31,1% – 11,9%. Hai con số này không phải lãi suất hay APY của một pool thanh khoản. Đó là ACR – Attack Completion Rate – của hai framework điều phối AI Agent khác nhau. Cùng một model Claude Sonnet, cùng một bộ công cụ mô phỏng, chỉ khác lớp điều phối, tỷ lệ hoàn tất tấn công chênh nhau 2,6 lần. Nghiên cứu SADF, được trình bày tại DEF CON 34 AI Village, không nói một từ về blockchain. Nhưng với một người dành hơn hai thập kỷ theo dõi dòng tiền on-chain, tôi thấy trong đó một sự tương đồng đáng sợ: giống như các cầu nối cross-chain, phần lớn lỗ hổng không nằm ở mạng lưới cốt lõi, mà nằm ở lớp kết nối mỏng manh giữa các thực thể.
Bối cảnh: Khi AI Agent trở thành một chiếc ví. SADF – Security Assessment of Agentic Frameworks – là nghiên cứu có hệ thống nhằm định lượng bề mặt tấn công mà các framework điều phối Agent thêm vào so với việc gọi API trực tiếp. Các nhà nghiên cứu cố định model, xây dựng môi trường mô phỏng công cụ, chạy 32 payload tấn công trên 5.119 dòng đánh giá, sau đó so sánh năm mục tiêu: Direct API, CrewAI, LangChain, AutoGen, SmolAgents. Kết quả: Direct API – 15,5%; CrewAI – 11,9%; LangChain – 18,1%; AutoGen – 20,0%; SmolAgents – 31,1%. Trong thế giới Web3, những con số này không trừu tượng. Các AI Agent đang giữ chìa khóa ví, thực hiện lệnh trên Uniswap, điều chỉnh vị thế trong các giao thức phái sinh. Nếu framework cho phép kẻ tấn công chèn một tài liệu giả vào bộ nhớ dài hạn, Agent có thể ký một giao dịch hoán đổi toàn bộ tài sản sang token của hacker. Các bot Telegram như Maestro hay Banana Gun chính là tiền thân của những Agent này: chúng nhận lệnh, query DEX, gửi giao dịch. Nhưng rất ít người dùng tự hỏi framework nào đang đứng sau bot của họ. Nếu framework bị nhiễm độc, người dùng có thể mất sạch số dư chỉ vì mở một trang web chứa mã độc. Đây không phải chuyện đùa. Tôi đã thấy các quỹ đầu tư rót hàng triệu USD vào các dự án AI Agent tự trị dựa trên một mô hình chat và một lớp framework mỏng. Đúng như hồi DeFi Summer, người ta đổ tiền theo APY mà không nhìn vào hợp đồng thông minh. SADF cung cấp cho chúng ta một chiếc kính lúp.
Phát hiện cốt lõi: ACR và cái bẫy benchmark. Điều khiến tôi dừng lại không phải bảng số, mà là một phát hiện phương pháp luận. Nghiên cứu chỉ ra rằng cách chấm điểm bằng chuỗi con thông thường đánh giá quá cao khả năng kháng tấn công của Claude từ 4 đến 6 lần. Sau khi áp dụng bộ lọc refusal, ACR thực của Claude Sonnet là 15,5% chứ không phải 60–70% như các báo cáo trước đó. Tôi từng phát hiện một pool WETH/USDC trên Uniswap V2 có TVL tăng vọt 340% trong sáu giờ nhưng volume trong 24 giờ chỉ tăng 12%. Dữ liệu bề mặt thì đẹp, nhưng lớp bên dưới là cát. Tôi đã thiết kế một hệ thống cảnh báo dựa trên tỷ lệ TVL/Volume. SADF làm điều tương tự cho AI: nó phanh phui những benchmark không phản ánh hành vi thực của kẻ tấn công. Điểm chung là một thứ: Thanh khoản giả, nhưng hậu quả thật. Khi bạn nhìn một giao thức với TVL 500 triệu USD nhưng volume mỗi ngày chỉ 2 triệu, bạn biết con số kia chỉ trang trí. Còn khi một framework tự xưng an toàn tuyệt đối dựa trên benchmark cũ, bạn sẽ rót vốn vào một sản phẩm đang rò rỉ ở tầng điều phối.
