AI Agent kết nối dữ liệu và thực thi quy trình nghiệp vụ an toàn như thế nào? Kiến trúc Amazon Bedrock AgentCore

AI Agent đang mở ra một cách tiếp cận mới trong tự động hóa hoạt động doanh nghiệp: thay vì chỉ trả lời câu hỏi hoặc tạo nội dung theo yêu cầu, agent có thể chủ động tìm kiếm thông tin, phân tích dữ liệu, lựa chọn công cụ và thực hiện nhiều bước xử lý để hoàn thành một nhiệm vụ. Nhưng để agent hoạt động được trong môi trường doanh nghiệp, một thách thức lớn đặt ra: làm thế nào để agent truy cập đúng dữ liệu, sử dụng đúng công cụ và thực hiện các hành động trong phạm vi quyền hạn được cho phép? Trong bài đăng trên nhóm Machine Learning cơ bản, tác giả David Nguyen trình bày kiến trúc Agentic AI mà AWS giới thiệu — Amazon Bedrock AgentCore — với các thành phần hỗ trợ xây dựng, kết nối, bảo mật và vận hành AI Agent, trong đó kết nối qua MCP, quản lý danh tính, kiểm soát quyền sử dụng công cụ và giám sát hoạt động là những yếu tố quan trọng.

Trả lời nhanh

• Kết nối qua MCP và AgentCore Gateway: dữ liệu và chức năng nghiệp vụ nằm rải rác trên Database, CRM, ERP, Data Warehouse và ứng dụng nội bộ; Amazon Bedrock AgentCore Gateway là lớp trung gian giúp kết nối API, AWS Lambda functions và MCP servers thành những công cụ mà agent có thể khám phá và sử dụng. MCP (Model Context Protocol) cung cấp giao thức tiêu chuẩn để agent giao tiếp với công cụ và nguồn dữ liệu bên ngoài — khám phá công cụ, nhận thông tin về chức năng và tham số, gửi yêu cầu thực thi và tiếp nhận kết quả.
• Context Engineering giúp agent hiểu đúng dữ liệu và nghiệp vụ: Amazon Bedrock Knowledge Bases hỗ trợ cơ chế RAG để agent truy xuất thông tin làm ngữ cảnh cho mô hình; Semantic Layer cung cấp thông tin ngữ nghĩa về dữ liệu — schema, mối quan hệ giữa các bảng và định nghĩa chỉ số nghiệp vụ — để agent xác định dữ liệu cần khai thác thay vì chỉ dựa vào tên bảng.
• Tool Calling đưa agent từ trả lời câu hỏi sang thực hiện tác vụ: trong kiến trúc Data Mesh trên AWS, các MCP tool như get_user_tables (danh sách bảng được phép truy cập), get_schema (cấu trúc bảng), run_query (truy vấn SQL chỉ đọc qua Amazon Athena) và kb_search (tìm kiếm ngữ nghĩa trên Knowledge Bases) cho phép agent thực hiện chuỗi thao tác: khám phá dữ liệu, tìm hiểu cấu trúc, lựa chọn nguồn, truy vấn và dùng kết quả để trả lời.
• Bảo mật và kiểm soát truy cập ở cấp hệ thống, không chỉ dựa vào mô hình tự kiểm soát: AgentCore Identity quản lý danh tính và xác thực, hỗ trợ chuyển tiếp ngữ cảnh danh tính người dùng qua cơ chế On-Behalf-Of (OBO) token exchange; AgentCore Policy thiết lập chính sách kiểm soát công cụ agent được phép dùng; Amazon Bedrock Guardrails kiểm soát nội dung đầu vào/đầu ra và phát hiện rủi ro như prompt injection; Gateway Interceptors kiểm tra, biến đổi hoặc chặn request/response giữa agent, Gateway và công cụ phía sau.
• Runtime và Observability để vận hành như ứng dụng công nghệ khác: AgentCore Runtime cung cấp môi trường triển khai và vận hành agent, hỗ trợ cô lập phiên làm việc; AgentCore Observability theo dõi quá trình thực thi và các bước gọi công cụ, giúp doanh nghiệp đánh giá hiệu suất và phát hiện vấn đề phát sinh.

Vì sao kết nối an toàn là thách thức lớn nhất khi đưa AI Agent vào doanh nghiệp?

AI Agent khác chatbot ở chỗ nó hành động: tìm kiếm thông tin, phân tích dữ liệu, lựa chọn công cụ và thực hiện nhiều bước xử lý để hoàn thành nhiệm vụ. Chính khả năng hành động đó tạo ra câu hỏi mà bài đăng đặt ở trung tâm: làm thế nào để agent truy cập đúng dữ liệu, sử dụng đúng công cụ và thực hiện các hành động trong phạm vi quyền hạn được cho phép?

