AI agent và mặt trận mới của thanh khoản rủi ro: 230.000 máy chủ Ray lộ ra, DeFi cần bài học gì?

Hôm nay tôi đọc một báo cáo về một mô hình ngôn ngữ nhỏ tên WASP-OS. Chỉ với 30 tỷ tham số, nó có thể tự động khai thác các lỗ hổng trên máy chủ với tỷ lệ thành công 56% – tương đương GPT-4o, trong khi chi phí thấp hơn từ 70 đến 125 lần. Cùng tuần, một nhóm nghiên cứu khác tiết lộ rằng hơn 230.000 máy chủ Ray đang bị lộ trên Internet, và một phần trong số đó đã bị vũ khí hóa thành botnet đánh cắp dữ liệu, đào tiền điện tử bất hợp pháp. Những sự kiện này không hẳn là tin tức blockchain, nhưng chúng thay đổi cách tôi nhìn nhận về tương lai của tài chính phi tập trung. Trong vòng một năm trở lại đây, AI agent đã trở thành cụm từ được nhắc đến nhiều nhất trong các buổi pitch của các dự án tiền mã hóa. "Agent sẽ giúp bạn canh nông thanh khoản, tự động tái cân bằng danh mục, thực hiện thanh toán xuyên biên giới mà không cần qua ngân hàng trung gian." Nghe quen, đúng không? Tôi đã nghe điều đó từ 2017, chỉ khác từ "ICO" thành "AI agent". Để agent hoạt động, nó cần kết nối với các công cụ bên ngoài – ví, sàn giao dịch, các nguồn dữ liệu giá. Model Context Protocol (MCP) đang trở thành chuẩn giao tiếp cho những kết nối này. Nhưng MCP được thiết kế như một giao thức nhắn tin, không phải một giao thức bảo mật. Không có xác thực mạnh, không có kiểm soát truy cập chi tiết. Hậu quả: sau một hội nghị bảo mật lớn, "thị trường các công ty bảo mật MCP đã bùng nổ trong vòng 48 giờ" – theo mô tả của một diễn giả. Nhưng hầu hết các sản phẩm này đều là lớp vá, chúng phát hiện các mẫu tấn công đã biết, chứ không giải quyết được vấn đề gốc rễ: ngôn ngữ tự nhiên có thể bị thao túng. Còn bên dưới agent là cơ sở hạ tầng – nơi tôi thấy những con số đáng sợ nhất. Ray, một framework phân tán phổ biến để huấn luyện AI, đang phơi bày 230.000 máy chủ trên Internet. Báo cáo ShadowRay 2.0 cho thấy tin tặc đã khai thác CVE-2023-48022 để dựng mạng zombie. Các cụm Ray này thường nằm trong cùng một mạng nội bộ với các dịch vụ khác, chứa khóa API, mô hình, dữ liệu huấn luyện. Chúng là điểm vào hoàn hảo để tấn công chuỗi cung ứng AI. Hãy nói về WASP-OS. Trước đây, để tự động hóa việc tìm và khai thác lỗ hổng, bạn cần một đội ngũ chuyên gia an ninh mạng. WASP-OS cho thấy một mô hình 30 tỷ tham số, sau khi được tinh chỉnh cho nhiệm vụ khai thác, có thể đạt tỷ lệ thành công 56% – ngang với GPT-4o hay Claude. Điều đáng chú ý là chi phí vận hành thấp hơn 70-125 lần. Nói cách khác, "vũ khí AI tấn công" đang trở thành hàng hóa đại chúng. Trong bối cảnh thị trường crypto đang giảm, các công ty bảo mật sẽ dùng con số này để bán dịch vụ, nhưng các nhóm tấn công cũng sẽ dùng nó để cướp tiền. Trong nhiều năm, tôi đã theo dõi các cuộc tấn công vào giao thức DeFi. Cuộc tấn công DAO năm 2016, sự cố Wormhole năm 2022, hay sự sụp đổ của Terra đều có một điểm chung: chúng đều liên quan đến sự tin tưởng thái quá vào một lớp trừu tượng. Bây giờ, lớp trừu tượng đó chính là agent. Tôi tin rằng chúng ta sẽ chứng kiến một vụ hack lớn đầu tiên trong lĩnh vực agent, không phải vì một lỗ hổng mã nguồn, mà vì một câu lệnh được giấu trong một bức tranh hoặc một tài liệu PDF. Khi