Chainguard ra mắt Workspaces và Checks để bảo vệ tác nhân lập trình AI

Một tác nhân lập trình AI có thể viết ra bản sửa lỗi hữu ích nhưng vẫn gây ra sự cố bảo mật trong quá trình đó. Tác nhân có thể cài đặt một gói phụ thuộc bị xâm nhập, làm theo chỉ dẫn ẩn trong nội dung không đáng tin cậy hoặc chạy lệnh bằng thông tin xác thực cấp cho nó quyền truy cập vượt xa mức cần thiết cho tác vụ. Khi các nhóm triển khai nhiều tác nhân chạy song song hơn, bảo vệ mã do chúng tạo ra mới chỉ giải quyết được một phần vấn đề.

Chainguard đang giải quyết phạm vi rủi ro rộng hơn này bằng ba thông báo tại Assemble London: Workspaces, các môi trường biệt lập dành cho nhà phát triển và tác nhân lập trình; Checks, một công cụ xác minh được thiết kế để hoạt động ngay trong quy trình phát triển của tác nhân; và các biện pháp bảo vệ mở rộng của Libraries, bao gồm thêm ngôn ngữ lập trình và khắc phục lỗ hổng bảo mật.

Các sản phẩm mới này gắn với ba câu hỏi mà doanh nghiệp ngày càng cần trả lời: tác nhân thực thi ở đâu, công việc của nó được xác minh như thế nào và những phần mềm bên ngoài nào có thể được đưa vào tổ chức. Workspaces và Checks ra mắt ở giai đoạn beta, còn các dịch vụ Libraries mới dành cho Go và .NET bước vào giai đoạn Truy cập sớm.

Thiết lập ranh giới riêng cho từng tác nhân lập trình

Chainguard Workspaces cung cấp cho mỗi nhà phát triển và tác nhân một microVM từ xa riêng biệt. Môi trường này đồng bộ hóa cây thư mục làm việc cục bộ của nhà phát triển, giúp họ tiếp tục sử dụng trình soạn thảo và quy trình làm việc với Git, trong khi việc thực thi diễn ra bên ngoài máy của họ. Các môi trường riêng biệt cũng cho phép nhiều tác nhân thử thực hiện thay đổi song song mà không phải dùng chung một môi trường làm việc.

Sự khác biệt này rất quan trọng vì những khả năng hữu ích của tác nhân—chạy lệnh, cài đặt gói và truy cập dịch vụ—cũng có thể trở thành những con đường dẫn đến việc bị xâm nhập. Một chính sách được ghi trong chỉ dẫn của tác nhân phụ thuộc vào việc tác nhân có tuân theo hay không. Ranh giới do môi trường thực thi áp đặt có thể hạn chế những gì xảy ra ngay cả khi mô hình đưa ra quyết định sai.

Theo thông báo, thông tin xác thực thật được đưa vào bên ngoài workspace. Các công cụ cần lưu thông tin xác thực trên đĩa sẽ nhận một thông tin thay thế được mã hóa và chỉ có hiệu lực trong thời gian ngắn. Các chính sách kiểm soát lưu lượng ra tùy chọn hạn chế kết nối đi đến những đích đã được phê duyệt, qua đó giảm khả năng một gói phụ thuộc bị xâm nhập hoặc tác nhân bị chèn chỉ dẫn qua prompt gửi dữ liệu đến nơi khác.

Các biện pháp kiểm soát này giải quyết những rủi ro khác nhau. Cách ly bằng phần cứng tách biệt các tác vụ; cơ chế trung gian xử lý thông tin xác thực giữ bí mật có thể tái sử dụng ngoài tầm với của tác nhân; còn chính sách mạng giới hạn nơi tác nhân có thể liên lạc. Hiệu quả của chúng vẫn phụ thuộc vào các quyền và đích kết nối mà tổ chức phê duyệt. Việc cách ly không khiến mọi hành động được cấp quyền đều trở nên vô hại.

Các môi trường này sử dụng Chainguard OS Packages và xác minh các gói phụ thuộc dựa trên tệp khóa trong thời gian chạy. dịch vụ OS Packages hiện có của Chainguard cung cấp các gói được duy trì liên tục, xây dựng chúng từ mã nguồn và kèm theo danh mục vật liệu phần mềm. Nền tảng này lý giải cách tiếp cận của công ty: mở rộng nền tảng phần mềm được kiểm soát của mình đến nơi các tác nhân thực thi.

