Xây một AI agent phá vỡ mọi quy tắc bảo mật: bài học về định danh và phân quyền

Công ty Token đã chủ động xây dựng một AI agent tên Rehearsal để kiểm chứng các nguyên tắc bảo mật mà chính họ tư vấn cho khách hàng: agent cần định danh riêng, quyền truy cập phù hợp với nhiệm vụ và khả năng truy vết tách biệt với con người. Kết quả là agent này vi phạm cả ba nguyên tắc ngay từ mặc định.

Vì sao agent trong trình duyệt là bài toán khó

Rehearsal trả lời câu hỏi trong nền tảng Token bằng cách tự mở trang, đặt bộ lọc và điền biểu mẫu. Nó chạy trong phiên trình duyệt của người dùng nên có đúng tầm với của người đó. Phía máy chủ không thể phân biệt cú nhấp của agent với cú nhấp của người dùng, vì cookie phiên không cho biết ai đang điều khiển phiên.

Token xử lý được vấn đề này chỉ vì họ sở hữu cả agent lẫn ứng dụng. Rehearsal tự khai báo danh tính với nền tảng; khi agent thao tác, giao diện bị làm mờ và khóa kèm chỉ báo ai đang điều khiển; mọi thao tác được ghi lại, kể cả thao tác bị chặn. Phạm vi của agent cũng bị thu hẹp dưới quyền người dùng: dashboard chỉ đọc, không lưu gì nếu chưa có phê duyệt, không điền trường bí mật và không gửi lệnh mà nền tảng đã từ chối.

Khoảng trống khi agent của bên thứ ba vận hành

Một agent trình duyệt điều khiển CRM hay cloud console của doanh nghiệp không có các đặc quyền đó. Ứng dụng không biết agent đang hiện diện, còn agent không biết trường nào chứa bí mật hay nút nào xóa dữ liệu. Phiên làm việc vẫn mang định danh của người dùng.

Các chuẩn đang hình thành nhưng chưa gắn kết với nhau:

• Trình duyệt có thể đánh dấu khi agent đang điều khiển và tự giới hạn. Chrome yêu cầu con người phê duyệt trước hành động rủi ro cao như thanh toán hay gửi email hàng loạt, giới hạn agent trong các trang cần thiết và gắn thẻ các trang agent truy cập. Microsoft cho quản trị viên bật duyệt web bằng agent theo từng trang và tạm dừng trước khi nhập mật khẩu hay số thẻ.
• Ứng dụng có thể công bố hành động dưới dạng công cụ. WebMCP, dự thảo do Google và Microsoft xây dựng trong nhóm cộng đồng W3C, cho phép trang web phơi bày hành động để agent gọi trực tiếp và đánh dấu mỗi hành động là chỉ đọc hay có hệ quả.
• Agent có thể ký các yêu cầu của mình. Web Bot Auth, dự thảo của nhóm làm việc IETF, cho phép trang web xác minh agent nào đã gửi yêu cầu.

Điều còn thiếu là lớp kết nối các chuẩn này. Mỗi bên biết một thông tin mà bên khác không có và không chia sẻ lại. WebMCP chạy trong phiên người dùng với quyền người dùng nên không tự thu hẹp phạm vi. Web Bot Auth nêu tên agent nhưng không bao gồm ủy quyền, tức không cho biết agent đang làm việc cho ai.

Việc đội bảo mật cần làm ngay

Theo Token, mỗi làn đường dành cho agent cần mang ba tín hiệu: định danh agent, liên kết xác minh được tới người mà agent đại diện, và phạm vi hẹp hơn quyền của người đó. Thiếu ba tín hiệu này, một làn đường nhanh hơn chỉ là con đường nhanh hơn dẫn tới lạm dụng đặc quyền.

Không thể chờ chuẩn hóa xong. Doanh nghiệp nên kiểm kê agent trình duyệt, tiện ích mở rộng dạng agent và agent trên thiết bị đầu cuối có thể hành động qua phiên đã xác thực, gắn chúng với người dùng và chủ sở hữu. Cần truy vết mọi bên tiêu thụ agent, rà soát mọi định danh mà từng agent truy cập được, và nhận diện các đường tấn công dùng agent để vượt kiểm soát truy cập.

Với hành động nhạy cảm hoặc không thể đảo ngược, nên yêu cầu phê duyệt rõ ràng hoặc xác thực tăng cường như nhắc passkey. Doanh nghiệp cũng nên hỏi nhà cung cấp SaaS quan trọng xem bản ghi kiểm toán có phân biệt hoạt động của agent với con người và có hỗ trợ ủy quyền theo phạm vi nhiệm vụ hay không. Cho tới khi trình duyệt và ứng dụng mang được đồng thời định danh agent, ủy quyền con người và phạm vi nhiệm vụ, mọi agent dùng phiên người dùng nên được coi là truy cập ủy quyền cần phát hiện, giới hạn và kiểm toán.

Nguồn: The Hacker News