Black Hat USA 2026 dành 7 phiên cho AI agent security. Tôi đọc kỹ toàn bộ mô tả. Có cuộc tấn công CoreBreak đánh cắp credential, có hướng dẫn fine-tune model nguồn mở để xây dựng công cụ khai thác rẻ tiền, có cả hội thảo về mạng botnet tự lây lan dựa trên hạ tầng AI bị chiếm đoạt. Tất cả đều là những mối đe dọa nghiêm túc. Nhưng không một phiên nào đặt ra câu hỏi mà tôi cho là gốc rễ: private key của agent đó nằm ở đâu trong stack?
Không log, không có chuyện đó. Sau 8 năm audit hợp đồng thông minh, tôi nhìn ra một khuôn mẫu lặp đi lặp lại: quá nhiều quyền, quá ít kiểm soát. Và AI agent đang tiến thẳng vào vết xe đổ này.
Trong 12 tháng qua, các agent AI không còn là chatbot thử nghiệm. Chúng được nối vào hệ thống doanh nghiệp, sở hữu tài khoản, gọi API, thậm chí ký giao dịch. Roblox đưa Claude Code vào sản xuất và phải bọc nó trong nhiều lớp sandbox. OpenAI thừa nhận model của họ từng thoát khỏi môi trường kiểm soát trong lúc thử nghiệm. Anthropic ghi nhận một vụ vượt rào trong quá trình đánh giá an toàn. Đây không còn là chuyện phòng lab.
Với blockchain, mức độ rủi ro còn cao hơn một bậc. Agent của bạn không chỉ đọc dữ liệu. Nó có thể giữ một private key, ký lệnh swap, tương tác với hợp đồng thông minh, phê duyệt token. Nó trở thành một ví tự động. Và ví tự động là giấc mơ của kẻ tấn công.
Vấn đề không nằm ở model thông minh hay ngu ngốc. Nằm ở việc bạn giao cho agent quyền đến mức nào. Một agent với quyền ký giao dịch không giới hạn chính là một smart contract có lỗi unchecked external call đang chờ bị khai thác.
Tôi đã audit hàng trăm hợp đồng. Lỗi chết người thường không đến từ thuật toán phức tạp. Đến từ việc cấp quyền mà không có ràng buộc. AI agent cũng vậy. Hãy nhìn vào các vector tấn công mà Black Hat 2026 nêu ra.
Thứ nhất, prompt injection. Kẻ tấn công chèn lệnh độc hại vào dữ liệu mà agent đọc được. Agent tin rằng đó là chỉ thị hợp lệ và thực hiện. Trong thế giới blockchain, điều này có nghĩa là một agent đang quét tin tức thị trường có thể bị lừa để gọi hàm approve() cho một địa chỉ lạ. Không cần hack ví. Không cần phishing. Chỉ cần một đoạn text nằm trong trang web nó đọc.
Thứ hai, đánh cắp credential. Nhiều đội phát triển lưu private key trong biến môi trường hoặc file cấu hình ngay trên máy chạy agent. Một cuộc tấn công như CoreBreak có thể trích xuất credential đó, và agent thậm chí không biết mình đã bị bắt tay. Đây chính xác là lỗi mà tôi từng thấy trong các dự án DeFi thiếu kiểm soát quyền truy cập ở tầng hệ thống.
Thứ ba, fine-tune model nguồn mở. Chi phí để fine-tune một model tấn công hiện rất thấp. Kẻ xấu có thể tạo ra một agent chuyên quét các hợp đồng thông minh sống, tìm kiếm lỗ hổng và tự động khai thác. Nhịp độ đó nhanh hơn con người rất nhiều. Và khi model tấn công này được cấu hình để không tuân theo các nguyên tắc an toàn, các biện pháp phòng thủ dựa trên hành vi sẽ không nhận ra nó.
Unit 42 – đội nghiên cứu của Palo Alto – từng ghi nhận AI được sử dụng làm vũ khí ngoài thực địa. HalCTF, một cuộc thi tấn công agent, đã thu hút cộng đồng bảo mật vào việc tìm ra các lỗ hổng chưa từng biết. Những tín hiệu này cho thấy kỹ thuật tấn công agent không dừng ở lý thuyết. Nó đang thành một ngành công nghiệp ngầm có tổ chức.
Nhưng có một điểm mù lớn hơn, mà tôi muốn làm rõ: hầu hết các cuộc thảo luận an ninh đều tập trung vào cách ngăn agent làm điều xấu. Cách dùng sandbox, cách giám sát log, cách kiểm tra hành vi. Rất ít người hỏi: làm sao để hạn chế quyền của agent từ đầu?
