Khi AI tự viết mã khai thác: Bài toán tồn tại của bảo mật DeFi

Trong một môi trường thử nghiệm khép kín, một mô hình AI đã tự động dò quét mạng, phát hiện dịch vụ đang chạy, xác định lỗ hổng, viết mã khai thác, leo quyền và di chuyển ngang trong hệ thống. Không có con người chỉ đạo từng bước. Ba tổ chức mô phỏng bị xâm nhập thành công. Công bố đến từ Anthropic — phòng thí nghiệm AI nổi tiếng với triết lý “an toàn trước tiên” — và nó nằm trong một báo cáo kỹ thuật về an toàn, không phải blog marketing. Với hầu hết người đọc, đây là một mẩu tin công nghệ thú vị. Với tôi, người đã dành mười ba năm đọc mã nguồn của các giao thức tài chính phi tập trung, nó là một tín hiệu cảnh báo màu đỏ — bởi vì cùng một kỹ thuật dò quét, cùng một chuỗi hành động, cùng một logic “viết mã khai thác khi phát hiện lỗ hổng”, chính xác là những gì một kẻ tấn công cần để rút cạn pool thanh khoản trên chain. Và có một chi tiết khiến tôi dừng lại lâu hơn bình thường: Anthropic cho biết họ “đang đánh giá lại các giao thức kiểm thử” sau khi thấy model tự viết mã khai thác nhanh hơn dự kiến. Cụm từ đó không nói về việc AI hỗ trợ bảo mật. Nó nói về việc AI đang tự bước qua ranh giới mà con người vẽ ra. Ngành bảo mật DeFi đã trải qua một thập kỷ phát triển theo kiểu “đuổi theo sau”. Năm 2017, khi tôi còn là sinh viên năm cuối, các hợp đồng ICO mọc lên như nấm sau mưa. Tôi nhớ mình đã ngồi ba tháng ròng để đọc mã nguồn Status Network và tìm thấy một lỗi overflow trong hàm burn. Hồi đó, việc phát hiện lỗi là một cuộc chơi trí tuệ giữa auditor và developer. Con người viết code, con người đọc code, con người tìm lỗi trong code do con người viết ra. Ba năm sau, vào mùa hè 2020, tôi audit một hợp đồng fork của Compound tên YieldFarm với TVL tám triệu đô la. Lỗi reentrancy trong pool staking — nếu bị khai thác, có thể mất hai trăm ngàn đô la. Tôi đề xuất reentrancy guard, dự án trả mười lăm ngàn đô la. Vẫn là con người tìm lỗi của con người. Đến năm 2021, tôi bắt đầu thấy bóng dáng của sự tự động hóa. PixelMines — một NFT game trên BSC — có hợp đồng mint với vòng lặp for không kiểm soát. Tôi tính toán gas bằng Etherspot, đề xuất batch mint qua Merkle proof, giảm sáu mươi phần trăm phí. Công cụ hỗ trợ phân tích, nhưng người vẫn là người. Năm 2026, cảnh tượng đã khác. Tôi audit oracle của Falcon AI — dự án kết hợp LLM với on-chain — và phát hiện lỗi trong tham số elliptic curve khi xác thực proof zk-SNARK. Lỗi nằm sâu trong toán học, nơi mà một auditor không có nền tảng lý thuyết số sẽ bỏ qua. Và giờ, Anthropic nói rằng AI có thể tự tìm ra những lỗi như thế, tự viết mã khai thác, tự xâm nhập. Điều này thay đổi mọi thứ. Trong bảy ngày qua, tôi theo dõi số liệu trên-chain và thấy một điều: có những giao thức vẫn đang vận hành với hợp đồng đã được triển khai từ hai, ba năm trước, chưa từng được nâng cấp, chưa từng được audit lại sau những thay đổi của môi trường xung quanh — ví dụ như giá ETH tăng làm thay đổi tính kinh tế của việc khai thác. Đây là một kiểu chết người: không phải vì một lỗi mới xuất hiện, mà vì một lỗi cũ trở nên đáng giá để khai thác. Điều đầu tiên cần làm rõ: “tự động tấn công” không có nghĩa AI có thể hack bất cứ thứ gì. Trong thử nghiệm của Anthropic, môi trường là sandbox — một phạm vi