09/10/2026 · VietTechies · Biên tập
Việc gán thông tin xác thực của lập trình viên cho các AI Agent lập trình tạo ra rủi ro nghiêm trọng về kiểm toán và cấp quyền trong các môi trường phần mềm doanh nghiệp. Khi AI Agent xác thực qua các công cụ dòng lệnh được lưu tạm (cache) như Azure CLI, các bản ghi phiên cơ sở dữ liệu sẽ kế thừa tên đăng nhập, tên máy trạm và giao diện phía máy khách của lập trình viên con người. Do nhật ký cơ sở dữ liệu tiêu chuẩn chỉ theo dõi thông tin xác thực chứ không ghi nhận mục đích thực thi, các truy vấn tự động hoàn toàn không thể phân biệt được với thao tác trực tiếp của con người.
Token mạo danh và phạm vi bị che khuất
Quá trình xác thực AI Agent thường phụ thuộc vào các token người dùng được lưu tạm mang phạm vi user_impersonation rõ ràng. Các token truy cập này kế thừa tư cách thành viên nhóm Active Directory và duy trì chứng nhận xác thực nhiều yếu tố (MFA) từ lần đăng nhập ban đầu của người dùng. Dù từng token riêng lẻ hết hạn sau 84 phút, các công cụ dòng lệnh vẫn tự động cấp token mới thông qua cơ chế làm mới ở chế độ nền cho đến khi tài khoản người dùng bị vô hiệu hóa.
Các truy vấn vai trò trên mặt phẳng điều khiển (control-plane) thông thường thường che khuất bán kính tác động thực sự của AI Agent. Việc kiểm tra cấu hình cơ bản có thể cho thấy số lượng phân quyền tối thiểu, nhưng tư cách thành viên nhóm trên mặt phẳng dữ liệu (data-plane) thực tế lại cấp quyền truy cập cơ sở dữ liệu rộng lớn trên nhiều gói đăng ký (subscription). Do danh sách nhóm được đánh giá tại thời điểm kết nối bao gồm cả cấu trúc thư mục lồng nhau, quyền hạn thực tế có thể vượt xa những gì danh sách vai trò ban đầu thể hiện.
Lỗ hổng phân quyền và thất bại trong kiểm toán
Việc chia sẻ thông tin xác thực tạo ra sự chênh lệch quyền hạn rất lớn giữa các hệ thống vận hành thực tế (production). Một AI Agent hoạt động dưới một danh tính người dùng duy nhất có thể chỉ nắm giữ 2 quyền trên một cơ sở dữ liệu sản xuất bảo mật, nhưng lại sở hữu tới 107 quyền trên 430 bảng ở một điểm truy cập phân tích riêng biệt. Các tệp hướng dẫn dạng văn bản yêu cầu AI Agent hoạt động ở chế độ chỉ đọc không thể hạn chế quyền truy cập khi thông tin xác thực nền tảng lại cấp quyền ghi và quản trị rộng rãi.
Mức độ kiểm toán thường hoạt động ngược lại với cấp độ phân quyền. Các môi trường phi sản xuất có đặc quyền cao—nơi thông tin xác thực giữ quyền ghi và xóa rộng lớn trên các tầng cơ sở dữ liệu—thường tắt các điểm đích lưu nhật ký cấp máy chủ nhằm giảm chi phí lưu trữ. Cấu hình kiểm toán cấp cơ sở dữ liệu còn sót lại có thể báo trạng thái "bật" ngay cả khi tính năng ghi nhật ký câu lệnh đang hoạt động hoàn toàn bị thiếu.
Xây dựng danh tính máy chuyên biệt
Việc chuyển đổi AI Agent từ tài khoản lập trình viên cá nhân sang tài khoản dịch vụ chia sẻ hoặc danh tính được quản lý (managed identity) vẫn không giải quyết được vấn đề quy trách nhiệm ở tầng dữ liệu. Các kết nối cơ sở dữ liệu tiêu chuẩn xử lý đăng nhập của máy tương tự như đăng nhập của con người, không ghi nhận được liệu một quy trình tự động hay một kỹ sư đã khởi chạy câu lệnh.
Để thiết lập quản trị máy vững chắc, cần chuyển sang các token ủy quyền rõ ràng theo chuẩn RFC 8693, giúp ghi nhận cả AI Agent thực hiện lẫn chủ thể con người. Kiến trúc bảo mật phải giới hạn quyền hạn trong phần giao nhau giữa quyền của con người và AI Agent, gắn việc kiểm toán câu lệnh với cấp độ đặc quyền thay vì tầng môi trường, và cho phép thu hồi độc lập token của AI Agent mà không cần vô hiệu hóa tài khoản người dùng con người. Các thông số kỹ thuật như Giao thức Bối cảnh Mô hình (Model Context Protocol – MCP) phản ánh mô hình này bằng cách cấm chuyển tiếp token thô của máy khách đến các dịch vụ hạ nguồn.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: The audit log says my name: what an agent inherits when you hand it your credentials