Splunk MCP Server 2.0: mỗi AI Agent dùng đúng quyền của người gọi

Ngày 8/9/2026, Splunk công bố MCP Server 2.0. Với khách hàng đủ điều kiện trên Splunk Cloud 10.6, MCP server được cài sẵn; quản trị viên cấu hình quyền, sau đó các AI client như Claude Code, Codex, Cursor hoặc MCP Inspector có thể kết nối.

Tin quan trọng không chỉ là “Splunk hỗ trợ MCP”. Splunk đang đóng gói một lớp quản trị tương đối đầy đủ quanh kết nối agent: xác thực OAuth, phân quyền tool theo role, kế thừa quyền dữ liệu của người gọi, allowlist lệnh tìm kiếm, giới hạn tốc độ, timeout và audit trail.

Đây là mô hình thực tế cho doanh nghiệp đang lo Shadow AI. Nhân viên có thể đã trỏ AI assistant vào dữ liệu vận hành bằng script hoặc token cá nhân. Nếu mỗi nhóm tự tạo một kết nối, tổ chức sẽ khó biết agent đang đọc gì, chạy lệnh nào và ai chịu trách nhiệm. Một MCP gateway chung biến các câu hỏi đó thành cấu hình có thể quản trị.

Năm lớp kiểm soát trong Splunk MCP Server 2.0

Lớp thứ nhất là danh tính. OAuth được bật mặc định cho khách hàng đủ điều kiện ở các vùng AWS Cloud hỗ trợ. Người dùng đăng nhập tương tác; client đổi authorization code lấy access token và không cần lưu static credential dài hạn trong cấu hình. Khi quyền của một người bị thu hồi trong Splunk, quyền agent đại diện cho người đó cũng mất theo.

Lớp thứ hai là quyền gọi tool. Splunk có capability riêng cho việc thực thi và quản trị MCP tool. Từ phiên bản 1.3, admin có thể map từng role với từng tool. Role không được map sẽ không nhìn thấy và không thể gọi tool đó.

Lớp thứ ba là quyền dữ liệu. Tool chạy dưới danh tính người gọi, nên quyền index và knowledge object hiện có tiếp tục được áp dụng. Theo mô tả của Splunk, agent đại diện cho analyst chỉ thấy đúng phần analyst đó được thấy; doanh nghiệp không phải dựng một mô hình phân quyền dữ liệu thứ hai chỉ dành cho agent.

Lớp thứ tư là guardrail thực thi. Mọi truy vấn từ MCP client được kiểm tra với allowlist các lệnh SPL an toàn. Admin có thể bổ sung lệnh tùy chỉnh, đồng thời thiết lập rate limit toàn cục hoặc theo tool, timeout và số dòng trả về mặc định.

Lớp thứ năm là audit. Tìm kiếm đi qua MCP Server mang nhãn provenance vào _audit, để đội bảo mật truy vấn hoạt động agent bằng chính cơ chế audit đã có.

Agent có thể làm gì với dữ liệu Splunk?

Phiên bản 2.0 mở rộng bề mặt đọc và tìm kiếm. Agent có thể chạy SPL2 trên các nguồn liên kết, tìm index phù hợp trước khi viết truy vấn, xem cấu hình cảnh báo và gọi MCP tool do doanh nghiệp tự đăng ký.

Splunk bổ sung năm tool cảnh báo ở chế độ chỉ đọc: liệt kê toàn bộ alert, xem chi tiết một alert, liệt kê alert đã kích hoạt, xem lịch sử kích hoạt và kiểm tra trạng thái throttle. Agent có thể phân biệt một alert đang bị chủ động suppress với alert hỏng hoặc không có throttle, nhưng không được dùng nhóm tool này để thay đổi cấu hình.

Chi tiết “read-only trước” có ý nghĩa lớn. Nó cho phép doanh nghiệp tạo giá trị nhanh từ điều tra và tổng hợp mà chưa trao quyền ghi vào hệ thống vận hành. Khi cần tool riêng, một Splunk app có thể đăng ký tool dựa trên mẫu SPL hoặc REST API qua splunkd; tool phải được bật rõ ràng trước khi AI assistant nhìn thấy.

