Nguyên tắc đặc quyền tối thiểu là nguyên tắc thiết kế bảo mật cơ bản nêu rõ rằng người dùng và quy trình hệ thống chỉ có các đặc quyền tối thiểu cần thiết để thực hiện nhiệm vụ của họ và không hơn thế.
Nguyên tắc đặc quyền tối thiểu là nguyên tắc cơ bản của bảo mật thông tin nêu rõ rằng các hệ thống, người dùng và quy trình chỉ có các đặc quyền tối thiểu cần thiết cho công việc của họ và không hơn thế. Đây là một khái niệm cổ điển được Saltzar & Schroeder đề xuất vào năm 1975, nhưng tính đến năm 2026, tầm quan trọng của nó đã tăng lên nhanh chóng trong việc thiết kế các quyền trên các AI agent, đám mây và SaaS.
Cạm bẫy lớn nhất trong hoạt động thực tế là tạm thời để cài đặt ban đầu "chạy với đặc quyền của quản trị viên". Vẫn còn nhiều trang web chạy CI/CD với quyền root trên AWS/GCP và phạm vi bùng nổ trong trường hợp vi phạm là rất rộng. Trong hầu hết các trường hợp, phải mất từ 1 đến 2 tuần để tổ chức thiết kế vai trò IAM và 2 đến 4 tuần để triển khai các quyền của nhóm SaaS.
Một thách thức mới trong thời đại AI agent là khi Claude Agent SDK và OpenAI Assistants được cấp nhiều đặc quyền công cụ, thiệt hại do trục trặc và việc tiêm nhắc kịp thời sẽ tăng lên. ReviewAI khuyến nghị ``bắt đầu với phạm vi chỉ đọc cho agent và yêu cầu các yêu cầu rõ ràng về ghi và xóa.'' Khi đưa các công cụ kết nối MCP và hệ thống RAG vào kinh doanh, đến năm 2026, việc tiến hành thiết kế phạm vi từ những giai đoạn phát triển đầu tiên sẽ trở thành tiêu chuẩn ngành.