Aviatrix ra mắt Kiểm soát để cô lập các khối lượng công việc đám mây và AI bị xâm nhập

Aviatrix đã ra mắt Kiểm soát, một giải pháp bảo mật đám mây được thiết kế để hạn chế thiệt hại mà một khối lượng công việc bị xâm nhập có thể gây ra bằng cách giới hạn các đích đến và những khối lượng công việc khác mà nó có thể kết nối. Giá trị cốt lõi của giải pháp này không chỉ nằm ở khía cạnh kỹ thuật mà còn ở khả năng vận hành: các nhóm bảo mật có thể thử nghiệm một chính sách hạn chế trên lưu lượng thực tế trước khi cho phép chính sách đó chặn các kết nối trong môi trường sản xuất.

Được công bố ngày 26 tháng 10, Kiểm soát kết hợp khả năng cô lập lưu lượng đi ra và lưu lượng ngang với một lớp chính sách tự động có tên Aviatrix Active Defense. Công ty cũng cung cấp khả năng cô lập lưu lượng đi ra, cô lập lưu lượng ngang và ngăn chặn xâm nhập cho doanh nghiệp mà không giới hạn số lượng khối lượng công việc thông qua một chương trình ứng phó tạm thời, diễn ra từ ngày 1 tháng 11 năm 2026 đến ngày 1 tháng 5 năm 2027.

Đối với các tổ chức triển khai tác nhân AI bên cạnh những ứng dụng đám mây thông thường, vấn đề cốt lõi ngày càng trở nên nghiêm trọng. Một dịch vụ bị khai thác hoặc một tác nhân bị thao túng có thể đã sở hữu thông tin xác thực hữu ích và quyền truy cập mạng. Việc ngăn chặn vụ xâm nhập ban đầu vẫn là điều thiết yếu, nhưng những kết nối sẵn có sau đó sẽ góp phần quyết định liệu vụ xâm nhập chỉ giới hạn ở phạm vi ban đầu hay lan rộng.

Mặc định từ chối, kèm xem trước hậu quả

Kiểm soát hoạt động trên Nền tảng Cô lập của Aviatrix, được xây dựng dựa trên Mạng lưới Bảo mật Đám mây Bản địa của công ty. Giải pháp này quy định rõ các đường kết nối được phép cho từng khối lượng công việc, đồng thời mặc định từ chối những đường kết nối khác.

Tính năng Cô lập Lưu lượng Đi ra kiểm soát các kết nối đến những đích bên ngoài, được xác định bằng tên miền thay vì chỉ bằng địa chỉ mạng. Tính năng Cô lập Lưu lượng Ngang kiểm soát giao tiếp giữa các khối lượng công việc dựa trên danh tính, mở rộng mô hình này trên nhiều đám mây và đến các tài nguyên như vùng chứa, hàm không máy chủ, cơ sở dữ liệu và tác nhân AI.

Thách thức khi triển khai là các phụ thuộc hợp lệ của ứng dụng thường khó liệt kê đầy đủ. Một quy tắc có vẻ đúng trong quá trình rà soát vẫn có thể làm gián đoạn dịch vụ thanh toán, tác vụ chạy nền hoặc một tích hợp ít khi được sử dụng.

Kiểm soát xử lý rủi ro đó bằng Bộ quy tắc bóng. Trước tiên, chính sách được đề xuất chạy ở chế độ giám sát song song với chính sách đang hoạt động, cho thấy lưu lượng nào lẽ ra sẽ bị từ chối mà không chặn các kết nối đó. Các nhóm có thể xác định những đường kết nối cần thiết, điều chỉnh quyền rồi chuyển sang chế độ thực thi. Aviatrix cho biết mỗi thao tác thực thi và hoàn tác đều chỉ cần một hành động.

Vì vậy, bước xem trước là một phần quan trọng của quy trình, chứ không phải sự bảo đảm rằng thay đổi sẽ không gây gián đoạn dịch vụ. Lưu lượng được quan sát trong một khoảng thời gian có thể không bao gồm các quy trình xử lý cuối tháng, hoạt động khôi phục sau thảm họa hoặc một hoạt động hợp lệ khác nhưng hiếm khi diễn ra. Các nhóm vẫn cần lựa chọn khoảng thời gian quan sát và những ngoại lệ phù hợp với cách ứng dụng của họ thực sự vận hành.

