Rory Blundell, CEO của Gravitee – Loạt Phỏng Vấn

Rory Blundell, CEO của Gravitee, mang đến một sự kết hợp hiếm có giữa độ sâu kỹ thuật, lãnh đạo thương mại và kinh nghiệm của người sáng lập trong không gian quản lý API. Trước khi trở thành CEO vào tháng 9 năm 2020, ông đã gia nhập Gravitee với tư cách là Chief Revenue Officer và giúp định hình chiến lược tăng trưởng của công ty sau các vai trò lãnh đạo trước đây tại SnapLogic, nơi ông đã làm việc trên các hoạt động kỹ thuật của lĩnh vực EMEA, bao gồm cả hoạt động trước bán hàng, dịch vụ chuyên nghiệp, đào tạo và thành công của khách hàng. Hoàn cảnh của ông cũng bao gồm việc thành lập Velinko, một công ty phần mềm và tư vấn của Anh phục vụ các lĩnh vực pháp lý và kế toán, nơi ông đã làm việc trực tiếp trên các dự án API, ETL, AWS, Java, PHP, WordPress, cơ sở dữ liệu, báo cáo và chuyển đổi dữ liệu. Sự kết hợp giữa sự thành thạo kỹ thuật, kinh nghiệm bán hàng doanh nghiệp và thực hiện khởi nghiệp đã đặt ông vào vị trí lãnh đạo Gravitee khi các API, luồng sự kiện và các tác nhân AI trở nên ngày càng quan trọng trong cơ sở hạ tầng doanh nghiệp.

Gravitee là một công ty quản lý API tập trung vào việc giúp các doanh nghiệp quản lý, bảo mật, quản lý và mở rộng các kết nối kỹ thuật số giữa các ứng dụng, dịch vụ, luồng sự kiện và các tác nhân AI. Nền tảng của họ kết hợp quản lý API, cổng thông tin sự kiện bản địa, khả năng cổng thông tin cho nhà phát triển, hỗ trợ luồng sự kiện và các tính năng quản lý tác nhân AI mới nổi, cung cấp cho các tổ chức một mặt điều khiển thống nhất để kiểm soát các API đồng bộ, sự kiện không đồng bộ, tương tác tác nhân MCP/A2A và quản lý trên các môi trường phân tán. Công ty mô tả nền tảng của mình là mã nguồn mở và có thể mở rộng, và nó đã được công nhận là Nhà lãnh đạo trong Quadrant Ma thuật của Gartner năm 2025 về Quản lý API, phản ánh vị trí của nó tại giao điểm của cơ sở hạ tầng API, hệ thống thực sự theo thời gian và ngăn xếp AI mới.

Bạn đã thành lập Velinko, xây dựng các giải pháp phần mềm trên nhiều công nghệ khác nhau, từ AWS và API đến các nền tảng chuyển đổi dữ liệu, sau đó dẫn đầu các nhóm kỹ thuật tại SnapLogic trước khi trở thành CEO của Gravitee. Hành trình của bạn từ người xây dựng tay đến CEO đã định hình tầm nhìn của bạn cho tương lai của các tác nhân AI và cơ sở hạ tầng doanh nghiệp như thế nào?

Hoàn cảnh của tôi đã cho phép tôi nhìn thấy cơ sở hạ tầng doanh nghiệp từ nhiều góc độ, như một người xây dựng, một người vận hành và bây giờ là một CEO. Tại Velinko, chúng tôi đã giải quyết một vấn đề dữ liệu thực tế, kéo thông tin từ các nơi khác nhau, chuyển đổi nó, tổng hợp và làm cho nó có thể sử dụng được. Kinh nghiệm đó đã giúp tôi hiểu rõ hơn về những gì công nghệ doanh nghiệp phải làm: kết nối hệ thống, bảo vệ dữ liệu và biến phức tạp thành điều mà mọi người có thể hành động.

Trong thời gian tôi ở SnapLogic, tôi đã thấy quản lý API trở thành trung tâm của ngăn xếp doanh nghiệp. Các API không chỉ là các giao diện kỹ thuật. Chúng đã trở thành cách các công ty lộ diện, kiểm soát và mở rộng quyền truy cập vào các hệ thống và dữ liệu quan trọng. Đó là điều đã đưa tôi đến Gravitee, và nó vẫn là nền tảng của cách tôi nghĩ về thị trường này.

