Google ra mắt SAM: Mạng P2P bảo mật, không cấu hình dành riêng cho AI Agent

google/sam không phải là Segment Anything. SAM ở đây là viết tắt của Sovereign Agent Mesh, một dự án mạng theo giấy phép Apache-2.0 dành cho các tác nhân AI tự hành. Vấn đề mà nó nhắm đến rất cụ thể. Các tác nhân hiện nay chạy trên khắp các máy chủ đám mây, trung tâm dữ liệu tại chỗ (on-prem), máy tính xách tay, Raspberry Pi và thiết bị Android. Việc để chúng chia sẻ công cụ thường đồng nghĩa với việc phơi bày các tập lệnh nội bộ, các điểm cuối LLM hoặc các API riêng tư ra internet công cộng. Giải pháp thay thế của SAM là một lớp phủ P2P không cần cấu hình, không tin cậy (zero-trust) — gần giống với một VPN riêng tư, nhưng được giới hạn trong việc chia sẻ công cụ giữa các tác nhân thông qua Model Context Protocol. Các nút tự động khám phá lẫn nhau, vượt qua NAT và xác thực mọi yêu cầu bằng mật mã.

Lưu ý: Kho lưu trữ có kèm theo tuyên bố từ chối trách nhiệm rõ ràng: đây không phải là sản phẩm được Google hỗ trợ chính thức.

Nó có thể triển khai được không?

Một phần, kỹ thuật này đã được định hình cho môi trường sản xuất, nhưng mạng lưới công cộng hiện vẫn được gắn nhãn là bản thử nghiệm beta.

Kiến trúc: ba tệp nhị phân

Một nút tham gia bằng lệnh sam-node join, sau đó chạy bằng sam-node run. libp2p sử dụng cổng 5001/udp và 5002/tcp; API MCP cục bộ mặc định là 8080.

Định danh: OIDC đầu vào, Biscuit đầu ra

Đây là phần thú vị. Mặt phẳng điều khiển (control plane) xác minh một OIDC JWT. Sau đó, nó chuyển đổi các yêu cầu (claims) thành các dữ kiện Datalog và đóng gói chúng vào một token Biscuit. sub trở thành user(...), mỗi nhóm trở thành group(...), và peer ID được liên kết dưới dạng client_peer_id(...).

Hệ quả: các nút xác thực ngoại tuyến. Một nút đánh giá token được trình bày dựa trên các quy tắc cục bộ của riêng nó mà không cần gọi về máy chủ trung tâm.

Việc thực thi mặc định là từ chối nghiêm ngặt (strict default-deny). Quyền truy cập cần một dữ kiện năng lực (capability fact) rõ ràng như granted_service_exact(...). Không có ngoại lệ tích hợp sẵn — ngay cả hệ thống danh mục khám phá system://sam.catalog cũng phải được cấp quyền. Các dịch vụ sử dụng quy ước type://name nghiêm ngặt với hỗ trợ ký tự đại diện (mcp://*, mcp://build-runner.*).

Mọi yêu cầu đều chạy qua một quy trình hai giai đoạn. Giai đoạn 1 kiểm soát kết nối dựa trên bộ nhớ đệm cấm và thu hồi. Giai đoạn 2 chạy chính xác hai lượt xác thực Biscuit. Lượt đầu tiên bao gồm token định danh của chính nút đó để phát ra các xác nhận target_fact. Lượt thứ hai bao gồm token của người gọi. Một kiểm tra cơ bản sẽ chặn việc phát lại (replay) bằng cách yêu cầu peer ID của kết nối phải khớp với token.

Người vận hành có thể giảm bớt quyền cục bộ, từ chối một công cụ ghi sau 9 giờ tối hoặc chặn các nhà thầu. Các quyền cho phép cục bộ vẫn không thể vượt qua các ràng buộc kiểm tra của mặt phẳng điều khiển.

Giải thích tương tác

Những gì một tác nhân thực sự gọi

Nút này cung cấp các công cụ MCP tiêu chuẩn: discover_remote_services, find_remote_tools và call_remote_tool. Các hướng dẫn bao gồm Gemini, Claude Code, Claude Desktop, Google Antigravity và OpenClaw. Lệnh sam-node skill install ghi một tệp SKILL.md để tác nhân có thể tự đưa nút vào trạng thái trực tuyến. Việc đăng nhập ghi danh vẫn do con người thực hiện theo thiết kế.

Kiểm soát lưu lượng đi (Egress control): sam-box và nano-init

Secure Outbound Gateway nhắm đến một lỗ hổng bảo mật tác nhân thực sự. nano-init chạy dưới dạng PID 1 trong sandbox và thiết lập các biến môi trường proxy. Đối với các công cụ bỏ qua chúng, nó sử dụng LD_PRELOAD để chèn một trình chặn (interceptor) móc vào syscall connect của C trên các cổng 80 và 443.

Lưu lượng truy cập đến sam-box thông qua một Unix domain socket. Gateway xác minh token Biscuit, chèn thông tin xác thực thực từ secrets.yaml và nâng cấp yêu cầu lên HTTPS. Sandbox của tác nhân không bao giờ giữ khóa.

Một mô hình đã được thực hiện: nhóm tác nhân dự phòng (warm agent pool)

Ví dụ về nhóm đánh giá mã (code-reviewer pool) phân phối công việc hàng loạt trên các worker đang chạy giống hệt nhau bằng cách sử dụng các dịch vụ MCP thông thường. Một trình quản lý tìm hiểu các peer thông qua khám phá DHT và theo dõi trạng thái bận bằng các hợp đồng thuê (leases). Tính chính xác đến từ việc gán hợp đồng thuê đồng bộ, các token hàng rào (fencing tokens), thu hồi ân hạn và cơ chế dự phòng POOL_BUSY. Các worker xác minh token HMAC tồn tại trong thời gian ngắn ngoại tuyến; bất kỳ thứ gì khác đều trả về NO_LEASE.

Những điểm chính cần lưu ý

Hãy xem GitHub Repo. Ngoài ra, đừng ngần ngại theo dõi chúng tôi trên Twitter và đừng quên tham gia SubReddit 150k+ ML của chúng tôi và đăng ký Bản tin của chúng tôi. Khoan đã! bạn có dùng Telegram không? bây giờ bạn cũng có thể tham gia cùng chúng tôi trên Telegram.

Bạn cần hợp tác với chúng tôi để quảng bá GitHub Repo HOẶC trang Hugging Face HOẶC bản phát hành sản phẩm HOẶC hội thảo trực tuyến, v.v.? Hãy kết nối với chúng tôi.

Michal Sutter là một chuyên gia khoa học dữ liệu với bằng Thạc sĩ Khoa học về Khoa học Dữ liệu từ Đại học Padova. Với nền tảng vững chắc về phân tích thống kê, học máy và kỹ thuật dữ liệu, Michal xuất sắc trong việc chuyển đổi các tập dữ liệu phức tạp thành những thông tin chi tiết có thể hành động được.