Coder công bố Agent Relay vào ngày 2/9, với SpaceXAI là đối tác ra mắt — cách để chạy cloud coding agent của Cursor hoàn toàn bên trong hạ tầng riêng của khách hàng. Hiện đang ở private preview, mới một đối tác, nhưng pattern kiến trúc mà nó dựa trên đáng để hiểu ngay từ bây giờ, vì đây là hình dạng mà một số vendor khác cũng đang hội tụ về, cùng một lý do: các doanh nghiệp bị quản lý chặt (regulated enterprise) muốn dùng công cụ agentic coding, nhưng về mặt cấu trúc họ không thể áp dụng các phiên bản vendor-hosted.

Vấn đề thực sự được giải quyết

Hầu hết sản phẩm “cloud coding agent” hiện nay hoạt động theo cùng một cách: code, prompt, và thường cả secrets của bạn di chuyển tới hạ tầng của vendor, agent loop chạy ở đó, kết quả trả về. Điều này ổn với phần lớn công ty. Nhưng lại là điều không thể chấp nhận với ngân hàng, nhà thầu quốc phòng, cơ quan chính phủ — những nơi có yêu cầu về data residency và cô lập network đã tồn tại từ trước cả agentic coding rất lâu, cùng những yêu cầu từng chặn không ít công cụ SaaS với các tổ chức này suốt cả thập kỷ qua.

Cách chia của Agent Relay khá cụ thể: việc thực thi tool — đọc file, chạy shell command, chạy test, bất cứ thứ gì chạm vào source code thật hay dịch vụ nội bộ — diễn ra bên trong một Coder workspace trên hạ tầng do khách hàng kiểm soát. Inference và planning — các lệnh gọi model thực sự quyết định làm gì — vẫn chạy phía Cursor. Source code, secrets, và quyền truy cập dịch vụ nội bộ không bao giờ rời khỏi network của khách hàng; chỉ có traffic reasoning của agent (prompt, plan, diff cần review) mới băng qua ranh giới.

┌─────────────────────────────┐        ┌──────────────────────┐
│   Network khách hàng          │        │   Cursor cloud         │
│                               │        │                        │
│  ┌─────────────────────┐    │        │  ┌──────────────────┐ │
│  │ Coder workspace       │    │◄──────►│  │ Agent loop         │ │
│  │  - source code         │    │ plan/  │  │  - inference        │ │
│  │  - secrets              │    │ diff   │  │  - planning          │ │
│  │  - thực thi shell/test  │    │        │  └──────────────────┘ │
│  └─────────────────────┘    │        │                        │
└─────────────────────────────┘        └──────────────────────┘

Đây là một ranh giới tin cậy (trust boundary) khác hẳn hai thái cực mà hầu hết team thường mặc định chọn — “mọi thứ chạy trên cloud vendor” hoặc “chúng tôi không thể dùng công cụ agent hosted, phải tự xây trong nhà”. Nó gần với cách nhiều SaaS doanh nghiệp trưởng thành cách đây một thập kỷ: control plane vẫn do vendor vận hành (billing, UI, quyền truy cập model, cập nhật tính năng), đi kèm data plane do khách hàng sở hữu và không bao giờ phải tin tưởng bên thứ ba.

Khi nào tôi thực sự sẽ dùng pattern này

Tôi không làm việc trực tiếp với khách hàng doanh nghiệp bị quản lý chặt, nhưng tôi đã xây đủ công cụ agent nội bộ để nhận ra hình dạng của sự đánh đổi này. Ba tình huống tôi sẽ chủ động tách việc thực thi tool khỏi inference theo cách này, thay vì chỉ chọn “hosted hoàn toàn” hay “self-hosted hoàn toàn”:

Làm việc với database production hoặc API nội bộ của khách hàng. Nếu agent cần chạy query hoặc gọi dịch vụ nội bộ trong lúc thực hiện task, tôi không muốn các credential đó ở gần môi trường thực thi của bên thứ ba — kể cả một vendor uy tín, kể cả có cam kết hợp đồng. Tách việc thực thi sang hạ tầng tôi kiểm soát nghĩa là bán kính ảnh hưởng của một prompt-log bị rò rỉ hay một tài khoản vendor bị xâm nhập chỉ dừng ở “họ thấy một diff”, không phải “họ có credential database còn sống”.

