Phân quyền AI agent đã thành bài toán bảo mật cấp bách khi các trợ lý tự động bắt đầu tự gọi API, tự mở trình duyệt và tự thực thi hành động thay con người. Bộ AI Agent Security Cheat Sheet của OWASP xếp việc giới hạn quyền vào nhóm kiểm soát cốt lõi đầu tiên. Năm 2026, câu hỏi không còn là agent được truy cập những gì, mà là nó được tự quyết tới đâu.
Nội dung chính
Vì sao phân quyền AI agent trở thành lằn ranh an toàn mới
Khác biệt nằm ở hậu quả. Một cuộc tấn công tiêm lệnh nhắm vào chatbot chỉ tạo ra câu trả lời sai. Cũng cuộc tấn công đó nhắm vào một agent đang giữ khóa API lại tạo ra một hành động sai đã được thực thi xong trước khi con người kịp nhìn thấy. Đó là lý do OWASP đặt tiêm lệnh ở vị trí đầu bảng rủi ro mô hình ngôn ngữ và gọi nó là “cửa trước” dẫn tới việc chiếm quyền agent. Phân quyền AI agent vì thế không còn là một mục cấu hình phụ nằm cuối tài liệu triển khai.
Bộ tài liệu Top 10 for Agentic Applications công bố năm 2026 bổ sung một khái niệm mới bên cạnh nguyên tắc đặc quyền tối thiểu quen thuộc: least agency, tạm dịch là quyền tự quyết tối thiểu. Ý tưởng là tách quyền truy cập và quyền tự hành động thành hai lớp riêng. Một agent có thể được đọc toàn bộ hộp thư nhưng vẫn phải hỏi lại trước khi bấm gửi. Phân quyền AI agent theo hướng này biến sự tự chủ thành thứ agent phải chứng minh để được cấp, thay vì bật sẵn ngay từ lần chạy đầu tiên.
Bối cảnh năm nay khiến bài toán gấp hơn. Đầu tháng 9, OpenAI ra mắt mô hình Astra và mô tả đây là “biên giới mới về khả năng dùng máy tính và trình duyệt”, nghĩa là agent thao tác trực tiếp trên giao diện người dùng, nơi mỗi cú nhấp là một hành động thật trên hệ thống thật. Báo cáo tổng kết quý I/2026 của OWASP GenAI ghi nhận rủi ro agent đã chuyển hẳn từ lý thuyết sang khai thác thực tế, với ba nguyên nhân lặp đi lặp lại: quyền cấu hình sai, mức tự chủ quá rộng và khâu kiểm tra đầu ra lỏng lẻo.
Với thị trường Việt Nam, phần lớn việc phân quyền AI agent trong doanh nghiệp vẫn chạy theo thói quen cũ, tức là mượn luôn tài khoản của nhân viên vận hành. Cách làm này khiến nhật ký hệ thống không phân biệt được hành động nào do người thực hiện và hành động nào do agent tự chạy. Khi có sự cố, đội kỹ thuật mất nhiều giờ chỉ để dựng lại dòng thời gian.
Sáu nguyên tắc trao quyền mà không mất kiểm soát
Sáu nguyên tắc dưới đây rút gọn từ nhóm kiểm soát cốt lõi của OWASP và áp dụng được cho việc phân quyền AI agent ngay cả khi doanh nghiệp mới chạy một agent duy nhất.
Một, cấp quyền theo tác vụ chứ không theo con người. Agent chỉ nên giữ đúng những công cụ mà tác vụ hiện tại cần, và bộ công cụ đó thay đổi theo từng luồng việc. Một agent tổng hợp báo cáo không cần quyền xóa bản ghi.
Hai, tách quyền đọc khỏi quyền ghi. Đây là bước phân quyền AI agent rẻ nhất mà hiệu quả nhất. Phần lớn giá trị của agent nằm ở khâu đọc và tổng hợp; phần lớn thiệt hại nằm ở khâu ghi và gửi.
Ba, đặt cổng phê duyệt cho mọi hành động không thể hoàn tác. Chuyển tiền, gửi email ra ngoài, xóa dữ liệu, đổi cấu hình đều cần một con người bấm xác nhận. Đây chính là tinh thần quyền tự quyết tối thiểu.
Bốn, cô lập bộ nhớ giữa các phiên và các khách hàng. Nội dung agent đọc được ở phiên này không nên tự động chảy sang phiên khác, vì đó là đường đi phổ biến của dữ liệu rò rỉ.
Năm, kiểm tra đầu ra trước khi nó trở thành đầu vào. Kết quả agent trả về thường được chuyển thẳng sang một công cụ khác. Nếu không lọc, một đoạn văn bản độc hại lấy từ trang web bên ngoài có thể trở thành câu lệnh cho bước kế tiếp.
Sáu, cấp danh tính và nhật ký riêng cho từng agent. Mỗi agent cần một tài khoản dịch vụ riêng, khóa riêng, thời hạn riêng. Nhờ đó việc thu hồi quyền chỉ mất vài giây và nhật ký nói rõ ai đã làm gì. Quy trình phân quyền AI agent chỉ thật sự khép kín khi có thể trả lời câu hỏi này trong lúc sự cố đang diễn ra.
Điểm chung của sáu nguyên tắc phân quyền AI agent là chúng không đòi hỏi công nghệ mới. Chúng đòi hỏi doanh nghiệp coi agent như một nhân sự hợp đồng có quyền hạn giới hạn, thay vì một tính năng đính kèm vào phần mềm sẵn có. Với đội nhỏ, cách bắt đầu thực tế là liệt kê toàn bộ công cụ agent đang được gọi, đánh dấu những hành động không thể hoàn tác, rồi dựng cổng phê duyệt cho riêng nhóm đó. Danh sách này thường ngắn hơn nhiều so với dự đoán ban đầu.
Xu hướng năm 2026 cũng đang nghiêng về phía siết quyền. Ba trong bốn mô hình lớn ra mắt đầu tháng 9 đều kèm theo cơ chế cấp quyền theo bậc cho các khả năng nhạy cảm, thay vì mở đồng loạt cho mọi người dùng. Khi chính nhà cung cấp mô hình đã phân tầng, việc phân quyền AI agent ở phía doanh nghiệp trở thành phần còn lại bắt buộc của cùng một bức tranh.
Nguồn: OWASP AI Agent Security Cheat Sheet, OWASP Top 10 for Agentic Applications 2026, OWASP GenAI Exploit Round-up Q1/2026, TechCrunch.
Xem thêm: Cẩm nang workflow AI 2026 · 8 công cụ AI agentic đáng dùng nhất 2026 · Mô hình Astra tự tìm 2 lỗ hổng zero-day
Xem thêm: AI chứng minh định lý Fermat trong 11 ngày
Xem thêm: AI an ninh mạng 2026 chỉ mở cho người được duyệt.
Đọc thêm: AI tạo video 2026: HeyGen, Runway, Pika so sánh · AI thay thế freelancer: sự thật năm 2026 · Công cụ AI 2026: cách chọn, đánh giá và dùng
