Adam Markowitz, CEO kiêm đồng sáng lập Drata – Chuỗi phỏng vấn

Adam Markowitz là CEO kiêm đồng sáng lập Drata, nơi ông đang mở rộng hoạt động của công ty trong lĩnh vực tuân thủ liên tục và xây dựng niềm tin sang quản trị tác nhân AI. Trước khi đồng sáng lập Drata vào năm 2020, ông đã thành lập Portfolium cùng Troy Markowitz và Daniel Marashlian. Kinh nghiệm xử lý các bảng câu hỏi bảo mật, kiểm toán và đánh giá tuân thủ đã góp phần định hình cách Drata tự động hóa quy trình giúp các tổ chức chứng minh độ tin cậy.

Drata cung cấp nền tảng quản trị, rủi ro và tuân thủ, kết hợp thu thập bằng chứng tự động, giám sát kiểm soát liên tục, quản lý rủi ro bên thứ ba và quy trình xử lý bảng câu hỏi bảo mật. Các tính năng quản trị tác nhân AI của nền tảng tập trung vào việc phát hiện tác nhân, thực thi chính sách trước khi chúng hành động và ghi lại quyết định để phục vụ kiểm toán. Trong cuộc phỏng vấn này, Markowitz trao đổi về các mối đe dọa từ tác nhân nội bộ, danh tính máy, ranh giới bảo mật trong các lệnh gọi công cụ và những biện pháp kiểm soát doanh nghiệp cần có để triển khai tác nhân tự hành trên quy mô lớn.

Trước đây, ông đã thành lập Portfolium rồi đồng sáng lập Drata vào năm 2020, sau khi trực tiếp trải nghiệm việc tuân thủ bảo mật có thể trở nên rườm rà đến mức nào khi một công ty phát triển. Điều gì khiến ông tin rằng đây là vấn đề đáng để xây dựng hẳn một công ty mới nhằm giải quyết, và sứ mệnh của Drata đã phát triển ra sao khi AI làm thay đổi bối cảnh bảo mật?

Khi điều hành Portfolium cùng hai người đồng sáng lập Troy Markowitz và Daniel Marashlian, chúng tôi đã rút ra một bài học quý giá: xây dựng niềm tin trong kinh doanh là cả một quá trình, chứ không phải một lời chào mời. Do khối lượng lớn và tính nhạy cảm của thông tin sinh viên, các trường đại học và doanh nghiệp sẽ không hợp tác với chúng tôi cho đến khi chúng tôi chứng minh được mình đang làm đúng những gì cần thiết để bảo vệ dữ liệu của họ. Chúng tôi nhận ra rằng việc tự xử lý thủ công từng bảng câu hỏi bảo mật, cuộc kiểm toán và đợt đánh giá tuân thủ là một quy trình chậm chạp, nhọc nhằn mà nhiều bên cùng trải qua. Sau khi Portfolium được mua lại, Troy, Daniel và tôi tái hợp, dành sáu tháng xây dựng phiên bản đầu tiên của Drata, đồng thời trao đổi với hàng chục công ty và kiểm toán viên để xác thực vấn đề trước cả khi bắt tay viết mã. Khi ra mắt, chúng tôi đạt 100 khách hàng trong sáu tuần đầu tiên và 1.000 khách hàng trong vòng một năm – qua đó nhận ra rằng thứ chúng tôi bán đã chuyển từ một sản phẩm “có thì tốt” thành thứ mà mọi người không thể hoạt động nếu thiếu.

Với AI, sứ mệnh mang lại niềm tin liên tục của Drata không thay đổi, nhưng phạm vi của niềm tin đó đã mở rộng. Ban đầu, chúng tôi tự động hóa những công việc tuân thủ nặng nhọc, sau đó phát triển sang các quy trình tác nhân có thể thực hiện trọn vẹn từ đầu đến cuối việc đánh giá rủi ro bên thứ ba và xử lý bảng câu hỏi bảo mật. Nhưng thay đổi thực sự xuất hiện khi chính các tác nhân trở thành đối tượng cần được quản trị. Giờ đây, chúng tôi đã mở rộng nền tảng để hỗ trợ quản trị tác nhân AI: phát hiện các tác nhân, quản lý những việc chúng được phép làm và tạo ra bằng chứng đủ sức đáp ứng khi có người yêu cầu.

