Hook
Trong 72 giờ vừa qua, một thông tin từ phòng thí nghiệm Anthropic đã lặng lẽ đi qua các kênh bảo mật, không gây ra cú sốc lớn trên thị trường, nhưng nó đủ sức thay đổi cách tôi nhìn nhận toàn bộ hệ sinh thái blockchain. Cụ thể: một mô hình AI thuộc dòng Claude, hoạt động như một tác nhân độc lập, đã tự động xâm nhập thành công vào ba tổ chức khác nhau trong môi trường thử nghiệm được cấp phép. Không có con người điều khiển từng bước. Không có kịch bản được lập trình sẵn. Chỉ có một tập hợp các công cụ, một mục tiêu, và một mô hình ngôn ngữ lớn được phép tự do suy luận.
Dữ liệu cho thấy các cuộc tấn công này bao gồm thu thập thông tin, xác định lỗ hổng, khai thác và leo quyền — một chuỗi hành vi mà trước đây chỉ có những nhà nghiên cứu bảo mật giàu kinh nghiệm mới thực hiện được. Vậy thì, điều này có nghĩa gì khi tôi dành phần lớn sự nghiệp của mình để kiểm tra các hợp đồng thông minh, theo dõi wash trading, và đối chiếu whitepaper với thực tế on-chain? Nó có nghĩa là trò chơi đã thay đổi — và phần lớn ngành công nghiệp tiền mã hóa vẫn đang ngủ quên.
Context
Trước khi chúng ta đi sâu vào chi tiết, cần phải hiểu bối cảnh. Trong 18 tháng qua, ngành công nghiệp blockchain đã có một cuộc hôn phối âm thầm với AI. Những "AI agent" — các chương trình tự động quản lý danh mục đầu tư, thực hiện giao dịch chênh lệch giá, tối ưu hóa canh tác nông nghiệp trên các giao thức DeFi — đã trở thành một câu chuyện đầu tư hấp dẫn. Các nền tảng như Virtuals Protocol, ai16z, và Fetch.ai đã tạo ra hàng trăm tác nhân AI với tổng vốn hóa lên tới hàng tỷ đô la trong giai đoạn cuối năm 2024 và đầu năm 2025.
Tuy nhiên, hầu hết các tác nhân này chỉ đang thực hiện các tác vụ đơn giản: phân tích cảm xúc từ tweet, đề xuất giao dịch, hoặc tự động hóa các bước trong quy trình yield farming. Chúng hoạt động trong một môi trường tương đối khép kín — nơi quyền truy cập và phạm vi hoạt động được lập trình sẵn. Chúng không đưa ra quyết định chiến lược thực sự độc lập, và trên hết, chúng không được phép "vượt rào".
Vậy thì, Anthropic vừa làm điều gì đó khác biệt. Họ đã chứng minh rằng một mô hình AI, trong điều kiện được cho phép, có thể chủ động tìm kiếm và khai thác lỗ hổng trong các hệ thống kỹ thuật số phức tạp. Điều này không chỉ là một bước tiến trong nghiên cứu bảo mật. Nó là một lời cảnh báo về những gì sẽ xảy ra khi cùng một năng lực đó được đặt vào trong bối cảnh blockchain — nơi có hơn 100 tỷ đô la bị khóa trong các hợp đồng thông minh, nơi lỗ hổng trong một cầu nối cross-chain có thể dẫn đến thiệt hại hàng trăm triệu đô la trong vài phút.
Core
Bây giờ, hãy để tôi tháo gỡ vấn đề một cách có hệ thống. Khi tôi xem xét cách Anthropic mô tả cuộc thử nghiệm của họ — và tôi nhấn mạnh là mô tả, vì họ không công bố mã nguồn hay log chi tiết — tôi thấy ba lớp ý nghĩa quan trọng cho ngành công nghiệp blockchain.
Lớp thứ nhất, và là lớp trực tiếp nhất, liên quan đến an ninh của các hợp đồng thông minh. Trong suốt sự nghiệp kiểm toán của mình, tôi đã chứng kiến một thực tế không thoải mái: hầu hết các cuộc tấn công DeFi đều tái sử dụng các lỗ hổng đã biết. Reentrancy, flash loan manipulation, oracle manipulation — tất cả đều là những kỹ thuật đã được ghi chép đầy đủ trong các cơ sở dữ liệu lỗ hổng. Vấn đề là các nhóm phát triển thường quá bận rộn hoặc quá tự tin để vá chúng kịp thời. Một AI agent có khả năng quét toàn bộ lịch sử exploit trên Ethereum, tạo ra một bản đồ tấn công và tự động kiểm tra phiên bản mới nhất của một hợp đồng thông minh — sổ cái không biết nói dối, nhưng con người thì có. Và con người thường không trung thực về việc họ có vá lỗ hổng hay không.
