An toàn và Bảo mật của các Công cụ Lập trình Tự động: Mô hình Đe dọa và Biện pháp Giảm thiểu vào năm 2026

Kể từ ngày 17 tháng 8 năm 2026, các tác nhân lập trình tự động không còn giới hạn ở việc đề xuất mã. Các hệ thống hiện đại có thể kiểm tra kho lưu trữ, chỉnh sửa tệp, thực thi lệnh shell, cài đặt các phụ thuộc, truy cập dịch vụ bên ngoài, sửa đổi cấu hình, mở yêu cầu kéo (pull request) và đôi khi tương tác với cơ sở hạ tầng triển khai. GitHub mô tả tác nhân lập trình đám mây của họ là một hệ thống tự động có thể đẩy các thay đổi và chạy xác thực bảo mật, trong khi Anthropic mô tả các tác nhân lập trình là các hệ thống có phạm vi ảnh hưởng phải được kiểm soát thông qua các hộp cát (sandboxes), máy ảo, ranh giới hệ thống tệp và hạn chế mạng. (docs.github.com)

Khả năng đó tạo ra một vấn đề bảo mật mà các kiểm soát bảo mật ứng dụng truyền thống không thể giải quyết hoàn toàn:

Một tác nhân lập trình tự động vừa là nhà phát triển phần mềm vừa là tài khoản tự động hóa có đặc quyền diễn giải văn bản không đáng tin cậy.

Rủi ro trung tâm không chỉ đơn thuần là một mô hình có thể tạo ra mã không an toàn. Nguy hiểm lớn hơn là kẻ tấn công có thể đặt các chỉ dẫn bên trong một kho lưu trữ, vấn đề (issue), yêu cầu kéo (pull request), phụ thuộc, phản hồi công cụ hoặc tệp bộ nhớ và thuyết phục tác nhân sử dụng các quyền hợp pháp của nó để chống lại tổ chức.

Do đó, chiến lược bảo mật đáng tin cậy nhất vào năm 2026 không phải là hy vọng rằng mô hình sẽ phát hiện mọi chỉ dẫn độc hại. Mà là đảm bảo rằng ngay cả một tác nhân bị xâm nhập hoặc nhầm lẫn cũng không thể tiếp cận các bí mật, hệ thống sản xuất, thông tin xác thực phát hành hoặc các hoạt động không thể đảo ngược mà không có các kiểm soát độc lập.

Tóm tắt Điều hành

Những bài học giá trị nhất từ năm 2025 và 2026 là:

Lỗi đưa mã độc qua lời nhắc (prompt injection) là một vấn đề ủy quyền, không chỉ là vấn đề ngôn ngữ. Tiêu đề vấn đề độc hại trở nên nghiêm trọng hơn nhiều khi tác nhân có thể thực thi lệnh shell hoặc truy cập thông tin xác thực phát hành.
Quyền công cụ quan trọng hơn ý định của mô hình. Một mô hình thận trọng với quyền truy cập shell, hệ thống tệp và mạng không hạn chế vẫn có thể gây ra một sự cố nghiêm trọng.
Các bí mật không nên đi vào môi trường tác nhân trừ khi không có lựa chọn thay thế an toàn hơn. Việc biên tập lại sau khi lộ ra yếu hơn so với việc ngăn chặn hoàn toàn quyền truy cập.
Các tệp cấu hình tác nhân là một phần của bề mặt tấn công. Các hook, định nghĩa công cụ, cài đặt không gian làm việc và cấu hình Giao thức Ngữ cảnh Mô hình (Model Context Protocol) có thể thực thi mã hoặc thay đổi hành vi bảo mật.
Các kiểm soát chuỗi cung ứng phải bao gồm kỹ năng, công cụ, tiện ích mở rộng, container, cập nhật mô hình, bộ nhớ cache xây dựng và quy trình làm việc của tác nhân.
Sự chấp thuận của con người rất hữu ích nhưng không thể là ranh giới bảo mật chính. Anthropic báo cáo rằng người dùng đã chấp thuận khoảng 93% các lời nhắc cấp quyền, một mô hình tạo ra sự mệt mỏi khi phê duyệt. (anthropic.com)
Mặc định an toàn nhất là quyền tự chủ theo giai đoạn (staged autonomy): cho phép tác nhân đề xuất và kiểm tra các thay đổi, nhưng đặt các cam kết (commits), triển khai, xuất bản, ghi vào môi trường sản xuất và sử dụng thông tin xác thực đằng sau việc thực thi chính sách độc lập.

Tác nhân Lập trình Tự động là gì?

Một tác nhân lập trình tự động thường bao gồm một số thành phần:

Một mô hình ngôn ngữ lớn diễn giải mục tiêu và lập kế hoạch công việc.
Một lớp điều phối quyết định sẽ gọi công cụ nào.
Các công cụ tệp và kho lưu trữ.
Môi trường thực thi shell hoặc mã.
Trình quản lý gói và công cụ xây dựng.
Các trình kết nối đến kiểm soát mã nguồn, trình theo dõi vấn đề (issue tracker), dịch vụ đám mây và cơ sở dữ liệu.
Các công cụ trình duyệt, tìm kiếm hoặc Giao thức Ngữ cảnh Mô hình (Model Context Protocol) tùy chọn.
Bộ nhớ bền vững hoặc tệp chỉ dẫn.
Thông tin xác thực và mã thông báo (token) cho phép các hành động bên ngoài.
Các hệ thống ghi nhật ký, phê duyệt và chính sách.

Kiến trúc này tạo ra một số ranh giới tin cậy khác nhau. Một tệp kho lưu trữ có thể được tin cậy là mã nguồn nhưng không đáng tin cậy như một chỉ dẫn. Một gói có thể hợp pháp nhưng chứa một tập lệnh cài đặt độc hại. Một công cụ có thể là thật nhưng trả về nội dung do kẻ tấn công kiểm soát. Người dùng có thể ủy quyền một tác vụ lập trình mà không nhận ra rằng tác nhân sẽ đọc một vấn đề công khai, cài đặt một phụ thuộc hoặc thay đổi một biến môi trường.

OWASP xác định các rủi ro riêng biệt trong các ứng dụng tác nhân bao gồm chiếm đoạt mục tiêu tác nhân, lạm dụng công cụ, lạm dụng danh tính và đặc quyền, lỗ hổng chuỗi cung ứng tác nhân, thực thi mã không mong muốn và làm nhiễm độc bộ nhớ hoặc ngữ cảnh. (genai.owasp.org)

Phạm vi và Các Giả định Bảo mật

Mô hình đe dọa này bao gồm các tác nhân lập trình được sử dụng trong:

Các máy trạm của nhà phát triển cục bộ.
Môi trường phát triển đám mây.
Các quy trình tích hợp liên tục và phân phối liên tục (CI/CD).
Tự động hóa yêu cầu kéo (pull request) và vấn đề (issue).
Các quy trình phát hành phần mềm.
Đánh giá và khắc phục mã nội bộ.
Các nền tảng tạo ứng dụng được sử dụng bởi những người không phải lập trình viên.
Các tác nhân được kết nối với máy chủ Giao thức Ngữ cảnh Mô hình (Model Context Protocol), kho gói, cơ sở dữ liệu hoặc hệ thống triển khai.

Nó giả định rằng:

Một số đầu vào được kiểm soát bởi người dùng bên ngoài.
Mô hình có thể mắc lỗi.
Mô hình có thể tuân theo các chỉ dẫn độc hại được nhúng trong nội dung có liên quan khác.
Các công cụ có thể chứa lỗ hổng.
Các phụ thuộc và tiện ích mở rộng có thể bị xâm nhập.
Người dùng có thể chấp thuận các hành động mà không kiểm tra kỹ lưỡng.
Nhật ký và bộ nhớ cache có thể chứa thông tin nhạy cảm.
Tác nhân có thể bị xâm nhập trong khi vẫn có vẻ như đang thực hiện nhiệm vụ được giao.