Ông đã đưa ra thuật ngữ “Mối đe dọa từ tác nhân nội bộ” để mô tả những rủi ro do chính các tác nhân AI của một tổ chức tạo ra, chứ không phải do kẻ tấn công bên ngoài. Mối đe dọa từ tác nhân nội bộ khác gì về bản chất so với mối đe dọa nội bộ truyền thống mà các đội ngũ bảo mật đã chuẩn bị ứng phó suốt nhiều thập kỷ?

Mối đe dọa nội bộ truyền thống liên quan đến việc một người lạm dụng quyền truy cập sẵn có, chẳng hạn như một nhân viên bất mãn, một người bất cẩn hoặc ai đó đơn giản là nhấp nhầm. Suốt nhiều thập kỷ, các đội ngũ bảo mật đã xây dựng những chương trình nhằm kiểm soát rủi ro này, tập trung vào kiểm tra lý lịch, nguyên tắc đặc quyền tối thiểu, danh sách kiểm tra khi nhân viên nghỉ việc và các biện pháp tương tự.

Mối đe dọa từ tác nhân nội bộ khác ở chỗ ngay từ đầu, tác nhân chưa hề được cấp quyền truy cập. Rủi ro chuyển từ lạm dụng quyền sang tìm cách giành quyền truy cập. Nếu được giao một mục tiêu nhưng bị chặn con đường rõ ràng để hoàn thành mục tiêu đó, tác nhân sẽ không chỉ gửi yêu cầu hỗ trợ rồi chờ như con người. Nó sẽ tìm một lối khác, chẳng hạn như tài khoản dịch vụ có mật khẩu yếu hoặc một điểm cuối mà không ai nhớ phải đóng. Nó tự tìm cách xâm nhập mà không có ác ý hay nhận thức rằng mình đang vi phạm chính sách. Nó làm đúng những gì bạn yêu cầu, và điều đó khiến việc phát hiện trở nên vô cùng khó khăn. Xét riêng lẻ, mỗi bước đều có vẻ hợp lý, và cuối cùng tác nhân báo rằng đã thành công.

Chúng ta đã biết cách quản trị nhân viên và bên thứ ba có quyền truy cập vào các hệ thống nhạy cảm, nhưng tác nhân là nhóm đối tượng thứ ba, và những công cụ được xây dựng cho hai nhóm đầu không thể kiểm soát chúng.

Các tác nhân AI có thể kiên trì theo đuổi mục tiêu, hoạt động với tốc độ máy móc và tương tác với nhiều hệ thống mà không có khả năng phán đoán như một nhân viên con người. Điều này làm thay đổi mô hình mối đe dọa của doanh nghiệp về căn bản đến mức nào?

Trên hết, điều này làm thay đổi khung thời gian. Một người tìm cách xâm nhập hệ thống cuối cùng sẽ chán nản, bị phát hiện hoặc bỏ cuộc. Tác nhân thì không. Một cánh cửa mở trước đây chưa ai phát hiện giờ sẽ bị tìm ra, vì tác nhân không mệt mỏi và không ngừng tìm kiếm.

Và không chỉ có một cánh cửa. Một tác nhân được tạo ra để thực hiện một nhiệm vụ có thể dễ dàng truy cập hàng tá hệ thống trên đường hoàn thành nhiệm vụ đó – lấy lịch sử tài khoản ở chỗ này, kiểm tra cơ sở dữ liệu ở chỗ kia – trong khi phần lớn những việc ấy chẳng liên quan gì đến yêu cầu thực tế. Khi xây dựng một bộ tài liệu thuyết trình, nó có thể đi qua dữ liệu của một khách hàng khác, hồ sơ tài chính, thông tin nhân viên hay bất cứ thứ gì nằm trên đường đi. Không việc nào trong số đó được ghi nhận là một sự cố.

Vì vậy, mô hình mối đe dọa đã thay đổi. Ngày nay, câu hỏi mà đội ngũ bảo mật cần đặt ra là các tác nhân của chính tổ chức sẽ đi xa đến đâu để hoàn thành một nhiệm vụ nếu không ai nói cho chúng biết phải dừng ở đâu.

Nhiều tổ chức đã triển khai các hệ thống quản lý danh tính và quyền truy cập, quản lý quyền truy cập đặc quyền và kiến trúc zero trust. Vì sao chỉ riêng những biện pháp kiểm soát đó chưa đủ để quản trị các tác tử AI tự hành?