được dựng sẵn, các tổ chức mô phỏng, không phải hệ thống thật. Nhưng ngay cả với giới hạn đó, việc một model ngôn ngữ lớn đi từ “hiểu yêu cầu” đến “tự lên kế hoạch và thực thi một chuỗi tấn công nhiều giai đoạn” là một bước nhảy định lượng. Hãy đặt nó vào ngữ cảnh của một hợp đồng thông minh. Một auditor như tôi khi nhận một hợp đồng mới sẽ làm theo quy trình: đọc mã nguồn, lập mô hình luồng dữ liệu, tìm kiếm các pattern rủi ro — reentrancy, access control, integer overflow, oracle manipulation — rồi viết các bài kiểm tra nhanh. Với một hợp đồng phức tạp, việc này có thể mất ba tuần. Một AI agent, nếu huấn luyện đúng, có thể làm điều tương tự trong vài giờ hoặc vài phút — và quan trọng hơn, nó không bị mệt mỏi sau giờ thứ mười lăm liên tục đọc một vòng lặp for. Đây là tin tốt. Nhưng nó cũng là tin xấu — bởi vì cùng một agent đó, nếu rơi vào tay kẻ xấu, có thể chạy trên quy mô lớn: dò quét hàng nghìn hợp đồng đã deploy, phân tích bytecode, tìm những lỗi nhỏ như sai sót trong việc tính toán số dư, và khai thác chúng trong một giao dịch duy nhất. Một trong những bài học tôi học được sau mười ba năm audit được viết trong sổ tay của mình: “Lỗi không nằm ở logic, mà nằm ở giả định.” Những lỗi nghiêm trọng nhất tôi từng thấy không phải ở những dòng code phức tạp; chúng nằm ở giả định của developer rằng một hàm chỉ được gọi bởi admin, rằng một token không phải là token phí, rằng một external call sẽ không gọi lại. AI không biết những giả định này. Nó sẽ gọi hàm theo mọi cách có thể, với mọi loại token, mọi loại calldata. Và đây chính xác là kỹ năng mà một auditor giỏi cần để tìm lỗi — nhưng AI làm nhanh hơn hàng trăm lần. Một ví dụ minh họa. Khi audit YieldFarm năm 2020, tôi tìm ra lỗi reentrancy không phải vì tôi thông minh hơn — mà vì tôi biết dự án fork từ Compound và tôi kiểm tra xem họ có thêm reentrancy guard không. Logic của tôi là: đây là fork, họ có thể đã bỏ qua guard. Lỗi nằm ở giả định rằng fork an toàn như bản gốc. Một AI agent với dữ liệu huấn luyện về các cuộc tấn công DeFi trong lịch sử sẽ đặt câu hỏi tương tự, nhưng nó có thể chạy trên năm trăm hợp đồng cùng lúc trong khi tôi chỉ xử lý được một hợp đồng mỗi lần. Tuy nhiên, có một giới hạn mà công nghệ chưa vượt qua. Trong kinh nghiệm audit Falcon AI năm 2026, lỗi nằm trong tham số elliptic curve — đây là lỗi mà ngay cả một kỹ sư giỏi cũng bỏ qua, bởi vì nó đòi hỏi kiến thức nền về lý thuyết số và cách zk-SNARK chọn điểm sinh. Có một câu mà tôi sử dụng trong các bài phân tích: “Từng dòng gas được tối ưu, từng bit được cân nhắc.” Nhưng trong thực tế, rất ít nhà phát triển cân nhắc từng bit. Họ dùng thư viện có sẵn, copy-paste code mẫu, tin rằng nó đúng. Một AI agent có thể cũng làm vậy — vì dữ liệu huấn luyện của nó đến từ mã mà con người đã viết, bao gồm cả những mã có lỗi. Trong quá trình làm việc với Falcon AI, tôi nhận thấy một sự thay đổi về tốc độ: với các bài kiểm tra tự động dựa trên fuzzing, một agent AI có thể gửi hàng nghìn giao dịch giả lập vào hợp đồng, mỗi giao dịch thay đổi một biến nhỏ — thứ tự lời gọi, số dư, trạng thái, thậm chí là thời điểm. Cách tiếp cận này vượt xa khả năng của con người, nhưng nó có một hạn chế: nó chỉ tìm thấy những lỗi mà nó “nghĩ đến”. Nếu không có một con người hướng