Okta để làm trụ cột cho danh tính agent Okta như xương sống của an ninh doanh nghiệp

Khi các tác nhân AI lan tỏa khắp doanh nghiệp, các lãnh đạo như Todd McKinnon đang suy nghĩ lại cách danh tính tác nhân của okta có thể bảo đảm an toàn cho cả con người và phần mềm trong một bối cảnh biến đổi nhanh chóng.

Okta, sự gián đoạn của AI và nỗi sợ SaaSpocalypse

Todd McKinnon, đồng sáng lập và CEO của Okta, điều hành một nền tảng nhận dạng và bảo mật đám mây giúp các công ty lớn quản lý quyền truy cập trên các ứng dụng và dịch vụ. Với giá trị vốn hóa thị trường 14 tỷ đô la, công ty là một trong những doanh nghiệp phần mềm dưới dạng dịch vụ (SaaS) hàng đầu. Tuy nhiên, ngành đang phải chịu áp lực ngày càng tăng khi AI cho phép khách hàng tự xây dựng công cụ của riêng họ thay vì trả phí thuê bao định kỳ.

Mối lo rộng khắp này, đôi khi được gọi là “SaaSpocalypse”, đã khiến McKinnon, theo lời ông, “mang tâm lý lo lắng thái quá”. Trong cuộc gọi kết quả kinh doanh gần đây nhất của Okta vào năm 2026, ông cảnh báo rằng các mô hình ngôn ngữ lớn và các tác nhân tự chủ có thể định hình lại cách các sản phẩm bảo mật và nhận dạng được xây dựng. Dù vậy, ông cũng xem sự gián đoạn này như một cơ hội cực kỳ lớn nếu Okta có thể hành động đủ nhanh.

McKinnon cho biết ông là người định hướng theo thách thức và xem các tác nhân AI là một sự thay đổi có khả năng lớn hơn cả điện toán đám mây. Hơn nữa, ông tin rằng Okta đã thành công trong làn sóng đầu tiên của các dịch vụ nhận dạng, nhưng giờ cần thích nghi để nắm bắt các thị trường mới đang nổi lên xung quanh các kiến trúc dựa trên tác nhân.

Thị trường mở rộng cho nhận dạng tác nhân

Khi được hỏi vì sao ông lo lắng trong khi thị trường phần mềm có thể tiếp cận được tổng thể vẫn tiếp tục tăng trưởng, McKinnon chia nỗi lo của mình thành hai nhóm: chuyển dịch thị trường và năng lực thực thi. Ở phía thị trường, ông lập luận rằng các tác nhân AI phải đăng nhập vào hệ thống, đảm nhận vai trò, và vận hành với các quyền được xác định. Điều đó tạo ra một hoàn toàn mới loại danh tính bên cạnh người dùng con người truyền thống.

Ở phía thực thi, các tổ chức cần tiếp thu nhiều thay đổi hơn trên toàn bộ các lớp công nghệ, cơ cấu nhóm và quy trình. Theo quan điểm của ông, các công ty phải nâng “hệ số thay đổi” để theo kịp các hệ thống mang tính tác nhân. Vì vậy, Okta không chỉ cần định hướng xoay quanh danh tính lực lượng lao động mà còn cần trở thành một nền tảng quản lý danh tính tác nhân, cho phép thử nghiệm an toàn và áp dụng các công cụ mới.

McKinnon tin rằng cơ hội lớn nhất là trở thành lớp nhận dạng cho các tác nhân AI thay vì chỉ phòng thủ trước các đối thủ rẻ hơn, kiểu “đo ni đóng giày theo cảm tính”. Nếu Okta giành được lớp đó, theo ông, công ty có thể mở rộng thành danh mục lớn nhất trong lĩnh vực an ninh mạng. Hơn nữa, với chi tiêu cho an ninh mạng hiện đã lên đến hàng trăm tỷ đô la và an ninh nhận dạng là một phần lớn, thì phần thưởng dài hạn là rất đáng kể.