Trong doanh nghiệp, dữ liệu và chức năng nghiệp vụ thường nằm trên nhiều hệ thống khác nhau — Database, CRM, ERP, Data Warehouse và các ứng dụng nội bộ. Mỗi hệ thống có cách truy cập, định nghĩa dữ liệu và cơ chế phân quyền riêng. Nếu agent kết nối tới các hệ thống này mà không có lớp trung gian chuẩn hóa, không có ngữ cảnh nghiệp vụ và không có kiểm soát quyền ở cấp hệ thống, doanh nghiệp sẽ đối mặt với hai rủi ro cùng lúc: agent không làm được việc vì không hiểu dữ liệu, hoặc agent làm quá quyền vì không bị giới hạn. Kiến trúc mà AWS giới thiệu qua Amazon Bedrock AgentCore, như bài đăng trình bày, giải quyết cả hai mặt này bằng năm nhóm thành phần.

1. Kết nối AI Agent với hệ thống doanh nghiệp thông qua MCP

Thành phần đầu tiên là lớp kết nối. AWS giới thiệu Amazon Bedrock AgentCore Gateway — lớp trung gian giúp kết nối các API, AWS Lambda functions và MCP servers thành những công cụ mà agent có thể khám phá và sử dụng.

Một thành phần quan trọng trong kiến trúc này là Model Context Protocol (MCP) — giao thức tiêu chuẩn để AI Agent giao tiếp với các công cụ và nguồn dữ liệu bên ngoài. Thông qua MCP, agent có thể:

• Khám phá những công cụ hiện có.
• Nhận thông tin về chức năng và tham số của công cụ.
• Gửi yêu cầu thực thi.
• Tiếp nhận kết quả để tiếp tục xử lý nhiệm vụ.

Lợi ích thực tế mà bài đăng nhấn mạnh: thay vì phải xây dựng cơ chế tích hợp riêng cho từng công cụ, doanh nghiệp có thể sử dụng một lớp giao tiếp thống nhất để mở rộng khả năng kết nối của AI Agent. Khi có thêm hệ thống mới, doanh nghiệp bổ sung kết nối qua Gateway và MCP thay vì viết lại tích hợp cho từng agent.

2. Context Engineering: giúp AI Agent hiểu đúng dữ liệu và nghiệp vụ

Một trong những thách thức khi triển khai AI Agent là khả năng hiểu đúng ý nghĩa dữ liệu trong bối cảnh doanh nghiệp. Bài đăng đưa ví dụ: khi người dùng yêu cầu phân tích doanh thu, agent cần xác định được nguồn dữ liệu phù hợp, hiểu định nghĩa chỉ số doanh thu và mối quan hệ giữa các bảng dữ liệu liên quan. Chỉ biết tên bảng và cấu trúc cột là chưa đủ — "doanh thu" trong hệ thống này có thể được định nghĩa khác với hệ thống khác.

AWS đề cập đến hai thành phần hỗ trợ quá trình này:

• Amazon Bedrock Knowledge Bases — hỗ trợ cơ chế Retrieval-Augmented Generation (RAG), cho phép agent truy xuất thông tin từ các nguồn tri thức và sử dụng kết quả tìm kiếm làm ngữ cảnh cho mô hình.
• Semantic Layer — cung cấp các thông tin ngữ nghĩa về dữ liệu, bao gồm schema, mối quan hệ giữa các bảng và định nghĩa chỉ số nghiệp vụ.

Trong kiến trúc Autonomous Business Insights của AWS mà bài đăng dẫn, agent có thể khám phá Semantic Layer trước khi lựa chọn MCP connector để truy xuất dữ liệu từ các hệ thống như Amazon Redshift, Amazon Aurora và S3 Tables. Nhờ đó, agent có thêm thông tin để xác định dữ liệu cần khai thác thay vì chỉ dựa vào tên bảng hoặc cấu trúc dữ liệu đơn thuần. Đây chính là ý nghĩa của Context Engineering: chuẩn bị ngữ cảnh để mô hình hiểu đúng, thay vì để mô hình tự suy đoán.

3. Tool Calling: từ trả lời câu hỏi đến thực hiện tác vụ

Khả năng gọi công cụ (tool calling) là yếu tố giúp AI Agent tương tác với hệ thống bên ngoài và thực hiện các bước xử lý cụ thể — điểm phân biệt agent với một hệ thống chỉ tạo phản hồi dựa trên thông tin có sẵn.