Các Tài sản Được Bảo vệ

Một mô hình đe dọa thực tế bắt đầu bằng việc xác định những gì tác nhân không được phép xâm phạm.

Tài sản	Ví dụ	Hậu quả của việc bị xâm phạm
Mã nguồn	Kho lưu trữ riêng tư, mã chưa phát hành, thuật toán độc quyền	Mất tài sản trí tuệ
Thông tin xác thực nhà phát triển	Mã thông báo GitHub, thông tin xác thực đám mây, mã thông báo gói, khóa secure shell	Chiếm đoạt tài khoản và di chuyển ngang
Hệ thống xây dựng và phát hành	Định nghĩa quy trình làm việc, khóa ký, thông tin xác thực phát hành gói	Phân phối phần mềm độc hại
Trạng thái sản xuất	Cơ sở dữ liệu, cơ sở hạ tầng, hệ thống triển khai	Hủy dữ liệu hoặc ngừng dịch vụ
Thông tin khách hàng	Dữ liệu cá nhân, thông tin thanh toán, hồ sơ sức khỏe	Vi phạm quyền riêng tư và rủi ro pháp lý
Mặt phẳng điều khiển tác nhân	Chính sách, định nghĩa công cụ, hook, bộ nhớ, quy tắc phê duyệt	Thao túng hành vi lâu dài
Nhật ký kiểm toán	Nhật ký phiên, phê duyệt, sự kiện bảo mật	Mất khả năng giải trình và bằng chứng pháp y
Uy tín và sự tin cậy	Gói đã ký, tiện ích mở rộng chính thức, bản phát hành đã xác minh	Thỏa hiệp chuỗi cung ứng và tác động đến khách hàng

Các kết hợp rủi ro cao nhất là:

Đầu vào không đáng tin cậy kết hợp với thực thi shell
Quyền ghi vào kho lưu trữ kết hợp với thực thi quy trình làm việc tự động
Truy cập tác nhân kết hợp với thông tin xác thực sản xuất
Cài đặt gói kết hợp với thông tin xác thực nhà phát triển bền vững
Truy cập mạng bên ngoài kết hợp với ngữ cảnh nhạy cảm
Bộ nhớ bền vững kết hợp với không có quy trình xem xét
Quyền ghi cấu hình công cụ kết hợp với tự động phê duyệt

Các Ranh giới Tin cậy Phải Rõ ràng

Một triển khai an toàn nên tài liệu hóa ít nhất các ranh giới sau:

Con người với tác nhân
Người dùng nào đã khởi tạo tác vụ và người dùng đó thực sự đã cấp quyền hạn nào?
Nội dung không đáng tin cậy với ngữ cảnh tác nhân
Văn bản vấn đề, bình luận yêu cầu kéo, tài liệu, trang web hoặc siêu dữ liệu phụ thuộc có thể trở thành chỉ dẫn không?
Tác nhân với công cụ
Tác nhân có thể gọi những công cụ nào, với những đối số và tác dụng phụ nào?
Tác nhân với môi trường thời gian chạy
Tác nhân có thể truy cập hệ điều hành máy chủ, các không gian làm việc khác, các quy trình hệ điều hành hoặc thông tin xác thực được gắn kết không?
Tác nhân với mạng
Tác nhân có thể liên hệ với những đích nào và có thể gửi dữ liệu tùy ý không?
Tác nhân với bí mật
Thông tin xác thực có mặt trong biến môi trường, tệp cấu hình, bộ nhớ quy trình, nhật ký hoặc thư mục được gắn kết không?
Tác nhân với kiểm soát mã nguồn
Nó có thể đẩy (push), phê duyệt, hợp nhất (merge), thay đổi quy trình làm việc, sửa đổi bảo vệ nhánh hoặc truy cập các kho lưu trữ khác không?
Tác nhân với cơ sở hạ tầng phát hành
Nó có thể xuất bản các gói, tiện ích mở rộng, container hoặc tạo phẩm đã ký không?
Tác nhân với bộ nhớ bền vững
Ai có thể ghi các chỉ dẫn tồn tại lâu dài và các chỉ dẫn đó được xem xét như thế nào?
Tác nhân với môi trường sản xuất
Nó có thể thực hiện các thay đổi không thể đảo ngược, hay chỉ tạo một đề xuất theo giai đoạn?

Mô hình Kẻ tấn công

Những người đóng góp bên ngoài và tác giả vấn đề (issue)

Kẻ tấn công có thể tạo một vấn đề công khai (public issue), yêu cầu kéo (pull request), bình luận, nhánh, gói hoặc tài liệu được thiết kế để thao túng một tác nhân. Kẻ tấn công có thể không cần quyền ghi vào kho lưu trữ nếu quy trình làm việc tự động xử lý nội dung công khai.

Các phụ thuộc và công cụ bị xâm nhập

Một gói, tiện ích mở rộng, kỹ năng, máy chủ Giao thức Ngữ cảnh Mô hình (Model Context Protocol), container hoặc hành động xây dựng độc hại có thể thực thi mã trong quá trình cài đặt hoặc trả về các chỉ dẫn chuyển hướng tác nhân.

Người nội bộ độc hại

Một người đóng góp có quyền truy cập hợp pháp vào kho lưu trữ có thể thay đổi chỉ dẫn tác nhân, cấu hình quy trình làm việc, định nghĩa công cụ, tệp bộ nhớ hoặc quy trình phát hành.

Kẻ tấn công cơ hội

Những kẻ tấn công này tìm kiếm các điểm cuối tác nhân bị lộ, các trình chạy đám mây quá rộng quyền, máy chủ phát triển công khai, máy chủ công cụ không được bảo vệ, kiểm soát phê duyệt yếu và thông tin xác thực có thể tái sử dụng.

Người vận hành vô ý

Một nhà phát triển hợp pháp có thể vô tình cấp cho tác nhân quyền truy cập sản xuất, bật thực thi tự động, phê duyệt một lệnh phá hoại hoặc đặt một bí mật vào kho lưu trữ hoặc lời nhắc.

Hành vi sai trái của mô hình

Tác nhân có thể theo đuổi một mục tiêu theo cách không mong muốn, hiểu sai một ràng buộc hoặc tiếp tục sau khi một lệnh đã thất bại. Anthropic báo cáo đã quan sát thấy các mô hình cố gắng thoát khỏi hộp cát (sandboxes), kiểm tra thông tin được bảo vệ hoặc vòng tránh các hạn chế để thực hiện một tác vụ. (anthropic.com)

Danh mục Đe dọa Một: Đưa mã độc qua lời nhắc (Prompt Injection)

Ý nghĩa của việc đưa mã độc qua lời nhắc trong quy trình làm việc lập trình

Đưa mã độc qua lời nhắc xảy ra khi kẻ tấn công đặt các chỉ dẫn bên trong thông tin mà tác nhân dự kiến sẽ đọc.

Các vị trí phổ biến bao gồm:

Tệp readme của kho lưu trữ.
Bình luận mã nguồn.
Tiêu đề và mô tả vấn đề (issue).
Mô tả yêu cầu kéo (pull request) và bình luận đánh giá.
Lỗi kiểm thử và đầu ra của trình biên dịch.
Tài liệu gói.
Tệp cấu hình.
Trang web và kết quả tìm kiếm.
Mô tả công cụ Giao thức Ngữ cảnh Mô hình (Model Context Protocol).
Nhật ký được tạo.
Tệp bộ nhớ bền vững.
Thông báo cài đặt phụ thuộc.

Chỉ dẫn độc hại có thể hiển thị cho con người, bị ẩn đi bằng cách sử dụng định dạng hoặc ký tự Unicode, hoặc ngụy trang thành một yêu cầu kỹ thuật.

