Hôm qua, một dòng tweet của tôi về thị trường đi ngang nhận được ít sự chú ý. Điều đó không quan trọng. Điều quan trọng là một bản tin nhỏ nằm ở góc phải của trang Crypto Briefing: các mô hình AI của Anthropic đã tự hack hệ thống trong các bài kiểm tra an ninh mạng kể từ tháng 4, theo WSJ. Không phải AI bị tấn công. AI đi tấn công. Và nó thắng.
Tôi đã dành 27 năm nhìn ngành này phát triển. Từng viết hợp đồng thông minh, từng đào sâu vào mã nguồn EOS, từng xây dựng công cụ phân tích thanh khoản cho Uniswap. Nhưng chưa bao giờ tôi thấy một ranh giới mỏng manh đến vậy giữa công cụ kiểm tra bảo mật và kẻ tấn công.
Context: Phòng thí nghiệm hay chiến trường?
Anthropic là công ty AI hàng đầu, nổi tiếng với mô hình Claude. Những bài kiểm tra an ninh mạng mà họ tiến hành không phải là trò chơi. Chúng mô phỏng các cuộc tấn công thực tế vào hệ thống máy tính, từ mạng nội bộ đến cơ sở dữ liệu. Kết quả: các mô hình AI của họ đã vượt qua những bài kiểm tra đó, xâm nhập thành công vào hệ thống được bảo vệ.
Với cộng đồng blockchain, thông tin này chẳng có gì mới mẻ. Chúng ta đã chứng kiến các bot săn tiền thưởng lỗ hổng hoạt động trên Ethereum từ năm 2019. Nhưng AI của Anthropic không chỉ quét mã. Nó hiểu logic. Nó tự đề xuất vector tấn công. Nó thực thi chúng một cách có hệ thống. Mã nguồn không bao giờ nói dối. Nhưng nó cũng không bao giờ cảnh báo trước.
Core: Khi kẻ tấn công là một mạng nơ-ron
Hãy để tôi kể một câu chuyện. Năm 2018, tôi dành ba tháng để phân tích mã nguồn C++ của EOS. Tôi phát hiện ra lỗ hổng trong logic xử lý stake-weighted voting, dẫn đến khả năng tập trung quyền lực vào 21 block producer. Báo cáo của tôi dài 20 trang, được gửi lên GitHub và được xác nhận bởi đội ngũ core. Họ sửa nó trong bản cập nhật v1.2.0. Tôi được mời tham gia nhóm bảo mật phi chính thức.
Bây giờ, hãy tưởng tượng một AI quét qua toàn bộ mã nguồn EOS chỉ trong vài giờ. Nó không cần ngủ. Nó không cần ăn. Nó thử hàng triệu tổ hợp stake và vote, tìm ra điểm mà một nhóm nhỏ có thể chiếm quyền kiểm soát. Nếu điều đó xảy ra vào năm 2018, báo cáo 20 trang của tôi sẽ chỉ là một dòng ghi chú trong log.
Đó chính là điều Anthropic đang làm. Theo báo cáo, các mô hình AI được thử nghiệm trong môi trường có kiểm soát, nhưng kỹ thuật chúng sử dụng không khác gì các cuộc tấn công ngoài đời thực: quét lỗ hổng, khai thác lỗi logic, leo thang đặc quyền, di chuyển ngang trong mạng. Chúng làm điều đó một cách tự động. Một kẻ tấn công thông minh chỉ cần một lỗ hổng. Một AI cần ba phút để tìm ra nó.
Trong blockchain, vấn đề này nghiêm trọng hơn nhiều. Smart contract là những khối logic bất biến. Khi triển khai lên mainnet, không có cách nào để sửa. Các lỗi như reentrancy, integer overflow, access control đã tồn tại từ thời DAO hack năm 2016. Con người vẫn mắc phải chúng. Nhưng một AI được huấn luyện trên toàn bộ lịch sử exploit sẽ nhận diện các mẫu này ngay lập tức. Nó không cần phải đọc 20 trang báo cáo. Nó chỉ cần nhìn vào bytecode.
Tôi đã thử nghiệm điều này trên quy mô nhỏ. Năm 2020, tôi tự code một script Python để scrape dữ liệu on-chain từ Uniswap V2. Tôi tập trung vào cặp ETH/DAI và phát hiện ra mô hình impermanent loss trong các pool có biến động giá cao. Phải mất vài tuần để phân tích 5000 block đầu tiên. Một AI hiện đại với quyền truy cập vào dữ liệu tương tự có thể thực hiện trong vài giờ, đồng thời tìm ra các chiến lược chênh lệch giá chưa từng được ghi nhận.
Điều tôi quan tâm không phải là tốc độ. Điều tôi quan tâm là tính chất của các cuộc thử nghiệm này. Khi Anthropic kiểm tra khả năng hack của AI, họ tạo ra một môi trường nơi AI được phép tấn công. AI học từ những thành công và thất bại. Mỗi lần nó vượt qua một lớp bảo vệ, nó trở nên tốt hơn. Điều này giống hệt cách các hacker con người học trong phòng thí nghiệm. Nhưng AI không quên. Nó không bỏ cuộc. Nó không sợ bị bắt.
Bây giờ, hãy nhìn vào các giao thức DeFi đang nắm giữ hàng tỷ đô la. Chúng được bảo vệ bởi các cuộc audit truyền thống. Một công ty audit như Trail of Bits hay OpenZeppelin có thể mất vài tuần để tìm ra lỗ hổng trong một hợp đồng phức tạp. Nhưng lỗ hổng được tìm thấy bởi con người là những gì chúng ta biết. Còn những lỗ hổng mà AI sẽ tìm thấy? Chúng ta chỉ có thể đoán. Bảo mật là một cuộc đua không có vạch đích. AI vừa thay đổi tốc độ của cuộc đua.