Những khuôn khổ đó được xây dựng cho con người và các nhà cung cấp — cả hai nhóm đều có khả năng phán đoán và đều biết dừng lại khi gặp trở ngại. Danh tính của tác tử cần được quản lý nghiêm ngặt như cách chúng ta quản lý danh tính con người và rủi ro từ bên thứ ba: xác định, phân công quyền sở hữu và cung cấp bằng chứng mà kiểm toán viên có thể dựa vào. Khoảng trống hiện nay là chưa có chuẩn mực chung về ý nghĩa thực sự của việc “được quản trị” khi chủ thể nắm giữ thông tin xác thực là một tác tử.

Ví dụ, một tác tử do kỹ sư của bạn tạo ra có thể hoạt động với quyền truy cập của kỹ sư đó — kể cả trên những hệ thống mà chính kỹ sư ấy chưa từng trực tiếp sử dụng. Các hệ thống IAM và PAM mặc định rằng chủ thể nắm giữ thông tin xác thực sẽ biết khi nào cần dừng lại, nhưng tác tử không được tích hợp sẵn giả định đó.

Các doanh nghiệp có nên bắt đầu xem mỗi tác tử AI là một danh tính máy riêng, với chủ sở hữu, quyền hạn, phạm vi hoạt động và vòng đời được xác định rõ ràng không? Một khuôn khổ quản lý danh tính hoàn thiện dành cho tác tử sẽ như thế nào?

Có, nhưng phần lớn doanh nghiệp vẫn chưa đạt đến mức đó. Nhiều doanh nghiệp hơn bạn nghĩ thậm chí còn không thể cho biết có bao nhiêu tác tử đang hoạt động trong hệ thống của mình, chứ chưa nói đến việc xác định ai sở hữu từng tác tử. Một khuôn khổ hoàn thiện phải bắt đầu bằng việc phát hiện — lập danh mục thực sự và liên tục về mọi tác tử. Tiếp đó, mỗi tác tử cần có chủ sở hữu, phạm vi xác định rõ những gì nó được phép truy cập và các chính sách thực sự thực thi theo phạm vi đó. Từ nghiên cứu của chính chúng tôi, chúng tôi nhận thấy bên nhà cung cấp cũng có vấn đề tương tự — cứ bốn tổ chức thì có ba tổ chức chỉ đánh giá lại các bên thứ ba mỗi năm một lần hoặc ít hơn, nên họ đang quản trị dựa trên dữ liệu đã lỗi thời ngay khi có thay đổi. Việc đánh giá tại một thời điểm không phù hợp với các tác tử, dù là nội bộ hay bên ngoài

Chúng tôi muốn có một tiêu chuẩn áp dụng như nhau cho mọi tác tử, thay vì để đội ngũ bảo mật phải lần theo những gì từng nhà phát triển tự xây dựng. Điều đó có nghĩa là cần có chính sách được viết bằng ngôn ngữ thông thường, được kiểm thử trên lưu lượng truy cập thực tế trong quá khứ trước khi kích hoạt, rồi được thực thi ngay trên luồng xử lý để khuôn khổ này kiểm soát mọi hành động của tác tử, chứ không chỉ nằm trên tài liệu.

Một tình huống đặc biệt khó xử lý là khi tác tử vi phạm chính sách bảo mật mà không có hành vi ác ý. Nếu tác tử phát hiện ra một con đường ngoài dự kiến để truy cập dữ liệu nhạy cảm chỉ vì đang cố hoàn thành nhiệm vụ được giao, đội ngũ bảo mật có thể phân biệt tự động hóa thành công với sự cố bảo mật bằng cách nào?

Thành thật mà nói, hiện giờ bạn không thể phân biệt được. Hãy hình dung một tác tử hỗ trợ được xây dựng để soạn thảo các bản đánh giá kinh doanh hàng quý và được yêu cầu truy xuất lịch sử tài khoản rồi tạo bộ slide. Con đường đúng quy trình — tệp xuất mà tác tử được yêu cầu lấy dữ liệu từ đó — không có dữ liệu. Con người sẽ dừng lại ở đó, nhưng tác tử tìm một con đường khác và, theo góc nhìn của nó, đã đạt được kết quả thành công.

Nhiệm vụ quả thực đã hoàn thành, nhưng tác tử đã làm được điều đó bằng cách vượt qua các quy trình bảo mật của bạn và truy cập những hệ thống mà nó không được phép mở. Câu hỏi mấu chốt phải là liệu tác tử có hoạt động trong phạm vi chúng ta đã đặt ra hay không. Hoàn thành công việc chưa bao giờ là điều cần bàn. Đây là vấn đề về chính sách. Điều đó có nghĩa là phải xác định phạm vi đủ chặt chẽ để “tự động hóa thành công” và “sự cố bảo mật” không bị xem là giống hệt nhau khi nhìn lại sự việc.