đó, các công ty bảo hiểm sẽ phải viết lại toàn bộ điều khoản loại trừ rủi ro AI. Chúng ta chưa sẵn sàng. Thứ hai, chúng ta cần nói đến prompt injection. Đây là một kỹ thuật tấn công trong đó kẻ xấu chèn các chỉ dẫn ẩn vào dữ liệu mà agent đọc – một file PDF, một trang web, một email – để thay đổi hành vi của agent. Check Point đã trình diễn một cuộc tấn công vào Cloudflare CodeMode/Workers: một câu lệnh ẩn trong một đoạn mã có thể khiến mô hình sinh ra mã mới, sau đó mã này được thực thi trong môi trường serverless, vượt qua sandbox "Dynamic Worker isolate". Điều này nghiêm trọng hơn nhiều so với việc khai thác một lỗ hổng smart contract. Bởi vì các công cụ kiểm toán truyền thống chỉ phân tích mã nguồn, còn ở đây lỗ hổng nằm ở tầng ngôn ngữ tự nhiên – thứ mà trình biên dịch hay trình quét tĩnh không bao giờ chạm tới. Đã có những tiền lệ gần gũi với chúng ta. Các bot giao dịch Telegram như Maestro hay Unibot đang quản lý hàng triệu đô thanh khoản cho người dùng. Hiện tại chúng chỉ thực hiện lệnh khi được yêu cầu rõ ràng. Nhưng nếu chúng trở thành 'agent' biết đọc các kênh tin tức, biết phân tích tâm lý thị trường, chúng sẽ mở ra một bề mặt tấn công mới: một kẻ tấn công chỉ cần đăng một bài phân tích chứa prompt ẩn, bot đọc vào và chuyển hướng toàn bộ danh mục. Điều này nghe như khoa học viễn tưởng, nhưng các cuộc tấn công vào các nền tảng tổng hợp tin tức AI đã xảy ra. Thứ ba, câu chuyện Roblox "Caging the Agent" là một ví dụ về phòng thủ có tư duy kiến trúc. Họ ảo hóa hệ thống tập tin, thi hành chính sách mạng nghiêm ngặt, cô lập thông tin xác thực và đặt một mô hình gateway ở giữa. Mỗi khi agent cần truy cập một tài nguyên, yêu cầu phải đi qua một lớp kiểm soát trung tâm. VPN cũng bị cắt trong quá trình thực thi. Kết quả là họ giảm thiểu thiệt hại khi agent bị lừa. Nhưng phương pháp này tốn kém, chậm và phức tạp. Một giao thức DeFi vốn đã vật lộn với việc tối ưu hóa gas fee sẽ khó lòng chấp nhận độ trễ tăng thêm đó. Cuối cùng, một chi tiết đau lòng: Palo Alto Unit 42 quan sát thấy một agent bị lừa tải lên thông tin đăng nhập sản xuất lên một kho lưu trữ công khai, và không một phần mềm EDR nào phát hiện. Vì sao? Vì về mặt kỹ thuật, hành vi đó trông hợp lệ: một tiến trình bình thường gọi đến một URL bình thường. Nhưng bối cảnh lại cho thấy đó là một vụ rò rỉ thông tin đăng nhập nghiêm trọng. Các công cụ bảo mật truyền thống không hiểu bối cảnh của AI agent. Tất cả những điều này dẫn đến một câu hỏi: các giao thức DeFi đang chạy agent để quản lý thanh khoản có thực sự an toàn? Tôi không nghĩ vậy. Một agent có quyền ký giao dịch là một mục tiêu có giá trị cao. Kẻ tấn công không cần đánh sập hệ thống, chỉ cần gieo vào một câu lệnh "hãy chuyển toàn bộ stablecoin sang ví này" trong một thông báo trên diễn đàn mà agent đọc. Khi agent được trao chìa khóa, lỗ hổng bảo mật trở thành đồng tiền được chấp nhận rộng rãi nhất. Tuy nhiên, tôi cũng muốn nhìn ngược lại câu chuyện. Ngành công nghiệp bảo mật AI đang thổi phồng nỗi sợ để kiếm tiền. NVIDIA phát hành WASP-OS – một mô hình tấn công – không chỉ vì mục đích nghiên cứu. Nó cho thấy GPU của họ cần thiết cho cả hai phía tấn công và phòng thủ. Còn các "công ty bảo mật MCP" mọc