Một mục đầy đủ, chín mục một phần, không có mục nào chỉ nói suông cho qua. Một trang tuyên bố cả mười mục đều đầy đủ sẽ chính là kiểu marketing mà chúng tôi khuyên bạn đừng tin. Các mức độ bao phủ dưới đây đã vượt qua sự xem xét của một người hoài nghi độc lập, người có nhiệm vụ tìm cách bác bỏ chúng, và ở những chỗ một cơ chế phòng vệ đã tồn tại trong nền tảng nhưng agent đang triển khai chưa kế thừa nó, chúng tôi ghi rõ điều đó ngay trong hàng tương ứng.
| Nguy cơ | Mức độ bao phủ | Cách CIRIS xử lý |
|---|---|---|
| ASI01 Chiếm đoạt mục tiêu của agent | Một phần | Phòng thủ nhiều lớp: quét chèn lệnh (prompt-injection) trên các kỹ năng và tin nhắn được nhập vào, cô lập chèn lệnh qua hình ảnh (bộ đánh giá lương tâm không bao giờ thấy dữ liệu byte ảnh gốc), và một chuỗi lương tâm kiểm tra lại mọi hành động kết quả so với ý định ban đầu của người dùng trước khi thực thi. Hạn chế: việc quét đầu vào dựa trên mẫu và chưa tách biệt một cách hình thức giữa dữ liệu truy xuất và các chỉ thị. |
| ASI02 Lạm dụng công cụ | Một phần | CIRISServer cung cấp danh sách cho phép/từ chối theo hành động cùng một danh sách cấm tuyệt đối được máy chủ thực thi, được kiểm tra trước khi một thao tác chạy, để một agent được ủy quyền không thể gọi một thao tác phá hoại mà nó chưa được cấp phép. Lưu ý: cơ chế này hiện đang bảo vệ tầng hạ tầng và chưa kiểm soát các lệnh gọi công cụ LLM của chính agent đang triển khai; việc kế thừa cho agent là một giai đoạn đã được lên kế hoạch. |
| ASI03 Lạm dụng danh tính và đặc quyền | Một phần | Thẩm quyền có phạm vi giới hạn, được ủy quyền, và có thể thu hồi ngay trong nền tảng: các ràng buộc được mang theo trong các liên kết đã ký, một danh sách cấm tuyệt đối ngăn việc ủy quyền lại các quyền cao nhất để thẩm quyền không thể leo thang, chỉ được phê duyệt theo hướng thắt chặt, và thu hồi tức thì. Lưu ý: hiện được thực thi trên bề mặt thao tác của chủ sở hữu hạ tầng; việc kế thừa cho agent đang triển khai là một giai đoạn đã được lên kế hoạch. |
| ASI04 Chuỗi cung ứng agentic | Một phần | Toàn vẹn bản dựng thông qua các bản kê khai mô-đun được ký hậu lượng tử của CIRISVerify (Ed25519 + ML-DSA-65 trên toàn bộ hash cây tệp), cùng với danh tính đã ký và được chứng thực cho các thành phần trong liên minh. Hạn chế: chỉ bao phủ chuỗi bản dựng và mô-đun của chính CIRIS, không bao phủ các máy chủ MCP bên thứ ba bất kỳ. |
| ASI05 Thực thi mã ngoài dự kiến | Một phần | Các cổng lương tâm ngữ nghĩa (entropy, tính mạch lạc, phủ quyết tối ưu hóa) chạy trên mọi hành động công cụ trước khi thực thi, và trường hợp không chắc chắn sẽ được chuyển giao cho con người. Hạn chế: đây là kiểm tra ngữ nghĩa, không phải một sandbox mã tất định. |
| ASI06 Đầu độc bộ nhớ và ngữ cảnh | Một phần | Mọi lần ghi vào bộ nhớ đồ thị đều là một hành động được quản trị, được lương tâm kiểm tra, vào một đồ thị có phạm vi giới hạn và có phiên bản, chứ không phải một hiệu ứng phụ âm thầm, vì vậy một lần ghi đầu độc tự nó cũng là một quyết định có thể kiểm toán. Hạn chế: việc chấm điểm độ tin cậy cho nội dung truy xuất mới chỉ thực hiện một phần. |
