Aaron Fulkerson, Tổng giám đốc OPAQUE – Loạt phỏng vấn

Aaron Fulkerson, Tổng giám đốc OPAQUE, là doanh nhân giàu kinh nghiệm trong lĩnh vực phần mềm doanh nghiệp và người tiên phong về mã nguồn mở. Trong hơn hai thập kỷ, ông đã xây dựng và mở rộng quy mô các nền tảng công nghệ tập trung vào niềm tin, dữ liệu và chuyển đổi số. Trước khi gia nhập OPAQUE năm 2023, ông thành lập MindTouch, góp phần phát triển công ty thành nền tảng quản lý tri thức được doanh nghiệp sử dụng rộng rãi trước khi được NICE Systems mua lại. Sau đó, ông dẫn dắt việc ra mắt ServiceNow Impact, một trong những đơn vị kinh doanh tăng trưởng nhanh nhất trong lịch sử ServiceNow. Trong suốt sự nghiệp, Fulkerson làm việc tại giao điểm của công nghệ mới, phần mềm doanh nghiệp và hệ sinh thái mở, đồng thời tư vấn cho nhiều công ty khởi nghiệp công nghệ và tổ chức. Gần đây, ông trở thành người ủng hộ nổi bật cho Confidential AI, tức AI bảo đảm tính bảo mật của dữ liệu. Ông cho rằng quyền riêng tư, quản trị và niềm tin có thể kiểm chứng sẽ là yêu cầu nền tảng khi hệ thống AI được tích hợp vào các quy trình trọng yếu của doanh nghiệp.

OPAQUE là công ty Confidential AI xuất phát từ RISELab danh tiếng của UC Berkeley, cùng hệ sinh thái nghiên cứu đã góp phần tạo ra những công nghệ như Apache Spark và Databricks. Công ty phát triển nền tảng cho phép doanh nghiệp chạy mô hình AI, tác nhân và quy trình làm việc trên dữ liệu rất nhạy cảm, với các bảo đảm về quyền riêng tư và tuân thủ có thể kiểm chứng bằng mật mã học. Thay vì buộc tổ chức chọn giữa đổi mới AI và an toàn dữ liệu, OPAQUE sử dụng điện toán bảo mật, môi trường thực thi được mã hóa và việc thực thi có chứng thực phần cứng để bảo vệ thông tin nhạy cảm trước, trong và sau quá trình xử lý bằng AI. Công nghệ này được thiết kế cho các ngành chịu quản lý nghiêm ngặt như tài chính, bảo hiểm, y tế và công nghệ cao. Khách hàng và đối tác gồm ServiceNow (NOW ), Anthropic, Accenture cùng những doanh nghiệp muốn đưa dự án AI từ thử nghiệm sang vận hành thực tế mà không làm lộ dữ liệu độc quyền hoặc dữ liệu chịu sự điều chỉnh của quy định.

Ông đã xây dựng và mở rộng quy mô nhiều nền tảng doanh nghiệp trong sự nghiệp. Điều gì khiến ông đảm nhận vị trí Tổng giám đốc OPAQUE và dành chặng đường tiếp theo cho niềm tin, quyền riêng tư và quản trị AI?

Tôi đã dành gần hai thập kỷ xây dựng nền tảng doanh nghiệp, đầu tiên tại MindTouch, hiện vẫn được một tỷ người dùng sử dụng mỗi năm, sau đó tại ServiceNow, nơi tôi tạo ra sản phẩm tăng trưởng nhanh nhất của họ. Cả hai trải nghiệm dạy tôi cùng một bài học: ngay cả công nghệ mạnh nhất cũng chỉ thắng khi mọi người tin tưởng nó.

Khi gặp các nhà đồng sáng lập OPAQUE, Raluca Ada Popa, Ion Stoica và Rishabh Poddar, tôi thấy sự kết hợp hiếm có giữa tài năng và tầm nhìn. Raluca là một trong những nhà nghiên cứu hàng đầu thế giới về quyền riêng tư và an toàn thông tin. Ion đồng sáng lập Databricks. Rishabh xây dựng những hệ thống mật mã cốt lõi trở thành nền móng của OPAQUE.

