Một chính sách, hàng nghìn tác nhân: Vì sao quản trị AI trong doanh nghiệp không thể mở rộng theo quy mô

Phần lớn cuộc thảo luận về việc ứng dụng các tác nhân AI tự chủ đều tập trung vào quản trị như một thách thức then chốt, và hoàn toàn có lý do. Gartner gần đây dự đoán rằng 40% doanh nghiệp sẽ hạ cấp hoặc ngừng sử dụng các tác nhân AI tự chủ của mình trước năm 2027 – không phải vì công nghệ thất bại, mà vì hoạt động quản trị của họ thất bại. Theo Shiva Varma, Giám đốc Phân tích cấp cao tại Gartner, nguyên nhân là “quản trị nhị phân”: coi các tác nhân hoặc là bị khóa chặt hoàn toàn, hoặc là được tin tưởng tuyệt đối, không có lựa chọn nào ở giữa.

Hiện nay, nhiều tổ chức có xu hướng либо cấm hoàn toàn các công cụ AI, либо triển khai tác nhân với các biện pháp bảo vệ không đầy đủ. Cả hai cách tiếp cận đều khó mở rộng hiệu quả. Ngay cả khi bộ phận CNTT cấm các công cụ AI bên ngoài, việc sử dụng AI ngoài tầm kiểm soát (Shadow AI) vẫn diễn ra. Các nhà phát triển vốn muốn xây dựng và giải quyết vấn đề; nếu quy trình quản trị quá quan liêu, họ sẽ lách các biện pháp kiểm soát và dùng những công cụ chưa được kiểm chứng để duy trì tiến độ. Ngược lại, các biện pháp bảo vệ không đầy đủ khiến tổ chức đối mặt với những rủi ro về bảo mật, tuân thủ và vận hành ngày càng gia tăng theo thời gian. 

Thách thức nằm ở chỗ không thể quản trị các tác nhân AI một cách đồng nhất bằng một cách tiếp cận tĩnh, áp dụng chung cho tất cả.  Kỷ nguyên quản trị theo kiểu “một khuôn mẫu cho tất cả” đang đi đến hồi kết, bởi các hệ thống này không có cùng mức độ rủi ro: phần mềm nền tảng, năng lực, mức độ truy cập và mức độ tự chủ của chúng đều khác nhau. Việc áp dụng các biện pháp kiểm soát tĩnh từ thời đại công nghiệp cho phần mềm vận hành ở tốc độ máy móc sẽ không hiệu quả.  Quản trị hiệu quả sẽ phụ thuộc vào việc các tổ chức hiểu được chuỗi cung ứng phần mềm đứng sau mỗi tác nhân và điều chỉnh các biện pháp kiểm soát cho phù hợp với những rủi ro mà tác nhân đó tạo ra.  

Quản trị môi trường phát triển phần mềm dựa trên tác nhân AI

Kiểm soát thực sự đồng nghĩa với việc quản lý hiệu quả mọi thành phần phần mềm cấu thành tác nhân. Nhiều nhóm lầm tưởng rằng các tác nhân này “đáng tin cậy”, bỏ qua những thành phần tiêu chuẩn ảnh hưởng đến chức năng và bảo mật của chúng. 

Mỗi tác nhân AI tự chủ đều được xây dựng từ một nhóm thành phần quen thuộc: mô hình nền tảng, máy chủ MCP (Model Context Protocol) kết nối tác nhân với dữ liệu công ty và các hệ thống bên ngoài, phần bổ trợ mở rộng năng lực, cùng các tệp kỹ năng hướng dẫn cách tác nhân hoạt động. Lãnh đạo CNTT cần lưu ý: 

