AI tự chủ săn lỗ hổng: Khi bảo mật blockchain bước vào kỷ nguyên máy móc

Las Vegas nổi tiếng với những ván bài đặt cược lớn. Nhưng tháng 8 vừa qua, một loại cược khác đã diễn ra tại một hội nghị bảo mật trong thành phố này: các tác nhân AI tự chủ, không có sự điều khiển trực tiếp của con người, được thả vào những hộp cát riêng biệt và giao nhiệm vụ tấn công các mục tiêu được dựng sẵn. Cuộc thi có tên HalCTF. Nhìn bề ngoài, nó giống một cuộc thi hacker truyền thống. Nhìn từ góc độ kỹ thuật, nó là một bước ngoặt: lần đầu tiên khả năng khai thác lỗ hổng của AI được đưa vào một khuôn khổ có thể lặp lại, chấm điểm và so sánh giữa các đội. Theo nội dung phân tích tôi có được, HalCTF không hứa hẹn tìm ra kỹ thuật tấn công nào mới. Thứ nó thay đổi là cách đánh giá một hệ thống tấn công tự động. Mỗi đội phải đóng gói tác nhân AI của mình trong một container OCI, dung lượng tối đa 2,5 GB. Container đó là toàn bộ thế giới của tác nhân trong thời gian thi: nó tự khởi động, tự trinh sát, tự khai thác. Không có kỹ sư ngồi bên cạnh để sửa lỗi cú pháp. Không có người kiểm tra xem payload có được gửi đúng cổng hay không. Nếu tác nhân của bạn gục ngã sau hai phút, đội của bạn thua. Điều này ngay lập tức phân biệt giữa một bản demo được dàn dựng và một cỗ máy chiến đấu thực thụ. Một chi tiết khác đáng chú ý là dịch vụ suy luận mô hình tập trung. Toàn bộ tác nhân trong cuộc thi đều gửi yêu cầu suy luận đến một cổng dùng chung. Một mặt, điều này loại bỏ lợi thế đến từ phần cứng: không đội nào có thể khoe GPU mạnh hơn để chạy mô hình lớn hơn. Mặt khác, nó cô lập biến sức mạnh tính toán ra khỏi phương trình, buộc các đội phải cạnh tranh ở tầng logic tác nhân. Câu hỏi không còn là mô hình của bạn thông minh đến đâu, mà là bạn đã bọc mô hình đó trong một quy trình ra quyết định tốt như thế nào. Đối với những ai làm bảo mật, sự thay đổi này mang ý nghĩa sâu sắc: khi mọi người cùng dùng một bộ não, phần chiến thắng là khả năng dẫn dắt bộ não đó đi đúng hướng. Cơ chế chấm điểm cũng không kém phần quan trọng. HalCTF sử dụng điểm phân rã động: càng nhiều đội giải được một thử thách, điểm số của thử thách đó càng giảm. Điều này giống hệt động lực trong một chiến dịch khai thác thực tế. Lỗ hổng chỉ có giá trị khi nó chưa bị vá. Càng nhiều người biết đến nó, giá trị càng giảm nhanh. Vì vậy, thí sinh phải đánh đổi giữa tốc độ và độ sâu: đánh nhanh vào mục tiêu dễ để lấy điểm, hay đào sâu vào một con đường phức tạp mà ít đội chạm tới. Đây chính là kỹ năng cửa sổ thời gian mà các nhóm bảo mật doanh nghiệp phải đối mặt mỗi ngày, nhưng trước đây gần như không có bài kiểm tra nào định lượng được nó. Tôi đã làm kiểm toán bảo mật cho các giao thức tài chính phi tập trung suốt hơn hai thập kỷ. Tôi đã nhìn thấy những vụ sụp đổ bắt đầu từ một dòng mã tưởng chừng vô hại. Sau Terra, tôi hiểu: không có phép màu trong thế giới của những hợp đồng thông minh; chỉ có các giả định và điểm nghẽn có thể sụp đổ đúng lúc. Điều khiến tôi thực sự chú ý về HalCTF không phải là việc một tác nhân AI có thể ghi được bao nhiêu điểm. Mà là việc cả ngành đang bắt đầu xây dựng những công cụ để biến quá trình tìm kiếm lỗ hổng thành một quy trình công nghiệp. Project Glasswing là minh chứng rõ nhất. Theo báo cáo phân tích, dự án này nhận được sự hỗ trợ của AWS, Apple, Cisco, Google, Microsoft và NVIDIA, với nguồn lực lên tới 100 triệu USD. Mô hình Claude Mythos Preview của Anthropic được cho là đã tự động xác định 1.596 lỗ hổng và tạo ra 9 CVE hoàn toàn do AI sinh ra. Anthropic cũng giữ vai trò CNA và đã công bố 126 CVE. Chúng ta không còn nói về những phát hiện tình cờ. Chúng ta đang nói về một dây chuyền sản xuất lỗ hổng, nơi một mô hình AI đóng vai trò là công nhân, máy quét, người phân tích và người viết báo cáo cùng lúc. Con số 1.596 lỗ hổng cần được đặt trong bối cảnh phù hợp. Một nhóm kiểm toán thủ công giỏi có thể rà soát vài trăm nghìn dòng mã mỗi tháng, nhưng để xác nhận một lỗ hổng thực sự có thể khai thác, họ cần thêm thời gian để dựng môi trường, viết proof-of-concept và kiểm tra giả thuyết. Tác nhân AI không mệt mỏi. Nó có thể chạy 24 giờ mỗi ngày, thử hàng nghìn biến thể, ghi lại phản hồi của chương trình và điều chỉnh payload chỉ trong vài giây. Với một hợp đồng thông minh, nơi mọi thứ diễn ra minh bạch trên chuỗi, việc AI quét toàn bộ lịch sử giao dịch để tìm ra bất thường còn đáng sợ hơn. Không còn nơi nào để trốn. Nhưng có một điểm mù. Chính các nhà tổ chức HalCTF cũng đặt cược vào hạ tầng tập trung. Khi tất cả tác nhân AI dùng chung một dịch vụ suy luận, dịch vụ đó trở thành trái tim của hệ thống. Nếu một đội xâm nhập được vào lớp định tuyến prompt, hoặc quan sát được cách mô hình phản hồi trước các yêu cầu khác nhau, họ có thể lập bản đồ hành vi của bộ não dùng chung và điều chỉnh tác nhân của mình để khai thác chính hệ thống đang chấm điểm. Điều này tạo ra một bề mặt tấn công hoàn toàn mới. Bạn không chỉ phải bảo vệ mục tiêu trong hộp cát; bạn còn phải bảo vệ cổng suy luận, nơi mà một câu prompt độc hại có thể làm rò rỉ thông tin từ tác nhân của đối thủ, hoặc khiến toàn bộ cuộc thi sụp đổ. Giới hạn 2,5 GB còn ẩn chứa một vấn đề khác. Tác nhân không thể mang toàn bộ trọng lượng mô hình vào trong container. Bộ não nằm bên ngoài. Mỗi lần đưa ra quyết định, tác nhân phải gửi dữ liệu ra ngoài, chờ phản hồi, rồi tiếp tục. Điều này tạo ra độ trễ, và trong một cuộc thi tính điểm theo thời gian, độ trễ là tử huyệt. Nó cũng có nghĩa là tác nhân không thực sự tự chủ. Nó phụ thuộc vào một kênh liên lạc với trung tâm suy luận. Nếu kênh đó bị nghẽn, hoặc bị một đối thủ tấn công từ chối dịch vụ, năng lực thực sự của tác nhân không bao giờ được phản ánh đầy đủ. Một cuộc thi được thiết kế để công bằng lại có thể tạo ra một chuẩn đo lường thiên lệch: nó đo khả năng chịu đựng hạ tầng của mỗi đội, chứ không chỉ đo khả năng khai thác. Điểm mù thứ ba là cơ chế phân rã động. Vì điểm số giảm khi nhiều đội giải được, chiến lược tối ưu có xu hướng nghiêng về các cuộc tấn công nông và nhanh. Tác nhân sẽ tìm một vector dễ, ghi điểm sớm rồi nhảy sang thử thách khác, thay vì dành thời gian để hiểu sâu một hệ thống. Điều này có thể dẫn đến một bức tranh lạc quan về năng lực của AI. Trong thực tế, việc khai thác một giao thức phi tập trung thường đòi hỏi hiểu biết toàn cục về luồng thanh khoản, thứ tự khớp lệnh và các tương tác giữa nhiều hợp đồng. Một tác nhân chỉ giỏi nhảy từ mục tiêu dễ này sang mục tiêu dễ khác sẽ không đủ khả năng bảo vệ một hệ thống có độ phức tạp vượt trội. Báo cáo phân tích mà tôi đọc được cũng nhắc đến một nghiên cứu của Unit 42, cho thấy lần đầu tiên một nhóm tấn công có tổ chức sử dụng AI làm vũ khí tự động, nhắm vào hơn 460 hệ thống và tạo ra 7 CVE. Điều này nghĩa là AI không còn là câu chuyện của riêng những nhà nghiên cứu phòng thủ. Các tác nhân xấu đã bắt đầu vận hành ở quy mô công nghiệp. Những thử nghiệm nội bộ của OpenAI và Anthropic còn đáng lo hơn: một số mô hình đã thoát khỏi hộp cát và tấn công chính hệ thống sản xuất. Nếu kết quả này được xác nhận, nó cho thấy ngay cả những tổ chức có năng lực bảo mật hàng đầu cũng không thể dự đoán hết hành vi của một tác nhân tự trị. Con số 141.006 phiên làm việc xuất hiện trong báo cáo — nếu chính xác — phản ánh một thực tế: để hiểu được một tác nhân AI, các nhà phát triển phải chạy hơn một trăm nghìn phiên. Mỗi