hỏi sang thực hiện hành động trên hệ thống thật. Một agent hỗ trợ khách hàng có thể đọc đơn hàng, gọi API, viết dữ liệu vào database hoặc chạy code để tính toán. Google ngày 17/8 cảnh báo rằng khi agent có thể thay đổi production state, system prompt không còn đủ để đóng vai trò hàng rào bảo mật. Trong bài viết kỹ thuật về zero-trust AI agent, Google đề xuất ba lớp chính bên ngoài LLM: chữ ký mật mã cho thao tác thay đổi dữ liệu, sandbox cấp kernel cho code sinh động và gateway xác thực có quy tắc xác định. Ý tưởng cốt lõi là luôn giả định model có thể bị prompt injection hoặc hiểu sai nhiệm vụ, rồi thiết kế hạ tầng sao cho một lỗi của model không tự biến thành sự cố production.
System Prompt Không Phải Tường Lửa
Google minh họa bằng một agent hoàn tiền được xây với Agent Development Kit và Gemini. Trong hoạt động bình thường, agent đọc yêu cầu, tính khoản hoàn và ghi kết quả vào ledger. Nếu một prompt độc hại yêu cầu hoàn số tiền vượt giới hạn hoặc đọc biến môi trường, một agent có quyền quá rộng có thể gây thất thoát tiền hoặc làm lộ secret.
Viết thêm câu “không bao giờ hoàn quá giá trị đơn hàng” vào system prompt không tạo bảo đảm cứng. Google gọi system prompt là soft constraint vì nó có thể bị prompt injection, thay đổi hành vi qua model update hoặc bị ảnh hưởng bởi chuỗi ngữ cảnh phức tạp.
Mô hình Zero-Trust cho AI Agent là chiến lược bảo mật tối quan trọng hiện nay (Ảnh: Snettech)
Chữ Ký Mật Mã Bảo Vệ Các Thao Tác Ghi
Lớp đầu trong mô hình Google là yêu cầu mỗi agent có định danh riêng và ký mọi thao tác thay đổi trạng thái. Database hoặc ingress guard chỉ chấp nhận transaction khi chữ ký hợp lệ. Trong production trên Google Cloud, bài viết đề xuất dùng Cloud KMS cùng khóa bất đối xứng được bảo vệ bởi HSM thay vì lưu private key trong container.
Mục tiêu không phải ngăn model tạo một payload sai bằng lời nói. Mục tiêu là để hệ thống phía sau có thể xác định agent nào đã yêu cầu thay đổi, kiểm tra tính toàn vẹn và phát hiện dữ liệu bị chỉnh ngoài quy trình. Đây là tư duy quan trọng của bảo mật AI agent: mọi hành động nhạy cảm cần bằng chứng máy có thể kiểm tra.
Zero-Trust là rào cản bắt buộc để ngăn chặn các hiểm họa mới như Prompt Injection và lỗi bảo mật rò rỉ dữ liệu (Ảnh: Snettech)
Sandbox Cách Ly Code Sinh Tự Động
Google cảnh báo việc chạy code do agent sinh bằng exec() hoặc trong container cấu hình sơ sài có thể tạo rủi ro lớn. Bài viết đề xuất dùng gVisor để tạo lớp sandbox user-space, giới hạn mạng ra ngoài và tài nguyên, nhằm giảm khả năng code độc hại tiếp cận host hoặc gửi secret ra bên ngoài.
Agent sinh code hữu ích cho parsing, tính toán hoặc phân tích log, nhưng chính tính linh hoạt này tạo bề mặt tấn công. Một prompt injection được chèn trong tài liệu đầu vào có thể cố thuyết phục agent chạy code không liên quan tới nhiệm vụ. Khi sandbox không có network egress, khả năng dữ liệu bị gửi ra ngoài được giảm đáng kể dù model đã bị đánh lừa.
Deterministic Gateway Tạo Ranh Giới Ngoài Model
Lớp thứ ba Google đề xuất là semantic gateway có các quy tắc xác định cho input và output. Thay vì để model tự quyết định mọi thứ, những hành động quan trọng được kiểm tra bởi logic mà LLM không thể sửa bằng prompt. Google đặt lớp này cùng CI/CD test để đảm bảo policy vẫn hoạt động khi code thay đổi.
