Paul Grewal rời Coinbase để làm tổng cố vấn cho Cognition: Đừng gọi đó là tin nhân sự

Trong khi thị trường tiền số đang giảm, tôi không mở bảng thanh lý. Tôi mở bản tin pháp lý. Và tôi thấy một tín hiệu cấu trúc: Paul Grewal, người từng đưa Coinbase vào cuộc chiến tay đôi với SEC, vừa gia nhập Cognition – công ty đứng sau Devin, một AI software engineer có thể tự đọc repo, tự viết code, tự tạo pull request. Không phải một vụ M&A, không phải một exploit, nhưng với tôi, nó quan trọng hơn cả hai. Cần hiểu Cognition đang làm gì. Devin không phải là chatbot viết code giúp lập trình viên. Devin là một tác tử tự chủ: nó nhận task, phân tích codebase, tìm lỗi, đề xuất sửa, thậm chí deploy thay đổi. Nó chạm vào production. Nó thêm dependency, nó thay đổi logic, nó ghi commit. Một sai lầm của Devin không dừng ở một câu trả lời vô nghĩa; nó có thể làm sập một hệ thống thanh toán, lộ private key trong log, hoặc vi phạm giấy phép phần mềm mà công ty đang phân phối. Đó là lý do Paul Grewal ngồi vào bàn pháp lý của Cognition không phải là một cú bắt tay gợi tình. Đó là một tuyên bố chiến lược. Hãy nhìn lại quá khứ của Paul Grewal. Tại Coinbase, ông không phải người xây dựng bộ máy tuân thủ yên ổn. Ông là người chọn đối đầu. Khi SEC cáo buộc Coinbase hoạt động như một sàn giao dịch chứng khoán chưa đăng ký, Paul Grewal không chỉ bảo vệ công ty; ông đưa cuộc chiến ra tòa và thắng nhiều phần quan trọng. Ông biết cách biến ngôn ngữ pháp lý thành vũ khí cạnh tranh. Cognition không cần một luật sư tuân thủ nội bộ; họ cần một người từng quật ngã cơ quan quản lý lớn nhất hành tinh. Điều đó nói lên rất nhiều về giai đoạn sắp tới của AI. Có ba lớp rủi ro mà tôi quan sát được từ chính kinh nghiệm audit hợp đồng thông minh của mình. Lớp thứ nhất là trách nhiệm sản phẩm. Năm 2020, tôi từng làm việc với một nhóm ba người để audit các pool thanh khoản trên SushiSwap v1. Chúng tôi tìm ra lỗ hổng reentrancy, một lỗi mà nếu bị khai thác, có thể rút 5.000 ETH. Lỗi nằm ở thứ tự cập nhật số dư – một chi tiết mà cả đội phát triển không nhìn thấy. Với AI agent, lỗi tương tự có thể xuất hiện ở quy mô lớn hơn và không ai biết tìm ở đâu. Nhưng với con người, ta có thể hỏi ai đã viết dòng code đó. Với AI, câu hỏi đó trở nên vô nghĩa. Lớp thứ hai là chuỗi cung ứng phần mềm. Một coding agent như Devin không viết code từ con số không. Nó tìm kiếm thư viện mã nguồn mở, chọn dependency, chép đoạn mẫu. Nếu nó chọn một thư viện có lỗ hổng đã biết, hoặc nếu giấy phép của thư viện không cho phép tái sử dụng trong sản phẩm thương mại, ai là người vi phạm? Nhà phát triển duyệt PR? Công ty sở hữu Devin? Hay chính Devin – một thực thể không có tư cách pháp nhân? Tòa án chưa trả lời. Nhưng các công ty lớn sẽ không chờ câu trả lời; họ sẽ từ chối mua sản phẩm cho đến khi câu trả lời rõ ràng. Lớp thứ ba, và là góc tôi muốn nhấn mạnh, là sự khác biệt giữa phòng thủ và chiến đấu. Thị trường thường nghĩ rằng thuê một luật sư giàu kinh nghiệm nghĩa là công ty đang thận trọng hơn. Tôi