Các tác tử AI đang thử thách giới hạn của mô hình an ninh Zero-Trust

Bài viết do Queen’s University Belfast cung cấp. Nhiều nhóm nghiên cứu trên thế giới đang tận dụng AI thông qua việc thiết lập các nhóm tác tử (agent) do một bộ điều phối (orchestrator) quản lý, nhằm phát triển các ứng dụng hỗ trợ đánh giá rủi ro, lập hồ sơ khách hàng, kết nối dữ liệu và khai thác thông tin, đồng thời cung cấp cái nhìn tổng quan phục vụ quá trình ra quyết định. Một trong những yêu cầu then chốt đối với các tác tử này là bảo đảm nhật ký hệ thống được quản lý chặt chẽ và dữ liệu lịch sử liên quan không được tái sử dụng, nhằm tránh nguy cơ thiên lệch trong quá trình ra quyết định. Do đó, hệ thống cần thiết lập các điểm kiểm soát (checkpoint) để yêu cầu các tác tử xóa bỏ những dữ liệu lịch sử này. Tuy nhiên, dù đã áp dụng phương pháp trên, các câu lệnh (prompt) trong tương lai vẫn có thể khiến tác tử tái hiện những thông tin vốn cần phải xóa, hoặc bị thao túng để tiết lộ thêm dữ liệu. Đây là trường hợp điển hình của hình thức tấn công khôi phục ngữ cảnh (context recovery attack). Vấn đề đặt ra là: Làm thế nào để xác minh các chỉ dẫn đã được thực thi đầy đủ? Và bằng chứng xác thực nằm ở đâu? Một giải pháp được tính đến là ứng dụng kiến trúc không tin cậy (ZTA - Zero-Trust Architecture) để điều phối và quản trị hoạt động của hệ thống tác tử. Về bản chất, mọi tương tác giữa các tác tử đều phải tuân thủ nguyên tắc cốt lõi: "không bao giờ tin tưởng, luôn luôn xác minh". Các thành phần của ZTA bao gồm điểm thực thi chính sách (PEP - Policy Enforcement Point), một bộ phận bắt buộc phải đáng tin cậy để duy trì tính an toàn trên toàn hệ thống. Do đó, câu hỏi tiếp tục được đặt ra là: Bản chất của yếu tố "không tin cậy" nằm ở đâu, và liệu có thể đặt trọn niềm tin vào các chính sách do PEP thực thi? Việc chủ động tiếp cận và ứng dụng các tác tử AI có thể mang lại hiệu quả nếu thiết lập được các rào chắn bảo vệ phù hợp. Ngược lại, việc mở cửa hệ thống cho các tác tử ngẫu nhiên được huấn luyện từ các mô hình thương mại có sẵn và phụ thuộc hoàn toàn vào chúng có thể dẫn đến những rủi ro an ninh mạng nghiêm trọng. Đơn cử, phương pháp "vibe coding" - sử dụng mô hình AI để hỗ trợ phát triển phần mềm - đòi hỏi cung cấp toàn bộ mã nguồn cho một thực thể bên ngoài chưa được kiểm chứng, từ đó có thể tạo điều kiện cho các lỗ hổng bảo mật lan rộng trên nhiều bề mặt tấn công. Phương pháp "vibe coding" bằng cách sử dụng mô hình AI để hỗ trợ phát triển phần mềm, chuyển giao toàn bộ mã nguồn cho một thực thể bên ngoài chưa được kiểm chứng có thể dẫn đến nguy cơ lỗ hổng bảo mật xuất hiện trên nhiều bề mặt. Thực tế này mở ra những cuộc thảo luận quan trọng về việc "vibe coding" có thể gây cản trở như thế nào đối với việc định vị và thực thi an toàn các truy vấn từ tác tử. Hãy xét đến một mạng lưới tác tử tự chủ, vận hành dựa trên dữ liệu đầu vào của từng tác tử. Khi hệ thống hoạt động trong điều kiện có mức dung sai sự cố thấp cùng các quy trình tác tử không lưu vết, việc xác minh tính tin cậy của từng truy vấn theo thời gian thực có thể đòi hỏi tài nguyên tính toán rất lớn, dẫn tới sự đánh đổi quen thuộc giữa bộ nhớ và hiệu năng thực thi. Một nguy cơ khác cần được lưu tâm là các cuộc tấn công zero-day. Khi sự cố xảy ra, hệ thống sẽ phản ứng ra sao? Liệu tình huống này có thể được kiểm soát mà không làm tê liệt toàn bộ hạ tầng? Mức độ ảnh hưởng có thể thấy rõ từ việc quá phụ thuộc vào hệ sinh thái tác tử chỉ có một lớp bảo mật duy nhất được tin cậy. Điều này đồng nghĩa với việc khi xảy ra sự cố, toàn bộ hệ sinh thái đều có thể bị