Cân bằng nhận dạng cốt lõi với lớp tác nhân mới

Khi được hỏi về các đánh đổi, McKinnon bác bỏ cách nhìn theo kiểu “trò chơi tổng bằng không” giữa nhận dạng truyền thống và các tác nhân. Ông cho rằng độ tin cậy, độ sâu tích hợp và niềm tin đều quan trọng ở cả hai lĩnh vực. Dù ai đó có thể tái tạo các tính năng riêng lẻ, thì việc nhân rộng hàng nghìn tích hợp mạnh mẽ và giữ chúng hoạt động ổn định là vô cùng khó.

Ông ghi nhận rằng phần mềm bảo mật và hạ tầng trong lịch sử đã được “miễn nhiễm” nhiều hơn trước nguy cơ bị tiêu chuẩn hóa (commoditization), một phần vì thất bại sẽ kéo theo hậu quả nghiêm trọng. Tuy vậy, ông vẫn cảnh giác trước cả các nhà cung cấp cạnh tranh và các đội kỹ thuật nội bộ có thể tìm cách thay thế Okta bằng các dịch vụ nhận dạng được xây dựng bởi AI.

Đối với McKinnon, ranh giới cạnh tranh là rõ ràng: các doanh nghiệp sẽ tiến hóa thành các tổ chức “tác nhân” (agentic) dựa nhiều vào người lao động số. Khi đó, yêu cầu trở thành việc kiểm soát tập trung cho các tác nhân này, bao gồm danh mục nơi chúng chạy, chúng kết nối tới những hệ thống nào và chúng nắm giữ những quyền gì.

OpenClaw, rủi ro tác nhân và nhu cầu kiểm soát

Sự trỗi dậy của các công cụ như OpenClaw đã làm rõ những vấn đề này đối với Okta. McKinnon gọi OpenClaw là một mốc bước ngoặt (watershed moment) cho thấy nghệ thuật của cái có thể đối với các tác nhân. Tuy nhiên, nó cũng phơi bày mức độ khó khăn khi doanh nghiệp vừa kết nối đúng dữ liệu vừa vẫn duy trì bảo mật và quản trị chặt chẽ.

Phản hồi của Okta là xây dựng các “đường ray” để áp dụng an toàn. Những đường ray này bao gồm một hệ thống danh mục tác nhân cấp doanh nghiệp, một hệ thống ghi nhận (system of record) cho mọi tác nhân đang chạy trên các nhà cung cấp và nền tảng. Hơn nữa, Okta muốn trao cho các công ty các cơ chế kiểm soát chính xác về việc mỗi tác nhân có thể truy cập dữ liệu và ứng dụng nào, kèm theo khả năng thu hồi ngay quyền truy cập đó khi có sự cố xảy ra.

Khi được hỏi liệu một “công tắc tắt khẩn” (kill switch) ở cấp tác nhân có đủ hay không, McKinnon nhấn mạnh rằng việc phát hiện và phản hồi sẽ khác nhau tùy theo từng trường hợp sử dụng. Không có một thuật toán kỳ diệu nào có thể phát hiện mọi hành vi xấu. Thay vào đó, Okta đang làm việc để xây dựng các chuẩn mực và tín hiệu có thể cảnh báo các đội an ninh và thu hồi quyền truy cập trên các hệ thống khi các điều kiện ngưỡng được đáp ứng.

Bên trong cấu trúc của Okta cho tương lai mang tính tác nhân

Nội bộ, McKinnon nói rằng Okta được tổ chức dựa trên một triết lý lấy con người làm trung tâm. Các nhà lãnh đạo có năng lực sẽ có rõ ràng phạm vi trách nhiệm, các chức năng liên quan được gom cụm để giảm chi phí trao đổi thông tin, và quản lý mạnh mẽ sẽ làm nền cho việc triển khai. Hơn nữa, nghiên cứu và phát triển được tổ chức theo nền tảng để giữ cho các nhóm tập trung vào các năng lực cốt lõi.

Phong cách lãnh đạo của ông đã thay đổi khi công ty mở rộng quy mô. Ngay từ giai đoạn đầu của Okta, quá trình ra quyết định chậm lại khi trách nhiệm tăng lên. Theo thời gian, ông học được cách tin vào trực giác của mình nhiều hơn, đồng thời vẫn cân nhắc kỹ những lựa chọn chiến lược nào cần CEO trực tiếp tham gia. Dù vậy, ông vẫn đi sâu vào những chủ đề như kiến trúc tác nhân, nơi định hướng dài hạn đang bị đặt cược.

