Fortinet đưa bảo mật AI Agent lên Oracle Cloud: Doanh nghiệp đối phó prompt injection như thế nào?
Fortinet và Oracle đang mở rộng lớp bảo vệ cho các ứng dụng và AI Agent chạy trên Oracle Cloud Infrastructure thông qua FortiAIGate. Giải pháp này đứng giữa ứng dụng, Agent, mô hình AI và MCP tool để kiểm tra prompt, response, tool call và dữ liệu nhạy cảm theo thời gian thực, qua đó giảm rủi ro prompt injection, rò rỉ dữ liệu và hành động ngoài phạm vi cho phép.
Sự thay đổi này khiến bài toán bảo mật không còn dừng ở việc kiểm tra nội dung chatbot trả lời có an toàn hay không. Khi AI có khả năng thực hiện hành động, gọi công cụ hoặc tương tác trực tiếp với hệ thống doanh nghiệp, một prompt độc hại có thể dẫn tới hậu quả vượt ra ngoài cửa sổ hội thoại.
Trọng tâm của mô hình là kiểm soát không chỉ prompt và output, mà cả MCP tool call, API interaction, hành động của Agent, dữ liệu nhạy cảm và quyền truy cập mô hình.
Vì sao AI Agent tạo ra bề mặt tấn công khác chatbot truyền thống?
Chatbot truyền thống chủ yếu nhận input và trả về nội dung.
AI Agent có thể đi xa hơn nhiều. Tùy thiết kế, một Agent có thể:
đọc dữ liệu nội bộ;
truy cập repository;
gọi API;
kết nối database;
sử dụng MCP tool;
tạo hoặc chỉnh sửa file;
kích hoạt workflow;
thực hiện hành động thay người dùng.
Điều này khiến một prompt độc hại không còn đơn thuần tạo ra một câu trả lời không mong muốn. Nếu Agent có quyền truy cập vào dữ liệu hoặc công cụ nhạy cảm, prompt injection có thể hướng Agent tới việc sử dụng những quyền đó ngoài mục đích ban đầu.
Đây cũng là lý do rủi ro an ninh mạng trong kỷ nguyên AI ngày càng gắn chặt với câu hỏi về quyền truy cập, phạm vi hành động và khả năng giám sát AI thay vì chỉ tập trung vào chất lượng của mô hình.
FortiAIGate hoạt động như thế nào trên Oracle Cloud?
Trong kiến trúc được Fortinet và Oracle mô tả, FortiAIGate hoạt động như một AI security gateway đặt giữa ứng dụng hoặc Agent với các mô hình AI.
Giải pháp có thể được triển khai dưới dạng container trên hạ tầng của doanh nghiệp, bao gồm các Oracle Kubernetes Engine – OKE worker node có GPU. Khi request đi qua gateway, FortiAIGate có thể kiểm tra prompt, response và các tương tác của Agent trước khi traffic tiếp tục tới model hoặc công cụ phía sau.
Mô hình này giúp doanh nghiệp tạo một điểm kiểm soát tập trung thay vì để từng ứng dụng AI tự triển khai security policy riêng. Theo kiến trúc tham chiếu của Oracle, FortiAIGate có thể đặt trong Virtual Cloud Network và kiểm tra traffic tới OCI Enterprise AI hoặc các model provider bên ngoài.
Điều này đặc biệt quan trọng với môi trường doanh nghiệp sử dụng nhiều mô hình hoặc nhiều Agent cùng lúc.
FortiAIGate có thể kiểm soát những rủi ro AI nào?
Fortinet cho biết FortiAIGate được thiết kế để bảo vệ AI application, Agent, LLM và MCP tool traffic.
Prompt injection
Prompt injection xảy ra khi attacker đưa chỉ dẫn độc hại vào input hoặc dữ liệu mà AI xử lý nhằm thay đổi hành vi của mô hình hoặc Agent.
Với Agent có khả năng sử dụng tool, hậu quả có thể nghiêm trọng hơn chatbot thông thường vì chỉ dẫn độc hại có thể dẫn tới tool call hoặc hành động thực tế.
Rò rỉ dữ liệu
Khi doanh nghiệp cho AI truy cập dữ liệu nội bộ, một trong những rủi ro lớn nhất là thông tin nhạy cảm bị đưa vào prompt hoặc output ngoài phạm vi cho phép.
Fortinet cho biết cơ chế DLP tích hợp có thể phát hiện nhiều loại dữ liệu nhạy cảm và thực hiện alert, block hoặc redact trước khi thông tin được truyền đi.
