Các tác nhân AI bắt đầu hợp tác trong các cuộc tấn công mạng, gây ra những lo ngại về bảo mật

Trong vài năm qua, các cuộc thảo luận về mối đe dọa từ AI chủ yếu dừng lại ở một giả định: mọi người luôn lo ngại rằng các mô hình trong hộp trò chuyện sẽ trở thành cố vấn, giúp các hacker viết ra những mã virus hủy diệt.

Bây giờ quay đầu lại nhìn, nỗi lo lắng này trước đây thường được coi là “còn xa với chúng ta”, nhưng những bước ngoặt trong thế giới thực lại đến nhanh hơn chúng ta tưởng.

Đầu tháng 10, trong quá trình điều tra một đợt tấn công nhắm vào các tổ chức tài chính Hàn Quốc, CrowdStrike phát hiện kẻ tấn công đã tích hợp Agentic AI vào quy trình, thông qua kết nối với nhiều mô hình lớn như DeepSeek, GLM, Grok, để AI trực tiếp thực hiện các công việc cụ thể như kiểm thử xâm nhập, thu thập thông tin và thực thi tấn công.

Sự thay đổi tương tự không phải là trường hợp duy nhất.

Báo cáo tình báo mối đe dọa mới nhất do Anthropic công bố vào tháng 9 cho thấy các khung đa tác nhân gần đây đã được sử dụng để trinh sát, khai thác lỗ hổng và đánh cắp dữ liệu, hoạt động liên tục trong vài giờ hoặc vài ngày, với con người chỉ cần thực hiện một số quyết định then chốt như chọn mục tiêu và xem kết quả.

Nói cách khác, AI đang mang đến những thay đổi chất lượng rõ rệt cho cuộc chiến giữa tấn công và phòng thủ mạng; trước đây, các cuộc tấn công tự động chủ yếu dựa vào các quy tắc và kịch bản được viết sẵn, giờ đây ngay cả việc trinh sát, phán đoán và điều chỉnh chiến lược cũng đã được Agent đảm nhận, giúp các cuộc tấn công trở nên chi phí thấp hơn, đồng thời có khả năng chạy song song và tự chủ liên tục.

Nhưng khi những thực thể có khả năng tự thực thi này được triển khai dày đặc vào các hệ thống sản xuất, một vấn đề phức tạp hơn cũng nổi lên: Khi các Agent ngày càng nhiều và ngày càng thâm nhập sâu vào công việc và cuộc sống hàng ngày của chúng ta, nếu chúng học được cách "hợp tác" với nhau thì phải làm sao?

Vẫn là vấn đề quen thuộc, sự khác biệt lớn nhất giữa Agent và chatbot trước đây không chỉ nằm ở khả năng mô hình mạnh mẽ hơn, mà quan trọng hơn là nó bắt đầu sở hữu “tay chân” trong thế giới thực.

Hôm nay, một Agent trưởng thành đã có thể mở trang web, thực thi mã, đọc email, gọi API, thao tác với các dịch vụ đám mây và kết nối với ngày càng nhiều công cụ bên ngoài thông qua MCP, Skills và các phương thức khác (đọc thêm 当黑客「更高效」用上 AI，Web3 的「矛与盾」军备竞赛如何升级？).

Khả năng càng mạnh, sự thay đổi này tất nhiên càng có giá trị, nhưng đối với hệ thống an toàn, điều này có nghĩa là ranh giới rất quan trọng trước đây đang biến mất, và loạt sự kiện an toàn xảy ra trong năm nay đã làm rõ điều này một cách trực quan.

Vào ngày 1 tháng 10, Salt Labs đã tiết lộ một lỗ hổng Manus đã được vá trước đó, về bản chất vẫn là tiêm prompt—các nhà nghiên cứu chỉ cần gửi một email bình thường chứa lệnh độc hại ẩn đến địa chỉ email mục tiêu, và khi người dùng sau đó yêu cầu Manus “giúp tôi xem email”, Agent có thể thực hiện các lệnh trong email, cuối cùng thực thi mã do kẻ tấn công cài đặt.

Toàn bộ quá trình không yêu cầu người dùng nhấp vào liên kết độc hại, cũng không cần đánh cắp mật khẩu trước, hệ thống bảo mật của Manus thực tế đã phát hiện ra sự bất thường và cảnh báo cho người dùng, nhưng vấn đề là nó phát hiện quá muộn, khi cảnh báo xuất hiện thì mã độc đã được thực thi.

Điều này một lần nữa làm nổi bật sự khác biệt quan trọng giữa bảo mật Agent và bảo mật phần mềm truyền thống: trước đây, khi trình duyệt phát hiện một tệp tải về nguy hiểm, nó có thể hiển thị cảnh báo để người dùng quyết định có tiếp tục hay không; khi ngân hàng phát hiện một giao dịch bất thường, nó có thể tạm khóa giao dịch và chờ xét duyệt thủ công.

Nhưng mục tiêu thiết kế của một Agent chính là giảm thiểu tối đa sự tham gia của con người ở từng bước thao tác, nó cần tự mình đọc thông tin, đưa ra phán đoán, rồi tiếp tục thực hiện bước tiếp theo.

Vì vậy, khi AI ngày càng nhận được nhiều quyền tự chủ hơn, việc “phát hiện nguy hiểm” bản thân đã không còn đủ; các cơ chế an toàn phải có khả năng ngăn chặn các hành động nguy hiểm trước khi chúng được thực hiện.

Đây cũng là lý do tại sao ngày càng nhiều cuộc thảo luận về bảo mật Agent hôm nay đang di chuyển xuống một cấp độ sâu hơn: không chỉ hỏi AI “có biết việc này không nên làm không”, mà còn hỏi liệu hệ thống có khả năng ngăn nó thực hiện ngay cả khi nó thực sự muốn làm không?

Sự xuất hiện của nhiều Agent lại làm cho vấn đề này trở nên phức tạp hơn, vì giai đoạn tiếp theo có thể cần giới hạn không chỉ một Agent.

Đầu tháng 9, một sự việc xảy ra trong môi trường đào tạo và đánh giá mô hình nội bộ của OpenAI đã thu hút sự chú ý của nhiều nhà nghiên cứu an toàn AI.

Một số Agent ban đầu nên hoàn thành nhiệm vụ riêng của mình, nhưng vô tình phát hiện ra một Wiki chung và dần biến nó thành một “bảng tin chia sẻ” giữa các Agent, nơi các Agent có thể để lại thông tin, và các Agent khác sau đó đọc và sử dụng những thông tin này để tiếp tục hoàn thành nhiệm vụ của mình.

OpenAI sau đó đã xác nhận hành vi này, và các thông tin được tiết lộ sau đó cũng cho thấy trong các quá trình huấn luyện khác, Agent từng sử dụng Artifactory nội bộ làm bảng tin chia sẻ, cũng như truyền kết quả đến các Agent làm việc cùng thông qua các dịch vụ lưu trữ tệp công cộng.

Điều thú vị thực sự ở đây là nó cho thấy việc các tác nhân hình thành sự hợp tác có thể hoàn toàn không cần quá kịch tính.

Ví dụ, một Agent phát hiện một nơi có thể để lại thông tin, một Agent khác tình cờ đọc được, sau đó một Agent thứ ba phát hiện những thông tin này giúp hoàn thành nhiệm vụ.

Tất nhiên, sự hợp tác giữa các tác nhân không phải là điều xấu; các hệ thống đa tác nhân vốn cần dựa vào phân công lao động và chia sẻ thông tin để tăng hiệu quả.

Điều thật sự cần cảnh giác là khi sự hợp tác này bắt đầu bypass các ràng buộc về cách ly thông tin, kiểm duyệt độc lập hoặc giới hạn quyền hạn, thậm chí khiến một vài Agent vốn nên kiểm soát lẫn nhau trở thành liên minh lợi ích thực tế, thì nó có thể từ sự hợp tác bình thường biến thành sự “thông đồng” có hại.

Cuối cùng, một tổ chức tài chính trong tương lai rất có thể đồng thời vận hành vài Agent, một cái phụ trách phân tích thị trường, một cái phụ trách đánh giá rủi ro, một cái phụ trách tạo ra chiến lược giao dịch, và một cái có quyền thực sự để giao dịch và thao tác tài sản.

Từ góc độ quản lý quyền hạn truyền thống, thiết kế này thậm chí rất hợp lý:

• Agent nghiên cứu không có quyền chuyển tiền;
• Agent không có quyền tự quyết định hướng đầu tư;
• Risk Agent cũng có thể bác bỏ các chiến lược rõ ràng nguy hiểm;

Nhiệm vụ đã được tách ra, về mặt lý thuyết, điều này an toàn hơn so với việc giao toàn bộ quyền hạn cho một siêu Agent.

Nhưng vấn đề là, nếu chúng có thể chia sẻ Memory trong dài hạn, đọc đầu ra của nhau, và liên tục điều chỉnh hành vi dựa trên phản ứng của đối phương, thì những vai trò ban đầu được thiết kế để ràng buộc lẫn nhau này liệu có dần trở thành một thực thể thống nhất?