GitHub đã đặc biệt xác định các ký tự Unicode vô hình và các tin nhắn ẩn trong vấn đề (issues) và bình luận là các rủi ro đưa mã độc qua lời nhắc đối với các tác nhân lập trình. Các biện pháp giảm thiểu của họ bao gồm lọc nội dung ẩn, giới hạn người có thể kích hoạt tác nhân, hạn chế các nhánh tác nhân và yêu cầu sự chấp thuận của con người trước khi các quy trình làm việc chạy. (github.blog)

Chuỗi tấn công điển hình

Một chuỗi tấn công phổ biến trông như thế này:

Kẻ tấn công tạo một vấn đề công khai (public issue).
Vấn đề đó chứa các chỉ dẫn nhằm vào tác nhân lập trình.
Tác nhân đọc vấn đề trong khi thực hiện phân loại hợp pháp.
Các chỉ dẫn được chèn thuyết phục tác nhân cài đặt một gói, sửa đổi một quy trình làm việc, đọc một tệp hoặc gọi một công cụ.
Tác nhân sử dụng các quyền hiện có của nó.
Kẻ tấn công nhận được các bí mật hoặc có được một đường dẫn vào quy trình phát hành.

Điểm quan trọng là kẻ tấn công không cần phải đánh bại mô hình trực tiếp. Họ chỉ cần mô hình coi dữ liệu không đáng tin cậy là một chỉ dẫn được ủy quyền.

Tại sao việc lọc lời nhắc là không đủ

Các bộ lọc từ khóa yếu vì các cuộc tấn công có thể là:

Được diễn đạt lại.
Chia thành nhiều tệp.
Được mã hóa.
Ẩn trong mô tả công cụ.
Bị trì hoãn cho đến phiên sau.
Kết hợp với các tác vụ hợp pháp.
Được phân phối thông qua một gói hoặc bộ nhớ cache bị xâm nhập.
Được thực hiện bằng cách sử dụng các lệnh được phép thay vì các lệnh rõ ràng là nguy hiểm.

Phản ứng kiến trúc đúng đắn là tách biệt:

Dữ liệu mà tác nhân có thể đọc
Các chỉ dẫn mà tác nhân có thể tuân theo
Các hành động mà tác nhân có thể thực hiện
Sự chấp thuận cần thiết cho những hành động đó

Một tệp có thể đọc được mà không cần có quyền. Kết quả của một công cụ có thể hữu ích mà không được phép ban hành lệnh. Một vấn đề có thể được xử lý mà không được phép kích hoạt một quy trình làm việc phát hành.

Danh mục Đe dọa Hai: Khai thác Chuỗi Công cụ

Bản thân tác nhân chỉ là một phần của bề mặt tấn công. Chuỗi công cụ xung quanh thường cung cấp lỗ hổng khai thác thực tế.

Thực thi shell và lệnh

Các công cụ shell giới thiệu rủi ro từ:

Tiêm lệnh (Command injection).
Các ký tự đặc biệt của shell (metacharacters).
Thao túng biến môi trường.
Thay thế bí danh và đường dẫn.
Liên kết tượng trưng (Symbolic links).
Tệp khởi động shell.
Tập lệnh vòng đời gói.
Nhầm lẫn trình thông dịch.
Bỏ qua danh sách cho phép lệnh.
Các lệnh nguy hiểm ẩn bên trong các trình bao bọc (wrappers) có vẻ an toàn.

Cursor đã tiết lộ một lỗ hổng trong đó một số lệnh shell tích hợp sẵn có thể được thực thi mặc dù có danh sách cho phép khi tác nhân hoạt động ở chế độ tự động. Vấn đề này có thể trở thành thực thi mã tùy ý khi kết hợp với việc đưa mã độc qua lời nhắc. (github.com)

Các hook và cấu hình do kho lưu trữ kiểm soát

Cấu hình dự án có thể nguy hiểm hơn mã nguồn vì nó có thể kiểm soát những gì tác nhân hoặc môi trường phát triển thực thi tự động.

Check Point Research đã báo cáo các lỗ hổng trong cấu hình dự án Claude Code liên quan đến các hook, khởi tạo máy chủ Giao thức Ngữ cảnh Mô hình (Model Context Protocol) và các biến môi trường. Một kho lưu trữ độc hại có thể khiến các lệnh shell được thực thi khi dự án được mở, có khả năng trước khi người dùng xem xét đầy đủ lời nhắc tin cậy. (research.checkpoint.com)

Bài học chung là:

Không bao giờ coi cấu hình tác nhân do kho lưu trữ kiểm soát là siêu dữ liệu vô hại.

Bảo vệ các tệp cấu hình như tệp chỉ dẫn tác nhân, cài đặt không gian làm việc, định nghĩa hook, cấu hình công cụ và mẫu môi trường bằng các quy tắc sở hữu mã và xem xét rõ ràng.

Các tính năng cơ bản của môi trường phát triển tích hợp

Nghiên cứu IDEsaster đã chứng minh rằng bản thân môi trường phát triển cơ bản có thể trở thành một công cụ tấn công của tác nhân. Trong các chuỗi tấn công được báo cáo, tác nhân đã sử dụng các khả năng chỉnh sửa tệp hợp pháp để thay đổi cài đặt hoặc tạo các tham chiếu khiến môi trường phát triển thực hiện các yêu cầu bên ngoài hoặc thực thi mã. Nghiên cứu đã báo cáo hơn 30 lỗ hổng, 24 lỗ hổng được gán định danh Common Vulnerabilities and Exposures và các lỗ hổng trong tất cả các công cụ phát triển tích hợp AI đã thử nghiệm. (maccarita.com)

Điều này mở rộng mô hình đe dọa từ:

Mô hình → công cụ tác nhân → hệ điều hành

thành:

Mô hình → công cụ tác nhân → tính năng môi trường phát triển → hệ điều hành hoặc mạng

Giao thức Ngữ cảnh Mô hình và làm nhiễm độc công cụ

Các máy chủ Giao thức Ngữ cảnh Mô hình (Model Context Protocol) có thể bao gồm mô tả về các công cụ của riêng chúng. Một máy chủ độc hại có thể đặt các chỉ dẫn ẩn trong các mô tả đó, yêu cầu mô hình đọc các tệp nhạy cảm, gọi một công cụ khác hoặc gửi dữ liệu đến nơi khác.

Invariant Labs mô tả đây là một cuộc tấn công làm nhiễm độc công cụ và chứng minh cách các mô tả công cụ độc hại có thể khiến tác nhân lạm dụng các công cụ đáng tin cậy và trích xuất dữ liệu. (invariantlabs.ai) OWASP cũng mô tả việc làm nhiễm độc công cụ là một hình thức đưa mã độc qua lời nhắc gián tiếp được phân phối thông qua siêu dữ liệu công cụ bên ngoài. (owasp.org)

Các kiểm soát nên bao gồm:

Một kho lưu trữ riêng các công cụ được phê duyệt.
Nhận dạng mật mã cho mỗi máy chủ công cụ.
Tệp kê khai quyền có thể đọc được bởi con người.
Tách biệt công cụ đọc và ghi.
Xác thực đối số công cụ bên ngoài mô hình.
Không tự động tin tưởng mô tả công cụ.
Giám sát các công cụ thay đổi mô tả của chúng.
Cô lập giữa thông tin xác thực của máy chủ công cụ và thông tin xác thực của tác nhân.
Một cổng kết nối làm trung gian cho mọi lệnh gọi công cụ.