• Các tác nhân AI là những hệ sinh thái phần mềm: Chúng dựa trên một cấu hình tiêu chuẩn gồm mô hình, MCP, công cụ, phần bổ trợ, kỹ năng và phần mềm mã nguồn mở.
• Máy chủ MCP có thể tiềm ẩn rủi ro: Chúng kết nối tác nhân với dữ liệu công ty và có thể được tải xuống như bất kỳ phần mềm nào khác. Nếu không được kiểm tra, chúng có thể tạo điều kiện cho tin tặc xâm nhập hệ thống. Chẳng hạn, nghiên cứu bảo mật gần đây của JFrog nêu bật chính những rủi ro trong chuỗi cung ứng phần mềm này ở mcp-run-python, bao gồm lỗ hổng giả mạo yêu cầu phía máy chủ (SSRF) (CVE-2026-25904) và lỗ hổng do thiếu cơ chế cô lập (CVE-2026-25905) có thể dẫn đến việc chiếm quyền kiểm soát hoàn toàn MCP.
• Phần bổ trợ có thể làm tăng rủi ro: Các tác nhân khác nhau cần những phần bổ trợ khác nhau (ví dụ: phần bổ trợ của OpenAI sẽ không hoạt động trong Microsoft Copilot). Điều này đồng nghĩa với việc các công ty thường phải xoay xở với nhiều biến thể; chỉ một phần bổ trợ độc hại cũng có thể đánh cắp thông tin nhạy cảm.
• Kỹ năng định hình hành vi của tác nhân: Các tệp chỉ dẫn này cho tác nhân biết cách hoạt động. Vì nhà phát triển lấy chúng từ các nguồn cộng đồng, một kỹ năng bị can thiệp có thể âm thầm làm thay đổi cách tác nhân vận hành.
• Rủi ro từ phần mềm mã nguồn mở: Nền tảng cho mọi chức năng của các giải pháp được xây dựng bằng phương pháp lập trình dựa trên tác nhân là việc tận dụng các tệp nhị phân mã nguồn mở để cung cấp chức năng đó. Các tác nhân lập trình cũng có thể dễ dàng tận dụng các gói độc hại thay vì gói an toàn mà không nhận ra rủi ro.
• Khả năng quan sát là yếu tố then chốt: Nhiều nhóm không biết những vấn đề này tồn tại, khiến các tác nhân của họ dễ bị tấn công nghiêm trọng. Các tổ chức vẫn quản lý các phần phụ thuộc phần mềm dựa trên sự tin tưởng thay vì kiểm tra kỹ lưỡng.

Vai trò của hệ thống ghi nhận chuẩn trong quản trị AI hiệu quả

Cuộc đua triển khai tác nhân AI trong doanh nghiệp không thể thắng bằng tư duy lỗi thời. Áp đặt các quy trình phê duyệt thủ công cồng kềnh, rập khuôn lên mọi quy trình làm việc sẽ kìm hãm đổi mới, trong khi để các tác nhân không được giám sát lại tạo ra rủi ro không cần thiết.

Để mở rộng AI một cách an toàn, các tổ chức phải áp dụng cách tiếp cận nhiều lớp nhằm quản trị và bảo vệ các thành phần phần mềm, bao gồm gói phần mềm, tệp nhị phân, MCP, kỹ năng và các phần phụ thuộc. Bằng cách thiết lập một hệ thống ghi nhận chuẩn, doanh nghiệp có thể chọn lọc tất cả thành phần được sử dụng, quét mọi thứ trước khi đưa vào sử dụng, thực thi chính sách vào đúng thời điểm trong vòng đời phát triển, đồng thời duy trì khả năng khôi phục ngay lập tức về phiên bản trước. Vì vậy, khi lỗ hổng tiếp theo được công bố, câu trả lời cho câu hỏi “chúng ta có bị ảnh hưởng không?” sẽ có trong vài phút, chứ không phải vài ngày.

