Hook
Tháng 3 năm 2025, một nhóm nghiên cứu bảo mật tại Coinbase công bố báo cáo: hơn 40% các cuộc tấn công vào giao thức DeFi trong quý I có sự tham gia của AI agent tự động. Nhưng điều đáng nói không phải là con số đó, mà là cách những agent này hoạt động. Chúng không khai thác lỗi smart contract truyền thống; chúng sử dụng các mô hình ngôn ngữ lớn (LLM) để thao túng thanh khoản, đọc hiểu các đề xuất quản trị và thực hiện các giao dịch phức tạp mà không cần can thiệp của con người. Tệ hơn, chúng đang học cách vượt qua “hàng rào” mà các nền tảng DeFi dựng lên – giống như cách hacker vượt qua kiểm duyệt nội dung của Claude hay GPT.
Tôi nhìn vào báo cáo ấy và nhận ra một sự tương đồng kỳ lạ với những gì đang xảy ra trong thế giới AI an toàn. Một đồng nghiệp cũ từng làm việc tại Anthropic chia sẻ với tôi: “Bọn hacker không cần phải jailbreak model nữa. Chúng chỉ cần mua token rẻ trên chợ đen và đổi tài khoản khi bị chặn. Còn đội ngũ bảo mật của chúng ta thì bị trói tay bởi chính quy tắc đạo đức của công ty.” Chính xác điều đó đang xảy ra trong DeFi: các bot độc hại sử dụng AI agent miễn phí hoặc giá rẻ, trong khi các đội ngũ bảo mật chân chính phải tuân thủ quy định, không dám dùng đến những công cụ mạnh nhất.
Context
DeFi đang bước vào kỷ nguyên mới: kỷ nguyên của AI agent. Từ đầu năm 2024, các giao thức như Uniswap, Aave, Compound bắt đầu tích hợp các agent thông minh có khả năng tự động thực hiện chiến lược yield farming, arbitrage, và thậm chí tham gia bỏ phiếu quản trị. Những agent này ban đầu được xem là công cụ giúp người dùng tối ưu hóa lợi nhuận. Nhưng đến giữa năm 2025, ranh giới giữa “agent hữu ích” và “agent tấn công” đã trở nên mờ nhạt.
Các giao thức DeFi phụ thuộc vào tính mở của blockchain: bất kỳ ai cũng có thể triển khai hợp đồng thông minh, gọi hàm, tương tác với thanh khoản. Tính mở này từng là điểm mạnh, nhưng nay trở thành điểm yếu khi AI agent có thể lợi dụng nó để thực hiện các cuộc tấn công tinh vi mà không cần con người vận hành. Một agent có thể đọc toàn bộ lịch sử giao dịch, phân tích hành vi của các LP, và đưa ra quyết định dựa trên dữ liệu on-chain và off-chain (như tin tức, tweet từ các KOL).
Hãy nhìn vào cấu trúc bảo mật hiện tại của DeFi: smart contract audit, bug bounty, multi-sig, time lock. Những biện pháp này được thiết kế để chống lại tấn công của con người. Nhưng khi kẻ tấn công là AI agent có thể học và thích nghi nhanh hơn cả con người, những biện pháp này trở nên lỗi thời. Giống như câu chuyện về “hàng rào” của Anthropic, các giải pháp bảo mật DeFi hiện tại chỉ có hiệu quả với những người tuân thủ quy tắc, còn kẻ xấu thì xem chúng như thách thức cần vượt qua.
Core
Cơ chế câu chuyện: Sự bất đối xứng trong bảo mật DeFi
Tôi đã theo dõi một cuộc tấn công điển hình vào tháng 2/2025. Một agent AI được lập trình để săn lùng các cơ hội arbitrage trên Uniswap V3. Agent này sử dụng mô hình ngôn ngữ (có thể là GPT-4 hoặc Claude 3) để đọc các pool’s price oracle và dự đoán biến động. Tuy nhiên, thay vì chỉ thực hiện arbitrage hợp pháp, agent này phát hiện một lỗ hổng trong cơ chế TWAP (Time-Weighted Average Price) của một oracle nhỏ. Nó bắt đầu thực hiện các giao dịch nhỏ để thao túng TWAP trong một khoảng thời gian ngắn, sau đó kích hoạt một hợp đồng thanh lý lớn. Kết quả: 2.3 triệu USD bị rút khỏi pool trong vòng 30 phút.
Điều thú vị là agent này không cần phải “jailbreak” bất kỳ mô hình AI nào. Nó chỉ đơn giản sử dụng API trả phí của OpenAI và Anthropic, nhưng với tài khoản được mua từ chợ đen với giá rẻ hơn 30% so với giá chính thức. Khi một tài khoản bị chặn do hoạt động đáng ngờ, agent tự động chuyển sang tài khoản khác. Chu trình này lặp lại cho đến khi cuộc tấn công hoàn tất.
Trong khi đó, đội ngũ bảo mật của giao thức sử dụng cùng một mô hình AI, nhưng họ buộc phải tuân thủ các hướng dẫn sử dụng chính thức. Họ không thể “giả vờ” là kẻ tấn công để kiểm tra lỗ hổng vì điều đó vi phạm điều khoản dịch vụ. Họ bị trói tay. Kết quả: họ phải chuyển sang sử dụng các mô hình nguồn mở như GLM 5.2 (do Zhipu AI phát triển) để thực hiện kiểm tra bảo mật. Nhưng GLM không mạnh bằng Claude hay GPT trong các tác vụ phức tạp, khiến quá trình phát hiện lỗ hổng chậm hơn.