Quyết định chiến lược theo đuổi danh tính tác nhân của okta như một trụ cột cốt lõi xuất phát trực tiếp từ khách hàng. Trong một loạt cuộc gặp với nhiều trong số các tài khoản lớn nhất của Okta và tại hội nghị của công ty, McKinnon ban đầu đề xuất một nền tảng nhận dạng hợp nhất rộng khắp. Khi ông giới thiệu các khái niệm về tác nhân, sự quan tâm của khách hàng tăng vọt, và các cuộc thảo luận ngày càng tập trung vào cách quản lý người lao động số.

Các LLM ngày nay có hỗ trợ được doanh nghiệp mang tính tác nhân không?

Vẫn có tranh luận về việc liệu các mô hình ngôn ngữ lớn hiện tại có thể thực sự hỗ trợ các hệ thống tác nhân ở quy mô sản xuất hay không. Các tác nhân có thể “giòn” (brittle); khi chúng chạm ranh giới, con người phải can thiệp, làm chậm quá trình áp dụng. McKinnon thừa nhận những lo ngại này nhưng khẳng định rằng công nghệ sẽ cải thiện đủ nhanh để biện minh cho việc xây dựng dựa trên nó ngay bây giờ.

Ngay cả khi không đưa ra các suy luận quá đà, ông tin rằng thị trường tạo ra bởi các quy trình vận hành mang tính tác nhân sẽ rất lớn. Hơn nữa, ông lập luận rằng trái với việc loại bỏ các nhà phát triển, tương lai này sẽ cần nhiều hơn kỹ thuật phát triển phần mềm. Các nhóm sẽ phải thiết kế kiến trúc, duy trì hệ thống ở quy mô lớn, và hiểu cách mã do các tác nhân tạo ra vận hành theo thời gian.

Xem xét mảng giáo dục và các đường ống phát triển nhân tài, McKinnon kỳ vọng các kiến thức nền tảng về khoa học máy tính sẽ vẫn luôn quan trọng. Tuy nhiên, chương trình đào tạo sẽ phát triển theo hướng nhấn mạnh việc phối hợp các tác nhân, thiết kế các quy trình vận hành vững chắc, và kiến trúc các hệ thống phức tạp. Ông nói rằng các kỹ sư ở cấp đầu vào sẽ đặc biệt quan trọng, chính xác vì họ sẵn sàng tiếp nhận những cách làm việc mới.

Dữ liệu, trí tuệ và nơi giá trị được tích lũy

Một số nhà phân tích cho rằng cơ sở dữ liệu sẽ nắm bắt phần lớn giá trị của AI vì các tác nhân cần truy cập dữ liệu. McKinnon có quan điểm tinh tế hơn, phân biệt giữa dữ liệu thô và trí tuệ. Ông nói rằng khách hàng muốn có phân tích và hiểu biết (insights) hơn là chỉ lưu trữ.

Ông nêu các nền tảng dữ liệu như Snowflake, Databricks và Palantir như ví dụ về những hệ thống đã gói sẵn trí tuệ cùng với dữ liệu. Câu hỏi mở là ai sẽ cung cấp lớp trí tuệ chính trong một thế giới mang tính tác nhân: các nhà cung cấp ứng dụng hiện hữu, các người chơi chuyên môn mới, hay một sự kết hợp của cả hai. Hơn nữa, ông lưu ý rằng các ứng dụng đang trở nên kết nối hơn khi các tác nhân mở rộng qua nhiều “khoang” (silo), điều này làm tăng nhu cầu về các chuẩn mực quy định cách các tác nhân truy cập các hệ thống bên ngoài.

Xu hướng này phù hợp với tầm nhìn rộng hơn của Okta về một bản thiết kế doanh nghiệp mang tính tác nhân. Trong mô hình đó, dữ liệu, ứng dụng và các tác nhân tương tác thông qua các khung chuẩn về danh tính và quyền truy cập thay vì những tích hợp “tùy biến” (bespoke) vốn khó bảo đảm an toàn.