Tuy nhiên, các tác nhân AI mở rộng bề mặt tấn công và khiến nó biến đổi nhanh hơn đáng kể. Các tác nhân có mức độ tự chủ cao có thể đưa ra hàng trăm quyết định mỗi phút, liên tiếp gọi công cụ, truy cập dữ liệu và thực thi mã nhanh hơn khả năng theo kịp của các biện pháp kiểm soát khâu tiếp nhận truyền thống. Dù khâu đánh giá và phê duyệt ban đầu vẫn đóng vai trò quan trọng, chỉ riêng chúng không thể bảo vệ các hệ thống vận hành ở tốc độ máy móc.

Các tác nhân này cần được kiểm soát linh hoạt trong thời gian chạy, với khả năng phát hiện hành vi bất thường ngay khi xảy ra và can thiệp trước khi thiệt hại lan rộng. Hãy hình dung cơ chế này như một cầu dao: thu hồi quyền truy cập vào một kỹ năng bị xâm phạm, ngắt kết nối khỏi một ngữ cảnh dữ liệu không đáng tin cậy hoặc chặn một lệnh gọi công cụ cụ thể ngay khi có sự cố.

Vượt ra khỏi cách tiếp cận “một khuôn mẫu cho tất cả”

Quản trị cứng nhắc, áp dụng đồng loạt chắc chắn sẽ dẫn đến thất bại. Cơ hội để chủ động giải quyết vấn đề này đang dần khép lại, còn nợ quản trị thì ngày càng chồng chất khi việc triển khai tác nhân tăng tốc. Vì vậy, dưới đây là bốn bước mà lãnh đạo bộ phận bảo mật và kỹ thuật có thể thực hiện ngay để củng cố hệ thống doanh nghiệp:

1. Kiểm kê những gì đang vận hành. Hầu hết doanh nghiệp không thể thống kê đầy đủ các tác nhân AI trong tổ chức, chưa kể đến các máy chủ MCP, phần bổ trợ và tệp kỹ năng cung cấp sức mạnh cho chúng. Trước khi có thể đánh giá rủi ro hoặc quản trị bất kỳ thứ gì, bạn cần biết những thành phần nào đang tồn tại.
2. Xem các thành phần AI là cấu phần phần mềm. Máy chủ MCP, tệp kỹ năng và phần bổ trợ không phải là cấu hình mà là mã, với những rủi ro chuỗi cung ứng tương tự như bất kỳ phần phụ thuộc mã nguồn mở nào. Hãy áp dụng quy trình thẩm định, quét và theo dõi nguồn gốc tương tự như với mọi thư viện của bên thứ ba.
3. Phân loại tác nhân theo mức độ tự chủ và điều chỉnh biện pháp kiểm soát cho phù hợp. Hãy xác định thế nào là “mức độ tự chủ cao” trong tổ chức của bạn và xây dựng khung chính sách nhiều cấp dựa trên định nghĩa đó. Các tác nhân có mức độ tự chủ cao cần được kiểm soát trong thời gian chạy, chứ không chỉ qua khâu tiếp nhận. Hãy bắt đầu với những hệ thống nhạy cảm nhất rồi mở rộng dần.
4. Đảm bảo quy trình quản trị đủ nhanh để các nhà phát triển (con người hoặc tác nhân) không tìm cách lách qua. AI ngầm là vấn đề do trở ngại trong quy trình. Nếu việc phê duyệt một máy chủ MCP mới mất hai tuần, các nhà phát triển sẽ tìm cách khác. Quét tự động đi kèm với việc thực thi chính sách rõ ràng là mô hình duy nhất có thể mở rộng theo đúng tốc độ phát triển thực tế của AI.

Quản trị sẽ hiệu quả hơn nhiều khi phản ánh đúng những rủi ro do từng tác nhân gây ra, thay vì đối xử với tất cả như nhau. Những doanh nghiệp vươn lên dẫn đầu sẽ là những doanh nghiệp điều chỉnh hoạt động quản trị phù hợp với thực tế của từng tác nhân, dựa trên một hệ thống ghi nhận chính thức có khả năng thực thi chính sách tại mọi ranh giới, cung cấp khả năng quan sát mọi thành phần và giúp các nhóm ứng phó ngay khi có sự cố.