phơi bày trước rủi ro, tương tự như việc tính tự chủ sẽ không còn nếu mạng trục mất kết nối, đồng nghĩa với việc không còn bất kỳ tầng bảo vệ nào đáng tin cậy. Các cuộc tấn công hủy xác thực có thể diễn ra nhanh đến mức nào? Một thử nghiệm nội bộ tại Queen’s University Belfast (QUB) đã đưa ra những nhận định ban đầu về việc quy mô tấn công bằng tác tử có thể thu hẹp đáng kể khoảng thời gian ứng phó với lỗ hổng. Nhóm nghiên cứu tập trung vào các cuộc tấn công hủy xác thực (de-authentication attack) phổ biến; với sự điều phối của hệ thống tác tử, thời gian thực hiện cuộc tấn công có thể rút ngắn xuống chỉ còn từ 2 đến 3 giây. Điều này khiến cho gần như không còn ...thời gian phản ứng và đưa ra quyết định vá hệ thống. Hệ thống đa tác tử quy mô lớn còn có một khía cạnh khác, đó là thiết lập niềm tin trong điều kiện tự chủ không đồng bộ. Niềm tin đóng vai trò là nền tảng cốt lõi cho khả năng truy xuất nguồn gốc. Vấn đề đặt ra là làm thế nào để bảo đảm tất cả các tác tử cùng hoạt động hướng tới một mục tiêu chung đều được đồng bộ và hiểu rõ các độ trễ liên quan đến mục tiêu của mình? Nhóm nghiên cứu đã tập trung vào lĩnh vực này, với bước đầu là chứng minh vấn đề trên thực sự tồn tại, đồng thời chỉ ra tác động và quy mô có thể rất lớn khi phải xác thực niềm tin trong các giới hạn tự chủ không đồng bộ. Các giải pháp cho vấn đề này có thể được đơn giản hóa bằng cách duy trì danh mục thành phần cấu thành AI (AI-bill of materials) hoặc tận dụng công nghệ sổ cái phân tán nhằm cung cấp hạ tầng niềm tin nền tảng thông qua khả năng truy vết và tính bất biến, đồng thời giữ cho hoạt động của tác tử và các vectơ tin cậy liên quan độc lập với nền tảng. Trong phạm vi niềm tin, một yếu tố khác chưa được khai thác sâu nhưng cần được điều tra toàn diện là khái niệm bất thường ngang (horizontal anomalies). Khái niệm này định nghĩa cách các tác tử tương tác khác nhau với nhiều nguồn dữ liệu trong các thiết lập khác nhau. Việc các tác tử vận hành chính xác và phù hợp với các kỳ vọng kiến trúc đối với một tác vụ hoặc ứng dụng cụ thể không đồng nghĩa với việc chúng có thể được tin cậy trong các hoạt động trên tất cả các thành phần liên quan. Phương thức nhận diện những bất thường này và các biện pháp có thể áp dụng mà không cần thỏa hiệp với các tác tử đó vẫn là câu hỏi mở và là chủ đề cần tiếp tục nghiên cứu. Khía cạnh then chốt là việc sử dụng các tác tử có cơ chế quản trị niềm tin ở mức từ trung bình đến thấp mang lại lợi ích ngắn hạn cao, song chi phí phục hồi khi hệ thống gặp sự cố vẫn chưa được đánh giá đầy đủ, và đây sẽ không phải là một sự cố mang tính cục bộ. Nghiên cứu đang xem xét các hệ thống nơi các tác tử đã thâm nhập sâu vào nhiều thực thể khác nhau và có thể ngăn cản việc phục hồi hoàn toàn. Đơn cử, một sự cố đơn thuần trong chuỗi cung ứng do một tác tử hoạt động sai lệch gây ra sẽ không còn là một nhiệm vụ nhỏ có thể khoanh vùng, mà đòi hỏi phải rà soát toàn bộ các điểm tiếp xúc của những tác tử bị ảnh hưởng. Về bản chất, điều này có nghĩa là bất chấp số lượng tác tử và khả năng kích hoạt các tác tử ủy nhiệm (vốn có thể không liên kết trực tiếp với hệ sinh thái mở rộng), hệ thống vẫn cần bảo đảm triển khai các công cụ theo dõi tiêu tốn nhiều tài nguyên tính toán cho tất cả các tác tử. Các công trình nghiên cứu tiến sĩ liên quan khác do nhóm nghiên cứu thực hiện đang hướng tới chủ quyền AI, tìm hiểu các khía cạnh về niềm tin và trách nhiệm giải trình. Giả thuyết đặt ra là chủ quyền và niềm tin cần phải được quản trị song hành, do trách nhiệm chứng minh nguồn gốc đặt ra yêu cầu rất cao đối với