Đây là vấn đề đặc biệt quan trọng khi doanh nghiệp sử dụng AI trong các workflow có dữ liệu khách hàng, tài chính, nhân sự hoặc tài liệu nội bộ. IPSIP cũng đã phân tích riêng rủi ro lộ dữ liệu khi sử dụng AI, trong đó quyền truy cập và khả năng kiểm soát dữ liệu đầu vào là hai yếu tố cần được quản lý ngay từ khi triển khai.
MCP tool abuse
Model Context Protocol giúp AI kết nối với công cụ và nguồn dữ liệu bên ngoài. Nhưng khi Agent có quyền gọi tool, mỗi tool cũng trở thành một phần của attack surface.
FortiAIGate có thể kiểm tra tool list, tool call và tool response theo cả hai chiều để phát hiện prompt injection, data leakage hoặc nội dung độc hại trong traffic giữa Agent và MCP server.
Denial-of-Wallet
Một rủi ro khác của AI workload là attacker hoặc workflow lỗi có thể tạo lượng request lớn, khiến chi phí sử dụng model tăng nhanh.
FortiAIGate hỗ trợ budget control, rate limit và token limit theo tổ chức, workspace, project hoặc user. Nhờ đó, security control không chỉ bảo vệ dữ liệu mà còn hỗ trợ kiểm soát chi phí vận hành AI.
Vì sao kiểm tra prompt thôi chưa đủ?
Một điểm đáng chú ý trong mô hình của Fortinet là việc bảo mật không dừng ở prompt.
Trong hệ thống Agentic AI, workflow có thể gồm: User → Application → Agent → Model → MCP Tool → API → Enterprise System
Nếu chỉ kiểm tra input của người dùng, doanh nghiệp có thể bỏ sót những rủi ro xuất hiện ở các bước phía sau.
Ví dụ, một Agent có thể nhận một prompt hợp lệ nhưng sau đó đọc một tài liệu chứa instruction độc hại. Model cũng có thể gọi một tool vượt quá phạm vi cần thiết hoặc gửi dữ liệu nhạy cảm tới một API ngoài mong muốn.
Vì vậy, AI security cần quan sát cả:
prompt;
model response;
tool call;
tool response;
API activity;
Agent action.
Đây cũng là điểm khiến bảo mật Agent khác với các lớp bảo vệ web truyền thống.
Fortinet kết hợp những lớp kiểm soát nào cho AI trên OCI?
Theo Oracle, FortiAIGate cung cấp một số nhóm kiểm soát chính.
Multilayer AI Guardrails
Guardrail kiểm tra prompt và output để phát hiện nội dung độc hại, vi phạm policy hoặc nguy cơ rò rỉ dữ liệu.
Doanh nghiệp cũng có thể tạo custom detector bằng ngôn ngữ tự nhiên để xác định loại nội dung nào được phép hoặc phải chặn.
Role-based workspace
Các team có thể được tách thành workspace riêng với model, policy và log độc lập.
Điều này giúp giảm tình trạng mọi người dùng AI đều có cùng quyền hoặc sử dụng chung một policy.
Model access control
Administrator có thể kiểm soát model nào được phép sử dụng theo team, project hoặc user.
Khả năng này đặc biệt hữu ích trong môi trường doanh nghiệp sử dụng nhiều provider AI cùng lúc.
Compliance policy
FortiAIGate cung cấp các policy liên quan tới AI governance, data privacy và security framework.
Log của prompt, output và tool call cũng có thể được sử dụng làm evidence trong audit.
Centralized logging
Một điểm quan trọng khác là khả năng ghi nhận lại tương tác giữa application, Agent, model và tool. Khi xảy ra incident, log này giúp doanh nghiệp xác định Agent đã nhận instruction gì, gọi tool nào và hành động nào được thực hiện.
Prompt injection có phải là rủi ro duy nhất với AI Agent?
Không. Prompt injection là một trong những rủi ro dễ nhận thấy nhất, nhưng khi AI Agent được tích hợp sâu vào môi trường doanh nghiệp, attack surface còn mở rộng sang nhiều lớp khác.
Doanh nghiệp cần quan tâm tới:
quyền truy cập Agent;
credential được Agent sử dụng;
API key;
MCP server;
tool permission;
dữ liệu Agent có thể đọc;
dữ liệu Agent có thể ghi hoặc xóa;
model provider;
logging;
human approval.
Một Agent được bảo vệ khỏi prompt injection nhưng vẫn sử dụng một account có quyền quá lớn vẫn có thể tạo ra rủi ro nghiêm trọng khi workflow xảy ra lỗi hoặc bị thao túng.
