AWS và Keyfactor cho ba agent AI giữ chứng chỉ riêng để thu hồi một chứng chỉ là cắt quyền cả chuỗi
AWS và Keyfactor cho mỗi agent một chứng chỉ riêng; thu hồi chứng chỉ người dùng là cắt quyền cả chuỗi. Ba câu hỏi để kiểm hệ thống của bạn.
Xong bài này bạn làm được Người đọc liệt kê mọi khóa, token và phiên mà agent giữ thay người dùng, thử tắt dịch vụ kiểm thu hồi trong môi trường thử và thử cho một agent con gọi agent con khác trước khi mở rộng quyền cho agent.
Nhóm của bạn cho một trợ lý AI gồm vài agent (phần mềm AI tự gọi công cụ) truy cập cơ sở dữ liệu và hộp thư của công ty. Một nhân viên nghỉ việc hôm nay. Bạn có tắt được mọi thứ các agent đang làm thay người đó trong một thao tác, hay phải đi dò từng khóa API (chìa khóa để chương trình gọi dịch vụ), từng phiên đăng nhập, từng agent? Ngày 20/10/2026, nhóm kỹ sư của AWS và Keyfactor đăng một kiến trúc tham chiếu trả lời câu hỏi đó bằng chứng chỉ số, và nó đáng đọc ngay cả khi bạn không dùng sản phẩm của hai hãng.
Bài của AWS và Keyfactor đề xuất gì
Bài do Deepakkumar Sharma, Alex Ament và JD Kilgallin viết trên blog Machine Learning của AWS. Họ nêu vấn đề: MCP (Model Context Protocol, giao thức nối agent với công cụ và dữ liệu) không có chuẩn xác thực riêng, nên một thành phần bất kỳ có thể giả danh agent hoặc phát lại thông tin đăng nhập bắt được. Theo bài, việc chia sẻ khóa API giữa các thành phần hay chuyền token OAuth (thẻ truy cập tạm) qua chuỗi agent chưa đáp ứng yêu cầu zero-trust (không tin mặc định) của doanh nghiệp.
Kiến trúc của họ dùng chứng chỉ X.509, tức giấy xác nhận danh tính số do một cơ quan cấp chứng chỉ ký, với EJBCA của Keyfactor làm cơ quan đó. Bốn cơ chế gồm:
- Phong bì ký số cho từng yêu cầu. Agent điều phối ký toàn bộ yêu cầu (tên công cụ, tham số, thời điểm và một số ngẫu nhiên dùng một lần) bằng khóa riêng của nó. Agent nhận kiểm được người gửi thật sự giữ khóa. Gửi lại cùng lời nhắc phải tạo phong bì mới, phong bì cũ không phát lại được.
- Giấy ủy quyền do người dùng ký. Lúc đăng nhập, ứng dụng sinh cặp khóa, xin chứng chỉ cho người dùng và cho ba agent, rồi người dùng ký một văn bản liệt kê dấu vân tay SHA-256 của ba chứng chỉ agent. Agent mang văn bản này thay vì thông tin đăng nhập của người dùng.
- Token giới hạn người nhận. Theo chuẩn RFC 8693, token đầy đủ của phiên được đổi lấy token hẹp chỉ dùng được với máy chủ MCP. Chỉ token hẹp được trao cho agent.
- Kiểm thu hồi theo thời gian thực. Mỗi yêu cầu hỏi OCSP (giao thức hỏi xem một chứng chỉ đã bị thu hồi chưa) tới EJBCA.
Khi đăng xuất, hệ thống thu hồi chứng chỉ người dùng và ba chứng chỉ agent. Bài viết rằng thu hồi một chứng chỉ người dùng làm vô hiệu mọi giấy ủy quyền và quyền của agent phía sau mà không cần xóa từng token hay phiên, vì mọi yêu cầu đều qua bước kiểm OCSP. Đây là mô tả của chính hãng về hệ thống mẫu, bài không nêu kết quả đo hay thử nghiệm độc lập, và ví dụ trong bài dùng một cơ sở dữ liệu làm tài nguyên được bảo vệ. Chứng chỉ trong ví dụ có hiệu lực 7 ngày, và hệ thống từ chối mọi yêu cầu nếu không hỏi được OCSP, chữ ký sai, thời điểm quá hạn, số dùng một lần bị lặp hoặc sai người nhận.
Ba câu hỏi rút ra cho hệ thống của bạn
Ba câu dưới đây là gợi ý của bài này, chưa thử trên hệ thống nào. Bạn có thể hỏi chúng với bất kỳ giải pháp danh tính agent nào, kể cả khi không dùng chứng chỉ X.509.
- Thu hồi một người thì quyền của agent có mất theo không? Lập danh sách mọi thứ agent đang cầm thay một người dùng: khóa API, token, phiên. Với từng thứ, ghi ai thu hồi và mất bao lâu. Nếu có thứ nào sống lâu hơn người dùng hoặc phải xóa tay, đó là chỗ hở cần vá trước.
- Khi thành phần kiểm thu hồi không trả lời, hệ thống từ chối hay cho qua? Bài chọn từ chối. Hãy tạm tắt dịch vụ kiểm trong môi trường thử và xem yêu cầu của agent có bị chặn không. Nếu vẫn qua, quyền của agent đang phụ thuộc vào việc dịch vụ kiểm không bao giờ hỏng.
- Agent có thể gọi agent khác ngoài danh sách cho phép không? Trong ví dụ, chỉ agent điều phối gọi được agent cơ sở dữ liệu và agent thư; các agent con không gọi nhau, không gọi ngược lên. Thử cho một agent con gọi một agent con khác. Nếu gọi được, hãy ghi lại ai cho phép và vì sao.
Nếu cả ba câu đều có đáp án ghi được bằng một dòng, bạn đã biết quyền của agent chấm dứt ở đâu. Nếu câu nào trả lời bằng “chưa biết”, đừng mở rộng quyền cho agent thêm cho tới khi biết.
Nguồn tham khảo
- AWS Machine Learning Blog, “Securing AI agent identity with X.509 PKI on AWS” (20/10/2026) — kiến trúc tham chiếu của AWS và Keyfactor: phong bì ký số, giấy ủy quyền, token RFC 8693, kiểm OCSP, chuỗi thu hồi khi đăng xuất và các cân nhắc bảo mật.