dẫn nó đến những vùng tối của thiết kế — chẳng hạn, khoản vay nhanh có thể tương tác với hook của Uniswap V4 như thế nào — thì AI có thể bỏ lỡ những lỗi lớn nhất. Điều này dẫn đến một kịch bản thú vị: AI phát hiện lỗi và viết mã khai thác; con người sửa lỗi; AI học từ cách sửa để tìm lỗi mới. Đây là một vòng lặp đối kháng. Mỗi block mới chứa các giao dịch, mỗi giao dịch để lại dấu vết. Trong tương lai, các auditor sẽ phải sử dụng AI để chống lại AI — và câu hỏi không phải là liệu AI có thay thế auditor không, mà là ai sở hữu AI mạnh hơn. Nhưng tôi muốn giảm nhiệt một chút. Làn sóng lo ngại rằng AI sẽ mở ra một kỷ nguyên hack tự động có thể đang bỏ qua một thực tế: các hệ thống quan trọng trong blockchain hiện nay — từ Uniswap đến Aave — đã trải qua nhiều năm audit, bounty, và tấn công thực tế. Chúng không phải là mục tiêu dễ dàng. Trong khi đó, hầu hết các tổ chức bị AI của Anthropic “tấn công” trong thử nghiệm đều là môi trường mô phỏng, có khả năng được đơn giản hóa. Góc nhìn phản trực giác của tôi: AI tấn công mạnh đến đâu, nó cũng chỉ có thể tấn công những gì nó hiểu. Các giao thức DeFi mới thường có logic phức tạp đến mức khó hiểu ngay cả với một auditor dày dạn. AI có thể xuất sắc trong việc tìm pattern quen thuộc — reentrancy, overflow, access control — nhưng nó có thể không hiểu được các khái niệm kinh tế tinh tế như việc chênh lệch giá trong pool thanh khoản phi tập trung có thể bị thao túng như thế nào, hoặc cách mà một governance proposal kết hợp với một oracle cũ có thể phá vỡ toàn bộ giao thức. Những cuộc tấn công tinh vi nhất không nằm trong mã — chúng nằm trong thiết kế. Nhưng điều đó không có nghĩa là chúng ta an toàn. “Cái giá của sự lười biếng là một lỗ hổng bảo mật.” Trong mười ba năm qua, mỗi lỗ hổng nghiêm trọng tôi gặp đều bắt nguồn từ một hình thức lười biếng: sử dụng thư viện cũ, sao chép code không hiểu, bỏ qua edge case. AI không lười — nó có thể chạy hàng nghìn phép thử trong thời gian một con người pha cà phê. Và khi AI của kẻ tấn công kết hợp với độ lười của developer, đó là công thức cho thảm họa. Câu hỏi đặt ra không phải là liệu AI có hack được DeFi hay không. Nó đã có thể. Câu hỏi là liệu các giao thức có sẵn sàng ứng phó với một kẻ thù không mệt mỏi, không cảm xúc, và có khả năng học hỏi từ mỗi thất bại hay không. Tôi nghĩ về những năm tháng ngồi đọc từng dòng mã, từng bit gas, và tôi nhận ra rằng cuộc chơi đã thay đổi. Nhà phát triển giờ phải viết code với giả định rằng AI sẽ đọc nó trước khi con người kịp nhìn thấy. Auditors phải trở thành người dạy AI, không chỉ là người dạy người. Trong cuộc chơi này, tôi không tin vào sự hoàn hảo. Tôi tin vào quy trình. Và quy trình duy nhất có thể tồn tại là một vòng lặp liên tục: AI tạo ra lỗ hổng, AI tìm ra lỗ hổng, con người quyết định cách sửa. Điều duy nhất còn lại cho chúng ta — những người làm bảo mật — là giữ cho vòng lặp đó nằm trong tầm kiểm soát. Và nếu một ngày bạn thấy một giao thức mất hàng triệu đô la trong một giao dịch — hãy nhìn vào lịch sử transaction. Ai đó đã từng in một câu trên màn hình: “Mỗi block là cơ hội, mỗi transaction là dấu vết.” Có thể người viết ra câu đó không còn quan trọng nữa. Điều quan trọng là liệu bạn có đọc được dấu vết đó trước khi kẻ khác khai thác nó.