Infisical huy động 40 triệu USD trong vòng Series B, đạt mức định giá 600 triệu USD, để bảo vệ quyền truy cập của tác nhân AI

Infisical đã huy động 40 triệu USD trong vòng gọi vốn Series B với mức định giá 600 triệu USD, bổ sung nguồn vốn mới để giải quyết một vấn đề bảo mật đang nổi lên cùng với việc doanh nghiệp ứng dụng AI: làm sao để các tác nhân phần mềm làm việc trong những hệ thống trọng yếu mà không được cấp thông tin xác thực dùng để mở khóa các hệ thống đó.

Vòng gọi vốn do Elad Gil dẫn dắt; ông cũng đã đầu tư vào vòng Series A của công ty. Các nhà đầu tư khác gồm Gradient và Y Combinator. Infisical dự định dùng khoản vốn này để đẩy nhanh quá trình phát triển sản phẩm, mở rộng các nhóm kỹ thuật và phát triển thị trường, đồng thời xây dựng hạ tầng bảo mật cho các tác nhân AI.

Công ty có trụ sở tại San Francisco hiện cung cấp hạ tầng để quản lý bí mật, chứng chỉ, khóa mã hóa và quyền truy cập đặc quyền. Agent Vault áp dụng trọng tâm bảo mật này cho các tác nhân cần tương tác với API và dịch vụ doanh nghiệp, đồng thời giữ mật khẩu và khóa API nền tảng ngoài tầm với của tác nhân.

Tách quyền truy cập của tác nhân khỏi thông tin xác thực

Các tác nhân điều tra sự cố, rà soát mã hoặc tự động hóa quy trình vận hành có thể cần truy cập vào kho mã, dịch vụ đám mây và ứng dụng doanh nghiệp. Đưa thông tin xác thực trực tiếp vào môi trường của chúng sẽ tạo thêm một con đường khiến dữ liệu nhạy cảm lọt vào nhật ký, đến nhà cung cấp mô hình hoặc rơi vào tay kẻ tấn công thao túng tác nhân bằng cách chèn lệnh.

Agent Vault của Infisical, hiện được ghi nhãn là bản xem trước trên trang sản phẩm, làm trung gian cho quyền truy cập đó thông qua một proxy chuyển tiếp. Tác nhân gửi yêu cầu đến dịch vụ được phê duyệt, còn proxy chèn thông tin xác thực thực tế khi yêu cầu được gửi đi. Tùy cấu hình dịch vụ, proxy có thể thêm hoặc thay thế tiêu đề ủy quyền, hoặc thay phần giữ chỗ bằng thông tin xác thực. Công ty cho biết bí mật nền tảng không đi vào môi trường, hệ thống tệp hay ngữ cảnh mô hình của tác nhân.

Trên thực tế, cách làm này thay đổi vị trí đặt niềm tin. Tác nhân có thể yêu cầu một dịch vụ được cấp quyền thực hiện công việc mà không cần đọc khóa API dùng để xác thực yêu cầu. Infisical cho biết giải pháp tương thích với các ứng dụng HTTP tuân thủ cấu hình tiêu chuẩn HTTPS_PROXY này, nhờ đó có thể tích hợp vào các môi trường chạy tác nhân hiện có.

“Bạn sẽ không cấp cho một nhân viên quyền truy cập không giới hạn vào mọi hệ thống trong công ty, và các tác nhân AI cũng không nên là ngoại lệ”, Vlad Matsiiako, đồng sáng lập kiêm CEO của Infisical, cho biết. “Các tác nhân cần truy cập vào hệ thống công ty để hoàn thành công việc, nhưng trao cho chúng mật khẩu và khóa API thực tế là một rủi ro bảo mật lớn. Chúng tôi giúp tác nhân hoàn thành công việc an toàn mà không bao giờ phải trực tiếp nắm giữ những thông tin xác thực đó.”

