08/10/2026 · VietTechies · Biên tập
Cloudflare vừa chia sẻ thông tin chi tiết về kiến trúc đa AI Agent hoạt động dựa trên bằng chứng trong dịch vụ Cloudflare Managed Defense, giúp tối ưu hóa quá trình phân loại cảnh báo bảo mật ở quy mô lớn. Khung làm việc này kết hợp thu thập dữ liệu mang tính xác định (deterministic) với các mô hình ngôn ngữ chuyên biệt, vừa giảm bớt khối lượng công việc cho các chuyên gia phân tích vừa ngăn chặn tình trạng ảo giác AI trong quá trình điều tra sự cố.
Khắc phục hạn chế ảo giác của mô hình agent đơn lẻ
Cloudflare cho biết thử nghiệm ban đầu của hãng chỉ dựa trên một AI Agent tổng quát duy nhất, tiếp nhận toàn bộ hồ sơ điều tra trong một câu lệnh (prompt). Cấu hình này liên tục phát sinh bất cập: phạm vi truy vấn bị lệch qua các tài khoản hệ thống khác nhau, ranh giới giữa giả thuyết phát hiện với hành vi khai thác thực tế bị xóa mờ, và xuất hiện các suy luận ảo giác không có bằng chứng hỗ trợ. Để khắc phục, Cloudflare đã tách biệt khâu thu thập bằng chứng và giới hạn phạm vi ra khỏi quá trình phân tích của mô hình, đưa công đoạn trinh sát ban đầu vào trực tiếp mã ứng dụng trước khi quá trình suy luận mô hình bắt đầu.
Quy trình trinh sát xác định và lọc nhiễu bằng Clef
Trước khi gọi bất kỳ mô hình AI nào, mã ứng dụng xác định sẽ thực thi một tập hợp các quy trình trinh sát cố định thông qua các lời gọi API có quản lý phiên bản. Hệ thống thu thập dữ liệu đo kiểm (telemetry), danh tính khách hàng, lịch sử phát hiện và lưu lượng cơ sở, sau đó gắn mốc thời gian cùng siêu dữ liệu nguồn để tạo ra bản chụp bằng chứng có thể phát lại. Nhằm loại bỏ nhiễu cảnh báo tần suất cao, Cloudflare sử dụng Clef — mô hình quyết định mã nguồn mở chạy trên Workers AI — để đối chiếu cảnh báo mới với các quyết định trong lịch sử. Những cảnh báo có xác suất cao là báo động giả sẽ được bỏ qua hoàn toàn, không cần chuyển sang bước phân tích AI chuyên sâu.
Phân công các agent chuyên biệt song song và tích hợp mô hình
Khi một cảnh báo cần điều tra sâu hơn, một AI Agent điều phối sẽ giao việc cho bốn AI Agent chuyên biệt hoạt động song song, lần lượt phụ trách phân tích lưu lượng, ngữ cảnh khách hàng, dữ liệu đo kiểm toàn cầu và tình báo mối đe dọa. Sau đó, một AI Agent tổng hợp riêng biệt sẽ gom các kết quả cấu trúc này thành một bản khuyến nghị duy nhất mà không tự ý thu thập thêm bằng chứng hay thay đổi các phân loại chuẩn hóa. Đối với các bài phân tích phức tạp hơn, Cloudflare tích hợp các mô hình tiên tiến như GPT-5.6 Cyber và Mythos thông qua sự hợp tác với Anthropic và mạng lưới OpenAI Daybreak Defense Network.
Kiến trúc nền tảng và khả năng cung cấp
Bộ khung này vận hành trên nền tảng nhà phát triển của Cloudflare, tận dụng Workers để xác thực dữ liệu, Workflows để điều phối quy trình, D1 và R2 làm kho lưu trữ, cùng Durable Objects kết hợp với Flue và AI Search để duy trì trạng thái. Các chuyên gia phân tích nhân sự thuộc Managed Defense vẫn nắm giữ trách nhiệm cuối cùng trong việc thẩm định kết luận và triển khai các biện pháp giảm thiểu, chẳng hạn như quy tắc WAF tùy chỉnh hoặc giới hạn tốc độ (rate limiting). Hệ thống hiện được triển khai dưới dạng truy cập sớm cho các cảnh báo an ninh ứng dụng đủ điều kiện trong Cloudflare Managed Defense.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Building an evidence-grounded agentic security operations harness on Cloudflare