MCP không tự tạo ra an toàn

MCP chuẩn hóa cách agent khám phá và gọi công cụ, nhưng bản thân giao thức không đảm bảo quyền tối thiểu, audit hay chống lạm dụng. An toàn đến từ implementation quanh MCP server.

Ví dụ, nếu doanh nghiệp cho tất cả role nhìn thấy mọi tool, dùng token chung và không giới hạn truy vấn, việc “đã dùng MCP” không giảm rủi ro đáng kể. Ngược lại, khi danh tính cá nhân, role-to-tool, quyền dữ liệu gốc, allowlist, rate limit và audit đi cùng nhau, mỗi tool call trở thành một hành động có chủ thể và bằng chứng.

Splunk cũng lưu ý các lệnh mặc định an toàn vẫn được bảo toàn; lệnh tùy chỉnh nằm ở lớp bổ sung và có thể bật, tắt hoặc gỡ. Điều này tách baseline do nền tảng cung cấp khỏi phần mở rộng do doanh nghiệp chịu trách nhiệm.

Ba quyết định doanh nghiệp cần chốt trước khi mở MCP

Thứ nhất, bắt đầu bằng read-only hay cho phép hành động. Với dữ liệu bảo mật và vận hành, read-only thường là vùng khởi đầu hợp lý. Tool ghi chỉ nên mở khi có owner, rollback và phê duyệt tương xứng.

Thứ hai, agent kế thừa danh tính ai. Agent cá nhân nên chạy dưới quyền người dùng. Agent dịch vụ cần service identity riêng, phạm vi hẹp và vòng đời credential rõ ràng. Tránh dùng một token chung khiến audit không truy được người chịu trách nhiệm.

Thứ ba, log nào đủ để điều tra. Tối thiểu cần ai gọi, tool nào, khi nào, trên tài nguyên nào, kết quả ra sao và policy nào được áp dụng. Provenance nên đi vào hệ thống audit sẵn có thay vì nằm trong log riêng mà đội bảo mật không theo dõi.

Các nguyên tắc này đặc biệt quan trọng sau những sự cố agent hành động ngoài kỳ vọng. Case OpenAI thừa nhận “sự cố wiki” cho thấy doanh nghiệp cần chuẩn báo cáo sự cố và khả năng truy vết, không chỉ guardrail trước hành động. Một lớp runtime như Broadcom AgentMinder kiểm soát từng tool call cũng đi theo cùng hướng.

Góc nhìn Học viện AI: MCP gateway là “cửa nhân sự” của AI Agent

Học viện AI cho rằng doanh nghiệp nên xem MCP gateway như điểm kiểm soát nhân sự, không chỉ là connector kỹ thuật. Mỗi AI Agent cần một hồ sơ vận hành gồm danh tính, vai trò, tool được cấp, dữ liệu được phép đọc, giới hạn tài nguyên và lịch sử hành động.

Mô hình tối thiểu có thể là:

1. người dùng đăng nhập bằng danh tính doanh nghiệp;
2. role quyết định agent nhìn thấy tool nào;
3. tool kế thừa quyền dữ liệu hiện có;
4. guardrail kiểm tra lệnh, thời gian và tần suất;
5. mọi hành động được ghi vào audit chung.

Khi năm lớp này thống nhất, thêm một AI client mới trở thành quyết định cấu hình thay vì một dự án tích hợp riêng. Nhưng doanh nghiệp vẫn phải đánh giá client, prompt và tool; gateway chỉ kiểm soát đường vào, không đảm bảo mọi suy luận của agent đều đúng.

Muốn thiết kế AI Agent có phân quyền, tool allowlist, audit và human gate theo workflow thật, bạn có thể tham khảo chương trình AI Agent & Workflow Automation của Học viện AI.

Nguồn

• Splunk, “Splunk MCP Server 2.0: Moving at Agentic Speed, Without Giving Up Control”, ngày 8/9/2026: https://www.splunk.com/en_us/blog/artificial-intelligence/splunk-mcp-server-2-0.html

Ghi chú kiểm chứng: Các mô tả tính năng đến từ công bố chính thức của Splunk. Bài nguồn không đưa benchmark định lượng về năng suất, an toàn hay ROI; bài viết không suy diễn các tính năng thành bảo đảm tuyệt đối. Phần “Góc nhìn Học viện AI” là nhận định biên tập.