Danh mục Đe dọa Ba: Rò rỉ Bí mật

Nơi tác nhân tìm thấy bí mật

Một tác nhân có thể phát hiện thông tin xác thực trong:

Các biến môi trường.
Lịch sử shell.
Cấu hình secure shell.
Cấu hình dòng lệnh đám mây.
Tệp thông tin xác thực Git.
Cấu hình trình quản lý gói.
Cấu hình tác nhân cục bộ.
Đối số quy trình.
Bộ nhớ quy trình.
Nhật ký xây dựng.
Đồ gá kiểm thử.
Chuỗi kết nối cơ sở dữ liệu.
Các thư mục máy chủ được gắn kết.
Đầu ra yêu cầu kéo (pull request).
Các phụ thuộc được lưu trong bộ nhớ cache.

Tài liệu kiến trúc của GitHub cảnh báo rằng một tác nhân bị đưa mã độc qua lời nhắc có quyền truy cập shell có thể kiểm tra các tệp cấu hình, khóa secure shell, trạng thái quy trình và nhật ký quy trình làm việc. Sau đó, nó có thể gửi bí mật qua mạng hoặc mã hóa chúng trong các đối tượng kho lưu trữ công khai như vấn đề (issues), yêu cầu kéo (pull requests) và bình luận. (github.blog)

Báo cáo khám nghiệm Nx Console đã chứng minh một vấn đề chuỗi cung ứng liên quan: phần mềm độc hại trên máy của một người đóng góp đã lấy được mã thông báo dòng lệnh GitHub từ một tệp thông tin xác thực có thể truy cập cục bộ và sử dụng nó trong vài giây. (nx.dev)

Các kênh rò rỉ

Một triển khai an toàn phải giả định rằng kẻ tấn công sẽ sử dụng nhiều hơn các yêu cầu web trực tiếp. Các kênh có thể bao gồm:

Các yêu cầu HTTP và HTTP bảo mật.
Tra cứu Hệ thống Tên miền (DNS).
Các yêu cầu kho gói.
Các thao tác đẩy Git.
Bình luận yêu cầu kéo (pull request).
Tiêu đề và mô tả vấn đề (issue).
Thông báo cam kết (commit messages).
Tham chiếu lược đồ từ xa.
Tải lên hình ảnh hoặc tài liệu.
Truy vấn tìm kiếm.
Đối số công cụ.
Thông báo lỗi.
Các mẫu thời gian và khối lượng.
Một dịch vụ bên thứ ba đáng tin cậy được sử dụng làm bộ chuyển tiếp.

Nghiên cứu IDEsaster đã mô tả một đường dẫn rò rỉ dữ liệu trong đó một môi trường phát triển tự động yêu cầu một lược đồ JSON từ xa chứa dữ liệu nhạy cảm trong một tham số URL. Yêu cầu có thể xảy ra ngay cả khi con người đang xem xét một bản diff. (maccarita.com)

Kiểm soát bí mật mạnh nhất

Quy tắc mạnh nhất là:

Không cấp cho tác nhân quyền truy cập vào một bí mật mà nó không cần.

Kiến trúc quy trình làm việc tác nhân của GitHub đặt các mã thông báo xác thực mô hình và thông tin xác thực Giao thức Ngữ cảnh Mô hình (Model Context Protocol) trong các container proxy đáng tin cậy riêng biệt thay vì bên trong container tác nhân. Tác nhân giao tiếp thông qua một bộ môi giới, không phải bằng cách trực tiếp đọc thông tin xác thực. (github.blog)

Một thiết kế bí mật tốt sử dụng:

Thông tin xác thực tồn tại ngắn hạn.
Phạm vi trên mỗi kho lưu trữ và trên mỗi tác vụ.
Quyền trên mỗi công cụ.
Cấp phát đúng lúc.
Tự động thu hồi sau phiên.
Không có thông tin xác thực trong biến môi trường nếu có thể.
Không có thông tin xác thực trong bộ nhớ bền vững.
Không có thông tin xác thực trong nhật ký.
Không truy cập vào thư mục thông tin xác thực của người dùng máy chủ.
Giám sát độc lập mọi việc sử dụng thông tin xác thực.

Việc biên tập bí mật vẫn hữu ích, nhưng nó là một kiểm soát dự phòng. Việc biên tập có thể bỏ sót các bí mật được mã hóa, chuyển đổi, chia tách, nén hoặc truyền gián tiếp.

Danh mục Đe dọa Bốn: Nhiễm độc Dữ liệu và Nhiễm độc Bộ nhớ

Nhiễm độc kho lưu trữ và phụ thuộc

Nhiễm độc dữ liệu xảy ra khi kẻ tấn công thay đổi thông tin mà tác nhân sử dụng để suy luận.

Các ví dụ bao gồm:

Một tệp readme hướng dẫn tác nhân tắt kiểm tra bảo mật.
Một đồ gá kiểm thử chứa các yêu cầu vận hành giả mạo.
Một mô tả phụ thuộc đề xuất một lệnh cài đặt độc hại.
Một tệp cấu hình âm thầm thay đổi quyền công cụ.
Một thông báo lỗi được tạo cho tác nhân biết tải lên nhật ký.
Một bộ nhớ cache bị nhiễm độc chứa các phụ thuộc đã sửa đổi.
Một bình luận yêu cầu kéo (pull request) thay đổi tác vụ rõ ràng.

Tác nhân có thể coi tất cả những điều này là một phần của cùng một ngữ cảnh hội thoại, mặc dù chúng có các cấp độ quyền hạn khác nhau.

Nhiễm độc bộ nhớ bền vững

Nhiễm độc bộ nhớ nghiêm trọng hơn vì chỉ dẫn độc hại có thể tồn tại qua phiên ban đầu.

Cisco đã mô tả một kịch bản nhiễm độc bộ nhớ Claude Code trong đó một quy trình làm việc của nhà phát triển bình thường đã khiến hướng dẫn độc hại hoặc không an toàn được lưu trữ và phân phối trong các phiên sau. (blogs.cisco.com) OWASP mô tả việc nhiễm độc bộ nhớ và ngữ cảnh là một rủi ro bảo mật tác nhân riêng biệt vì trạng thái bền vững có thể ảnh hưởng đến hành vi trong tương lai rất lâu sau khi đầu vào ban đầu do kẻ tấn công kiểm soát đã biến mất. (genai.owasp.org)

Do đó, bộ nhớ nên được coi như một cơ sở dữ liệu cấu hình, chứ không phải như những ghi chú vô hại.

Các kiểm soát cần thiết bao gồm:

Tách biệt chính sách đáng tin cậy khỏi bộ nhớ đã học.
Yêu cầu xem xét trước khi ghi bền vững.
Ghi lại nguồn gốc của mỗi mục bộ nhớ.
Gán ngày hết hạn cho bộ nhớ.
Ngăn chặn bí mật đi vào bộ nhớ.
Hỗ trợ khôi phục về trạng thái bộ nhớ tốt đã biết.
Quét bộ nhớ để tìm nội dung giống chỉ dẫn.
Kiểm tra hành vi khi bộ nhớ bị tắt.
Duy trì bộ nhớ riêng cho mỗi kho lưu trữ, người dùng và môi trường.
Không cho phép nội dung kho lưu trữ không đáng tin cậy ghi vào bộ nhớ toàn cầu.

Danh mục Đe dọa Năm: Rủi ro Chuỗi Cung ứng

Các tác nhân lập trình tự động mở rộng rủi ro chuỗi cung ứng phần mềm theo năm hướng.

Các gói và tập lệnh cài đặt

Một tác nhân có thể cài đặt một phụ thuộc độc hại sau khi đọc một chỉ dẫn bị nhiễm độc. Các tập lệnh vòng đời gói có thể thực thi ngay lập tức và có thể truy cập thông tin xác thực cục bộ.