Tại RISELab của UC Berkeley, họ đã tạo ra điều mà tôi lập tức nhận ra là đột phá có ý nghĩa với cả một thế hệ: bằng chứng mật mã cho thấy dữ liệu luôn được giữ kín trong mọi quy trình AI. Không phải lời hứa. Không phải chính sách. Mà là bằng chứng.

Tôi nhìn vào hướng phát triển của AI: các tác nhân tự chủ hoạt động xuyên suốt hệ thống doanh nghiệp với tốc độ máy móc. Và tôi thấy đúng khoảng trống mà Vint Cerf đã cảnh báo suốt 30 năm: thiếu một lớp tin cậy. Internet tồn tại được dù thiếu lớp đó vì con người đóng vai trò hàng rào an toàn. Web dựa trên tác nhân sẽ không có được lợi thế ấy. Chính điều đó đã thu hút tôi.

MCP (Model Context Protocol, tiêu chuẩn cho phép tác nhân AI truy cập an toàn vào công cụ, ứng dụng và dữ liệu) đang trở thành nền tảng chung. Theo ông, điều này sẽ thay đổi cách doanh nghiệp triển khai và mở rộng quy mô AI dựa trên tác nhân như thế nào?

MCP là bước tiến quan trọng trong cách doanh nghiệp triển khai và mở rộng quy mô AI dựa trên tác nhân. Hãy hình dung nó như đầu nối chung cho các quy trình AI. Nó chuẩn hóa cách tác nhân kết nối với công cụ, ứng dụng và dữ liệu, giảm những trở ngại thực tế và đẩy nhanh thử nghiệm.

Nhưng chỉ chuẩn hóa quyền truy cập không khiến AI dựa trên tác nhân trở nên an toàn hay có thể mở rộng quy mô. Khi số kết nối tăng lên cùng với nhiều tác nhân, công cụ và nguồn dữ liệu hơn, phạm vi có thể rò rỉ dữ liệu lại mở rộng theo từng tích hợp mới. Mỗi điểm kết nối thiếu cơ chế bắt buộc tuân thủ trong lúc thực thi đều là một đường phơi lộ tiềm tàng. Khi tác nhân AI tương tác với hệ thống nhạy cảm và logic độc quyền, mã hóa dữ liệu lưu trữ cùng kiểm soát mạng là chưa đủ. Ranh giới bảo mật đã chuyển sang chính quá trình thực thi, và sự chuyển dịch này càng cấp thiết khi hệ sinh thái mở rộng quy mô.

Khả năng kiểm chứng tại những điểm kết nối thiết yếu này sẽ mang tính sống còn đối với doanh nghiệp. Doanh nghiệp có thể mở rộng quy mô AI dựa trên tác nhân khi kết hợp quyền truy cập kiểu MCP với bằng chứng mật mã về đoạn mã đã chạy, nơi mã chạy và chính sách áp dụng, trước, trong và sau khi thực thi. Quyền truy cập cộng với khả năng kiểm chứng. Đó là sự kết hợp cho phép đưa hệ thống vào vận hành thực tế.

Khi MCP chuẩn hóa quyền truy cập của tác nhân, ông thấy những khoảng trống lớn nhất hiện nay về an toàn, thực thi chính sách và niềm tin trong hệ thống do tác nhân vận hành ở đâu?

Chúng tôi đã hoàn tất nghiên cứu AI Leak Surface năm 2026 và công bố bản tóm tắt kết quả, “Mười hai cách dữ liệu rò rỉ từ hệ thống AI của bạn”, đề cập đến vấn đề này. Chúng tôi xác định 46 đường phơi lộ thuộc 8 nhóm, bao quát toàn bộ ranh giới tin cậy của AI: tính toán, kiểm soát, ứng dụng và các bước bàn giao giữa chúng. Đó là chưa tính đến những bên có ý đồ xấu. Đây là các tình huống không có gì hỏng, nhật ký trông bình thường nhưng hệ thống vẫn rò rỉ dữ liệu.

Khoảng trống lớn nhất không nằm ở kết nối; MCP đang giải quyết chuyện đó. Nó nằm ở những gì xảy ra sau khi tác nhân kết nối. Phần lớn tổ chức không trả lời được ba câu hỏi cơ bản: AI của chúng tôi thực sự hành xử ra sao? Ai kiểm soát nó? Và làm thế nào chứng minh chính sách đã được thực thi?