Bản thiết kế cho danh tính tác nhân và kiểm soát

Okta đã vạch ra một bản thiết kế cho doanh nghiệp mang tính tác nhân an toàn, dựa trên ba trụ cột: đưa các tác nhân vào hệ thống như một loại danh tính riêng biệt, chuẩn hóa các điểm kết nối, và cung cấp một công tắc tắt khẩn vững chắc. Trụ cột thứ nhất coi các tác nhân như những danh tính lai, mang thuộc tính của cả con người lẫn hệ thống.

McKinnon giải thích rằng các doanh nghiệp trước tiên cần một danh mục tập trung về các tác nhân trên tất cả các nhà cung cấp và nền tảng. Một số tác nhân được gắn chặt với từng nhân viên, một số khác là dạng không có đầu cuối (headless), và một số phần tạo thành các quy trình vận hành đa tác nhân lớn hơn. Với khả năng quan sát tập trung, các tổ chức có thể quản trị hệ thống nào từng tác nhân được phép truy cập và có thể thu hồi các liên kết đó khi rủi ro vượt quá các ngưỡng chấp nhận được.

Thiết kế các mô hình quyền tác nhân và ủy quyền (authorization) là khó khăn vì hành vi của tác nhân không mang tính quyết định (non-deterministic). Nếu các công ty đòi hỏi an toàn hoàn hảo và kết quả mang tính quyết định, họ phải hạn chế truy cập một cách chặt chẽ. Tuy nhiên, nếu họ muốn các tác nhân có sức mạnh và tự chủ, họ phải cấp các quyền rộng hơn và chấp nhận rủi ro nhiều hơn. Kiến trúc của Okta hướng đến việc cho phép khách hàng tinh chỉnh sự cân bằng này.

Đưa tác nhân vào và mô hình hóa tác nhân

Ở góc nhìn kiến trúc, việc đưa các tác nhân vào hệ thống như một danh tính có nghĩa là biểu diễn chúng trong các kho lưu trữ danh tính với các thuộc tính có cấu trúc, vòng đời (lifecycles) và quyền lợi (entitlements). Một số mô hình yêu cầu chuyển danh tính của con người qua tác nhân để các hệ thống phía sau (downstream systems) nhìn thấy hành động trong ngữ cảnh lấy người dùng làm trung tâm. Những mô hình khác lại yêu cầu chính tác nhân nắm giữ danh tính của riêng mình để đưa ra các quyết định ủy quyền độc lập.

Trạng thái ở “khoảng giữa” này chính là điều McKinnon muốn nói khi ông nói rằng danh tính tác nhân nằm giữa một con người và một hệ thống. Hơn nữa, bằng cách mô hình hóa các tác nhân một cách rõ ràng, các đội an ninh có thể áp dụng chính sách, kiểm tra hoạt động (audit activity) và tích hợp với các công cụ quản trị hiện có thay vì coi các tác nhân như các quy trình chạy nền vô hình.

Phát hiện, tín hiệu và công tắc tắt khẩn

Việc phát hiện khi nào một tác nhân làm điều bất ngờ phụ thuộc vào mục đích dự định của nó và cách hiện thực kỹ thuật. Không có một mẫu phổ quát nào hoạt động trong mọi trường hợp. Thay vào đó, Okta tập trung vào việc xác định các chuẩn mực và các loại tín hiệu mà các ứng dụng và nền tảng an ninh có thể sử dụng để tạo cảnh báo.

Khái niệm công tắc tắt khẩn rất đơn giản: thu hồi quyền truy cập của một tác nhân vào các hệ thống và dữ liệu một cách nhanh chóng và nhất quán. Tuy nhiên, việc phối hợp thu hồi đó trên nhiều nhà cung cấp và nhiều đám mây đòi hỏi các giao thức chung và công việc tích hợp, đây là lĩnh vực mà Okta xem như một sự mở rộng tự nhiên của các thế mạnh hiện có của mình.

Động lực nền tảng, khả năng tương tác và quy định

Khi được hỏi các nhà cung cấp lớn như Salesforce và Microsoft có thể phản ứng ra sao nếu khách hàng yêu cầu các tác nhân vượt qua nhiều “khoang” (cross-silo), McKinnon kỳ vọng sẽ có sự căng thẳng giữa tính cởi mở và việc bị khóa vào hệ thống (lock-in). Các nhà cung cấp có thể tìm cách hạn chế quyền truy cập hoặc đưa ra các mô hình định giá mới và các khoản phí cho tự động hóa đa nền tảng.