Doanh nghiệp cần biết ai có thể truy cập gì, cách các điểm truy cập được tìm thấy và sử dụng, và những gì thực sự đang xảy ra trên toàn môi trường. Những nguyên tắc đó là thiết yếu cho các API, và bây giờ chúng cũng quan trọng như nhau đối với các tác nhân. Doanh nghiệp đang chuyển sang một thế giới nơi các tác nhân có thể hành động trên các API, ứng dụng, dữ liệu và quy trình làm việc. Các công ty thành công sẽ không chỉ xây dựng nhiều tác nhân nhất. Họ sẽ là những người xây dựng cơ sở hạ tầng phù hợp xung quanh chúng: quyền truy cập rõ ràng, quản lý mạnh mẽ và kiểm soát trên tất cả các hệ thống chúng chạm vào.

Gravitee đã xây dựng danh tiếng của mình trong quản lý API và đã mở rộng tập trung của mình vào quản lý tác nhân AI. Điều gì đã thuyết phục bạn rằng các tác nhân AI đại diện cho sự thay đổi công nghệ lớn tiếp theo, và tại sao bây giờ là thời điểm đúng để phát triển công ty theo hướng đó?

Tôi xem quản lý tác nhân AI là sự tiến hóa tiếp theo của cùng một vấn đề mà chúng tôi đã giúp các doanh nghiệp giải quyết.

Quản lý API luôn là và vẫn là về ba điều: bảo mật, khả năng khám phá và khả năng quan sát. Các tác nhân là nơi tiếp theo mà những nguyên tắc đó cần được áp dụng.

Hiện tại, các doanh nghiệp đang bắt đầu đối mặt với cùng những câu hỏi về các tác nhân mà họ đã từng đối mặt với các API. Làm thế nào chúng ta đảm bảo bảo mật? Làm thế nào chúng ta biết các tác nhân nào đang chạy, chúng đang chạy ở đâu và những gì chúng có thể truy cập? Làm thế nào chúng ta hiểu những gì chúng đang làm, tại sao chúng lại hoạt động và liệu chúng có hoạt động trong các ranh giới hợp lý hay không?

Thời điểm quan trọng vì các công ty đang chuyển từ việc thử nghiệm AI sang hỏi làm thế nào họ có thể đưa các tác nhân vào công việc thực sự. Câu hỏi khó không còn là liệu một tác nhân có thể được xây dựng hay không, mà là liệu một doanh nghiệp có thể quản lý các tác nhân trên các mô hình, công cụ, API và hệ thống chúng chạm vào.

Đó là nơi di sản của Gravitee trong quản lý API trở nên rất quan trọng. Các tác nhân chỉ sẽ mở rộng trong doanh nghiệp nếu các tổ chức có thể mang lại cùng một kỷ luật cho chúng mà họ mong đợi từ phần còn lại của cơ sở hạ tầng của mình: quyền truy cập rõ ràng, hành động rõ ràng, khả năng kiểm toán, quản lý và kiểm soát.

Nhiều tổ chức đang thử nghiệm các tác nhân AI, nhưng chỉ có một số ít đã triển khai chúng trên quy mô lớn. Điều gì phân biệt những người áp dụng thành công với các công ty vẫn còn mắc kẹt trong giai đoạn thí điểm?

Sự khác biệt là liệu một tổ chức coi các tác nhân là các thí nghiệm bị cô lập hay là một phần của mô hình hoạt động mới. Ở quy mô nhỏ, một hoặc hai tác nhân có thể trông có thể quản lý được. Thách thức đến khi một doanh nghiệp bắt đầu di chuyển hướng tới nhiều tác nhân trên các đội, hệ thống và quy trình làm việc. Tại thời điểm đó, vấn đề không còn là liệu một tác nhân có thể hoàn thành một nhiệm vụ hay không. Đó là liệu tổ chức có thể kiểm soát cách các tác nhân hoạt động, những gì chúng chạm vào và cách chúng phù hợp với cách kinh doanh hoạt động.

Các tổ chức xây dựng kỷ luật quản lý xung quanh các tác nhân từ sớm hiểu nơi các tác nhân phù hợp với quy trình làm việc, những quyết định nào phải vẫn còn với con người và những kiểm soát nào cần phải có trước khi các tác nhân được tin cậy với công việc thực sự.