Nghiên cứu cho thấy các giới hạn được cấu hình nhưng không bao giờ được áp dụng bắt buộc. Chính sách có trong tài liệu, tệp cấu hình hoặc thiết lập lúc triển khai, nhưng không ràng buộc hệ thống đang chạy. Trợ lý AI cho lãnh đạo đưa thông tin quan trọng chưa công khai vào lời mời trên lịch. Trợ lý RAG cung cấp thông tin tài chính dành cho hội đồng quản trị cho một nhà phân tích cấp dưới. SDK của nhà cung cấp âm thầm đưa 10 triệu truy vấn ra ngoài trong 12 tháng. Trong mọi trường hợp, kiểm soát truy cập đều đã được thiết lập. Dữ liệu vẫn rò rỉ.

Chừng nào doanh nghiệp chưa thu hẹp khoảng cách giữa chính sách được cấu hình và chính sách được áp dụng thực sự, MCP mới chỉ chuẩn hóa cửa chính. Ngôi nhà vẫn chưa có người canh gác.

Khi tác nhân AI được cấp quyền truy cập vào hệ thống nhạy cảm và dữ liệu độc quyền, những rủi ro mới nào về quyền riêng tư và tuân thủ thường xuất hiện mà doanh nghiệp chưa chuẩn bị để đối phó?

Phần lớn doanh nghiệp nghĩ về quyền riêng tư ở góc độ dữ liệu đang lưu trữ hoặc đang truyền. Mô hình đó không còn phù hợp với quy trình dựa trên tác nhân, vì rủi ro lớn nhất là dữ liệu bị lộ trong lúc sử dụng.

Tôi muốn nói thế này. Một hãng sản xuất ô tô hiệu suất cao dùng AI trên dây chuyền lắp ráp. Dữ liệu thô có vẻ vô hại: số đo cảm biến, trình tự thời gian và kiểm tra chất lượng. Nhưng mô hình ngôn ngữ lớn hiện có thể tái dựng quy trình sản xuất độc quyền từ những dấu vết dữ liệu phát sinh như sản phẩm phụ của hoạt động đó. Thứ còn là nhiễu cách đây năm năm nay đã trở thành bản thiết kế cho đối thủ.

Nghiên cứu AI Leak Surface của chúng tôi ghi nhận mô thức này trong hàng chục tình huống. Công cụ đo lường vận hành mặc định thu toàn bộ nội dung dữ liệu AI. Tại một ngân hàng châu Âu, 2,1 triệu câu lệnh chứa thông tin nhận dạng cá nhân đã chảy sang một phiên bản SaaS tại Mỹ vì không ai đổi thiết lập mặc định của công cụ giám sát hiệu suất ứng dụng (APM). Bộ nhớ tác nhân làm rò rỉ ngữ cảnh giữa các phiên. Dấu vết chuỗi suy luận để lộ toàn bộ hồ sơ điều tra lên các nền tảng quan sát hệ thống mà nhà thầu có thể truy cập. Các khuôn khổ tuân thủ truyền thống không được thiết kế để phát hiện kiểu rò rỉ này. Chúng giả định con người di chuyển dữ liệu với tốc độ của con người.

Vì sao Confidential AI trở thành lớp bổ trợ cần thiết cho MCP, và nó xử lý những thách thức mà chỉ tiêu chuẩn truy cập không thể giải quyết như thế nào?

MCP giải quyết việc ai có thể truy cập dữ liệu nào và bằng cách nào, còn Confidential AI giải quyết điều xảy ra sau khi quyền truy cập được cấp. Đó là hai lớp bổ trợ cho nhau.

Chỉ tiêu chuẩn truy cập không thể ngăn chặn việc bảo mật bị xâm phạm trong lúc thực thi, chính sách dần lệch khỏi trạng thái dự kiến hoặc dữ liệu bị sử dụng trái phép. Hãy hình dung như sau: MCP cung cấp cách kết nối tác nhân với hệ thống theo chuẩn chung. Confidential AI cung cấp bảo đảm bằng mật mã rằng sau khi kết nối, tác nhân chỉ có thể làm việc được cho phép, và ông có thể chứng minh điều đó.