| ASI07 Giao tiếp giữa các agent không an toàn | Một phần | CIRISEdge xác minh mọi tin nhắn giữa các agent qua một chuỗi bảy bước, kết thúc bằng việc xác minh chữ ký kết hợp Ed25519 + ML-DSA-65 (giới hạn kích thước, giải mã hóa có kiểu dữ liệu, danh sách schema cho phép, kiểm tra khóa đích, cửa sổ chống phát lại). Hạn chế: tầng truyền tải của liên minh vẫn đang được xây dựng. |
| ASI08 Lỗi lan truyền dây chuyền | Đầy đủ | Được giới hạn ở ba tầng độc lập: cầu dao ngắt mạch cho từng dịch vụ (đóng / mở / bán mở) bao quanh các lệnh gọi rủi ro, chuỗi lương tâm chặn một hành động sai trước khi nó lan truyền, và cách ly lưới đo được là không có rò rỉ giữa các nhóm trên phạm vi từ 50 đến 400 node. |
| ASI09 Lợi dụng lòng tin giữa con người và agent | Một phần | Chuỗi lương tâm chấm điểm chính văn bản giải thích của agent, bao gồm lý do được hiển thị cho người xét duyệt, để phát hiện sự tự tin thái quá và thao túng trước khi con người nhìn thấy nó. Hạn chế: việc kiểm toán này dùng cùng họ mô hình với mô hình đang được kiểm tra. |
| ASI10 Agent nổi loạn | Một phần | Ba tầng: sáu lương tâm kiểm soát mọi hành động có hệ quả trước khi thực thi, một dấu vết kiểm toán được ký và liên kết bằng hash giúp phát hiện hành vi che giấu sau khi xảy ra, và công tắc ngắt khẩn cấp luôn nghiêng về an toàn cho phép những con người được nêu tên dừng một agent lệch chuẩn. Hạn chế: việc phát hiện một agent lệch chuẩn tinh vi nhưng vẫn mạch lạc về bản chất là có giới hạn. |
OWASP Top 10 cho các ứng dụng Agentic, công bố tháng 12/2025. Được ánh xạ với CIRIS tính đến tháng 7/2026; hãy cho chúng tôi biết nếu có ô nào sai và chúng tôi sẽ sửa.
Nguồn
- ASI01 Chiếm đoạt mục tiêu của agentCIRISAgent skill-import SECURITY.md + conscience pipeline
- ASI02 Lạm dụng công cụCIRISServer auth/gate.rs + DELEGATION_CONSTRAINTS.md (shipped 0.5.72)
- ASI03 Lạm dụng danh tính và đặc quyềnCIRISServer auth/gate.rs (never-list, tighten-only) + adoption plan
- ASI04 Chuỗi cung ứng agenticCIRISVerify Threat Model, §3.4 Supply Chain
- ASI05 Thực thi mã ngoài dự kiếnCIRISAgent conscience/core.py (semantic action gates)
- ASI06 Đầu độc bộ nhớ và ngữ cảnhCIRISAgent ciris_engine (governed graph memory)
- ASI07 Giao tiếp giữa các agent không an toànCIRISEdge README (verify-before-dispatch pipeline)
- ASI08 Lỗi lan truyền dây chuyềnCIRISAgent circuit_breaker.py + CIRISServer measured mesh isolation
- ASI09 Lợi dụng lòng tin giữa con người và agentCIRISAgent epistemic-humility conscience prompt
- ASI10 Agent nổi loạnCIRISVerify HUMANITY_ACCORD kill switch + conscience pipeline
Danh mục phân loại này chỉ là một góc nhìn. Xem CIRIS đứng ở đâu giữa mọi cách tiếp cận về trách nhiệm giải trình AI, và cách công tắc ngắt khẩn cấp có thể được xác minh độc lập.