Đây không chỉ là một sự thay đổi công nghệ. Đó cũng là một sự thay đổi trong cách các tổ chức hoạt động. Những người áp dụng thành công sẽ hiểu sự thay đổi đó và xây dựng cấu trúc phù hợp xung quanh nó từ đầu.

Các tác nhân AI đang ngày càng tương tác với các API, cơ sở dữ liệu, ứng dụng doanh nghiệp và thậm chí các tác nhân khác. Bạn nhìn thấy sự điều hành tác nhân phát triển như thế nào, và những thách thức nào các tổ chức phải giải quyết trước khi những hệ thống này có thể hoạt động đáng tin cậy trên quy mô lớn?

Thách thức không chỉ là sự phức tạp về mặt kỹ thuật; đó là sự phức tạp về trách nhiệm. Khi các tác nhân gọi các API, truy vấn cơ sở dữ liệu và gọi các tác nhân khác, chuỗi quyền hạn nhân lên và hầu hết các doanh nghiệp không có cách nào để xem nó.

Sự điều hành phát triển từ việc thực hiện nhiệm vụ đơn lẻ của tác nhân đến các quy trình làm việc đa tác nhân, nơi đầu ra của một tác nhân trở thành đầu vào của một tác nhân khác, thường trên các mô hình, nhà cung cấp và ranh giới doanh nghiệp, và đó chính xác là khi quản lý bị phá vỡ.

Trước khi những hệ thống này có thể hoạt động đáng tin cậy trên quy mô lớn, các tổ chức phải giải quyết bốn điều: cung cấp cho mỗi tác nhân một bản sắc đã biết, được xác thực; xác định những gì mỗi tác nhân được phép chạm vào (công cụ, dữ liệu, API hạ lưu); thực thi những quyền đó tại thời điểm chạy; và duy trì một hồ sơ dòng hoàn chỉnh từ lời nhắc của con người đến hệ thống mà tác nhân cuối cùng chạm vào.

Các doanh nghiệp coi sự điều hành như một vấn đề kỹ thuật thuần túy và bỏ qua lớp quản lý sẽ thấy mình quản lý các sự cố thay vì mở rộng hoạt động.

Ngành công nghiệp đã dành nhiều năm để giải quyết vấn đề “sự lan rộng của API” khi các tổ chức áp dụng công nghệ đám mây. Chúng ta đang bước vào một kỷ nguyên “sự lan rộng của tác nhân” hay không, và những bài học nào mà các doanh nghiệp có thể áp dụng từ các chuyển đổi công nghệ trước đây?

Có, tôi thấy có một rủi ro thực sự trong việc tái tạo lại cùng một mẫu mà chúng ta đã thấy với các API: áp dụng rộng rãi trên toàn doanh nghiệp trước khi mô hình quản lý phù hợp được đưa vào vị trí.

Bài học từ kỷ nguyên API là các tổ chức không nên đợi cho đến khi môi trường đã bị phân mảnh trước khi đưa sự rõ ràng và kiểm soát xung quanh nó.

Các tác nhân tạo ra một thách thức tương tự, nhưng với một lớp hoạt động rủi ro hơn vì chúng có thể hoạt động trên các hệ thống và quy trình làm việc. Các câu hỏi mà các doanh nghiệp cần trả lời là đơn giản: những tác nhân nào tồn tại, ai sở hữu chúng và những gì chúng được phép chạm vào.

Nếu các doanh nghiệp áp dụng kỷ luật đó từ đầu, họ có thể tránh kết thúc với các tác nhân mà họ không thể nhìn thấy, bảo mật hoặc kiểm soát.

Các nhà lãnh đạo doanh nghiệp thường có những quan niệm sai lầm gì về các tác nhân AI ngày nay, và ở đâu bạn nghĩ rằng kỳ vọng đang đi trước thực tế?

Quan niệm sai lầm chi phối là khả năng của tác nhân là nút thắt. Nó không phải là như vậy. Nút thắt là liệu tổ chức có thể giữ các tác nhân chịu trách nhiệm theo cách họ đã giữ cho con người chịu trách nhiệm, với một vai trò được định nghĩa, quyền truy cập được phạm vi và một hồ sơ kiểm toán.