Ví dụ, agent có thể đề xuất hoàn tiền, nhưng gateway kiểm tra giá trị có vượt đơn hàng hay không. Đây là kiểm tra định lượng rõ và không cần model “hiểu” đạo đức hoặc ý định. Khi một quy tắc có thể biểu diễn bằng code xác định, nên để code làm nhiệm vụ đó.
Zero-Trust Không Có Nghĩa Không Tin AI Ở Mọi Việc
Zero-trust AI agent không đồng nghĩa loại bỏ khả năng tự động hóa. Agent vẫn có thể đọc dữ liệu, lập kế hoạch, sinh code và gọi tool. Điểm khác nằm ở việc những hành động có hậu quả cao phải đi qua ranh giới cứng. Một agent viết draft email có mức rủi ro khác agent chuyển tiền. Một agent đọc log khác agent xóa database. Kiến trúc nên cấp quyền theo mức tác động, không theo cảm giác rằng model “thông minh nên có thể tự xử lý”.
Permission Nên Được Chia Theo Tác Vụ
Một agent hỗ trợ hoàn tiền chỉ cần quyền vào phần dữ liệu liên quan đơn hàng và ledger cần thiết. Nó không cần đọc mọi secret của server hoặc truy cập toàn bộ database. Nguyên tắc least privilege vốn quen thuộc trong cybersecurity càng quan trọng với agent. LLM có khả năng tự chọn đường thực thi khiến quyền rộng tạo ra nhiều đường đi ngoài dự kiến hơn ứng dụng truyền thống.
Zero-Trust cho AI Agent hỗ trợ nâng cao bảo mật hệ thống (Ảnh: Snettech)
Developer Có Thể Rút Ra Gì Từ Cách Tiếp Cận Của Google?
Google đã công khai demo Agent Development Kit cho kịch bản hỗ trợ khách hàng nhằm minh họa cách các lớp bảo vệ phối hợp. Developer không nhất thiết phải dùng toàn bộ Google Cloud mới áp dụng tư duy này. Mấu chốt là tách reasoning khỏi authorization. LLM có thể nói “tôi muốn thực hiện hành động X”, nhưng hệ thống độc lập phải quyết định X có được phép hay không. Đây là ranh giới kiến trúc dễ hiểu và cũng dễ audit hơn.
Đừng Đưa Secret Vào Ngữ Cảnh Khi Agent Không Cần
Nếu agent không cần API key để hoàn thành nhiệm vụ, secret không nên nằm trong environment mà code động có thể đọc. Đây là cách giảm blast radius từ đầu. Một sandbox tốt không chỉ giới hạn code sau khi bị tấn công mà còn giảm lượng dữ liệu có thể bị lấy. Security hiệu quả thường đến từ việc giảm quyền trước khi thêm lớp phát hiện.
Test Policy Giống Như Test Code
Google nhấn mạnh các gateway xác định nên được kiểm tra trong CI/CD. Nếu quy tắc hoàn tiền thay đổi, test phải xác nhận agent vẫn không thể vượt hạn mức ngoài policy. Điều này biến prompt injection từ một vấn đề mơ hồ thành tập tình huống có thể tái tạo. Developer có thể viết test với input độc hại và xác nhận hệ thống phía sau từ chối hành động ngay cả khi LLM cố thực hiện.
Google đang đưa ra một nguyên tắc quan trọng cho thế hệ agent mới: đừng dùng prompt làm hàng rào cuối. Google Agent Development Kit có thể giúp xây workflow tự động, nhưng khi agent được nối với production, authorization, sandbox và integrity check phải nằm ngoài model. Ba lớp Google đề xuất gồm chữ ký cho thao tác ghi, sandbox cấp kernel và gateway xác thực có tính xác định. Cách tiếp cận này không làm agent kém hữu ích; nó giới hạn hậu quả khi agent bị lừa hoặc suy luận sai. Trong thế giới nơi AI bắt đầu có “tay chân” qua tool và API, đây là sự khác biệt giữa trợ lý thông minh và một bot được trao chìa khóa cả tòa nhà.