lại thấy điều ngược lại. Thuê Paul Grewal không giống như thuê một compliance officer; nó giống như mang một tướng về. Cognition đang chuẩn bị cho những trận chiến pháp lý, không phải để tránh chúng. Họ muốn định nghĩa luật chơi, giống như Coinbase đã từng khẳng định rằng token không phải chứng khoán. Nếu điều đó đúng, thì toàn bộ ngành AI coding agent đang đứng trước một cú sốc về trách nhiệm, và chưa ai sẵn sàng. Người ngoài có thể hỏi: đây là tin AI, liên quan gì tới tiền số? Với tôi, nó là chuyện tiền số thuần túy. Bởi vì DeFi là nơi đầu tiên các agent tự động được cấp quyền trên tài sản thật. Bot arbitrage, bot thanh lý, bot yield farming đã chạy từ lâu. Nhưng tất cả đều là code được viết sẵn bởi con người. Khi AI agent có thể tự viết bot, tự chọn chiến lược, tự ký giao dịch, thì vụ sập UST năm 2022 có thể tái diễn với tốc độ và quy mô mà chúng ta không kịp phản ứng. Paul Grewal không làm bảo mật kỹ thuật, nhưng ông làm rõ ai sẽ phải trả giá. Điều đó quan trọng hơn bất kỳ bản vá nào. Tôi nhớ hồi đầu năm 2022, tôi viết một phân tích dài 12 trang về sự không bền vững của UST, dựa trên dữ liệu on-chain cho thấy 60% thanh khoản tập trung trong một số ít ví. Lúc đó, tôi bị coi là kẻ hoang tưởng. Ba tháng sau, Terra sụp đổ. Bài học tôi giữ lại không phải là “tôi đã đúng”, mà là thị trường luôn trả giá cho những thứ họ không muốn định giá. Hôm nay, phiên bản UST của AI chính là coding agent: mọi người nhìn thấy năng suất, nhưng không ai định giá trách nhiệm pháp lý khi nó thất bại. Nếu bạn đang nắm giữ token của các dự án AI, hoặc nếu bạn đang dùng những công cụ tự viết code để vận hành giao thức, câu hỏi không phải là mô hình có thông minh đến đâu. Câu hỏi là: khi agent commit một dòng code và dòng code đó gây ra mất mát, bạn có thể kiện ai? Bạn có thể đòi bồi thường từ nhà phát triển mô hình nếu điều khoản dịch vụ nói rằng họ không chịu trách nhiệm về output? Bạn có thể bảo hiểm cho rủi ro do AI tự hành động gây ra? Nếu câu trả lời là không, thì mức độ chấp nhận của doanh nghiệp đối với AI coding sẽ thấp hơn nhiều so với kỳ vọng của thị trường. Đây là lý do tôi theo dõi động thái của Cognition tiếp theo. Không phải xe tăng Devin, không phải benchmark mới. Tôi xem họ có công bố một khuôn khổ trách nhiệm cho tác tử tự viết mã không. Họ có phân loại Devin là công cụ, hay là “thực thể hành động thay mặt người dùng” trong điều khoản sử dụng không? Họ có mua bảo hiểm trách nhiệm cho các lỗi do AI gây ra không? Nếu Cognition dùng chính Devin để viết những điều khoản đó, liệu AI có đang tạo ra khung pháp lý cho chính nó – một vòng lặp đệ quy mà không luật sư nào từng phải đối mặt? Tôi không kết bài bằng một khuyến nghị mua hay bán. Tôi kết bài bằng một câu hỏi: khi con bot cuối cùng tự viết code và deploy lên sản xuất, sẽ còn một con người nào đứng ở cửa để bấm nút không? Nếu còn, luật cũ vẫn áp dụng. Nếu hết, thì việc Paul Grewal ngồi ở Cognition chỉ là chương đầu của một cuốn sách mà ngành luật, phần mềm và tiền số đều chưa đọc.