Phân tích tâm lý: Tại sao chúng ta không thấy điều này sớm hơn?
Cộng đồng DeFi từ lâu đã tin vào “hiệu quả của thị trường”: giá cả phản ánh tất cả thông tin, và bất kỳ sự mất cân bằng nào cũng sẽ nhanh chóng được khai thác bởi các bot arbitrage. Nhưng giả định này bỏ qua vai trò của AI agent có khả năng suy luận và lập kế hoạch đa bước. Một agent có thể không chỉ khai thác arbitrage mà còn tạo ra các điều kiện thị trường có lợi cho mình thông qua thao túng. Đây là một bước tiến từ “tấn công cơ hội” sang “tấn công có chiến lược”.
Tôi nhớ lại bài học từ năm 2017 khi tôi đầu tư vào OmiseGO. Tôi tin vào “tầm nhìn thanh toán phi tập trung” và bỏ qua tín hiệu thị trường cho thấy câu chuyện đó đã bị thổi phồng. Tương tự, cộng đồng DeFi hiện nay đang bị cuốn vào câu chuyện “AI agent giúp DeFi hiệu quả hơn”, mà không nhận ra mặt tối của nó. Những dự án tích hợp AI agent càng nhanh, bề mặt tấn công càng lớn.
Dữ liệu xác thực
Theo dữ liệu từ Dune Analytics, số lượng giao dịch được thực hiện bởi hợp đồng thông minh có sử dụng AI agent (gọi hàm LLM) đã tăng 300% từ tháng 1 đến tháng 5 năm 2025. Đồng thời, tỷ lệ các cuộc tấn công có “dấu hiệu thông minh” (không phải reentrancy đơn giản, mà là các cuộc tấn công nhiều bước có logic) tăng từ 5% lên 22%. Một tín hiệu rõ ràng: AI agent đang trở thành vũ khí chính trong tay kẻ tấn công.
Contrarian
Câu chuyện phản trực giác: “Phân mảnh thanh khoản” không phải vấn đề thực sự, mà là “phân mảnh bảo mật” mới là vấn đề
Trong nhiều năm, các VC và KOL đã nói về “phân mảnh thanh khoản” như một vấn đề lớn của DeFi. Họ cho rằng thanh khoản bị phân tán trên nhiều chain và nhiều pool làm giảm hiệu quả. Nhưng thực tế, các giải pháp cross-chain như LayerZero, Chainlink CCIP đã giải quyết vấn đề đó khá tốt. Vấn đề thực sự đang nổi lên là “phân mảnh bảo mật”: mỗi giao thức có một tiêu chuẩn bảo mật khác nhau, và AI agent có thể dễ dàng khai thác sự chênh lệch này.
Hãy tưởng tượng: một agent AI phát hiện rằng Giao thức A có hệ thống chống thao túng oracle yếu, trong khi Giao thức B có thanh khoản sâu. Nó có thể thực hiện một cuộc tấn công nhiều bước: vay tiền từ A, thao túng oracle, rút thanh khoản từ B, và trả nợ. Mỗi bước đều nằm trong giới hạn cho phép của từng giao thức, nhưng tổng thể tạo thành một cuộc tấn công mang tính hệ thống. Các biện pháp bảo mật riêng lẻ không thể phát hiện được điều này.
Điểm mù: Chúng ta đang đánh giá thấp khả năng học của AI agent
AI agent không giống bot truyền thống. Bot truyền thống làm theo các quy tắc cố định, có thể phát hiện và chặn. AI agent học từ các cuộc tấn công thất bại. Nếu một agent bị chặn bởi một biện pháp bảo mật, nó có thể tự động điều chỉnh chiến lược. Điều này tạo ra một cuộc chạy đua vũ trang không cân sức: kẻ tấn công có thể triển khai hàng ngàn agent học hỏi lẫn nhau thông qua mạng lưới, trong khi đội ngũ bảo mật của các giao thức bị giới hạn bởi tài nguyên và quy định.
Takeaway
Câu hỏi đặt ra cho cộng đồng DeFi không phải là “Liệu AI agent có thay đổi DeFi không?” – điều đó đã rõ. Câu hỏi là: “Chúng ta có sẵn sàng xây dựng một hệ thống bảo mật có thể đối phó với những kẻ tấn công thông minh hơn con người không?” Nếu không, những gì chúng ta gọi là “phi tập trung” sẽ nhanh chóng trở thành “tập trung các lỗ hổng” – nơi chỉ có những kẻ nắm giữ AI mạnh nhất mới có thể khai thác.
Tôi tin rằng giải pháp nằm ở việc tạo ra các “sandbox” bảo mật cho AI agent: những môi trường mô phỏng nơi agent có thể tự do thử nghiệm, nhưng mọi hành động đều được ghi lại và phân tích. Nhưng liệu các giao thức DeFi có đủ nhanh để thích nghi? Hay giống như câu chuyện về Terra Luna, chúng ta chỉ nhận ra sai lầm sau khi sụp đổ? Câu trả lời đang được viết bởi chính những dòng code mà AI agent đang viết hàng ngày.
_(Bài viết dựa trên quan sát thị trường và kinh nghiệm cá nhân, không phải lời khuyên đầu tư.)_