Trong kiến trúc Data Mesh trên AWS, bài đăng nêu bốn MCP tool hỗ trợ agent khám phá và truy vấn dữ liệu:

Công cụ	Chức năng
get_user_tables	Lấy danh sách bảng dữ liệu mà người dùng được phép truy cập, thông qua AWS Glue Data Catalog và Lake Formation
get_schema	Truy xuất cấu trúc bảng, bao gồm tên cột, kiểu dữ liệu và mô tả
run_query	Thực thi truy vấn SQL chỉ đọc qua Amazon Athena trên các bảng Iceberg, kết hợp kiểm soát quyền truy cập dữ liệu
kb_search	Tìm kiếm ngữ nghĩa trên Amazon Bedrock Knowledge Bases với bộ lọc metadata

Thông qua các công cụ này, agent có thể thực hiện một chuỗi thao tác: khám phá dữ liệu, tìm hiểu cấu trúc, lựa chọn nguồn thông tin, truy vấn và sử dụng kết quả để trả lời yêu cầu. Đáng chú ý, run_query chỉ thực thi truy vấn SQL chỉ đọc — một giới hạn có chủ đích: agent được phép đọc và phân tích dữ liệu, nhưng không tự ý thay đổi dữ liệu qua công cụ này. Đó là cách thiết kế công cụ góp phần vào an toàn, bên cạnh các lớp kiểm soát ở mục tiếp theo.

4. Security & Access Control: đảm bảo AI Agent hoạt động đúng quyền hạn

Khi AI Agent có thể truy cập dữ liệu và thực thi công cụ, bảo mật trở thành yêu cầu không thể tách rời khỏi kiến trúc. Bài đăng liệt kê bốn cơ chế mà AWS cung cấp để kiểm soát hoạt động của agent:

• Amazon Bedrock AgentCore Identity — hỗ trợ quản lý danh tính, xác thực và thông tin xác thực để agent truy cập các tài nguyên AWS hoặc dịch vụ bên ngoài. Cơ chế On-Behalf-Of (OBO) token exchange còn hỗ trợ chuyển tiếp ngữ cảnh danh tính người dùng đến hệ thống phía sau — nghĩa là hệ thống phía sau biết yêu cầu này được thực hiện thay mặt cho người dùng cụ thể nào, thay vì chỉ thấy một danh tính chung của agent.
• Amazon Bedrock AgentCore Policy — cho phép thiết lập chính sách kiểm soát những công cụ agent được phép sử dụng, dựa trên các điều kiện và quyền hạn đã xác định.
• Amazon Bedrock Guardrails — hỗ trợ kiểm soát nội dung đầu vào và đầu ra, phát hiện các rủi ro như prompt injection, nội dung không phù hợp và thông tin nhạy cảm.
• Gateway Interceptors — cho phép kiểm tra, biến đổi hoặc chặn các request và response trong quá trình tương tác giữa agent, Gateway và các công cụ phía sau.

Điểm quan trọng trong cách tiếp cận của AWS, như bài đăng nhấn mạnh, là không chỉ dựa vào khả năng tự kiểm soát của mô hình AI. Quyền truy cập và việc thực thi phải được kiểm soát bởi các cơ chế bảo mật ở cấp hệ thống. Mô hình có thể được hướng dẫn "chỉ làm việc này, đừng làm việc kia", nhưng hướng dẫn bằng ngôn ngữ không phải là kiểm soát truy cập — kiểm soát thực sự nằm ở danh tính, chính sách, gateway và các lớp chặn ở hạ tầng.

5. Agent Runtime & Observability: vận hành và giám sát AI Agent

Một AI Agent trong môi trường doanh nghiệp cần được triển khai và giám sát tương tự các ứng dụng công nghệ khác — không thể là một "hộp đen" chạy đâu đó mà không ai theo dõi được.

• Amazon Bedrock AgentCore Runtime cung cấp môi trường triển khai và vận hành agent, hỗ trợ cô lập phiên làm việc và xử lý các tương tác của agent.
• AgentCore Observability hỗ trợ theo dõi hoạt động của agent, bao gồm quá trình thực thi và các bước gọi công cụ.

Các năng lực này giúp doanh nghiệp theo dõi hoạt động, đánh giá hiệu suất và phát hiện những vấn đề phát sinh trong quá trình vận hành: agent đã gọi công cụ nào, theo thứ tự nào, với tham số gì, kết quả ra sao — tất cả đều cần có dấu vết để kiểm tra lại khi có sự cố hoặc khi cần cải thiện.

Khi kết hợp Runtime, Gateway, Identity, Policy và Observability, doanh nghiệp có thể xây dựng một môi trường để AI Agent tương tác với các hệ thống bên ngoài trong phạm vi được quản lý — đó là kết luận của bài đăng, và cũng là câu trả lời cho câu hỏi mở đầu: agent an toàn không phải nhờ một thành phần duy nhất, mà nhờ kiến trúc nhiều lớp phối hợp với nhau.