Workspaces cũng tạo các bản ghi có chữ ký, bao quát môi trường, những thay đổi đối với mã và kết quả kiểm tra. Đối với các nhóm bảo mật, điều này cung cấp cách điều tra những gì tác nhân đã làm thay vì chỉ dựa vào bản tóm tắt phiên làm việc do chính tác nhân đưa ra.

Đưa hoạt động xác minh vào quy trình làm việc của tác nhân

Việc tạo mã có thể diễn ra nhanh chóng, trong khi quá trình đi đến mã đã được xác minh vẫn chậm. Tác nhân thực hiện thay đổi, gửi thay đổi đó đến hệ thống tích hợp liên tục, chờ một runner khởi chạy rồi mới nhận được thông báo lỗi sau khi ngữ cảnh làm việc của nó đã chuyển sang việc khác. Lặp lại quy trình này trên nhiều tác nhân có thể làm tăng hàng đợi và khiến công việc thiết lập bị trùng lặp.

Chainguard Checks đưa hoạt động xác minh vào quy trình đó dưới dạng một lệnh gọi công cụ. Khi kết hợp với Workspaces, phiên làm việc của tác nhân sẽ tạm dừng trong lúc các bước kiểm tra chạy, rồi tiếp tục với nhật ký lỗi có cấu trúc trong ngữ cảnh của tác nhân. Quy trình dự kiến diễn ra theo từng vòng lặp: thực hiện thay đổi, chạy kiểm tra, xem xét lỗi và thử lại trước khi bàn giao kết quả.

Các ảnh chụp nhanh ở trạng thái sẵn sàng chứa sẵn các gói phụ thuộc và được tạo lại khi tệp khóa thay đổi. Mỗi bước trong quy trình chạy trong một microVM riêng biệt được cách ly bằng phần cứng. Thông báo cũng mô tả việc đưa thông tin xác thực có thời hạn ngắn vào các yêu cầu gửi đi từ phía máy chủ, cùng các chính sách khai báo để kiểm soát quyền truy cập mạng.

Một lượt chạy thành công tạo ra chứng thực có chữ ký liên kết môi trường, kết quả kiểm tra và commit. Theo Chainguard, các cổng kiểm soát hợp nhất ở bước tiếp theo có thể xác minh bằng chứng đó và chấp nhận kết quả mà không cần chạy lại cùng một bộ kiểm thử.

Điều đó cho thấy sự khác biệt hữu ích giữa việc chuyển giao bằng chứng và chỉ chuyển giao tuyên bố của tác nhân rằng các bài kiểm thử đã đạt yêu cầu. Chứng thực có thể xác định những bước kiểm tra nào đã chạy trên commit nào trong môi trường nào. Tuy nhiên, nó không thể xác nhận rằng các bài kiểm thử đã bao quát mọi hành vi quan trọng hoặc thay đổi đạt yêu cầu có đáp ứng mọi yêu cầu bảo mật hay không. Các nhóm vẫn cần có bài kiểm thử phù hợp, chính sách xác minh đáng tin cậy và hoạt động rà soát ở những khâu cần đến sự đánh giá của con người.

Chainguard cho biết thiết kế này trả kết quả trong vài giây và giảm lượng tính toán dư thừa. Tài liệu ra mắt không cung cấp điểm chuẩn được xác thực độc lập để chứng minh mức cải thiện phổ quát về tốc độ hoặc chi phí trên các kho mã.

Bảo vệ các gói phụ thuộc mà tác nhân đưa vào

Thông báo thứ ba mở rộng Chainguard Libraries, danh mục được quản lý cùng các điểm cuối dành cho các gói phụ thuộc mã nguồn mở của ngôn ngữ lập trình. Dịch vụ hiện có được thiết kế để tích hợp với các trình quản lý tạo tác và quy trình phát triển, đồng thời cung cấp thông tin xuất xứ và danh mục thành phần phần mềm có chữ ký cho các gói do Chainguard xây dựng.

Điểm cuối Go mới có chức năng quét phần mềm độc hại và phần mềm xám, chính sách gói có thể cấu hình và khả năng khắc phục CVE. Điểm cuối .NET cung cấp một lựa chọn thay thế cho việc sử dụng NuGet trực tiếp, với các chức năng quét và kiểm soát chính sách. Cả hai đang bước vào giai đoạn Early Access.