Tuy nhiên, ông tin rằng cuối cùng khách hàng sẽ có đòn bẩy, đặc biệt là các doanh nghiệp lớn dựa vào môi trường nhiều nhà cung cấp. Nếu việc bị khóa làm hại khách hàng, các cơ quan quản lý có thể can thiệp, tương tự như cách họ đã từng can thiệp trong các giai đoạn trước của quá trình phát triển ngành phần mềm. Hơn nữa, khi việc sử dụng tác nhân trên nhiều “khoang” tăng lên, các chuẩn mực ngành và hướng dẫn quy định sẽ có khả năng được điều chỉnh để hỗ trợ khả năng tương tác.

Cùng lúc đó, các tác nhân khiến việc loại bỏ các bên trung gian truyền thống trong quy trình trở nên dễ hơn, điều này có thể tăng hiệu quả nhưng cũng tạo ra các phụ thuộc mới vào chính sách nền tảng. Động lực này củng cố tầm quan trọng của các lớp danh tính và quyền truy cập trung lập.

Lừa đảo, danh tính số và các mối đe dọa do AI cung cấp

McKinnon cũng đề cập đến mặt tối hơn của AI và các tác nhân: lừa đảo và gian lận. Okta đã đóng vai trò quan trọng trong việc xác thực khách hàng, và các chiến thuật gian lận được hỗ trợ bởi AI đang phát triển nhanh chóng. Các thông tin xác thực ngoại tuyến như giấy phép lái xe và hộ chiếu đang chuyển sang dạng số, bao gồm giấy phép lái xe trên điện thoại di động và các hệ thống sinh trắc học.

Theo quan điểm của ông, các thông tin xác thực đã được số hóa này có thể giúp các tổ chức phân biệt giữa người dùng con người, bot và tác nhân. Tuy vậy, các công ty cũng cần cân bằng giữa phòng chống gian lận với các biện pháp bảo vệ quyền riêng tư và các quy định theo khu vực. Hơn nữa, việc kết hợp danh tính số với các nền tảng nhận dạng mạnh có thể mang lại cho doanh nghiệp những công cụ mới để chống lại các cuộc tấn công do AI điều khiển.

Về xác minh độ tuổi và an toàn cho người trẻ, McKinnon nói rằng các chính phủ đang tranh luận tích cực về các tiêu chuẩn và yêu cầu cho danh tính số. Vai trò của Okta là đảm bảo khách hàng có thể chấp nhận và thực thi bất kỳ khung quy định nào nảy sinh, đồng thời vẫn duy trì bảo mật mạnh và tính linh hoạt.

Điều gì tiếp theo cho Okta và danh tính tác nhân

Nhìn về phía trước, McKinnon định hình sứ mệnh của Okta là giúp doanh nghiệp xây dựng các môi trường mang tính tác nhân an toàn. Công ty đang tiến triển bản thiết kế của mình và cung cấp các công cụ để cho phép khách hàng đưa các tác nhân vào hệ thống một cách an toàn, chuẩn hóa các kết nối, và thực thi các cơ chế kiểm soát như công tắc tắt khẩn khi bề mặt rủi ro xuất hiện.

Hơn nữa, ông lập luận rằng khi các tác nhân trở nên phổ biến, các nền tảng nhận dạng phải mở rộng liền mạch từ con người sang phần mềm. Trong tầm nhìn đó, các nguyên tắc cốt lõi từng đảm bảo cho việc đăng nhập của lực lượng lao động sẽ chi phối việc đăng nhập của người lao động số, giải phóng năng suất trong khi vẫn giữ nguyên bảo mật, tuân thủ và niềm tin của tổ chức.

Tóm lại, Okta đang đặt cược rằng tương lai của an ninh sẽ phụ thuộc vào việc quản lý nghiêm ngặt danh tính của các tác nhân, mang đến cho doanh nghiệp một cách thống nhất để có thể nhìn thấy, kiểm soát và kiểm tra từng tác nhân con người và phi con người trong toàn bộ hệ thống của họ.