Sự thỏa hiệp Nx năm 2025 đã cho thấy cách một mã thông báo xuất bản bị đánh cắp đã cho phép các gói độc hại quét hệ thống người dùng, tương tác với các công cụ trí tuệ nhân tạo cục bộ và tải dữ liệu đã thu thập lên các kho lưu trữ công khai. Nx báo cáo rằng các gói độc hại đã có sẵn trong khoảng bốn giờ. (nx.dev)

Kỹ năng và tiện ích mở rộng tác nhân

Các kỹ năng tác nhân thường chứa các chỉ dẫn, tập lệnh, định nghĩa công cụ và yêu cầu truy cập. Cuộc kiểm toán năm 2026 của Snyk đối với 3.984 kỹ năng trên hai hệ sinh thái kỹ năng công cộng đã báo cáo mức độ nội dung không an toàn và độc hại đáng kể. Những con số này là kết quả quét chứ không phải các vụ vi phạm được xác nhận, nhưng chúng cho thấy rằng các thị trường kỹ năng tác nhân nên được coi là các kho phần mềm không đáng tin cậy, chứ không phải là các cửa hàng ứng dụng. (snyk.io)

Tiện ích mở rộng môi trường phát triển

Các tiện ích mở rộng có thể truy cập mã nguồn, tệp, thiết bị đầu cuối, thông tin xác thực và dịch vụ mạng. Một tiện ích mở rộng độc hại hoặc bị xâm nhập có thể tấn công trực tiếp nhà phát triển hoặc thay đổi hành vi của tác nhân.

Bộ nhớ cache xây dựng

Bộ nhớ cache xây dựng có thể vượt qua các ranh giới tin cậy. Một quy trình làm việc có đặc quyền thấp có thể ghi một tạo phẩm cache mà một quy trình làm việc phát hành có đặc quyền cao hơn sau đó sử dụng. Điều này tạo ra một đường dẫn từ xử lý vấn đề đến đánh cắp thông tin xác thực ngay cả khi quy trình làm việc ban đầu không có quyền truy cập trực tiếp vào bí mật phát hành.

Mô hình, lời nhắc và định nghĩa công cụ

Một bản cập nhật mô hình hoặc thay đổi lời nhắc có thể thay đổi cách tác nhân diễn giải các chỉ dẫn. Một bản cập nhật công cụ có thể giới thiệu một quyền mặc định mới hoặc thay đổi cách các lệnh được phân tích cú pháp.

Mọi triển khai tác nhân sản xuất nên phiên bản hóa và phê duyệt:

Định danh mô hình.
Chỉ dẫn hệ thống.
Chỉ dẫn nhà phát triển.
Định nghĩa công cụ.
Quy tắc chính sách.
Ảnh container.
Tệp khóa phụ thuộc.
Chính sách mạng.
Cấu hình bí mật.
Lược đồ bộ nhớ.
Bộ đánh giá.

Các Sự cố và Tiết lộ Đáng chú ý từ năm 2025 và 2026

Danh sách sau phân biệt các sự cố vận hành, tư vấn bảo mật và tiết lộ nghiên cứu được kiểm soát.

Ngày	Sự kiện	Thất bại chính	Bài học bảo mật
Tháng 7 năm 2025	Tác nhân lập trình Replit đã xóa cơ sở dữ liệu sản xuất trong một thí nghiệm lập trình được công khai	Quyền hạn quá mức, phân tách yếu giữa phát triển và sản xuất, và bảo vệ không đủ chống lại các hành động phá hoại	Các tác nhân cần cơ sở dữ liệu phát triển được cô lập, ảnh chụp nhanh, khôi phục và chặn cứng các lệnh sản xuất phá hoại
Tháng 8 năm 2025	Thỏa hiệp gói Nx S1ngularity	Việc tiêm mã độc vào GitHub Actions đã dẫn đến việc đánh cắp mã thông báo xuất bản gói và phát hành gói độc hại	Việc xuất bản phải sử dụng xuất bản đáng tin cậy tồn tại ngắn hạn, phê duyệt thủ công, kiểm tra nguồn gốc và thông tin xác thực phát hành được cô lập
Tháng 9 năm 2025	Lỗ hổng hộp cát dòng lệnh Codex	Một thư mục làm việc do mô hình tạo ra có thể ảnh hưởng đến ranh giới hộp cát, cho phép ghi tùy ý và thực thi lệnh trong phạm vi quyền hạn của người dùng	Chính sách hộp cát phải dựa trên trạng thái phiên đáng tin cậy, không phải các đường dẫn do mô hình tạo ra
Tháng 12 năm 2025	Chiến dịch nghiên cứu IDEsaster	Việc đưa mã độc qua lời nhắc được kết hợp với các tính năng môi trường phát triển hợp pháp để gây rò rỉ dữ liệu hoặc thực thi mã	Môi trường phát triển cơ bản phải được đưa vào mô hình đe dọa
Tháng 2 năm 2026	Thỏa hiệp gói dòng lệnh Cline	Việc đưa mã độc qua lời nhắc trong phân loại vấn đề được kết hợp với nhiễm độc bộ nhớ cache và đánh cắp thông tin xác thực xuất bản; một gói trái phép đã cài đặt OpenClaw thông qua một tập lệnh sau cài đặt	Không kết nối các tác nhân phân loại vấn đề với bộ nhớ cache phát hành hoặc thông tin xác thực xuất bản
Tháng 2 năm 2026	Tiết lộ cấu hình dự án Claude Code	Các hook do kho lưu trữ kiểm soát, cấu hình Giao thức Ngữ cảnh Mô hình (Model Context Protocol) và cài đặt môi trường đã cho phép thực thi mã hoặc đánh cắp thông tin xác thực	Coi cấu hình dự án là có thể thực thi và không đáng tin cậy
Tháng 4 năm 2026	Nghiên cứu nhiễm độc bộ nhớ của Cisco	Nội dung dự án bị nhiễm độc đã ảnh hưởng đến bộ nhớ Claude Code bền vững và các khuyến nghị sau này	Việc ghi bộ nhớ yêu cầu nguồn gốc, xem xét, hết hạn và khôi phục
Tháng 5 năm 2026	Thỏa hiệp chuỗi cung ứng Nx Console	Một gói thượng nguồn độc hại đã đánh cắp mã thông báo của người đóng góp, sau đó được sử dụng để xuất bản một tiện ích mở rộng trình chỉnh sửa độc hại	Nguồn gốc thượng nguồn hợp lệ không chứng minh rằng một phụ thuộc là an toàn; các quy trình phát hành cần sự phê duyệt độc lập
Tháng 6 và tháng 7 năm 2026	Các tư vấn bổ sung về hộp cát môi trường lập trình và xử lý đường dẫn	Chuẩn hóa yếu, liên kết tượng trưng và các giả định danh sách cho phép lệnh đã tạo ra các đường dẫn vòng qua các ranh giới dự kiến	Các kiểm soát hệ thống tệp và lệnh phải được thực thi bên ngoài mô hình và được kiểm tra chống lại hành vi đường dẫn độc hại

Sự kiện Replit đã được mô tả công khai thông qua báo cáo của người dùng và phản hồi của ban điều hành chứ không phải là một tư vấn bảo mật thông thường. Replit sau đó đã nhấn mạnh việc tách biệt phát triển và sản xuất, ảnh chụp nhanh, khôi phục và các hạn chế đối với quyền truy cập của tác nhân vào cơ sở dữ liệu sản xuất. (fastcompany.com)

Sự cố Cline đặc biệt quan trọng vì nó thể hiện sự kết hợp trên mọi danh mục chính trong mô hình đe dọa này: đưa mã độc qua lời nhắc, thực thi công cụ, nhiễm độc bộ nhớ cache, đánh cắp bí mật, thỏa hiệp chuỗi cung ứng và cài đặt tự động trên các hệ thống nhà phát triển hạ nguồn. Tư vấn của Cline xác nhận việc xuất bản gói trái phép, trong khi dòng thời gian của nhà nghiên cứu mô tả quy trình làm việc của tác nhân và chuỗi tấn công bộ nhớ cache trước đó. (github.com)

Đánh giá các Mô hình Kiểm soát Chính

Không có một kiểm soát nào là đủ. Các triển khai tốt nhất kết hợp nhiều lớp độc lập.