Nghiên cứu định nghĩa tám loại thất bại: Tool Call Hijacking, Output Poisoning, Cross-Tool Injection, Memory Poisoning, RAG Poisoning, Delegated Authority Abuse, Multi-Agent Propagation, Context Boundary Violation. Con số đáng chú ý nhất là SmolAgents với RAG Poisoning 20% và Context Boundary Violation 64%. Nếu thay cụm từ tool call bằng external call trong smart contract, cấu trúc tấn công y hệt như một hợp đồng gọi tới địa chỉ tùy ý mà không kiểm tra đầu vào. Đó là lý do tôi luôn nói với các đội phát triển: an toàn của một Agent không nằm ở model, mà nằm ở khung điều phối và môi trường thực thi. Cũng như một smart contract an toàn không nằm ở việc dùng ngôn ngữ lập trình, mà nằm ở cách xử lý biên và phạm vi quyền hạn. Các CVE gần đây xác nhận đây không chỉ là lý thuyết: CVE-2026-62830 trong Azure SRE Agent, CVE-2026-9198 trong Langflow. Tôi nhớ lại ICO EOS năm 2017. Tôi viết script Python truy vấn node Ethereum và phát hiện 12% ETH trong quỹ ICO đến từ một cụm sáu địa chỉ có tần suất tương tác bất thường. Báo cáo bị bỏ qua. Một năm sau, sự thật lộ ra. Ngày nay, nếu một dự án AI Agent huy động hàng chục triệu USD nhưng không công bố ACR của framework mình dùng, tôi xem đó là một hồi chuông cảnh báo. Bên cạnh đó, CrewAI đạt 11,9% nhờ kiến trúc cô lập tác vụ, nhưng trong hệ thống nhiều tác vụ nối tiếp, một payload có thể lan truyền từ agent này sang agent khác. Multi-Agent Propagation không chỉ là khái niệm; đó là cách các cuộc tấn công mới diễn ra.
Góc nhìn ngược: Số liệu không phải định luật. Mọi con số đều có tuổi thọ. Các framework có thể đã vá lỗi ngay sau khi nghiên cứu được công bố. 32 payload không thể đại diện cho toàn bộ không gian tấn công. Khi thay đổi model cơ sở sang GPT-5.4, DeepSeek hay Llama, thứ tự ACR có thể thay đổi. Tương quan không nên bị hiểu là nhân quả. Trong blockchain, tôi đã thấy các giao thức được audit bởi những công ty lớn rồi sụp đổ sau ba tuần vì một lỗi trong dependency. Thanh khoản giả, nhưng hậu quả thật. Điều đó cũng xảy ra với các framework: một framework có ACR thấp trong phòng thí nghiệm có thể trở nên rủi ro nếu đội phát triển cấu hình sai – bật toàn quyền cho Agent, không giới hạn số bước tự động, hoặc tích hợp một plugin chưa được kiểm định. Có một cám dỗ là chọn framework có ACR thấp nhất và nghĩ rằng mình an toàn. Nhưng các framework phổ biến như LangChain có hàng nghìn plugin cộng đồng. Mỗi plugin là một bề mặt tấn công không nằm trong bảng ACR. Tôi đã chứng kiến một contract được audit sạch sẽ bị tấn công qua một proxy upgrade được cài thêm sau đó. Với AI Agent, điều đó còn tệ hơn: bạn có thể thêm một plugin lấy giá token mà không ai biết nó gửi dữ liệu ra ngoài. Vì vậy, khi đọc ACR, hãy hỏi: cấu hình mặc định có giống cấu hình của tôi không? Có giới hạn số vòng lặp không? Quyền hạn công cụ được thiết lập ra sao? Nếu không, bạn chỉ đang nhìn tấm ảnh chụp màn hình của một căn nhà mà không biết nền móng bằng bìa carton.
Trong thị trường tăng giá hiện nay, các dự án FOMO nhồi thêm chữ AI vào token để câu view. Sự cẩu thả này sẽ tạo ra những cú sập bất ngờ. SADF không phải bản án cuối cùng; nó là một công cụ lọc, giống như tỷ lệ TVL/Volume trong bộ công cụ của tôi. Đừng dùng nó để thờ cúng, hãy dùng nó để sàng lọc. Các công ty bảo mật blockchain cũng nên xem đây là cơ hội triển khai Security-Evaluation-as-a-Service, cung cấp dịch vụ đo ACR cho các dự án Agent, tương tự như audit smart contract. Trong lúc đó, các nhà phát triển nên yêu cầu các dự án AI Agent công bố framework, phiên bản, cấu hình, và kết quả ACR nếu có. Nếu họ không công bố, hãy coi đó như một lỗ hổng.
Tín hiệu cho tuần tới. Tuần tới, tôi sẽ theo dõi phản hồi từ các team framework. Nếu CrewAI và LangChain nhanh chóng công bố bản vá, thị trường sẽ thiên về chúng. Nếu SmolAgents im lặng hoặc đổ lỗi cho cấu hình thử nghiệm, đó cũng là một tín hiệu. Nhưng câu hỏi lớn hơn: khi nào các công ty bảo mật blockchain tích hợp ACR vào quy trình thẩm định? Khi nào chúng ta có một tiêu chuẩn đánh giá Agent tương tự như tiêu chuẩn audit smart contract? Khi những con bot bắt đầu giữ chìa khóa ví, benchmark trên model là không đủ. Chúng ta cần một chuẩn mực cập nhật liên tục, tiếp thu dữ liệu từ các cuộc tấn công thực tế. Lần này, bề mặt tấn công không nằm trong bytecode. Nó nằm giữa nhận thức và hành động. Thanh khoản giả, nhưng hậu quả thật. Nếu không nhìn vào khung điều phối, cái giá phải trả sẽ không chỉ là vài ETH – mà là niềm tin của cả một hệ thống.