Cách thực thi chính sách mạng phù hợp với ứng dụng đám mây

Trên trang web sản phẩm, Aviatrix mô tả cơ chế chèn trong suốt ở cấp VPC, giúp giữ nguyên địa chỉ gốc mà không cần tác nhân trên máy chủ, SDK hoặc thay đổi mã ứng dụng. Công ty cũng cho biết có thể biểu diễn chính sách bằng Terraform và tài nguyên tùy chỉnh của Kubernetes, rồi điều phối chính sách vào các nhóm bảo mật và Kubernetes NetworkPolicy ở những nơi không cần cổng kết nối.

Điều này quan trọng vì hạ tầng đám mây thay đổi nhanh hơn một danh sách địa chỉ tĩnh. Một vùng chứa có thể di chuyển, một hàm có thể tăng hoặc giảm quy mô, và một ứng dụng có thể trải rộng trên nhiều mạng. Việc thể hiện rõ ý định liên quan đến khối lượng công việc và các đích đến cần thiết có thể giúp chính sách bền vững hơn so với cách xem mỗi thay đổi địa chỉ là một quyết định bảo mật riêng biệt.

Mục tiêu thiết thực là đóng các đường giao tiếp mà kẻ tấn công có thể lợi dụng, nhưng không buộc mọi nhóm ứng dụng phải áp dụng một tích hợp mới. Tuy vậy, biện pháp cô lập mạng chỉ kiểm soát kết nối: một kết nối được cho phép vẫn có thể mang theo hoạt động gây hại. Biện pháp này bổ trợ cho việc vá lỗi, kiểm soát danh tính, bảo mật ứng dụng và phát hiện mối đe dọa, chứ không khiến những biện pháp đó trở nên không cần thiết.

Active Defense bổ sung khả năng duy trì chính sách tự động

Aviatrix Active Defense là lớp tự động của giải pháp. Theo thông báo, các tác nhân của hệ thống xây dựng mô hình môi trường của khách hàng, soạn thảo các chính sách mà ứng dụng cần, đánh giá các chính sách đó ở chế độ giám sát và duy trì tính cập nhật khi khối lượng công việc thay đổi. Nhóm bảo mật vẫn có thể đọc và chỉnh sửa các chính sách được tạo ra.

“Trong khoảng thời gian các bạn có, không thể chỉ dựa vào việc vá lỗi hay phát hiện để thoát khỏi tình trạng này; hơn nữa, chu kỳ vá lỗi này lại trùng với thời gian đóng băng thay đổi vào dịp lễ,” CEO Aviatrix Doug Merritt nói trong thông báo, giải thích quyết định cung cấp một biện pháp bảo vệ tạm thời bằng cách cô lập, trong khi khách hàng đánh giá và vá các hệ thống.

Trang web nêu thêm một điểm khác biệt quan trọng về khả năng cung cấp: Active Defense đang được cung cấp miễn phí trong giai đoạn truy cập sớm cho các đối tác thiết kế sử dụng Aviatrix Enterprise và dự kiến sẽ có trên Aviatrix Cloud. Cần phân biệt điều này với khả năng cung cấp các biện pháp cô lập của Kiểm soát. Trang này cũng cho biết tính năng tự động hóa hoạt động trong phạm vi giới hạn do nhóm xác định và không chỉnh sửa các quy tắc do con người viết.

Lợi ích tiềm năng là giảm khối lượng công việc thủ công khi chuyển hành vi của ứng dụng thành chính sách có thể thực thi. Yêu cầu vận hành đi kèm là phải xác định rõ trách nhiệm: các quy tắc được tự động soạn thảo cần có quy trình rà soát và đưa vào áp dụng cụ thể, đặc biệt khi hành vi quan sát được của ứng dụng có thể đã bao gồm những kết nối không mong muốn.