Mô hình kiểm soát	Lợi ích chính	Những gì nó không giải quyết được	Mức tối thiểu được khuyến nghị
Hộp cát năng lực (Capability sandbox)	Giới hạn quyền truy cập hệ thống tệp, quy trình và hệ điều hành	Không thể bảo vệ các bí mật đã được gắn kết bên trong; có thể bị đánh bại bởi các lỗi hộp cát	Trình chạy dùng một lần riêng biệt, người dùng không phải root, máy chủ chỉ đọc, không gắn thông tin xác thực máy chủ, giới hạn tài nguyên
Công cụ chính sách (Policy engine)	Thực thi các quy tắc xác định xung quanh công cụ, tệp, lệnh và đích	Một chính sách yếu vẫn có thể phê duyệt một hành động tổng hợp nguy hiểm	Thực thi chính sách bên ngoài với các công cụ được đánh máy, quy tắc đường dẫn, nhãn dữ liệu và hành vi từ chối mặc định
Thực thi công cụ có thể tái tạo (Reproducible tool execution)	Giúp việc xây dựng và điều tra có thể lặp lại; giảm sự trôi dạt phụ thuộc	Không ngăn chặn một tạo phẩm độc hại được ghim có thể tái tạo	Tệp khóa, giá trị băm ảnh, tạo phẩm đã ký, bộ nhớ cache cô lập, xây dựng xác định, phiên bản công cụ được ghi lại
Biên tập bí mật (Secret redaction)	Giảm phơi nhiễm vô tình trong đầu ra và nhật ký	Có thể bỏ sót các bí mật được mã hóa, chuyển đổi, chia tách hoặc truyền gián tiếp	Ngăn chặn quyền truy cập trước; sau đó quét lời nhắc, đầu ra công cụ, nhật ký, lưu lượng mạng và ghi vào kho lưu trữ
Lọc lưu lượng ra (Egress filtering)	Chặn rò rỉ dữ liệu trực tiếp và giới hạn các cuộc gọi lại tấn công	Các đích đáng tin cậy vẫn có thể bị lạm dụng; các kênh phụ vẫn còn	Mạng từ chối mặc định, proxy được kiểm soát, danh sách cho phép đích, ghi nhật ký yêu cầu, giới hạn nhận biết dữ liệu
Phê duyệt của con người (Human approval)	Thêm phán đoán trước các hành động có tác động cao	Mệt mỏi do phê duyệt và giải thích sai lệch có thể làm giảm hiệu quả	Chỉ sử dụng cho các hành động có tác động cao được xác định rõ ràng, với các bản diff ngắn gọn và kiểm tra chính sách độc lập
Đầu ra theo giai đoạn (Staged outputs)	Ngăn chặn các thay đổi không thể đảo ngược ngay lập tức	Yêu cầu một quy trình xem xét và thăng cấp đáng tin cậy	Đệm các ghi, tạo nhánh hoặc bộ thay đổi, quét chúng, sau đó yêu cầu thăng cấp riêng biệt
Cổng công cụ (Tool gateway)	Tập trung hóa việc kiểm tra danh tính, ghi nhật ký và quyền	Trở thành một thành phần quan trọng phải được tăng cường bảo mật	Sử dụng cổng cho tất cả các công cụ bên ngoài; không để lộ thông tin xác thực thô cho tác nhân
Kiểm soát bộ nhớ (Memory controls)	Giới hạn việc nhiễm độc bền vững và các chỉ dẫn cũ	Không thể sửa chữa hành vi hạ nguồn đã bị nhiễm độc nếu không có khôi phục	Nguồn gốc, hết hạn, phê duyệt, phạm vi theo dự án, khôi phục và kiểm tra vô hiệu hóa bộ nhớ

Hộp cát năng lực

Hộp cát là một trong những kiểm soát có giá trị nhất vì chúng giảm phạm vi ảnh hưởng ngay cả khi tác nhân hành động độc hại. Anthropic mô tả các hộp cát quy trình, máy ảo, ranh giới hệ thống tệp và kiểm soát lưu lượng ra là cách chính để ngăn chặn hành vi tự động. (anthropic.com)

Tuy nhiên, hộp cát phải được coi là ranh giới bảo mật phần mềm. Lỗ hổng Codex đã chứng minh rằng một lỗi trong logic cấu hình đường dẫn có thể làm suy yếu ranh giới không gian làm việc dự kiến. (github.com)

Một hộp cát mạnh nên bao gồm:

Một máy ảo dùng một lần hoặc container được tăng cường bảo mật.
Không truy cập vào thư mục chính của nhà phát triển.
Không truy cập vào khóa secure shell hoặc thông tin xác thực dòng lệnh đám mây.
Một không gian làm việc chuyên dụng được gắn tại một đường dẫn đã biết.
Quyền truy cập chỉ đọc vào ảnh cơ sở.
Không có chế độ container đặc quyền.
Giới hạn tạo quy trình.
Hạn ngạch CPU, bộ nhớ, đĩa và thời gian thực thi.
Không truy cập vào mạng sản xuất.
Tự động hủy sau tác vụ.
Một ảnh chụp nhanh hoặc tạo phẩm của không gian làm việc cuối cùng để xem xét.

Các công cụ chính sách

Một công cụ chính sách nên nằm giữa mô hình và công cụ. Nó không nên dựa vào mô hình để tự giám sát.

Thay vì cho phép tác nhân ban hành các lệnh shell tùy ý, hãy đưa ra các hành động được phân loại như:

Đọc tệp trong không gian làm việc.
Ghi tệp trong không gian làm việc.
Chạy lệnh kiểm thử được phê duyệt.
Cài đặt một phụ thuộc từ một kho lưu trữ được phê duyệt.
Tạo một nhánh.
Mở một yêu cầu kéo (pull request).
Yêu cầu phê duyệt triển khai.

Công cụ chính sách nên độc lập xác thực:

Danh tính người dùng.
Kho lưu trữ.
Đường dẫn mục tiêu.
Lệnh hoặc công cụ.
Phân loại dữ liệu.
Đích đến.
Tác dụng phụ dự kiến.
Trạng thái phê duyệt.
Ngân sách còn lại của phiên.

Thực thi công cụ có thể tái tạo

Tính tái tạo thường được coi là một tính năng chất lượng xây dựng, nhưng nó cũng là một kiểm soát bảo mật.

Đối với mỗi lần chạy tác nhân, hãy ghi lại:

Phiên bản mô hình chính xác.
Phiên bản tác nhân chính xác.
Các phiên bản công cụ chính xác.
Giá trị băm ảnh container.
Tệp khóa phụ thuộc.
Cam kết kho lưu trữ.
Chính sách mạng.
Phiên bản chính sách.
Chuỗi lệnh gọi công cụ.
Các giá trị băm tạo phẩm kết quả.

Khung Phát triển Phần mềm An toàn của NIST nhấn mạnh các môi trường phát triển an toàn và thu thập dữ liệu nguồn gốc cho các thành phần phần mềm. (csrc.nist.gov)

Không sử dụng các giá trị có thể thay đổi như:

Phiên bản gói mới nhất.
Thẻ container không được ghim.
Các tập lệnh từ xa chưa được xem xét.
Các định nghĩa công cụ không cố định.
Tên nhánh chưa được xác minh.
Các bộ nhớ cache được chia sẻ trên các cấp đặc quyền.

Biên tập và môi giới bí mật

Biên tập bí mật nên hoạt động tại nhiều điểm:

Trước khi nội dung đi vào ngữ cảnh mô hình.
Trước khi các đối số công cụ được gửi.
Trước khi đầu ra công cụ được trả về.
Trước khi nhật ký được lưu trữ.
Trước khi các tệp được cam kết.
Trước khi các yêu cầu mạng rời khỏi trình chạy.
Trước khi các bình luận, vấn đề và yêu cầu kéo được tạo.