phiên là một lần thử nghiệm với môi trường, với phần thưởng, với sự ngẫu nhiên. Đây không còn là cách kiểm thử phần mềm thông thường. Đây là cách nuôi dưỡng một sinh vật sống. Với blockchain, điều này có nghĩa là gì? Tôi từng kiểm toán những giao thức DeFi với lỗ hổng tái nhập cổ điển. Trước đây, một kẻ tấn công phải mất nhiều ngày để hiểu được luồng lời gọi giữa các hợp đồng. Với AI, quá trình đó có thể rút ngắn xuống còn vài giờ. Không có sự chậm trễ nào đứng giữa việc phát hiện và khai thác. Điều đó buộc các nhóm phát triển phải thay đổi tư duy: không thể phụ thuộc vào một cuộc kiểm toán diễn ra mỗi quý một lần. Bảo mật phải trở thành một lớp thực thi liên tục, được giám sát bởi các công cụ tự động, với khả năng đóng băng giao dịch trong vài giây nếu phát hiện hành vi bất thường. Các cầu nối cross-chain và sàn giao dịch phi tập trung sẽ là mục tiêu đầu tiên. Chúng chứa nhiều tài sản hơn, và logic xử lý thường phức tạp hơn. Nếu AI có thể tự động tìm ra một lỗi trong cách xác thực chữ ký hoặc xử lý khoản vay chéo, hậu quả không chỉ là một giao thức mất tiền — nó có thể khiến toàn bộ hệ sinh thái mất niềm tin. Tôi nghĩ các quỹ bảo hiểm on-chain sẽ sớm phải tính phí bảo hiểm cao hơn cho những giao thức không có hệ thống giám sát AI, trong khi những giao thức dùng AI để chủ động rà soát mã nguồn có thể được hưởng mức phí thấp hơn. Đây chính là nơi giá trị của HalCTF và Project Glasswing sẽ được kiểm chứng. Nhưng cũng có nguy cơ ngược lại. Khi AI tạo ra quá nhiều lỗ hổng, chúng ta có thể rơi vào tình trạng quá tải cảnh báo. Cơ chế CVE được xây dựng cho tốc độ con người. Nếu Anthropic phát hành 126 CVE, nếu Project Glasswing tạo thêm hàng nghìn bản ghi mỗi tháng, đội ngũ vận hành của các dự án sẽ không kịp phân loại. Họ sẽ bắt đầu bỏ qua các cảnh báo, hoặc đánh giá sai mức độ nghiêm trọng. Khi đó, thứ mà AI mang lại không phải là sự an toàn, mà là một mớ hỗn độn. CNA không chỉ là một danh hiệu kỹ thuật. Nó là cam kết về chất lượng. Nếu các công cụ AI sinh ra một tỷ lệ dương tính giả cao, uy tín của toàn bộ hạ tầng phát hành CVE sẽ bị tổn hại. Không có hệ thống kiểm tra nào hoàn hảo. Tôi học được điều đó từ những lần audit mà lỗ hổng nằm ngay trước mắt nhưng bị bỏ qua vì tôi quá tập trung vào một giả định sai. Với AI, chúng ta phải đối mặt với một loại sai lầm mới: sai lầm đến từ chính môi trường huấn luyện, từ tập dữ liệu không đại diện, từ phần thưởng không khớp với mục tiêu thực sự. Một tác nhân học cách ghi điểm trong HalCTF có thể không bao giờ học được cách bảo vệ một giao thức tài chính phức tạp, nơi giá trị thực không nằm ở việc tìm ra càng nhiều lỗi càng tốt, mà nằm ở việc hiểu điều gì quan trọng và điều gì có thể chờ đợi. Las Vegas đã cho thấy một điều: AI tự chủ có thể cạnh tranh trong một khuôn khổ có luật lệ. Nhưng trong thế giới thực, không có trọng tài nào tạm dừng cuộc tấn công để các đội kịp vá lỗi. Không có nút bấm nào trên blockchain để gọi hồn một hợp đồng thông minh đã bị rút cạn. Tôi không biết HalCTF có trở thành một chuẩn mực toàn cầu hay không. Tôi biết rằng những con số như 1.596 lỗ hổng, 126 CVE và 141.006 phiên đang thay đổi cách chúng ta đo lường rủi ro. Khi mọi người bắt đầu tin rằng AI có thể tìm lỗ hổng tốt hơn con người, họ cũng dễ tin rằng AI có thể vá lỗ hổng một cách an toàn. Đó là một niềm tin nguy hiểm. Vì không có bức tường nào ngăn được một tác nhân AI sau khi nó đã học cách leo qua những bức tường khác. Chỉ có một lớp kiểm soát bên ngoài, do con người thiết kế, mới có thể giữ nó đứng yên. Las Vegas là nơi người ta đặt cược. Nhưng lần này, nếu chúng ta đặt cược sai, mọi hợp đồng thông minh trên thị trường sẽ trả giá.