Confidential AI cung cấp những bảo đảm ấy trong lúc thực thi đối với dữ liệu, danh tính, mã và giao tiếp. Nó đưa ra bằng chứng thực thi có thể kiểm chứng, bảo đảm quyền riêng tư và việc áp dụng chính sách không dừng ở ranh giới truy cập mà tiếp tục khi AI chủ động suy luận, tạo sinh và hành động. Nếu thiếu lớp này, MCP vẫn là nền móng vững chắc. Nhưng chỉ nền móng không làm cho tòa nhà an toàn.

Trong thực tế, niềm tin có thể kiểm chứng có ý nghĩa gì với doanh nghiệp sử dụng tác nhân AI tự chủ trong các quy trình trọng yếu?

Niềm tin có thể kiểm chứng nghĩa là tôi chứng minh được đoạn mã nào đã chạy, chạy ở đâu, theo những chính sách nào, đã truy cập dữ liệu nào và hệ thống hành xử ra sao theo thời gian.

Lấy ví dụ công ty bảo hiểm dùng tác nhân AI để xử lý thư yêu cầu bồi thường. Trước khi thực thi, chứng thực phần cứng xác minh danh tính tác nhân và tính toàn vẹn của môi trường. Trong quá trình thực thi, ràng buộc mật mã với chính sách bên trong môi trường thực thi tin cậy được phần cứng bảo vệ (Trusted Execution Environment, TEE) bảo đảm dữ liệu được bảo vệ và chính sách được áp dụng. Sau khi thực thi, dấu vết kiểm toán chống sửa đổi ghi lại chính xác những gì đã xảy ra.

Rủi ro trong quy trình dựa trên tác nhân không phải là tác nhân mất kiểm soát. Rủi ro thực sự là không thể chứng minh chính sách có được thực thi hay dữ liệu nhạy cảm có được bảo vệ khi tác nhân hoạt động hay không, trước, trong và sau. Đó là ý nghĩa của niềm tin có thể kiểm chứng.

Khi hệ thống dựa trên tác nhân vận hành với tốc độ máy móc, vì sao giám sát truyền thống của con người không còn đáp ứng được, và tổ chức nên nghĩ lại về quản trị trong môi trường mới này như thế nào?

Suốt nhiều thập kỷ, internet có một hàng rào an toàn vô hình: chúng ta. Con người đọc nội dung, nhấp chuột có chủ đích và không âm thầm hoạt động trên một trăm hệ thống cùng lúc.

AI dựa trên tác nhân xóa bỏ các giả định đó chỉ sau một đêm. Tác nhân hoạt động liên tục, quyết định với tốc độ máy móc và có thể bị thao túng qua môi trường được thiết kế cho con người nhưng có thể bị máy khai thác. Một trang web độc hại không cần lừa AI như lừa một người; nó chỉ cần ra chỉ dẫn.

Với rủi ro chỉ 1% cho mỗi tác nhân, mạng gồm 100 tác nhân có xác suất xảy ra sự cố xâm phạm bảo mật là 63%. Tăng lên một nghìn tác nhân thì con số là 99,99%. Quản trị đòi hỏi con người tham gia vào quy trình không thể theo kịp những con số đó. Giám sát phải chuyển từ đánh giá phản ứng sau sự việc sang bảo đảm trong quá trình thực thi. Điều đó có nghĩa là quy trình dựa trên nguyên tắc không mặc nhiên tin cậy, áp dụng chính sách theo mặc định và thực thi có thể kiểm chứng mà không dựa vào việc con người phát hiện lỗi sau khi nó xảy ra.

Ông thường gặp nhất những sự cố bảo mật nào khi doanh nghiệp thử nghiệm AI dựa trên tác nhân mà không có lớp tin cậy tích hợp?

Mô thức tôi thấy nhiều nhất là doanh nghiệp để tác nhân hành động và phối hợp mà không có bất kỳ bảo đảm bằng mật mã nào về hành vi. Họ xử lý tài sản trí tuệ nhạy cảm và chỉ biết trông vào hy vọng.