Khi tôi audit hợp đồng thông minh cho một dự án nhỏ vào năm 2021, tôi nhận ra rằng các lỗ hổng thường nằm ở những nơi mà lập trình viên cho là hiển nhiên. Một biến toàn cục được khởi tạo sai. Một hàm chỉ gọi được từ admin nhưng không kiểm tra caller. Một vòng lặp tốn gas đến mức không ai muốn chạy. Con người có xu hướng bỏ qua những điều đó vì chúng ta tin vào ý định của mình. AI không có ý định. Nó chỉ có hàm mục tiêu: xâm nhập được hệ thống.
Điều đó đưa tôi đến một khía cạnh kỹ thuật khác: prompt injection. Trong bối cảnh AI, prompt injection là một kỹ thuật để điều khiển hành vi mô hình bằng cách chèn các lệnh ẩn vào dữ liệu. Trong các bài kiểm tra của Anthropic, AI có thể đã sử dụng chính khả năng xử lý ngôn ngữ để lừa các hệ thống khác. Điều này giống hệt cách một hacker xã hội học lừa một nhân viên nhập mật khẩu. Nhưng AI có thể làm điều đó ở quy mô hàng triệu cuộc tấn công cùng lúc, mỗi cuộc được cá nhân hóa cho mục tiêu cụ thể.
Trong blockchain, prompt injection đã bắt đầu xuất hiện trong các giao thức AI agent. Một AI agent quản lý danh mục đầu tư có thể bị lừa chuyển tiền nếu nó đọc một tin nhắn chứa lệnh. Các hợp đồng thông minh không thể phân biệt giữa dữ liệu và lệnh. Điều này đã được biết đến, nhưng các giải pháp vẫn còn rất sơ khai.
Contrarian: Thứ mà chúng ta sợ không phải là AI, mà là sự tự tin của chính mình
Có một niềm tin phổ biến rằng AI sẽ thay thế lập trình viên. Tôi nghĩ điều đó sai. AI sẽ không thay thế lập trình viên; AI sẽ thay thế hacker. Và điều đó tệ hơn nhiều. Hacker con người có giới hạn: họ cần ngủ, cần ăn, cần động lực. Họ có thể bị mua chuộc. Họ có thể bị bắt. AI không có giới hạn nào trong số đó. Nó chỉ cần một môi trường để chạy và một hàm mục tiêu.
Điều trớ trêu là chính các công ty AI như Anthropic đang huấn luyện AI trở thành kẻ tấn công hoàn hảo. Họ làm điều đó để bảo vệ tốt hơn, nhưng mỗi bài kiểm tra thành công lại tạo ra một kỹ thuật tấn công mới mà AI ghi nhớ. Nếu một mô hình như vậy bị rò rỉ hoặc được sử dụng với mục đích xấu, hậu quả sẽ vô cùng lớn. Chúng ta đang xây dựng những cỗ máy chiến tranh trong phòng thí nghiệm và gọi đó là an ninh mạng.
Trong blockchain, chúng ta thường nói 'code is law'. Khi một hợp đồng được triển khai, nó là luật bất biến. Nhưng khi AI có thể khai thác code nhanh hơn con người sửa nó, 'code is law' trở thành 'code is target'. Các cộng đồng DeFi thường tự hào về tính phi tập trung và khả năng chống kiểm duyệt, nhưng bảo mật của họ vẫn dựa vào con người. Mỗi lần tôi gặp một nhóm dự án tự tin rằng audit của họ đã kỹ lưỡng, tôi lại nhớ đến bài kiểm tra của Anthropic. Họ cũng từng tự tin như vậy.
Mối đe dọa lớn nhất không phải là AI tự do hoạt động ngoài vòng pháp luật. Mối đe dọa lớn nhất là sự kết hợp giữa AI và các lỗ hổng mà chúng ta đã chấp nhận. Một lỗ hổng nhỏ trong smart contract có thể không bao giờ bị con người phát hiện. Nhưng với AI, nó sẽ bị phát hiện trong vài giây sau khi hợp đồng được triển khai. Chúng ta đang chơi một trò chơi mà đối thủ không bao giờ bỏ cuộc.
Takeaway: Liệu phi tập trung có thể tồn tại dưới áp lực của AI?
Tôi không tin vào việc cấm AI. Tôi tin vào việc phát triển AI để bảo vệ hệ thống phi tập trung. Chúng ta cần những mô hình AI hoạt động như những người canh gác, không phải những kẻ phá cổng. Điều đó đòi hỏi một sự thay đổi trong cách chúng ta nghĩ về bảo mật: không chỉ kiểm tra mã nguồn trước khi triển khai, mà liên tục giám sát và tấn công chính hệ thống của mình. Một liên minh phi tập trung giữa các giao thức để chia sẻ thông tin về các cuộc tấn công AI có thể là một hướng đi.
Nhưng tôi vẫn còn một câu hỏi. Khi Anthropic đã chứng minh AI có thể hack hệ thống trong phòng thí nghiệm, điều gì sẽ xảy ra khi những mô hình tương tự được sử dụng để tấn công các giao thức DeFi? Không ai biết chắc. Chúng ta chỉ biết rằng ngày đó sẽ đến. Và khi nó đến, liệu chúng ta có sẵn sàng không?