Lớp thứ hai, và đây là nơi tôi thấy sự nguy hiểm nhất, nằm ở tầng oracle và cơ sở hạ tầng phi tập trung. Tôi đã nhiều lần chỉ ra rằng độ trễ của oracle feed là gót chân Achilles của DeFi. Chainlink giải quyết vấn đề phi tập trung bằng cách sử dụng các node tập trung — một nghịch lý mà ít ai muốn đối mặt. Bây giờ, hãy tưởng tượng một AI agent được huấn luyện không phải để tấn công một hợp đồng cụ thể, mà để quan sát hành vi của các oracle feed trong thời gian thực, tìm ra các mô hình thiếu hiệu quả, và kích hoạt các giao dịch lợi dụng chênh lệch dữ liệu tại thời điểm chính xác nhất. Các bot MEV hiện tại đã làm việc này với tốc độ và độ chính xác ấn tượng, nhưng chúng tuân theo các quy tắc được lập trình cứng. Một AI agent có thể thích nghi với môi trường, học từ các thất bại, và phát triển các chiến lược mà chưa một con người nào từng nghĩ ra. Đây không phải là một phiên bản nhanh hơn của cùng một kẻ thù. Đây là một loài săn mồi hoàn toàn mới.
Lớp thứ ba, và có lẽ là lớp sâu xa nhất, liên quan đến quy trình phát triển và kiểm toán. Trong một bài phân tích trước đây, tôi đã nhấn mạnh tầm quan trọng của việc kiểm tra độc lập trong hệ sinh thái DeFi. Quy trình của tôi luôn bao gồm việc đọc mã, chạy mô phỏng, xác minh thanh khoản, và đối chiếu lịch sử. Nhưng một AI agent không bị giới hạn bởi thời gian hay sự kiên nhẫn của con người. Nó có thể chạy hàng ngàn mô phỏng khác nhau trên mỗi phiên bản mã. Nó có thể kiểm tra mọi nhánh có thể có của một hàm phức tạp. Nó có thể tìm ra các tương tác bất ngờ giữa các giao thức khác nhau — những tương tác mà ngay cả các nhà kiểm toán giỏi nhất cũng có thể bỏ sót.
Tôi nhớ vào năm 2020, khi tôi kiểm toán hợp đồng của dự án YAM, tôi đã phát hiện ra lỗi tái nhập chỉ sau ba ngày đọc mã. Đó là một lỗi tương đối tinh vi, nhưng tôi có thể tìm thấy nó vì tôi đã nhìn thấy các mô hình tương tự hàng trăm lần trước đó. Bây giờ, hãy tưởng tượng một AI agent được huấn luyện trên tất cả các lỗi đã được phát hiện trong lịch sử DeFi — hàng ngàn lỗi, hàng ngàn mô hình. Nó sẽ tìm ra các lỗ hổng trong YAM không phải trong ba ngày, mà trong ba phút — và nó sẽ làm điều đó trước khi đội ngũ phát hành hợp đồng. Root: Phơi bày — đây là bản chất của việc kiểm toán. Và AI agent sẽ phơi bày mọi thứ.
Tuy nhiên, chúng ta cần phải thận trọng. Có một sự khác biệt lớn giữa một mô hình AI tấn công một môi trường được dàn dựng — nơi mà các mục tiêu có thể đã được giản lược hóa, nơi mà các biện pháp phòng thủ cố tình để lỏng — và một mô hình AI tấn công một hệ thống sản xuất thực tế, nơi con người phản ứng, nơi các biện pháp phòng thủ nhiều lớp, nơi mà sự hỗn loạn và bất định chiếm ưu thế.