Chainguard cũng đang bổ sung khả năng khắc phục CVE cho JavaScript và Go, bao gồm các bản sửa lỗi được chuyển ngược về các phiên bản cũ để xử lý lỗ hổng nghiêm trọng và mức độ nghiêm trọng cao. Việc chuyển ngược bản sửa lỗi rất quan trọng khi một nhóm chưa thể chuyển ngay sang phiên bản chính mới hơn nếu không thay đổi ứng dụng hoặc tiến hành kiểm thử trên diện rộng. Cách này có thể giảm mức độ phơi nhiễm trong khi nhóm lên kế hoạch cho đợt nâng cấp lớn hơn.

Với Java và Python, công ty cho biết Athena, liên minh trong ngành của họ, sẽ cung cấp các gói đã khắc phục lỗ hổng do những mô hình AI tiên tiến phát hiện ngay trong ngày các lỗ hổng đó được công khai. Đây là tuyên bố về thời gian phản hồi kể từ khi thông tin được công khai, chứ không phải cam kết rằng không thể tồn tại các lỗ hổng chưa được tiết lộ.

Khảo sát cho thấy vì sao chỉ vá lỗi thôi không còn đủ

Cùng với các sản phẩm, Chainguard công bố The AI Exploit Gap, một khảo sát do Wakefield Research thực hiện theo ủy thác. Khảo sát thu thập ý kiến vào tháng 9 năm 2026 từ 1.300 lãnh đạo an ninh mạng tại chín thị trường. Người tham gia đều giữ chức vụ từ cấp giám đốc trở lên và thường làm việc tại các tổ chức có ít nhất 500 nhân viên; mức tối thiểu là 250 nhân viên tại Singapore và UAE/Saudi Arabia.

Trong khảo sát đó, 54% cho biết tổ chức của họ đôi khi vẫn để các lỗ hổng nghiêm trọng hoặc có mức độ nghiêm trọng cao chưa được vá, dù biết rõ về chúng; 93% bày tỏ lo ngại rằng họ không thể khắc phục các vụ khai thác do AI thúc đẩy đủ nhanh. Khoảng 76% cho biết đã gặp một cuộc tấn công do AI thúc đẩy, được xác nhận hoặc bị nghi ngờ, trong năm trước đó.

Con số cuối cùng gộp cả các sự cố đã được xác nhận lẫn những trường hợp bị nghi ngờ. Không nên xem đây là thước đo đã được xác minh độc lập về các cuộc tấn công do AI gây ra. Nhìn rộng hơn, đây là những gì người tham gia khảo sát báo cáo và dự đoán, chứ không phải dữ liệu đo lường cho biết một kỹ thuật tấn công cụ thể thành công với tần suất ra sao.

Các phát hiện về vận hành cho thấy nhiều điều đáng chú ý. Trong số các công ty có doanh thu từ 1 tỷ đô la trở lên, 66% cho biết đôi khi họ vẫn để các lỗ hổng nghiêm trọng hoặc có mức độ nghiêm trọng cao chưa được vá, so với 27% ở các công ty có doanh thu dưới 250 triệu đô la. Các tổ chức lớn hơn nêu những đánh đổi trong kinh doanh, chẳng hạn như nguy cơ gián đoạn và các ưu tiên sản phẩm cạnh tranh. Vì vậy, khoảng cách không chỉ nằm ở khả năng phát hiện lỗ hổng mà còn ở khả năng triển khai thay đổi.

Quyền tự chủ cao hơn đòi hỏi khả năng kiểm soát dễ xác minh hơn

Ba sản phẩm mới của Chainguard tạo thành một phương thức tiếp cận nhất quán: giới hạn môi trường thực thi, giúp các tác nhân xác minh nhanh chóng và có thể truy nguyên, đồng thời quản lý các gói phụ thuộc mà chúng sử dụng. Mỗi sản phẩm giải quyết một khâu khác nhau trong cùng quy trình phát triển.

Phép thử thực tế sẽ là liệu các biện pháp kiểm soát này có phù hợp với những kho mã, tích hợp dịch vụ và chính sách phát hành thực tế mà không trở thành một nút thắt mới hay không. Trạng thái Beta và Early Access đồng nghĩa với việc vẫn còn nhiều việc phải làm. Tuy nhiên, hướng đi đã rõ: khi các tác nhân lập trình ngày càng có khả năng hành động, doanh nghiệp cần những biện pháp kiểm soát an ninh luôn có thể thực thi và kiểm tra trong suốt quá trình làm việc.