Codebase bị ràng buộc bởi compliance. Vài hợp đồng khách hàng tôi từng làm có điều khoản về nơi source code có thể tồn tại vật lý, bất kể vendor có đáng tin hay không — ràng buộc này không phải về niềm tin, mà về audit và trách nhiệm pháp lý. Không có mức độ bảo mật nào của vendor thỏa mãn được một điều khoản data-residency trong hợp đồng; chỉ có kiến trúc mới làm được.

Agent chạy khối lượng lớn, nhạy cảm về chi phí. Đây là lợi ích bị đánh giá thấp: nếu việc thực thi tool chạy trên compute của chính bạn, bạn không phải trả markup của vendor cho từng shell command, đọc file, chạy test mà agent kích hoạt trong một task dài — chỉ trả cho các lệnh gọi inference thực sự cần model. Với một task refactor chạy dài động tới hàng trăm file, số bước thực thi có thể lớn hơn nhiều số bước inference.

Phần mà pattern này không giải quyết được

Tách execution khỏi inference không loại bỏ vendor khỏi trust boundary của bạn — nó chỉ thu hẹp lại. Model của Cursor vẫn thấy prompt của bạn, diff code của bạn, và đủ hình dạng codebase để lên plan một cách thông minh. Nếu yêu cầu thực sự là “không có bất kỳ dạng code nào rời khỏi network của chúng tôi”, thì self-hosted execution một mình không thỏa mãn được điều đó; bạn sẽ cần cả model self-hosted hoàn toàn hoặc open-weight, một sự đánh đổi khác (và hiện lớn hơn nhiều) về năng lực. Lời chào hàng của Agent Relay dành riêng cho các tổ chức có yêu cầu thực sự là “source thô, secrets, và quyền truy cập dịch vụ nội bộ ở yên tại chỗ” — không phải “vendor không bao giờ thấy gì cả”. Đáng để đọc kỹ yêu cầu compliance thực tế trước khi giả định pattern này đáp ứng được; tôi từng thấy nhiều team nhầm lẫn “data residency” với “zero vendor visibility”, hai tiêu chuẩn này không giống nhau.

Cũng có một chi phí vận hành dễ bị đánh giá thấp trong lời chào hàng: giờ bạn phải tự chạy và bảo trì hạ tầng thực thi — vá lỗi image workspace, quản lý ranh giới network, giám sát kết nối relay cho ngày không thể tránh khỏi khi nó chập chờn giữa task. Đó là công việc platform-engineering thật sự mà một công cụ agent hosted hoàn toàn không đòi hỏi ở bạn. Với doanh nghiệp đã có sẵn platform team, đó chỉ là việc thường ngày. Với tổ chức nhỏ hơn đang cân nhắc vì nghe có vẻ an toàn hơn, đó là một gánh nặng bảo trì mới họ nên định lượng trung thực trước khi cam kết.

Vì sao pattern này có khả năng lan rộng

Coder không đơn độc với hình dạng này — cùng một bản năng đứng sau self-hosted runner cho CI, đứng sau các mô hình triển khai BYOC (bring-your-own-cloud) đã trở nên phổ biến với data platform vài năm trước, và đứng sau mọi kiến trúc “control plane hosted, data plane của bạn” từng xuất hiện mỗi khi một công cụ vendor cần quyền truy cập sâu vào thứ mà khách hàng bị quản lý chặt không thể giao trọn vẹn. Công cụ agentic coding chỉ là hạng mục mới nhất chạm bức tường đó, và việc Cursor — không hẳn là kẻ chậm chân về UX hosted-agent — sẵn sàng tách kiến trúc của mình theo cách này để tiếp cận doanh nghiệp là tín hiệu cho thấy phân khúc doanh nghiệp bị quản lý chặt giờ đã đủ lớn để đáng chi phí kỹ thuật hỗ trợ hai topology triển khai thay vì một.

Nếu bạn đang đánh giá công cụ agentic coding cho môi trường bị ràng buộc bởi compliance, câu hỏi nên hỏi vendor không phải “có an toàn không” — ai cũng trả lời có. Mà là “cụ thể thứ gì băng qua ranh giới network, và tôi có thể tự audit traffic đó độc lập với dashboard của bạn hay không”. Câu trả lời của Agent Relay — plan và diff, không phải source hay secrets — là một tuyên bố cụ thể, có thể kiểm chứng được. Đó là tiêu chuẩn mà các vendor khác đang đuổi theo phân khúc này cũng sẽ cần vượt qua.