Anthropic đã không nói rõ mức độ phức tạp của các mục tiêu họ sử dụng. Họ cũng không tiết lộ liệu AI có cần sử dụng các công cụ khai thác đã được xây dựng sẵn (như Metasploit) hay tự viết mã khai thác từ đầu. Đây là một khoảng trống thông tin quan trọng. Nếu AI chỉ đơn thuần gọi các công cụ có sẵn trong hệ thống, thì đó là một cuộc chứng minh về khả năng lập kế hoạch và ra quyết định, nhưng không phải là một bước nhảy vọt về khả năng khai thác thực tế. Nếu AI tự viết mã khai thác, thì chúng ta đang ở một thế giới hoàn toàn khác — một thế giới mà các lỗ hổng zero-day trong các giao thức blockchain có thể bị phát hiện và khai thác hoàn toàn tự động.
Tôi nghiêng về khả năng đầu tiên, dựa trên các giới hạn hiện tại của công nghệ. Nhưng sự nghiêng về khả năng đầu tiên không mang lại sự an ủi lớn lao. Bởi vì ngay cả việc gọi các công cụ có sẵn một cách thông minh cũng đã tạo ra một ngưỡng tấn công mới. Trong các cuộc tấn công DeFi gần đây mà tôi đã theo dõi — bao gồm cả sự cố của Euler Finance (200 triệu đô la) và Ronin Bridge (600 triệu đô la) — các kẻ tấn công luôn phải đối mặt với một thách thức: viết mã khai thác tinh vi, phối hợp nhiều bước, và thực hiện mọi thứ trước khi bị phát hiện. Một AI agent không ngủ, không hoảng loạn, và không mắc sai lầm do thiếu tập trung. Nó có thể thử 10.000 phương án khác nhau trong một đêm và chọn phương án hiệu quả nhất.
Điều này đưa tôi đến một khía cạnh quan trọng khác: sự thay đổi trong phân bổ nguồn lực phòng thủ. Hiện tại, các công ty bảo mật blockchain sử dụng sự kết hợp giữa kiểm toán thủ công, quét tự động và chương trình tiền thưởng lỗ hổng. Tất cả các phương pháp này đều có một điểm chung: chúng dựa trên sự tham gia của con người. Một AI agent tấn công không cần con người. Nó có thể rà quét toàn bộ hệ sinh thái một cách có phương pháp, kiểm tra từng hợp đồng mới được triển khai trên các testnet công khai, tìm kiếm các mô hình bất thường trước khi chúng được triển khai trên mainnet.
Tôi đã nói điều này trước đây và tôi sẽ nói lại: DeFi không phải ma thuật, là kiểm toán. Và kiểm toán đang bước vào một kỷ nguyên mới — nơi con người không còn là người kiểm toán duy nhất.
Bây giờ, hãy để tôi chuyển sang một khía cạnh mà hầu hết các bài phân tích sẽ bỏ qua: tác động lên các mạng lưới Layer 2 và cơ chế đồng thuận. Tôi đã viết nhiều về vấn đề chi phí chứng minh của ZK Rollup, và tôi duy trì lập trường rằng chi phí này đang ở mức phi lý. Nhưng có một điểm tôi chưa từng nhấn mạnh đủ: đó là sự phức tạp ngày càng tăng của các hệ thống này tạo ra một bề mặt tấn công ngày càng lớn.
Những người xây dựng ZK Rollup đang đối mặt với một nghịch lý: họ xây dựng các hệ thống phức tạp hơn để giải quyết các vấn đề về khả năng mở rộng, nhưng mỗi lớp phức tạp bổ sung lại tạo ra thêm các lỗ hổng tiềm ẩn. Một AI agent được tối ưu hóa cho việc tìm kiếm lỗi trong mã có thể tấn công các trình xác minh bằng chứng (proof verifier), các cầu nối giữa Layer 1 và Layer 2, và các khuôn khổ phát triển mà hầu hết các nhóm phát triển sử dụng. Điều này không còn là một mối đe dọa lý thuyết. Đây là một mối đe dọa thực tế sẽ xảy ra trong vòng 12 đến 24 tháng tới.
Contrarian
Bây giờ, hãy để tôi đóng vai trò của người biện hộ. Trong thị trường đi ngang này, khi mà hầu hết các nhà đầu tư đang chờ đợi một hướng đi rõ ràng, tôi tin rằng chúng ta cần phải nhìn vào mặt tích cực của câu chuyện này. Những người lạc quan nhất — những người mà tôi thường không đồng tình — có một điểm quan trọng cần được ghi nhận.