Các hoạt động giám sát bảo mật truyền thống thường phát hiện hành vi đáng ngờ sau khi sự việc xảy ra, nhưng một tác tử tự hành có thể hoàn thành hàng trăm hành động trước khi con người kịp phản ứng. AI tác tử có đòi hỏi các biện pháp kiểm soát bảo mật hoạt động trực tiếp trên luồng thực thi, thay vì chủ yếu dựa vào cảnh báo và giám sát hồi cứu không?

Có, không còn gì phải nghi ngờ. Nếu đến lúc hệ thống đang chạy bạn mới phát hiện ra thì đã quá muộn. Khi công cụ giám sát cảnh báo về hành động đó, hành động ấy đã được thực hiện. Bạn sẽ có hồ sơ hoàn chỉnh về chính xác cách mình bị lộ, nhưng không còn cách nào ngăn chặn được nữa.

Cách quản trị duy nhất có thể hiệu quả với một hệ thống hoạt động ở tốc độ máy là đánh giá hành động trước khi nó được thực thi và ngăn chặn vi phạm ngay trên luồng xử lý. Chúng ta sẽ không bao giờ giao dữ liệu nhạy cảm nhất cho một nhân viên mới rồi chỉ hy vọng công cụ giám sát phát hiện được mọi sự cố. Tác tử cũng cần được quản lý nghiêm ngặt như vậy, ngay tại thời điểm hành động sắp diễn ra. Không phải sau đó.

Model Context Protocol (MCP) và các giao diện khác kết nối tác tử với công cụ đang giúp các hệ thống AI tiếp cận những năng lực bên ngoài ngày càng mạnh mẽ. Khi mở rộng những gì tác tử được phép thực hiện, doanh nghiệp cần thiết lập những ranh giới bảo mật mới nào đối với các lệnh gọi công cụ, API, thông tin xác thực và tài khoản dịch vụ?

Lệnh gọi công cụ chính là ranh giới bảo mật mới. Mỗi khi một tác tử tìm đến thông tin xác thực, gọi API hoặc sử dụng công cụ, đó là một điểm ra quyết định. Tuy nhiên, hiện nay, hầu hết doanh nghiệp không có cơ chế kiểm soát nào ngay tại thời điểm đó để đánh giá liệu hành động ấy có nên được thực hiện hay không. Đây chính là phần còn thiếu. Chúng tôi nhận thấy cùng một điểm mù khi nhìn từ bên ngoài vào: chỉ 37% lãnh đạo an ninh tự tin rằng họ thậm chí có thể xác định được AI đang hoạt động ở đâu trong các nhà cung cấp mà họ đã hợp tác. Nếu bạn không thể nhìn thấy điều đó trong sản phẩm của nhà cung cấp, bạn cũng sẽ không nhận ra bước đi tiếp theo của chính tác tử mình. Thông tin xác thực và tài khoản dịch vụ làm nền tảng cho tất cả những việc này cũng cần được quản lý nghiêm ngặt như quyền truy cập của con người: xác định rõ chủ sở hữu, phạm vi được phép và lịch rà soát định kỳ. Tác tử không nên có khả năng sử dụng thông tin xác thực chưa từng được cấp cho nó chỉ vì thông tin đó tồn tại đâu đó trên đường đi của nó.

Khi kiểm toán viên, cơ quan quản lý hoặc khách hàng hỏi một tác tử AI đã truy cập những gì, đưa ra quyết định nào và dữ liệu phát sinh sau đó được chuyển đến đâu, các tổ chức nên có khả năng cung cấp mức độ truy xuất nguồn gốc nào? Liệu nhật ký kiểm toán của tác tử cuối cùng có thể trở nên thiết yếu như nhật ký truy cập truyền thống không?

Khi được yêu cầu, các tổ chức cần có khả năng trả lời tác tử đã truy cập những gì, đưa ra quyết định nào và dữ liệu phát sinh sau đó được chuyển đến đâu. Việc chắp vá câu trả lời từ các nhật ký sau khi sự việc đã xảy ra là chưa đủ. Tiêu chuẩn cần đạt là một hồ sơ liên tục, có thể phát hiện hành vi giả mạo và đã tồn tại sẵn vào thời điểm câu hỏi được đặt ra. Hiện nay, phần lớn công ty không có câu trả lời cho những câu hỏi này. Đây không phải là lỗ hổng có thể giải thích cho qua với khách hàng; tùy vào những gì bị rò rỉ, cơ quan quản lý cũng sẽ không chấp nhận lời giải thích đó.

