Black Hat 2026: 17 hãng đổ bộ vào Agent Security, nhưng mã nguồn của họ nói gì?

Tối thứ Ba tại Black Hat USA 2026, tôi mở hộp thư và đếm được 17 thông cáo báo chí liên quan đến bảo mật AI Agent. Trong 48 giờ, 17 hãng công bố sản phẩm. Không phải hai, không phải ba. Mười bảy. Cyera, Rubrik, SailPoint, Check Point, Sweet Security, Zero Networks, Tanium, Promptfoo, Legit Security, Acalvio, KnowBe4, Drata, 1Password, Mimecast, Abnormal AI – tất cả cùng nói về một từ: Model Context Protocol, hay MCP. Sự kiện này không chỉ là một đợt phát hành sản phẩm. Nó là tín hiệu thị trường rõ ràng nhất mà tôi thấy ở hội nghị. Nhưng khi đọc kỹ từng thông cáo, tôi nhận ra một điều quan trọng: hầu hết các sản phẩm này không thực sự mới. Chúng là khả năng cũ, được dán nhãn lại. MCP là một giao thức mã nguồn mở do Anthropic phát hành vào tháng 11/2024. Nó cho phép các mô hình ngôn ngữ lớn kết nối với các công cụ bên ngoài – cơ sở dữ liệu, API, hệ thống nội bộ. Đến giữa năm 2026, MCP đã trở thành chuẩn trên thực tế cho các tác nhân AI gọi công cụ. Và chính vì nó trở thành chuẩn, nó cũng trở thành mục tiêu. Ngày đầu tiên của Black Hat, cộng đồng nghiên cứu đã tiết lộ các lỗ hổng cấp khung và các cuộc tấn công ở lớp tính toán. Điều đó có nghĩa là kẻ tấn công không chỉ lừa agent làm việc xấu – chúng có thể can thiệp trực tiếp vào kết quả gọi công cụ. Tôi dành 15 năm đọc mã nguồn của các hợp đồng thông minh. Khi tôi thấy 17 hãng cùng phát hành trong 48 giờ, tôi nghĩ ngay đến một mô hình quen thuộc: đây là một sự kiện tiếp thị có phối hợp, không phải một cuộc đua công nghệ. Các sản phẩm được chia thành bốn nhóm. Nhóm thứ nhất là khả năng hiển thị và phát hiện: Cyera Agent Guardian, Rubrik Agent Identity và SailPoint Agentic Fabric. Chúng phát hiện các Shadow Agents – các tác nhân AI do nhân viên triển khai mà không qua phê duyệt của bộ phận IT. Về bản chất, đây là các công cụ DLP (ngăn chặn mất dữ liệu) và IGA (quản trị danh tính) hiện có, mở rộng thêm cho agent. Chúng tìm kiếm thứ mà đội an ninh không nhìn thấy. Đó là giá trị thực, nhưng không có kiến trúc mới. Nhóm thứ hai là phòng thủ chủ động: Sweet Security Agentic AI Blocking, Check Point AI Network Firewall và Zero Networks Least Agency. Sweet Security hứa hẹn chặn các cuộc gọi không được phép trong thời gian thực. Check Point mở rộng tường lửa để hiểu lưu lượng MCP. Zero Networks giới thiệu một khái niệm gọi là "Least Agency" – mô phỏng theo nguyên tắc đặc quyền tối thiểu. Đây là nhóm có giá trị kỹ thuật cao nhất, nhưng cũng là nhóm có rủi ro lớn nhất. Chặn một cuộc gọi agent sai có thể làm hỏng một quy trình kinh doanh. Tôi không thấy hãng nào công bố số liệu về tỷ lệ dương tính giả. Không có benchmark. Không có nghiên cứu điển hình với tên khách hàng thực tế. Nhóm thứ ba tập trung vào giao tiếp MCP: Tanium Atlas MCP Server, Promptfoo MCP Proxy và Legit Security VibeGuard 2.0. Tanium cho phép Claude truy cập dữ liệu qua MCP. Promptfoo đóng vai trò proxy bảo mật. Legit Security bảo vệ các agent viết mã. Những sản phẩm này phụ thuộc vào tốc độ áp dụng MCP trong doanh nghiệp. Nếu MCP không trở thành chuẩn cuối cùng, chúng sẽ mất giá trị. Nhóm thứ tư là mở rộng các danh mục hiện có: Acalvio ShadowPlex dùng honeypot để lừa agent, KnowBe4 và Drata gắn các khuôn khổ tuân thủ hiện có vào agent, 1Password quản lý quyền truy cập, Mimecast và Abnormal AI thêm khả năng bảo vệ agent vào nền tảng email hiện có. Đây là các sản phẩm mang tính mở rộng tình huống. Chúng không giải quyết