Thứ nhất, cùng một công nghệ cho phép AI tấn công cũng có thể được sử dụng để phòng thủ. Trên thực tế, các hệ thống phòng thủ dựa trên AI có một lợi thế so với các hệ thống tấn công: chúng có thể chạy liên tục, quan sát toàn bộ mạng lưới và phát hiện các bất thường trong thời gian thực. Trong khi một kẻ tấn công AI cần phải tìm ra một lỗ hổng chưa được vá, một hệ thống phòng thủ AI chỉ cần phát hiện ra hành vi bất thường — một giao dịch flash loan với các đặc điểm kỳ lạ, một chuỗi các cuộc gọi hợp đồng bất thường, một sự thay đổi trong hành vi của một quỹ thanh khoản. Nếu được triển khai đúng cách, AI phòng thủ có thể tạo ra một lớp bảo vệ mà con người không thể chạm tới.
Thứ hai — và đây là điểm mà những người theo phe bò có thể sẽ không ngờ tới — AI agent có thể giúp chúng ta phát hiện ra các vấn đề mang tính hệ thống mà chúng ta đã bỏ qua trong nhiều năm. Hãy nhớ lại vụ sụp đổ của FTX. Hàng trăm nhà phân tích đã nhìn vào các dữ liệu on-chain và không thấy điều gì bất thường. Nhưng một AI agent được đào tạo để tìm kiếm các mô hình bất thường trong dòng tiền và mối quan hệ giữa các ví — một AI không bị ảnh hưởng bởi sự nổi tiếng của Sam Bankman-Fried, không bị mờ mắt bởi những lời hứa về một tương lai tươi sáng — có thể đã phát hiện ra các dấu hiệu cảnh báo sớm.
Thứ ba, và điều này có thể gây tranh cãi: các cuộc tấn công AI có thể dẫn đến một sự thay đổi trong cách chúng ta thiết kế các giao thức blockchain. Trong thời đại mà con người là những người tấn công chính, các nhà phát triển thường dựa vào sự phức tạp để bảo vệ hệ thống. Nhưng sự phức tạp không ngăn được AI — nó chỉ làm cho cuộc tấn công chậm hơn một chút. Điều này có thể ép buộc các nhà phát triển phải thiết kế các hệ thống đơn giản hơn, minh bạch hơn, và do đó an toàn hơn.
Nhưng — và đây là một sự bảo lưu quan trọng — những lập luận lạc quan này không làm giảm đi mức độ nghiêm trọng của tình hình hiện tại. Chúng chỉ cho thấy rằng có một con đường phía trước. Và con đường đó đòi hỏi chúng ta phải hành động ngay bây giờ, không phải khi quá muộn.
Takeaway
Tôi không hỏi liệu một AI agent có thể tấn công một giao thức DeFi hay không. Tôi hỏi: khi các AI agent bắt đầu tương tác với nhau — một agent tấn công, một agent phòng thủ, cả hai đều hoạt động với tốc độ của máy móc — liệu chúng ta, những con người chậm chạp và dễ mắc sai lầm, có còn vai trò gì trong việc bảo vệ tài sản kỹ thuật số của mình không?
Câu trả lời, tôi tin, nằm ở một nơi mà hầu hết mọi người không nhìn tới: đó là sự minh bạch về những gì chúng ta biết và những gì chúng ta không biết. Anthropic đã cho chúng ta thấy một mảnh ghép của bức tranh. Họ không cho chúng ta thấy toàn bộ. Sổ cái không biết nói dối, nhưng con người thì có — và các công ty thì có động cơ mạnh mẽ để kể câu chuyện theo cách có lợi cho họ.
Điều duy nhất chúng ta có thể làm, với tư cách là những nhà đầu tư và những người tham gia thị trường, là giữ cho đôi mắt của mình mở rộng. Theo dõi các thay đổi trong hành vi của những người nắm giữ lớn. Giám sát các mẫu giao dịch bất thường. Và trên hết, đòi hỏi sự minh bạch từ các đội ngũ phát triển — không chỉ về mã nguồn của họ, mà còn về cách họ đang chuẩn bị cho một thế giới nơi kẻ thù của họ không phải là con người.
Thời gian để ẩn nấp đã kết thúc. Câu hỏi duy nhất là liệu chúng ta có đang ở phía đúng của lằn ranh đỏ.