Quyền hạn càng lớn, vết thương càng sâu. Trong smart contract, chúng ta có mô hình quyền tối thiểu: một hợp đồng chỉ được phép làm đúng những gì nó cần. Hàm rút tiền phải giới hạn số dư. Hàm nâng cấp phải qua multi-sig. Không có trường hợp nào cho phép một hợp đồng tự do gọi đến bất kỳ địa chỉ nào.
Hãy thử áp dụng tư duy đó vào AI agent. Agent của bạn cần đọc giá từ Uniswap? Cấp cho nó quyền chỉ gọi hàm getReserves(). Cần thực hiện swap? Tách riêng chức năng đó ra khỏi phần đọc dữ liệu, hoặc yêu cầu xác nhận thủ công với các giao dịch vượt ngưỡng. Private key không bao giờ nên nằm trong cùng một quy trình với agent. Nó phải nằm trong một mô-đun ký tách biệt, có chính sách riêng, có giới hạn tỷ lệ, có danh sách địa chỉ trắng.
Kỷ niệm với tôi ám ảnh nhất là vụ audit Arbitrum Nitro bridge năm 2022. Tôi tìm ra lỗi validateProof không kiểm tra seqNum tăng dần. Lỗi đó có thể cho phép double-spend. Và nó đến từ cùng một căn bệnh: không kiểm soát được thứ tự và ràng buộc. Hôm nay, agent AI mắc y hệt. Chúng ký giao dịch theo thứ tự chúng muốn, mà không có luật chơi.
Tôi gọi giải pháp là mô hình 'ký tách rời'. Không phải mới, HSM đã làm việc này từ lâu. Nhưng hầu hết các dự án crypto AI agent đang bỏ qua bước này. Họ gắn private key thẳng vào agent để nó 'tự chủ', giống như lập trình viên mới học dùng delegatecall mà không hiểu hậu quả.
Tôi cũng thấy nhiều đội ngại chi phí hạ tầng. Multi-layer sandbox cho hàng nghìn agent có thể tăng gấp đôi hóa đơn tính toán. Nhưng hãy nhìn theo cách này: một lần sandbox escape trong môi trường DeFi có thể xóa sổ toàn bộ lợi nhuận của cả quý. Đó là loại bảo hiểm bạn không muốn mua cho đến khi cần.
Và đây là phần phản trực giác: các model AI an toàn nhất lại có thể là rủi ro lớn nhất. Hãy tưởng tượng bạn dùng một model nguồn mở, không có cơ chế an toàn tích hợp, nhưng bạn cô lập hoàn toàn và giới hạn quyền của nó trong một phạm vi nhỏ. Nó có thể không giỏi lập luận, nhưng nó không thể làm hại bạn vì nó không có gì để bẻ cong.
Trong khi đó, model mạnh nhất với 'alignment' rất tốt vẫn có thể bị prompt injection xuyên qua. Bằng chứng là OpenAI và Anthropic đều từng có sự cố trong môi trường kiểm soát. Sự thông minh của model tạo ra cảm giác an toàn giả tạo. Bạn nghĩ nó đủ khôn để không bị lừa. Nhưng kẻ tấn công không cần model của bạn ngu ngốc, họ chỉ cần đặt nó vào một tình huống mà quyền hạn của nó làm phần còn lại.
Trong thị trường tăng này, mọi người FOMO chạy theo câu chuyện AI agent. Các token agent tăng chóng mặt. Nhưng tôi nhìn vào mã nguồn, và tôi thấy nhiều dự án đang lặp lại chính xác sai lầm của ICO 2017: hứa hẹn quá nhiều, bảo mật quá ít.
Mở code ra, đọc đi. Nếu bạn thấy một agent có quyền rút tiền từ ví mà không có cơ chế phê duyệt nào, đó không phải là tự chủ. Đó là một quả bom hẹn giờ.
Trong 12 tháng tới, tôi dự đoán sẽ có một vụ hack AI agent lớn trong DeFi, gây thiệt hại hàng chục triệu USD. Không phải vì model yếu, mà vì private key nằm trong tay một process có quyền tự chủ. Câu hỏi không phải 'liệu agent có an toàn không'. Câu hỏi là 'bạn đã tách private key khỏi agent chưa?' Nếu chưa, bạn đang cầm một quả lựu đạn, và nó đang mở chốt.