Nhiều nhà lãnh đạo tin rằng việc triển khai nhiều tác nhân hơn sẽ tự động di chuyển nhanh hơn. Trong thực tế, các tác nhân không được quản lý tạo ra chi tiêu AI bóng tối, truy cập dữ liệu không được kiểm soát và thất bại hoạt động mà không ai có thể chẩn đoán vì không có hồ sơ kiểm toán.

Các ví dụ gần đây về các tác nhân AI được rút khỏi sản xuất sau các lỗi hoạt động là rất bổ ích. Chúng tôi đã thấy một tác nhân có quyền truy cập lịch rộng và không có ranh giới xác định xóa toàn bộ lịch doanh nghiệp trong một hành động duy nhất. Mô hình không phải là vấn đề; không ai đã xác định những gì nó được phép chạm vào. Đây không phải là một vấn đề về sự cường điệu hóa AI. Đó là một vấn đề về quản lý.

Kỳ vọng đang đi trước thực tế nhất về việc ra quyết định tự chủ. Các nhà lãnh đạo muốn các tác nhân hành động, nhưng những gì họ cần trước hết là các tác nhân có hành động rõ ràng, có thể đảo ngược và có thể quy trách nhiệm.

Bảo mật và quản lý đã trở thành những vấn đề chính khi các tác nhân AI ngày càng có quyền truy cập vào các hệ thống và dữ liệu nhạy cảm. Bạn nhìn thấy những rủi ro quan trọng nhất là gì, và các tổ chức nên tiếp cận việc quản lý chúng như thế nào?

Rủi ro lớn nhất là các tác nhân đang chuyển vào sản xuất nhanh hơn các doanh nghiệp có thể quản lý chúng. Báo cáo Trạng thái An ninh Tác nhân AI của Gravitee cho thấy rằng tài sản tác nhân AI của doanh nghiệp đã tăng gấp đôi kể từ tháng 12 năm 2025, trong khi phạm vi giám sát, cấu trúc trách nhiệm và kiểm soát trước khi triển khai hầu như không thay đổi. Nghiên cứu cũng cho thấy rằng gần một nửa (48%) tác nhân AI sản xuất đang chạy mà không có bảo mật hoặc quản lý, và 54% tổ chức đã trải qua hoặc nghi ngờ một sự cố bảo mật hoặc riêng tư dữ liệu của tác nhân AI trong 12 tháng qua.

Dữ liệu đó nhấn mạnh tại sao quản lý phải trưởng thành cùng với việc áp dụng. Khi các tác nhân có quyền truy cập vào dữ liệu, ứng dụng và quy trình làm việc nhạy cảm, quyền sở hữu và trách nhiệm phải rõ ràng như quyền truy cập chính nó: ai chịu trách nhiệm về tác nhân này, những hành động nào nó đã thực hiện và cách thức nó được giám sát tích cực.

Câu trả lời tuy nhiên, không phải là làm chậm lại các tác nhân. Đó là thiết lập sự rõ ràng từ đầu trên từng tác nhân, các mô hình nó kết nối, các công cụ nó sử dụng và các tác nhân khác nó tương tác.

Từ đó, các tổ chức có thể triển khai mô hình hoạt động phù hợp xung quanh các tác nhân: quyền sở hữu rõ ràng, quyền được phép, kiểm soát trước khi triển khai, giám sát liên tục, khả năng kiểm toán và một đường dẫn leo thang rõ ràng khi điều gì đó đi sai. Đó là điều mang lại cho các doanh nghiệp sự tự tin để sử dụng các tác nhân một cách an toàn trên quy mô lớn.

Khi các chính phủ và cơ quan quản lý bắt đầu chú ý đến các hệ thống AI, các doanh nghiệp nên cân bằng đổi mới với tuân thủ, minh bạch và quản lý rủi ro như thế nào?

Chú ý của cơ quan quản lý nên là một chất xúc tác, không phải là lý do để chờ đợi.

Tuân thủ bắt đầu từ dòng dõi: hồ sơ kiểm toán đầy đủ từ lời nhắc của con người đến cuộc gọi API mà tác nhân đã thực hiện hạ lưu. Không có nó, các doanh nghiệp không thể trả lời câu hỏi quản lý cơ bản về những gì tác nhân của họ đã làm và tại sao. Đây không phải là một vấn đề trong tương lai. Thời hạn tuân thủ của Đạo luật AI EU vào tháng 8 năm 2026 đã nằm trên lịch, và các tổ chức đã có dòng dõi và thực thi chính sách trong tay ngày hôm nay sẽ đáp ứng nó mà không cần phải vội vàng.