Vì sao khả năng truy cập qua mạng càng quan trọng với các tác nhân AI

Công nghệ bảo mật khối lượng công việc AI rộng hơn của Aviatrix sử dụng dữ liệu luồng mạng, nhật ký DNS và danh mục tài sản đám mây để phát hiện các tác nhân, điểm cuối mô hình và cơ sở hạ tầng liên quan. Công ty mô tả đây là cách giúp các nhóm bảo mật xác định hoạt động sử dụng AI mà không phải hoàn toàn phụ thuộc vào việc các nhà phát triển tích hợp công cụ giám sát vào ứng dụng.

Phát hiện và ngăn chặn giải quyết những vấn đề khác nhau. Phát hiện giúp xác định những hệ thống nào đang tồn tại và chúng kết nối với đâu. Ngăn chặn xác định những kết nối nào trong số đó vẫn có thể thực hiện được khi chính sách được áp dụng.

Hãy xét một tác nhân cần truy cập một nhà cung cấp mô hình và một dịch vụ nội bộ đã được phê duyệt. Việc hạn chế các đường kết nối mạng của tác nhân có thể giảm số đích đến mà kẻ tấn công có thể sử dụng để đánh cắp dữ liệu hoặc mở rộng quyền truy cập nếu tác nhân đó bị xâm nhập. Điều này không chứng minh rằng lời nhắc, khả năng suy luận hay các hành động được cấp quyền của tác nhân là an toàn; những khía cạnh đó cần được kiểm soát ở các lớp khác.

Sự phân biệt này giúp làm rõ mối liên hệ cụ thể giữa sản phẩm với AI. Clearance tập trung vào việc giới hạn những gì một tác nhân có thể truy cập qua mạng, còn Active Defense sử dụng tự động hóa để hỗ trợ duy trì các giới hạn đó.

Chương trình miễn phí và phạm vi cung cấp tiêu chuẩn

Aviatrix cho biết mọi doanh nghiệp đều đủ điều kiện tham gia chương trình ứng phó của công ty, bao gồm ngăn chặn lưu lượng ra ngoài, ngăn chặn di chuyển ngang và phòng chống xâm nhập trên toàn bộ hệ thống của doanh nghiệp, không giới hạn số lượng khối lượng công việc, trong khoảng thời gian từ ngày 1 tháng 11 đến ngày 1 tháng 5. Việc đăng ký qua AWS Marketplace sẽ mở vào ngày 1 tháng 11 năm 2026.

Các nhóm có thể bắt đầu bằng Đánh giá khả năng ngăn chặn miễn phí. Trang web phân biệt giữa bài tự đánh giá ban đầu trên trình duyệt, cung cấp kết quả sơ bộ, với bước đánh giá kiến trúc tiếp theo sử dụng dữ liệu khách hàng. Vì vậy, nên xem điểm số ban đầu là điểm khởi đầu cho quá trình tìm hiểu, chứ không phải danh mục đã được đo lường về mọi tài nguyên có thể truy cập.

Theo gói tiêu chuẩn, Clearance bao gồm một lần đánh giá và 15 khối lượng công việc ở chế độ giám sát hoặc thực thi, không giới hạn thời gian. Dung lượng bổ sung được tính phí theo từng khối lượng công việc; có thể liên hệ Aviatrix để biết giá. Thông báo cho biết hai biện pháp kiểm soát ngăn chặn này được cung cấp thông qua Aviatrix Cloud và cũng có trên Aviatrix Enterprise.

Sản phẩm nhắm đến một trở ngại dai dẳng trong lĩnh vực bảo mật doanh nghiệp: các tổ chức thường đồng ý rằng khối lượng công việc nên bị hạn chế quyền truy cập, nhưng lại ngần ngại áp dụng các giới hạn khi chưa rõ hậu quả sẽ ra sao. Điểm đáng chú ý của Clearance là kết nối mục tiêu bảo mật đó với một quy trình vận hành theo từng giai đoạn—quan sát chính sách được đề xuất, xử lý các quan hệ phụ thuộc, thực thi chính sách và duy trì lộ trình quay lui rõ ràng.