Và đúng vậy, tôi nghĩ nhật ký kiểm toán của tác tử sẽ sớm trở nên thiết yếu như nhật ký truy cập. Suốt nhiều năm, chúng ta đã xem câu hỏi “ai truy cập thứ gì, vào lúc nào” là yêu cầu bắt buộc đối với các hệ thống dành cho con người. Không có lý do gì để áp dụng tiêu chuẩn thấp hơn cho tác tử chỉ vì người thực hiện thao tác không phải là con người. Các khuôn khổ như Đạo luật AI của EU, AIUC-11 và ISO 42001 đã thúc đẩy theo hướng đó. Khả năng truy xuất nguồn gốc của tác tử cần gắn với cùng các biện pháp kiểm soát và nguyên tắc bằng chứng vốn đang làm nền tảng cho các chương trình tuân thủ. Nếu xem đây là việc có thể tính sau, vấn đề sẽ bị gạt sang một bên.

Trong thời gian tới, ông có cho rằng quản trị tác tử AI sẽ trở thành một lĩnh vực bảo mật riêng biệt, hay cuối cùng sẽ được tích hợp vào các nền tảng hiện có về quản trị, rủi ro, tuân thủ, định danh và an ninh mạng? Theo ông, doanh nghiệp cần chuẩn bị những gì trước khi có thể triển khai an toàn các tác tử thực sự tự chủ trên quy mô lớn?

Mỗi làn sóng công nghệ lớn đều tạo ra một làn sóng bảo mật riêng: điện toán đám mây tạo nên Wiz, bảo mật điểm cuối tạo nên CrowdStrike — và hiện nay, tác tử AI cũng đang tạo ra một làn sóng như vậy. Các nhà cung cấp mô hình đang xây dựng bảng điều khiển và chính sách cho nền tảng của riêng họ. Điều đó hữu ích, nhưng không doanh nghiệp nào chỉ vận hành bằng một nhà cung cấp mô hình, một trợ lý lập trình và một nhóm tác tử do nội bộ phát triển. Cần có một bên quản trị toàn bộ những thành phần đó theo một bộ chính sách duy nhất, với một nguồn bằng chứng thống nhất; đây không phải là vấn đề mà bất kỳ nền tảng AI đơn lẻ nào được xây dựng để giải quyết. Đó không phải là mục đích tồn tại của các nền tảng ấy. Quản trị tác tử AI đã là một lĩnh vực riêng, dù vẫn kết nối với các hệ thống quản trị, rủi ro và tuân thủ (GRC), định danh và tuân thủ mà các công ty đang sử dụng.

Trước khi có thể triển khai các tác tử thực sự tự chủ trên quy mô lớn, doanh nghiệp cần chuẩn bị bốn yếu tố, nhưng hiện nay phần lớn chưa có yếu tố nào. Thứ nhất là khả năng phát hiện theo thời gian thực: biết mọi tác tử đang hoạt động, ai sở hữu chúng và chúng sử dụng định danh nào ngay khi được tạo ra.

Tiếp theo là chính sách được thực thi ngay trong luồng xử lý và được đánh giá trước khi hành động diễn ra. Thứ ba, doanh nghiệp cần giám sát liên tục để phát hiện sai lệch, bởi tác tử có thể tồn tại lâu hơn phiên đã tạo ra chúng và phạm vi hoạt động của chúng có thể âm thầm mở rộng. Cuối cùng là hồ sơ có thể phát hiện hành vi giả mạo về mọi quyết định mà tác tử đưa ra, được đối chiếu với các khuôn khổ mà kiểm toán viên và cơ quan quản lý thực sự công nhận. Đó là lớp năng lực chúng tôi đang xây dựng tại Drata. Nếu không có lớp này, doanh nghiệp triển khai tác tử tự chủ trên quy mô lớn chỉ còn biết hy vọng mọi việc sẽ ổn.

Cảm ơn vì cuộc phỏng vấn tuyệt vời này. Độc giả muốn tìm hiểu về quản trị tác tử AI, tuân thủ liên tục và các biện pháp kiểm soát mối đe dọa nội gián từ tác tử có thể truy cập Drata.