vấn đề gốc. Vấn đề gốc nằm ở ba nơi. Thứ nhất, hệ sinh thái MCP thiếu một khuôn khổ danh tính chuẩn cho máy chủ MCP. Không có tương đương SPIFFE trong thế giới agent. Mỗi hãng tự xây dựng cơ chế phát hiện danh tính riêng. Điều này tạo ra sự phân mảnh. Thứ hai, không hãng nào đề cập đến việc theo dõi quan hệ nhân quả giữa các agent. Rubrik giới thiệu "Agent Rewind" – cho phép cuộn ngược các thao tác của agent. Nhưng cuộn ngược một hành động trong một hệ thống phân tán, nơi nhiều agent gọi các công cụ chồng chéo, là một bài toán khó. Tôi chưa thấy bằng chứng nào về tính nhất quán của cơ chế này. Thứ ba, không có công cụ nào xây dựng được đường cơ sở hành vi – hiểu thế nào là "bình thường" đối với một agent khi chính định nghĩa về "bình thường" đang thay đổi mỗi ngày. Điểm phản trực giác nằm ở sự vắng mặt. Microsoft, CrowdStrike, Palo Alto Networks không xuất hiện trong đợt đầu này. Nếu đây thực sự là một thị trường lớn, những gã khổng lồ đó sẽ không đứng ngoài. Sự vắng mặt của họ cho thấy một điều: thị trường chưa có dữ liệu xác thực từ phía cầu. 17 hãng này đang tự xác nhận sự tồn tại của thị trường bằng chính số lượng của họ – một kiểu "tự kỷ ám thị" của ngành an ninh. Tôi đã thấy chu kỳ này nhiều lần. Trong thị trường DeFi năm 2020, hàng chục dự án phát hành token trong một tuần, mỗi dự án tuyên bố giải quyết một vấn đề mới. Khi tôi kiểm toán, hầu hết đều dùng chung một mã nguồn fork và đổi tên. Thị trường Agent Security hôm nay giống hệt. Có một khác biệt quan trọng. Khi một kẻ tấn công khai thác lỗi trong hợp đồng thông minh, thiệt hại có thể đo đếm được bằng số token bị đánh cắp. Khi một agent bị tấn công thông qua MCP, thiệt hại có thể là toàn bộ dữ liệu doanh nghiệp bị rò rỉ trong một chuỗi lệnh. Lỗ hổng ở mức khung được tiết lộ tại Black Hat cho thấy các cuộc tấn công không chỉ dừng ở việc chèn lời nhắc. Chúng có thể thay đổi kết quả của chính lớp thực thi. Điều này không có nghĩa là tất cả 17 sản phẩm đều vô dụng. Có những công ty thông minh trong số đó. Nhưng câu hỏi mà tôi đặt ra, với tư cách là một kỹ sư bảo mật đã kiểm toán hàng nghìn dòng mã, là: hãy cho tôi xem mã nguồn, cho tôi xem dữ liệu false positive, cho tôi xem một ca triển khai thực tế có tên doanh nghiệp cụ thể. Không hãng nào trong số 17 hãng công bố những dữ liệu đó. Điều này không làm tôi ngạc nhiên. Đây là giai đoạn sớm của một thị trường do lo lắng thúc đẩy. Các công ty mua sản phẩm vì áp lực từ hội đồng quản trị, vì họ sợ Shadow Agents chạy ngoài tầm kiểm soát, vì họ muốn có một báo cáo tuân thủ dày hơn. Nhưng 12-24 tháng nữa, khi các lỗ hổng MCP thực sự bị khai thác ở quy mô lớn, chúng ta sẽ biết sản phẩm nào có giá trị thực. Đến lúc đó, 17 hãng sẽ chỉ còn lại năm hoặc sáu hãng. Một số sẽ bị các nền tảng lớn thâu tóm. Một số sẽ biến mất. Trong khi chờ đợi, tôi sẽ tiếp tục đọc mã nguồn. Tôi đã học được rằng các giao thức mở như MCP luôn phát triển theo hai hướng: bị thay thế bởi một giao thức an toàn hơn, hoặc tự trang bị các cơ chế bảo mật theo thời gian. Lịch sử của OAuth 2.0 cho thấy con đường thứ hai là khả thi. Nhưng OAuth 2.0 không phải là một lớp thực thi. MCP thì có. Câu hỏi cuối cùng không phải là "ai đang bán agent security giỏi nhất". Câu hỏi là: bạn có sẵn sàng để agent của mình gọi một máy chủ MCP trong mạng nội bộ, khi mà chính giao thức đó vẫn chưa có một chuẩn danh tính, một cơ chế cuộn ngược đáng tin cậy, và một benchmark độc lập nào? Dữ liệu của tôi nói: chưa. Và sự im lặng của 17 hãng nói lên điều đó.