Xác định những gì mỗi tác nhân có thể làm

Tài liệu của Infisical mô tả các gói quyền truy cập là danh sách những dịch vụ mà tác nhân có thể sử dụng trong một phiên, bao gồm API và máy chủ MCP. Các phiên cấp quyền truy cập có thời hạn, còn proxy chặn các yêu cầu gửi ra ngoài và đính kèm thông tin xác thực thực tế. Nhật ký phiên lưu lại bản ghi được mã hóa về các yêu cầu.

Việc tách biệt này hữu ích, nhưng chỉ cô lập thông tin xác thực thì chưa đủ để bảo đảm các quyết định của tác nhân là an toàn. Tác nhân được phép chỉnh sửa một hệ thống vẫn có thể thực hiện thay đổi không mong muốn bằng chính quyền truy cập đã được cấp. Vì vậy, bên cạnh các biện pháp kiểm soát thông tin xác thực, các nhóm cần xác định những dịch vụ và hành động mà một công việc thực sự đòi hỏi. Câu hỏi cần đặt ra không chỉ là liệu tác nhân có thể lấy được bí mật hay không, mà còn là nó có thể làm được gì mà không bao giờ nhìn thấy bí mật đó.

Sự chuyển dịch rộng hơn trong doanh nghiệp đã thể hiện rõ qua các biện pháp kiểm soát danh tính và thông tin xác thực mới dành cho tác nhân AI. Khi các tác nhân đảm nhận công việc trên nhiều hệ thống doanh nghiệp, đội ngũ bảo mật cần có cách liên kết quyền hạn được ủy thác với các hành động có thể giám sát, đồng thời thu hồi quyền truy cập khi quyền hạn đó chấm dứt.

Phát triển dựa trên mảng kinh doanh bảo mật hiện có

Infisical cho biết công ty phục vụ hơn 1.300 khách hàng và 300.000 nhà phát triển, bảo vệ 10 tỷ bí mật mỗi ngày, đồng thời dự án mã nguồn mở cốt lõi của công ty đã nhận được hơn 30.000 sao trên GitHub. Các khách hàng được nêu trong thông báo gồm Airbus, Volkswagen, Hugging Face, OpenRouter, Lucid, First American Financial Corporation, Wise và Clay.

Những con số này phản ánh quy mô nền tảng rộng hơn của công ty, chứ không phải số lượng khách hàng của Agent Vault được công bố. Sự phân biệt này rất quan trọng: khoản vốn mới hỗ trợ cả mảng kinh doanh quản lý bí mật đã được thiết lập lẫn việc mở rộng sang hạ tầng cấp quyền truy cập cho tác nhân.

Trong thông báo huy động vốn, Matsiiako cho biết Infisical sẽ tiếp tục đầu tư vào quản lý bí mật, quản lý chứng chỉ và quản lý quyền truy cập đặc quyền, đồng thời tập trung nhiều hơn vào Agent Vault. Ông cũng cho biết công ty đang tuyển dụng hơn 100 vị trí trong các nhóm kỹ thuật, bán hàng, tiếp thị, sản phẩm, thiết kế và các nhóm khác.

“Các tác nhân AI đang trở thành một nhóm người dùng mới trong mọi doanh nghiệp, và bảo vệ quyền truy cập của họ sẽ là một trong những thách thức lớn nhất về an ninh mạng trong thập kỷ tới”, Elad Gil cho biết. “Vlad cùng các đồng sáng lập Maidul và Tony đã sớm nhận ra rằng tác nhân AI sẽ tạo ra một loạt thách thức bảo mật hoàn toàn mới, và họ đã xây dựng Infisical thành một nền tảng mà tôi tin rằng có thể trở thành hạ tầng thiết yếu trong kỷ nguyên AI.”

Vòng gọi vốn Series B mang lại cho Infisical thêm nguồn lực để theo đuổi cơ hội đó. Luận điểm cốt lõi rất rõ ràng: doanh nghiệp cần có khả năng giao việc cho các tác nhân AI mà vẫn giữ thông tin xác thực dưới sự kiểm soát của hạ tầng bảo mật được xây dựng để quản lý chúng.