Hệ quả có thể dự đoán được, và chúng tôi đã ghi nhận các mô thức cụ thể trong nghiên cứu AI Leak Surface. Những vụ xâm phạm bảo mật trong lúc thực thi vượt qua phòng thủ vành đai truyền thống vì tác nhân vốn đã ở trong mạng. Chuỗi tác nhân tự chủ tạo ra lỗi dây chuyền. Một tác nhân bị khai thác gây hiệu ứng domino trong các hệ thống kết nối. Logic độc quyền rò rỉ qua dấu vết dữ liệu mà không ai nghĩ cần giám sát. Tác nhân mất khả năng phân biệt ý định doanh nghiệp với đầu vào độc hại vì khi thực thi không có danh tính có thể kiểm chứng hoặc ràng buộc với chính sách.

Đây không phải tình huống giả định. Chúng tôi đã lập bản đồ 46 đường mà dữ liệu thoát khỏi các biện pháp kiểm soát dự kiến, ngay cả khi không có gì trông như bị hỏng. Tác nhân AI tạo và chia sẻ dữ liệu với tốc độ máy móc. Nếu quy trình không tích hợp biện pháp bảo vệ có thể kiểm chứng trong lúc thực thi, lỗi sẽ lan nhanh hơn khả năng phát hiện hoặc ứng phó của bất kỳ đội bảo mật nào.

Các tổ chức hàng đầu cân bằng việc khai thác khả năng AI tiên tiến với bảo vệ dữ liệu nhạy cảm nhất của mình như thế nào?

Những tổ chức làm tốt coi quyền riêng tư và quản trị là động lực tăng tốc chứ không phải lực cản. Đó là nhận định cốt lõi.

Trong thực tế, tôi thấy doanh nghiệp hàng đầu kết hợp khả năng AI tiên tiến với nền tảng Confidential AI cung cấp bảo đảm có thể kiểm chứng, không chỉ là danh sách kiểm tra tuân thủ. Họ đưa dữ liệu nhạy cảm vào đổi mới AI đồng thời bảo vệ thông tin độc quyền, ngay cả khi quy trình hoạt động tự chủ.

Trước đây, người ta đặt vấn đề như sự đánh đổi giữa năng lực và an toàn. Những tổ chức tiến nhanh nhất đã bác bỏ hoàn toàn sự đánh đổi ấy. Họ xây dựng niềm tin có thể kiểm chứng ngay trong nền tảng chiến lược AI, nhờ đó khai thác được dữ liệu giá trị nhất. Cùng lúc, đối thủ vẫn mắc kẹt ở giai đoạn thí điểm, chạy AI trên tập dữ liệu đã làm sạch nhưng không tạo ra kết quả đáng kể.

Dựa trên những gì quan sát được hiện nay, ông dự đoán mô hình quản trị AI của doanh nghiệp sẽ phát triển ra sao trong vài năm tới khi hệ thống dựa trên tác nhân chuyển từ thí điểm sang vận hành thực tế đầy đủ?

Quản trị sẽ chuyển từ giấy tờ sang bằng chứng. Đó là cách diễn đạt đơn giản nhất của tôi. Các mô hình quản trị ban đầu được xây dựng cho phần mềm vận hành ở tốc độ con người: chính sách trên giấy, phê duyệt trước triển khai, đánh giá sau khi có chuyện sai. Hệ thống dựa trên tác nhân phá vỡ mọi giả định ấy. Chúng hoạt động liên tục, hành động tự chủ và tạo hiệu ứng dây chuyền với tốc độ máy móc.

Chúng tôi thấy quản trị chuyển sang khả năng kiểm chứng trong lúc thực thi như ranh giới bảo mật mới, được hỗ trợ bởi bảo đảm mật mã chứng minh hành vi ở mọi giai đoạn vòng đời tác nhân, trước, trong và sau. Mô thức tương tự từng thấy với HTTPS đang trở thành tiêu chuẩn cho lưu lượng web. Không ai còn tranh luận có nên mã hóa kết nối web hay không. Trong vài năm nữa, cũng sẽ không ai tranh luận có nên kiểm chứng việc thực thi AI ngay khi nó diễn ra hay không. Đó sẽ là yêu cầu cơ bản.

Cảm ơn ông về cuộc phỏng vấn tuyệt vời. Độc giả muốn tìm hiểu thêm có thể truy cập OPAQUE.