05/10/2026 · VietTechies · Biên tập
Hạ tầng niềm tin kỹ thuật số dựa trên mật khẩu và xác thực đa yếu tố vốn được thiết kế để kiểm tra danh tính người dùng. Tuy nhiên, việc triển khai nhanh chóng các AI Agent tự chủ đang làm bộc lộ những lỗ hổng bảo mật nghiêm trọng. Theo nhà cung cấp dịch vụ danh tính Digidentity, các hệ thống xác thực hiện thời chỉ kiểm tra tính hợp lệ của thông tin đăng nhập, chứ không thể xác định ai đã ủy quyền cho AI Agent hoạt động hoặc phạm vi giới hạn cụ thể cho nhiệm vụ của nó.
Vượt xa các bước kiểm tra danh tính truyền thống
Các kiến trúc bảo mật hiện đại phân biệt rõ giữa xác thực đăng nhập, xác nhận danh tính và xác minh thẩm quyền. Những cơ chế kiểm soát công nghệ thông tin hiện nay xử lý tốt khâu xác thực và danh tính nhờ việc đối soát thông tin đăng nhập cùng giấy tờ chính thức. Dù vậy, khi các AI Agent ngày càng đảm nhận nhiều giao dịch tài chính và quy trình hành chính, việc chỉ xác minh danh tính không đủ để chứng minh agent đó có quyền thực hiện một hành động cụ thể hay không. Mặc dù các ngành như dịch vụ tài chính và y tế đã bổ sung thêm bước kiểm tra quyền hạn theo vai trò bên cạnh xác minh danh tính, sự xuất hiện của các đại diện phần mềm đòi hỏi mọi ứng dụng doanh nghiệp phải triển khai xác minh thẩm quyền một cách rõ ràng.
Giảm thiểu rủi ro từ việc cấp quyền quá rộng
Việc cấp quyền rộng rãi hoặc duy trì quyền truy cập thường trực cho AI Agent tuy giúp đơn giản hóa quá trình thiết lập nhưng lại khiến tổ chức đối mặt với rủi ro bảo mật lớn. Nếu một agent mang quyền hạn rộng bị cấu hình sai hoặc bị xâm nhập, nó có thể thực hiện các hành động trái phép, chẳng hạn như phê duyệt những khoản thanh toán không hợp lệ. Digidentity khuyến nghị áp dụng nguyên tắc thẩm quyền tối thiểu cần thiết, trong đó agent chỉ nhận được ủy quyền giới hạn cho từng nhiệm vụ cụ thể thay vì sao chép toàn bộ quyền hạn của người dùng. Theo mô hình này, tổ chức sẽ đánh giá năm tiêu chí cốt lõi trước khi agent hoạt động: thực thể nào đang thực hiện, ai đã cấp quyền, những hành động nào được cho phép, giới hạn vận hành ra sao và quyền hạn được cấp có còn hiệu lực hay không.
Điều chỉnh khung pháp lý cho các đại diện phần mềm
Các khung pháp lý hiện có, bao gồm Đạo luật Dữ liệu (Sử dụng và Truy cập) của Vương quốc Anh và Khung niềm tin Dịch vụ Xác minh Kỹ thuật số (DVS), đã tạo cơ sở pháp lý cho danh tính kỹ thuật số và việc ủy quyền giữa con người với nhau. Mặc dù vậy, các hướng dẫn này vẫn chưa quy định cụ thể cơ chế ủy quyền thẩm quyền khi bên nhận ủy quyền là phần mềm tự chủ. Những tiêu chuẩn ngành như ủy quyền thay mặt ("on-behalf-of") cung cấp nền tảng để tạo ra các giấy ủy quyền có thể xác minh bằng máy, vốn có thể lưu trữ và thu hồi ngay trong ví kỹ thuật số. Việc cập nhật các tiêu chuẩn kỹ thuật và quy định pháp lý để bao quát cả đại diện phần mềm sẽ đóng vai trò thiết yếu nhằm đảm bảo cơ chế kiểm soát theo kịp tốc độ triển khai tự động hóa.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Who's really behind the login? AI agents are forcing a rethink