10 triệu người dùng Agent mỗi tuần: OpenAI đã thắng cuộc đua sản phẩm, nhưng cuộc chiến bảo mật mới chỉ bắt đầu

Một tuần trước, tôi đọc được một dòng tweet từ một tài khoản ít người biết đến: “OpenAI vừa hoàn thành mục tiêu cuối cùng trong chiến dịch tăng trưởng: Codex và ChatGPT Work đạt 10 triệu người dùng hoạt động hàng tuần.” Con số ấy khiến tôi dừng lại – không phải vì nó lớn, mà vì cách OpenAI đạt được nó. Họ không tung ra một mô hình mới, không có bản nâng cấp GPT-5. Họ chỉ … reset giới hạn sử dụng. Mỗi khi có thêm một triệu người dùng, giới hạn lại được nới lỏng. Một cơ chế khen thưởng đơn giản đến mức tôi tự hỏi: tại sao không ai làm điều này trước đây? Aztec dạy tôi rằng: một giao thức mạnh không đến từ phép thuật, mà từ việc xây dựng các ràng buộc có thể dự đoán được và tận dụng chúng để thúc đẩy hành vi. Chiến dịch tăng trưởng của OpenAI giống hệt một cơ chế bonding curve trong DeFi: mỗi bước tiến lại mở khóa một phần thưởng, tạo hiệu ứng lan truyền không cần quảng cáo. Đây là sự kết hợp giữa kinh tế học hành vi và kỹ thuật phần mềm – một bài học đáng giá cho bất kỳ ai đang xây dựng Layer 2 hoặc DeFi. Nhưng tôi là một nhà nghiên cứu Zero-Knowledge, nên tôi nhìn con số 10 triệu qua lăng kính khác: đó là 10 triệu tác nhân có thể thực hiện các hành động thay mặt con người. Codex viết code, ChatGPT Work soạn thảo email, đặt lịch họp. Mỗi tác nhân là một điểm truy cập vào hệ thống của người dùng. Nếu một prompt injection đánh lừa được Agent, kẻ tấn công có thể đọc hộp thư, xóa file, thậm chí gửi lệnh giao dịch. Trong thế giới blockchain, audit smart contract là chuyện thường ngày. Nhưng audit một Agent AI – nơi hành vi thay đổi theo từng prompt – là câu chuyện hoàn toàn khác. Dựa trên kinh nghiệm audit của tôi, lỗ hổng phổ biến nhất trong smart contract là lỗi logic ở boundary condition. Với Agent, boundary condition là sự mơ hồ trong ngữ nghĩa tự nhiên. Một câu nói đùa có thể kích hoạt hành động nguy hiểm. Một dấu nháy đơn trong prompt có thể bypass bộ lọc. Tôi từng phát hiện một lỗi trong hợp đồng SushiSwap năm 2020 chỉ vì một dòng code tính phí sai. Với Agent, “dòng code” là toàn bộ ngữ cảnh hội thoại. Độ phức tạp tăng theo cấp số nhân. Vậy điều gì xảy ra khi 10 triệu người dùng – mỗi người giao cho Agent quyền truy cập vào dữ liệu nhạy cảm – bắt đầu tương tác với nhau? Một Agent của nhà cung cấp A gửi email cho Agent của nhà cung cấp B. Ai kiểm soát dòng chảy thông tin đó? Ai chịu trách nhiệm nếu Agent A bị hack và lừa Agent B thực hiện giao dịch trái phép? Đây là những câu hỏi mà OpenAI – và toàn bộ ngành AI – đang né tránh. Họ tung ra sản phẩm nhanh như chạy đua vũ trang, nhưng lớp bảo mật vẫn là vùng tối. Tôi nhìn thấy một nghịch lý: càng nhiều người dùng, càng nhiều dữ liệu để huấn luyện Agent tốt hơn, nhưng cũng càng nhiều bề mặt tấn công. Trong blockchain, chúng ta giải quyết vấn đề này bằng auditable code và zero-knowledge proofs – cho phép kiểm tra mà không tiết lộ thông tin. Liệu có thể áp dụng ZK vào Agent AI để chứng minh rằng một hành động được thực hiện đúng theo ý định của người dùng, mà không lộ private context? Đó là hướng nghiên cứu tôi đang theo đuổi. Nhưng hiện tại, trước mắt tôi là một con số 10 triệu – vừa là thành tựu, vừa là hồi chuông cảnh báo. Code là lịch sử; audit là thám mã. Đối với Agent AI, lịch sử được viết bằng prompt, và chúng ta chưa có công cụ để thám mã nó. OpenAI đã chứng minh họ biết cách tăng trưởng. Câu hỏi còn lại: họ có biết cách bảo vệ 10 triệu người dùng đó không?