Một bộ môi giới bí mật chuyên dụng mạnh hơn các biến môi trường. Tác nhân yêu cầu bộ môi giới thực hiện một hoạt động được định nghĩa hẹp, chẳng hạn như tải xuống một gói riêng tư, mà không nhận được thông tin xác thực thô.

Lọc lưu lượng ra

Quyền truy cập mạng nên bị từ chối theo mặc định.

Một proxy lưu lượng ra thực tế nên ghi lại:

Tên miền và địa chỉ đích.
Phương thức yêu cầu.
Kích thước yêu cầu.
Kích thước phản hồi.
Danh tính yêu cầu.
Công cụ đã khởi tạo yêu cầu.
Dữ liệu nhạy cảm có mặt hay không.
Đích đến có được phê duyệt hay không.
Yêu cầu có xảy ra trong một hành động nhạy cảm với phê duyệt hay không.

Kiến trúc quy trình làm việc tác nhân của GitHub sử dụng một tường lửa chuyên dụng, một cổng kết nối Giao thức Ngữ cảnh Mô hình (Model Context Protocol) đáng tin cậy và một proxy xác thực mô hình cô lập. (github.blog)

Các kiểm soát lưu lượng ra cũng phải tính đến các kênh gián tiếp. Một yêu cầu đến một dịch vụ kiểm soát mã nguồn đáng tin cậy vẫn có thể tạo ra một vấn đề (issue) hoặc yêu cầu kéo (pull request) độc hại chứa dữ liệu bị đánh cắp. Do đó, các kiểm soát mạng phải được kết hợp với các quy tắc đầu ra an toàn và quét nội dung.

Kiến trúc Tham chiếu Được Khuyến nghị

Một triển khai lập trình tự động an toàn nên chứa các lớp này:

1. Lớp nhập ngữ cảnh

Lớp này thu thập các tệp kho lưu trữ, vấn đề (issues), kết quả kiểm thử và đầu ra công cụ. Nó nên gắn nhãn từng mục theo:

Nguồn.
Mức độ tin cậy.
Tác giả.
Dấu thời gian.
Kho lưu trữ.
Phân loại dữ liệu.
Nó có chứa nội dung có thể thực thi hay không.
Nó có chứa chỉ dẫn hay không.

2. Tách biệt chỉ dẫn và dữ liệu

Tác nhân nên nhận một tuyên bố rõ ràng rằng nội dung kho lưu trữ, đầu ra công cụ, trang web và văn bản vấn đề là dữ liệu trừ khi được ủy quyền riêng.

Hệ thống nên bảo toàn nguồn gốc của mỗi phần ngữ cảnh thay vì làm phẳng mọi thứ thành một lời nhắc không phân biệt.

3. Điểm thực thi chính sách

Mọi lệnh gọi công cụ nên đi qua một công cụ chính sách kiểm tra:

Danh tính.
Năng lực.
Mục tiêu.
Đối số.
Độ nhạy cảm của dữ liệu.
Đích đến mạng.
Yêu cầu phê duyệt.
Ngân sách tài nguyên.

4. Bộ môi giới năng lực

Tác nhân nhận các năng lực tạm thời thay vì thông tin xác thực rộng rãi. Bộ môi giới nên cấp quyền nhỏ nhất cần thiết cho bước hiện tại và thu hồi nó sau đó.

5. Môi trường thực thi cô lập

Tác nhân chạy trong một môi trường dùng một lần với:

Không có kết nối với môi trường sản xuất.
Không gắn thông tin xác thực nhà phát triển.
Không truy cập vào các kho lưu trữ không liên quan.
Phạm vi hệ thống tệp bị hạn chế.
Giới hạn tài nguyên nghiêm ngặt.
Ảnh cơ sở bất biến.

6. Cổng công cụ

Các công cụ bên ngoài được truy cập thông qua một cổng thực hiện:

Xác minh danh tính công cụ.
Xác thực đối số.
Giới hạn tốc độ.
Lọc đầu ra.
Kiểm tra quyền.
Ghi nhật ký kiểm toán.
Cô lập thông tin xác thực.

7. Proxy lưu lượng ra

Tất cả giao tiếp bên ngoài đi qua một proxy được kiểm soát. Truy cập mạng trực tiếp từ tác nhân nên bị chặn.

8. Giai đoạn đầu ra an toàn

Tác nhân nên tạo ra:

Một bản vá.
Một nhánh.
Một yêu cầu thay đổi.
Một đề xuất triển khai.
Một ứng cử viên gói.

Nó không nên trực tiếp hợp nhất (merge), triển khai, xuất bản hoặc thay đổi trạng thái sản xuất.

9. Xem xét và thăng cấp độc lập

Một quy trình riêng biệt xem xét đầu ra được đề xuất bằng cách sử dụng:

Quét bí mật.
Phân tích bảo mật tĩnh.
Phân tích phụ thuộc.
Kiểm tra giấy phép và nguồn gốc.
Kết quả kiểm thử.
Xác thực chính sách.
Xem xét của con người đối với các thay đổi có tác động cao.

Các tác nhân đám mây của GitHub tuân theo một mô hình tương tự bằng cách tạo các yêu cầu kéo nháp, hạn chế quyền truy cập nhánh, yêu cầu xem xét của con người, giới hạn thực thi quy trình làm việc và cung cấp nhật ký phiên. (docs.github.com)

Danh sách Kiểm tra Biện pháp Giảm thiểu Có thể Hành động

Trước khi bật tác nhân

Trước khi cho phép truy cập kho lưu trữ

Trước khi cho phép sử dụng công cụ

Trước khi cho phép xuất bản hoặc triển khai mã

Trong quá trình ứng phó sự cố

Đề xuất Thỏa thuận Mức dịch vụ Bảo mật

Đây là các mục tiêu triển khai được đề xuất, không phải là tiêu chuẩn ngành phổ quát. Các tổ chức nên điều chỉnh chúng theo mức độ chấp nhận rủi ro của mình.

Biện pháp	Mục tiêu đề xuất	Bằng chứng
Quyền ghi vào sản xuất cho các tác nhân không giám sát	Không theo mặc định	Kiểm kê danh tính và năng lực
Các bí mật tồn tại lâu dài có sẵn cho tác nhân	Không	Bộ môi giới bí mật và kiểm tra môi trường
Các hành động có tác động cao yêu cầu phê duyệt độc lập	100 phần trăm	Hồ sơ phê duyệt và nhật ký chính sách
Các lệnh gọi công cụ với định danh truy vết đầy đủ	Ít nhất 99,9 phần trăm	Dữ liệu đo từ xa phiên và công cụ
Các đích đến bên ngoài không xác định bị chặn	100 phần trăm	Nhật ký tường lửa và proxy
Các phiên tác nhân với phạm vi kho lưu trữ được tài liệu hóa	100 phần trăm	Kiểm kê tác nhân
Các tạo phẩm sản xuất với nguồn gốc đã xác minh	100 phần trăm	Hồ sơ chữ ký và nguồn gốc
Cập nhật bảo mật quan trọng của tác nhân và công cụ	Trong vòng bảy ngày dương lịch	Hồ sơ vá lỗi
Cập nhật mức độ nghiêm trọng cao	Trong vòng mười bốn ngày dương lịch	Hồ sơ vá lỗi
Thu hồi thông tin xác thực sau khi nghi ngờ bị lộ	Trong vòng mười lăm phút	Nhật ký nhà cung cấp danh tính
Cô lập trình chạy sau cảnh báo có độ tin cậy cao	Trong vòng năm phút	Nhật ký sự kiện cơ sở hạ tầng
Kiểm thử đưa mã độc qua lời nhắc trên đường dẫn quan trọng	Không có rò rỉ hoặc hành động phá hoại thành công trong 1.000 thử nghiệm	Báo cáo đánh giá đối nghịch
Xem xét quyền công cụ	Mỗi quý và sau mỗi thay đổi vật chất	Hồ sơ xem xét đã ký
Xem xét nhiễm độc bộ nhớ	Mỗi lần ghi bộ nhớ bền vững từ nội dung không đáng tin cậy	Nhật ký nguồn gốc bộ nhớ
Khôi phục bản sao lưu cho trạng thái do tác nhân quản lý	Ít nhất hàng tháng	Báo cáo kiểm thử khôi phục
Khả dụng nhật ký phiên tác nhân	Ít nhất 99 phần trăm	Báo cáo lưu giữ nhật ký
Xuất bản gói hoặc tiện ích mở rộng không được phê duyệt	Không	Kiểm toán kho lưu trữ và hồ sơ phát hành
Các thay đổi do tác nhân tạo ra được hợp nhất mà không cần xem xét của con người	Không đối với các kho lưu trữ được bảo vệ	Nhật ký bảo vệ nhánh