Doanh nghiệp cần làm gì khi đưa AI Agent vào production?
Việc triển khai AI Agent nên được coi là một dự án tích hợp hệ thống có yếu tố bảo mật, không đơn thuần là bật thêm một tính năng AI.
1. Xác định rõ Agent được phép làm gì
Doanh nghiệp cần xác định:
hệ thống Agent được truy cập;
tool được phép gọi;
loại dữ liệu được đọc;
dữ liệu được phép thay đổi;
hành động cần human approval.
2. Áp dụng Least Privilege
Agent không nên sử dụng credential có quyền rộng hơn công việc thực tế.
Nếu Agent chỉ cần đọc dữ liệu thì không nên có quyền ghi hoặc xóa.
3. Tách môi trường thử nghiệm và production
Credential, API và dữ liệu production không nên được sử dụng mặc định trong môi trường test.
4. Giám sát cả tool call và Agent action
Monitoring cần đi xa hơn chatbot log.
Doanh nghiệp nên ghi nhận cả model request, API call, MCP interaction và các hành động quan trọng của Agent.
5. Kiểm soát dữ liệu nhạy cảm
Thông tin cá nhân, dữ liệu khách hàng, credential hoặc tài liệu mật cần có policy rõ ràng về việc có được phép đi qua AI workflow hay không.
Doanh nghiệp có thể tăng cường bảo mật AI Agent như thế nào?
Bảo vệ Agent hiệu quả thường cần kết hợp giữa kiểm soát quyền truy cập, data protection, security testing và monitoring.
Kiểm tra bề mặt tấn công trước khi đưa Agent vào production
AI Agent thường kết nối với nhiều API, ứng dụng và hệ thống nội bộ. Vì vậy, doanh nghiệp cần kiểm tra các endpoint và hệ thống phía sau thay vì chỉ đánh giá riêng model AI.
Trong các môi trường có mức độ tích hợp cao, Penetration Testing có thể được sử dụng để xác định những điểm yếu mà attacker có thể khai thác khi Agent hoặc API bị lạm dụng.
Mục tiêu không phải là “pentest AI model” một cách chung chung, mà là đánh giá toàn bộ attack surface mà Agent có thể tiếp cận.
Giám sát hoạt động bất thường liên tục
Khi Agent bắt đầu sử dụng API, database hoặc các hệ thống sản xuất, doanh nghiệp cũng cần khả năng phát hiện những hành động không phù hợp với baseline bình thường.
SOC 24/7 có thể hỗ trợ giám sát các sự kiện bảo mật liên quan tới server, Cloud và ứng dụng phía sau AI workflow, đồng thời xác minh cảnh báo khi xuất hiện hành vi đáng ngờ.
Đây là lớp bổ sung cho AI-specific guardrail, bởi một cuộc tấn công có thể bắt đầu từ Agent nhưng ảnh hưởng cuối cùng lại xuất hiện trên infrastructure, account hoặc application phía sau.
Checklist cho doanh nghiệp triển khai AI Agent
Xác định toàn bộ Agent đang được sử dụng.
Liệt kê tool và API mà từng Agent có thể truy cập.
Áp dụng Least Privilege cho credential của Agent.
Tách test và production.
Không sử dụng production credential trong sandbox.
Kiểm tra prompt và model output.
Kiểm tra MCP tool call và response.
Áp dụng DLP cho dữ liệu nhạy cảm.
Ghi log Agent action.
Yêu cầu human approval cho thao tác nhạy cảm.
Giám sát hành vi bất thường trên hệ thống phía sau.
Đánh giá lại policy khi Agent hoặc model được cập nhật.
Doanh nghiệp nên nhìn nhận bảo mật AI Agent như thế nào?
Việc Fortinet đưa FortiAIGate vào kiến trúc Oracle Cloud phản ánh một thay đổi quan trọng trong cách doanh nghiệp bảo vệ hệ thống AI.
Khi AI chỉ tạo nội dung, security chủ yếu tập trung vào input và output. Nhưng khi Agent được kết nối với database, API, code repository và các workflow quan trọng, AI trở thành một thành phần có khả năng tác động trực tiếp tới hạ tầng doanh nghiệp.
Vì vậy, doanh nghiệp không nên chỉ đặt câu hỏi “model có an toàn không?” mà cần mở rộng thành:
“Agent được phép truy cập gì, thực hiện hành động nào và hệ thống nào có thể bị ảnh hưởng nếu Agent bị thao túng?”
Đây mới là nền tảng để đưa AI Agent vào production một cách có kiểm soát.
Nguồn tham khảo