Câu hỏi thường gặp

MCP đóng vai trò gì trong việc kết nối AI Agent với hệ thống doanh nghiệp?

MCP (Model Context Protocol) là giao thức tiêu chuẩn để AI Agent giao tiếp với các công cụ và nguồn dữ liệu bên ngoài. Thông qua MCP, agent khám phá công cụ hiện có, nhận thông tin về chức năng và tham số, gửi yêu cầu thực thi và tiếp nhận kết quả. Kết hợp với Amazon Bedrock AgentCore Gateway — lớp trung gian kết nối API, AWS Lambda functions và MCP servers thành công cụ — doanh nghiệp có một lớp giao tiếp thống nhất thay vì phải xây tích hợp riêng cho từng công cụ.

Context Engineering khác gì với việc chỉ cấp cho agent quyền truy cập database?

Truy cập database chỉ cho agent thấy tên bảng và cấu trúc cột; Context Engineering cho agent hiểu ý nghĩa dữ liệu trong bối cảnh nghiệp vụ. Theo bài đăng, Amazon Bedrock Knowledge Bases hỗ trợ RAG để agent truy xuất tri thức làm ngữ cảnh, còn Semantic Layer cung cấp schema, mối quan hệ giữa các bảng và định nghĩa chỉ số nghiệp vụ — ví dụ "doanh thu" được định nghĩa như thế nào. Nhờ đó agent xác định đúng dữ liệu cần khai thác thay vì suy đoán từ tên bảng.

Bốn MCP tool trong kiến trúc Data Mesh trên AWS làm gì?

get_user_tables lấy danh sách bảng mà người dùng được phép truy cập (qua AWS Glue Data Catalog và Lake Formation); get_schema truy xuất cấu trúc bảng gồm tên cột, kiểu dữ liệu và mô tả; run_query thực thi truy vấn SQL chỉ đọc qua Amazon Athena trên các bảng Iceberg kèm kiểm soát quyền; kb_search tìm kiếm ngữ nghĩa trên Amazon Bedrock Knowledge Bases với bộ lọc metadata. Chuỗi công cụ này cho phép agent khám phá, hiểu cấu trúc, chọn nguồn, truy vấn và trả lời.

Làm sao đảm bảo AI Agent không vượt quyền khi thực thi công cụ?

Theo bài đăng, AWS kiểm soát ở cấp hệ thống thay vì chỉ dựa vào mô hình tự kiểm soát: AgentCore Identity quản lý danh tính và chuyển tiếp ngữ cảnh người dùng qua cơ chế OBO token exchange; AgentCore Policy đặt chính sách về công cụ agent được phép dùng; Amazon Bedrock Guardrails kiểm soát nội dung và phát hiện prompt injection; Gateway Interceptors kiểm tra, biến đổi hoặc chặn request/response giữa agent, Gateway và công cụ phía sau. Ngoài ra, thiết kế công cụ cũng góp phần — ví dụ run_query chỉ cho phép SQL chỉ đọc.

Vận hành AI Agent trong doanh nghiệp cần giám sát những gì?

Theo bài đăng, AgentCore Runtime cung cấp môi trường triển khai và vận hành với cô lập phiên làm việc, còn AgentCore Observability theo dõi quá trình thực thi và các bước gọi công cụ. Doanh nghiệp nhờ đó theo dõi hoạt động, đánh giá hiệu suất và phát hiện vấn đề phát sinh — agent đã gọi công cụ nào, theo thứ tự nào, kết quả ra sao — tương tự cách giám sát các ứng dụng công nghệ khác.

Kết luận

Bài đăng của David Nguyen cho thấy một bức tranh kiến trúc đầy đủ cho AI Agent trong doanh nghiệp: Gateway và MCP lo kết nối, Knowledge Bases và Semantic Layer lo ngữ cảnh, tool calling lo thực thi, Identity/Policy/Guardrails/Interceptors lo kiểm soát quyền, Runtime và Observability lo vận hành. Thông điệp cốt lõi là: an toàn của AI Agent không đến từ việc dặn dò mô hình, mà đến từ kiến trúc nhiều lớp — mỗi lớp một trách nhiệm, và các lớp phối hợp để agent chỉ truy cập đúng dữ liệu, dùng đúng công cụ, trong đúng phạm vi quyền hạn. Đó là điều kiện để AI Agent đi từ demo ấn tượng thành một phần vận hành thật của doanh nghiệp.

Nguồn: bài đăng của David Nguyen trong nhóm Machine Learning cơ bản trên Facebook (11/11/2026), trình bày kiến trúc Agentic AI và Amazon Bedrock AgentCore theo giới thiệu của AWS. Biên tập và hệ thống hóa bởi Wotech Electronics. Ảnh minh họa: sơ đồ kiến trúc đính kèm bài viết gốc.