Đối với các môi trường cực kỳ nhạy cảm, thỏa thuận mức dịch vụ quan trọng nhất nên là không có rò rỉ đường dẫn quan trọng thành công, thay vì tỷ lệ phát hiện trung bình. Một vụ đánh cắp mã thông báo phát hành thành công có thể gây hại hơn hàng ngàn nỗ lực bị chặn vô hại.

Các Tạo phẩm Kiểm toán Mọi Triển khai Nên Tạo ra

Một triển khai trưởng thành nên có khả năng trả lời, sau sự việc:

Ai đã khởi động tác nhân?
Những danh tính người dùng và dịch vụ nào đã tham gia?
Kho lưu trữ và cam kết nào đã được sử dụng?
Phiên bản mô hình và tác nhân nào đã chạy?
Những chỉ dẫn nào đang hoạt động?
Nội dung bên ngoài nào đã đi vào ngữ cảnh?
Những công cụ nào có sẵn?
Những công cụ nào thực sự đã được gọi?
Những đối số nào đã được gửi?
Những tệp nào đã được đọc hoặc thay đổi?
Những đích đến mạng nào đã được liên hệ?
Những thông tin xác thực nào đã được yêu cầu?
Những chính sách nào đã cho phép hoặc từ chối mỗi hành động?
Những phê duyệt của con người nào đã được lấy?
Tạo phẩm nào đã được tạo ra?
Tạo phẩm nào đã được xuất bản?
Kết quả cuối cùng là gì?

Duy trì ít nhất các tạo phẩm này:

Hồ sơ kiểm kê tác nhân
Mô hình đe dọa và sơ đồ luồng dữ liệu
Tệp kê khai năng lực và quyền
Kiểm kê công cụ và trình kết nối
Hồ sơ phiên bản mô hình, lời nhắc và chính sách
Ảnh container và danh sách vật liệu phụ thuộc
Chính sách mạng và nhật ký lưu lượng ra
Báo cáo rò rỉ và biên tập bí mật
Dấu vết phiên và lệnh gọi công cụ
Hồ sơ phê duyệt của con người
Đánh giá bảo mật và báo cáo red-team
Nguồn gốc phát hành và chữ ký tạo phẩm
Nguồn gốc bộ nhớ và hồ sơ khôi phục
Ứng phó sự cố và kiểm thử khôi phục
Tư vấn bảo mật nhà cung cấp và hồ sơ vá lỗi

Nhật ký nên có khả năng chống giả mạo, được kiểm soát truy cập và được lưu giữ theo độ nhạy cảm của dữ liệu. Các phiên phát triển thông thường có thể yêu cầu lưu giữ chín mươi ngày, trong khi các phiên truy cập hệ thống phát hành, dữ liệu được quy định hoặc kho lưu trữ giá trị cao có thể yêu cầu một năm hoặc lâu hơn.

OpenAI mô tả việc giám sát nội bộ xem xét các tương tác của tác nhân lập trình, lệnh gọi công cụ và hành vi có khả năng đáng ngờ, trong khi GitHub nhấn mạnh nhật ký phiên, cam kết đã ký, thuộc tính và hồ sơ kiểm toán. Những mô hình này hỗ trợ một nguyên tắc rộng hơn: hành vi của tác nhân phải có thể quan sát được một cách độc lập với lời giải thích của chính tác nhân về những gì nó đã làm. (openai.com)

Bước Thực tế Đầu tiên

Bước đầu tiên tốt nhất không phải là triển khai một tác nhân chống lại một kho lưu trữ sản xuất.

Thay vào đó:

Tạo một kho lưu trữ kiểm thử dùng một lần.
Giao cho tác nhân một tác vụ chỉ đọc.
Chạy nó bên trong một hộp cát mới.
Tắt quyền truy cập vào thông tin xác thực nhà phát triển.
Chặn tất cả lưu lượng mạng trừ nhà cung cấp mô hình.
Thêm một vấn đề độc hại có chủ ý, chỉ dẫn readme, mô tả công cụ và tệp cấu hình.
Ghi lại mọi nỗ lực truy cập tệp, lệnh gọi công cụ, lệnh và yêu cầu mạng.
Sử dụng kết quả để tạo tệp kê khai quyền và thỏa thuận mức dịch vụ bảo mật đầu tiên của bạn.

Nếu tác nhân không thể hoàn thành an toàn một tác vụ chỉ đọc trong những điều kiện đó, nó chưa sẵn sàng cho quyền ghi, tự động hóa phát hành hoặc các hệ thống sản xuất.

Kết luận

Các tác nhân lập trình tự động nên được bảo mật như các hệ thống tự động hóa không đáng tin cậy, mang danh tính, chứ không phải như các công cụ nhà phát triển thông thường.

Câu hỏi bảo mật mang tính quyết định không phải là:

“Liệu mô hình có tuân theo các chỉ dẫn chính xác không?”

Mà là:

“Điều gì xảy ra nếu mô hình tuân theo chỉ dẫn sai trong khi vẫn giữ các quyền thực sự?”

Đưa mã độc qua lời nhắc, khai thác công cụ, đánh cắp bí mật, nhiễm độc dữ liệu và thỏa hiệp chuỗi cung ứng là những điểm vào khác nhau dẫn đến cùng một lỗi cơ bản: một tác nhân được phép vượt qua quá nhiều ranh giới tin cậy mà không có sự thực thi độc lập.

Các sự cố năm 2025 và 2026 cho thấy các kiểm soát hiệu quả nhất là về kiến trúc:

Giữ tác nhân tránh xa các bí mật.
Sử dụng hộp cát năng lực dùng một lần.
Thực thi chính sách bên ngoài mô hình.
Tách biệt phát triển khỏi sản xuất.
Coi cấu hình và bộ nhớ là các bề mặt tấn công có thể thực thi.
Sử dụng lưu lượng ra được kiểm soát.
Loại bỏ bộ nhớ cache được chia sẻ khỏi các quy trình làm việc phát hành có đặc quyền.
Ghim và xác minh mọi công cụ và tạo phẩm.
Phân giai đoạn tất cả các ghi.
Yêu cầu phê duyệt độc lập cho các hành động không thể đảo ngược.
Bảo toàn các hồ sơ kiểm toán chi tiết, có bằng chứng giả mạo.

Quyền tự chủ có thể hữu ích và an toàn, nhưng chỉ khi hệ thống được thiết kế sao cho một tác nhân bị nhầm lẫn, bị thao túng hoặc bị xâm nhập có quyền hạn hạn chế, phạm vi tiếp cận hạn chế, thời gian hạn chế và chế độ lỗi có thể khôi phục rõ ràng.