Tôi đào mã nguồn của một Agent AI và phát hiện ra lỗ hổng giết chết nó.
Đầu tư một AI Agent? Trước khi xuống tiền, hãy để tôi chỉ cho bạn một thứ mà whitepaper không bao giờ nói: vòng đời thực sự của một AI Agent chỉ là một smart contract thông thường với một layer RPC (Remote Procedure Call) gọi ra thế giới bên ngoài.
Hãy quên câu chuyện 'siêu trí tuệ nhân tạo' đi. Agent là một chuỗi: Smart Contract (on-chain) -> Oracle/Relayer (off-chain) -> LLM API (off-chain).
Điểm yếu chí mạng không nằm ở mô hình AI, mà nằm ở giao tiếp giữa các lớp này. Hãy nói về 'BrainTrust', một câu chuyện điển hình.
Context: BrainTrust là một AI Agent được quảng cáo là 'tự trị', có khả năng quản lý pool thanh khoản tự động dựa trên phân tích thị trường. Họ gọi vốn 5 triệu USD, FDV (Fully Diluted Valuation) đạt 50 triệu.
Họ tự hào về 'thuật toán độc quyền' cho phép Agent vào lệnh và thoát lệnh nhanh hơn bất kỳ con người nào. Nghe quen không? Đây là mồi nhử cho những ai không đọc code.
Core Insight: Tôi mở hợp đồng thông minh của họ. Không có gì đặc biệt. Một contract vault đơn giản, cho phép owner rút tiền. Owner ở đây là một multisig 2/3. Không có gì mới.
Vấn đề nằm ở relayer. Mỗi 'quyết định' của AI Agent là một giao dịch được ký bởi một ví EOA (Externally Owned Account) đặc biệt, gọi là 'bot wallet'.
Bot wallet này có quyền gọi hàm executeTrade() trên contract. Ai kiểm soát bot wallet này? Đội ngũ dự án. Họ có thể thay đổi nó bất cứ lúc nào.
Tôi kiểm tra lịch sử giao dịch. Trong 7 ngày đầu, mọi thứ hoàn hảo: Agent kiếm được 15% lợi nhuận. Cộng đồng phấn khích. Họ nghĩ AI đang làm việc.
Sau đó, một giao dịch bất thường. Bot wallet gọi executeTrade() nhưng không phải với một DEX aggregator như thường lệ, mà là một địa chỉ mới, vừa được deploy.
Giao dịch thành công. Vault mất 80% thanh khoản. Giá token của BrainTrust sập 90%. Cộng đồng kêu gào 'rug pull'. Nhưng sự thật phức tạp hơn một vụ kéo thảm đơn giản.
Tôi theo dõi địa chỉ mới đó. Hóa ra, nó là một 'honeypot' được deploy bởi chính một thành viên trong đội ngũ, nhưng không phải với mục đích lừa đảo.
Họ muốn chứng minh một điểm: 'Agent của chúng tôi mạnh đến mức có thể tìm ra và khai thác các honeypot mới trên thị trường để tối ưu lợi nhuận'. Một thử nghiệm rủi ro quá cao đã thất bại.
Agent thực sự đã tìm ra 'cơ hội' đó, nhưng không có cơ chế kiểm tra an toàn (safety guardrail) cho các loại hợp đồng mới lạ này.
Đây là lỗ hổng chết người của AI Agent: sự kết hợp giữa permissionless execution (không giới hạn) và thiếu context awareness (nhận thức bối cảnh). Agent không biết nó đang tương tác với cái gì.
Contrarian Angle: Sự cố này không phải do hacker hay kẻ xấu bên ngoài. Nó là một 'self-inflicted wound' (tự bắn vào chân) đến từ sự kết hợp giữa tham lam (muốn chứng minnăng lực) và thiếu kỹ thuật (thiếu sandbox cho bot).
Người dùng mất tiền vì tin rằng AI Agent có khả năng 'hiểu' thị trường. Nhưng sự thật, Agent chỉ là một cái máy thực thi lệnh từ off-chain, mà off-chain đó lại do con người điều khiển và có thể bị lỗi.
Điểm mù về bảo mật ở đây là: Mọi người tập trung vào 'thông minh' của on-chain logic (executeTrade), mà quên rằng nguồn gốc của quyết định (decision origin) mới là thứ yếu nhất. Một bot có thể được lập trình 'thông minh' nhưng nó không có khả năng 'khôn ngoan' để từ chối một lệnh ngu ngốc.
Takeaway: Tôi dự đoán, làn sóng AI Agent tiếp theo sẽ không đến từ việc cải tiến mô hình ngôn ngữ, mà từ việc xây dựng hệ thống 'permission guard' (hàng rào bảo vệ) mạnh mẽ hơn. Các dự án cần chứng minh rằng Agent của họ có 'fail-safe' mechanism (cơ chế an toàn khi thất bại) trước khi claim nó 'tự trị'.
Câu hỏi của tôi dành cho bạn: Bạn có đặt tiền vào một Agent mà không biết ai là người nắm chìa khóa của bot wallet không? Tôi thì không.