Chính sách dưới dạng mã và thực thi chính sách tập trung là mô hình thực tế của mô hình đó. Các doanh nghiệp cần một động cơ chính sách, một đường dẫn kiểm toán và thực thi nhất quán trên mọi tác nhân bất kể mô hình hay nhà cung cấp.

Thái độ quản lý rủi ro chiến thắng không phải là triển khai chậm; đó là triển khai táo bạo với trách nhiệm được xây dựng từ ngày đầu tiên. Những người coi trách nhiệm của tác nhân như một lợi thế thay vì một chướng ngại vật tuân thủ sẽ không bị chậm lại bởi quy định. Họ sẽ sẵn sàng cho nó.

Các tiêu chuẩn mở như Giao thức ngữ cảnh mô hình (MCP) và giao tiếp tác nhân với tác nhân (A2A) đang ngày càng được chú ý. Làm thế nào quan trọng mà tính tương tác sẽ là đối với tương lai của AI doanh nghiệp, và bạn có nghĩ rằng ngành công nghiệp đang di chuyển đủ nhanh hướng tới các tiêu chuẩn chung?

Tính tương tác không phải là tùy chọn. Các doanh nghiệp không chạy một mô hình hoặc một nhà cung cấp; họ đang chạy các hệ sinh thái. Các tiêu chuẩn như MCP và A2A là những gì cho phép các tác nhân gọi các công cụ, truy cập ngữ cảnh và giao tiếp trên toàn hệ sinh thái mà không cần tích hợp tùy chỉnh cho mọi cặp hệ thống.

Động lực là thực sự, nhưng câu hỏi về tốc độ bỏ qua câu hỏi quan trọng hơn: các tiêu chuẩn cho phép các tác nhân hành động phải được đi kèm với các tiêu chuẩn quản lý cách chúng hành động. Kết nối mà không có trách nhiệm ở cấp giao thức chỉ di chuyển vấn đề quản lý xung quanh.

Các doanh nghiệp sẽ được hưởng lợi nhiều nhất từ MCP và A2A là những doanh nghiệp kết hợp khả năng tương tác của giao thức với một mặt điều khiển tập trung, để các tương tác giữa tác nhân và hệ thống là có thể quan sát được, thực thi chính sách và có thể kiểm toán từ một nơi.

Đây là nơi cách tiếp cận của Gravitee trở nên quan trọng. Quản lý API, quản lý tác nhân và danh tính trong một nền tảng có nghĩa là một động cơ chính sách quản lý mọi tương tác của tác nhân bất kể giao thức nào nó đi qua.

Nhìn về tương lai năm năm tới, thành công đối với các tác nhân AI trong doanh nghiệp sẽ trông như thế nào, và bạn sẽ đưa ra lời khuyên gì cho các tổ chức muốn xây dựng một chiến lược AI có thể mở rộng và tương lai?

Thành công trong năm năm tới sẽ được đo lường bởi liệu các tác nhân có thể thực hiện công việc có ý nghĩa một cách an toàn, đáng tin cậy và trên quy mô lớn hay không. Các tác nhân AI có thể giúp các công ty trở nên linh hoạt hơn và mang lại cho mọi người nhiều đòn bẩy hơn. Nhưng điều đó chỉ xảy ra nếu các tổ chức có chủ ý về cách họ triển khai chúng. Các tổ chức chỉ đơn giản là “toàn bộ tác nhân” và lo lắng về quản lý sau sẽ thấy những chiến thắng ban đầu, nhưng những chiến thắng đó sẽ không tồn tại được sự phức tạp mà theo sau. Một khóa học tốt hơn là xây dựng mô hình quản lý từ đầu.

Lời khuyên của tôi là xây dựng mô hình quản lý sớm. Xác định quyền sở hữu, quyền, giám sát, khả năng kiểm toán và đường dẫn leo thang trước khi các tác nhân hoạt động g across critical workflows. The future is not just humans building every task themselves. It is humans becoming the architects of the process, with agents helping them move faster, scale impact and do more than they could before. Thank you for the great interview, readers who wish to learn more should visit Gravitee.