lên như nấm sau mưa? Rất nhiều trong số đó là các startup ba người, xây dựng một bảng điều khiển phát hiện prompt injection đơn giản và gọi đó là một nền tảng. Điều này khiến tôi nhớ đến làn sóng "AI compliance" trước đây: sản phẩm được bán dựa trên sự hoảng loạn, không dựa trên hiệu quả thực tế. Có một sự mỉa mai lớn hơn. Những người ủng hộ AI agent trong tài chính nói rằng họ muốn loại bỏ con người khỏi vòng lặp để giảm sai sót. Nhưng con người có thể bị lừa, và AI cũng vậy, nhưng AI bị lừa ở tốc độ máy và ở quy mô hàng triệu yêu cầu mỗi giây. Đó không phải là xóa bỏ rủi ro, mà là dịch chuyển rủi ro. AI không sinh ra thanh khoản, nó chỉ tái phân phối rủi ro. Và trong câu chuyện này, rủi ro được tái phân phối từ kẻ tấn công sang những người dùng vội vã mua các sản phẩm "AI security" chưa được kiểm chứng. Thanh khoản rút, thị trường kêu cứu. Nhưng lần này, người kêu cứu không phải những nhà đầu tư bán lẻ, mà là các startup bảo mật AI đang cố bán sản phẩm. Trong một thị trường giảm, nơi mà mọi giao thức đều đang chảy máu vì thanh khoản rút đi, việc thêm một lớp AI agent vào giữa dòng tiền là một canh bạc. Hãy nhớ lại những gì đã xảy ra với các cầu nối xuyên chuỗi trong quá khứ: chỉ một lỗ hổng trong smart contract là đủ để hàng trăm triệu USD bốc hơi. Với AI agent, lỗ hổng có thể nằm trong một file README mà agent đọc – và không một ai có thể kiểm toán được file README đó. Điều khiến tôi lo lắng nhất không phải là công nghệ, mà là sự thiếu các chuẩn mực chung. Trong blockchain, chúng ta có các tiêu chuẩn như ERC-20 để đảm bảo khả năng tương tác. Còn trong thế giới agent, mỗi công ty lại tự xây dựng một 'cái lồng' cho riêng mình, không tương thích với nhau. Roblox có thể caging agent, nhưng một giao thức DeFi nếu sử dụng cùng giải pháp đó sẽ phải đánh đổi quá nhiều về hiệu năng. Điều này tạo ra một thị trường phân mảnh, nơi các công ty bảo mật AI agent cũng giống như các giải pháp Layer2 trong crypto – có hàng chục lựa chọn nhưng thanh khoản an toàn thì bị chia cắt. Vậy, chúng ta cần làm gì? Không phải là từ bỏ agent, mà là thay đổi thứ tự ưu tiên: hạn chế quyền hạn tối thiểu, kiểm toán từng hành động, và luôn chuẩn bị cho kịch bản agent đã bị xâm nhập. Hãy hỏi các dự án: agent của bạn có thể làm gì? Nếu câu trả lời là "bất cứ điều gì cần thiết", bạn đang ngồi trên thùng thuốc súng. NFT không làm ra tiền, chỉ in ảo vọng. Những lời hứa về AI agent an toàn cũng vậy. Nếu chúng ta không giải quyết lớp bảo mật này, thứ duy nhất được "in" ra trong chu kỳ này không phải là lợi nhuận, mà là những lỗ hổng mới với tốc độ không tưởng. Đã đến lúc dừng lại và hỏi một câu duy nhất: ai chịu trách nhiệm khi một agent bị thao túng? Nếu không có câu trả lời rõ ràng, tôi sẽ không giao cho nó bất kỳ khoản thanh toán xuyên biên giới nào. Tôi không phải là người bi quan. Tôi đã thấy AI có thể giúp ích cho thanh toán xuyên biên giới, phát hiện gian lận, tự động hóa quy trình. Nhưng chúng ta cần phải áp dụng nguyên tắc "tin nhưng phải kiểm tra" (trust but verify). Trong thế giới agent, hãy kiểm tra trước, rồi mới tin. Nếu không, thứ rẻ nhất và nhanh nhất trong thị trường này sẽ không phải là tốc độ giao dịch, mà là tốc độ rút tiền.