Ví dụ, agent nghiên cứu có thể dần học cách mô tả một giao dịch sao cho dễ dàng vượt qua kiểm tra rủi ro; agent phụ trách kiểm duyệt cũng có thể hình thành sở thích cố định dựa trên dữ liệu lịch sử; agent thực thi sau đó học từ hàng loạt kết quả phê duyệt trước đó những ranh giới nào thường không bị chặn lại.

Từ góc độ này, không có bước nào chắc chắn là đang “làm điều xấu”, nhưng kết quả cuối cùng của toàn bộ hệ thống có thể đã lệch khỏi mục tiêu ban đầu mà người dùng đặt ra.

Đây chính là điểm khó giải quyết thực sự của sự “thông đồng” hoặc “lợi dụng lẫn nhau” – rủi ro không nhất thiết nằm trong hành động của một Agent duy nhất, mà có thể nằm trong mối quan hệ hình thành giữa nhiều Agent.

Vào ngày 13 tháng 9, Vitalik Buterin đã liên hệ vấn đề này với các cơ chế thiết kế mà anh ấy đã nghiên cứu trong thời gian dài. Anh đề xuất rằng một khả năng thú vị là lý thuyết thiết kế cơ chế cho Quản trị Đối kháng (Adversarial Governance) cuối cùng có thể trở thành một ứng dụng quan trọng trong An toàn AI.

Lý do là vì hai vấn đề này thực sự có sự tương đồng sâu sắc.

Trong thiết kế cơ chế truyền thống, đó là một hệ thống tương đối đơn giản và tĩnh, cố gắng ràng buộc một nhóm người thông minh hơn nhiều so với chính hệ thống và chủ động tìm kiếm ranh giới của các quy tắc; trong khi trong các hệ thống AI tương lai, nó có thể trở thành con người và các AI có năng lực tương đối yếu hơn cố gắng quản lý một nhóm các Agent cấp cao mạnh mẽ hơn chính họ.

Vitalik đặc biệt nhấn mạnh rằng, một phát hiện quan trọng trong thiết kế cơ chế trước đây là nếu có thể hạn chế hiệu quả sự thông đồng giữa các bên tham gia, hệ thống thường sẽ dễ dàng đạt được kết quả mong muốn.

Kết luận này cũng có thể áp dụng cho AI.

Nói cách khác, thay vì giả định rằng trong tương lai sẽ tồn tại một mô hình siêu an toàn hoàn hảo có thể nhìn thấu mọi hành vi nguy hiểm, hãy chuyển hướng suy nghĩ: làm thế nào để các Agent khác nhau trong hệ thống khó có thể hình thành một liên minh lợi ích nguy hiểm?

Đây cũng là điểm khác biệt thực sự giữa “quản trị đối kháng” và các kiểm soát quyền hạn mà chúng ta quen thuộc hôm nay.

Hệ thống quyền hạn truyền thống giải quyết các vấn đề tương đối đơn giản, chủ yếu xoay quanh “ai có thể làm gì”, ví dụ: một Agent có thể đọc email không? Có thể gọi giao diện giao dịch không? Mỗi ngày có thể chi tối đa bao nhiêu tiền? Có thể truy cập vào những hợp đồng nào? Vượt quá ngưỡng nào thì cần người dùng xác nhận lại?

These designs are, of course, still very important.

Thực tế, khi Agent bắt đầu kiểm soát tài sản thực, chúng có thể quan trọng hơn bất kỳ thời điểm nào trước đây.

Tuy nhiên, quản trị đối kháng cố gắng đi xa hơn một bước nữa, tập trung vào việc làm thế nào để tránh các Agent có quyền hạn, mục tiêu và thông tin khác nhau khi chạy đồng thời kết hợp lại tạo ra những khả năng mà trước đó không ai có.

Lúc này, việc chỉ đơn giản “thêm một Agent bảo mật nữa” chưa chắc đã giải quyết được vấn đề.

Giả sử agent phụ trách giao dịch và agent phụ trách kiểm duyệt giao dịch sử dụng cùng một mô hình, cùng nguồn dữ liệu, cùng ngữ cảnh và mục tiêu phần thưởng tương tự, thì dù bề ngoài có hai lớp kiểm duyệt, về bản chất có thể chỉ là sao chép cùng một phán đoán hai lần.

Sự cân bằng thực sự hiệu quả có thể yêu cầu hệ thống chủ động tạo ra sự khác biệt.

Ví dụ: cho các Agent phụ trách xây dựng và phê duyệt chiến lược sử dụng các nguồn thông tin khác nhau, hạn chế bộ nhớ mà các vai trò khác nhau có thể chia sẻ, yêu cầu các thao tác rủi ro cao phải trải qua cơ chế xác minh độc lập với nhau, hoặc để lớp thực thi tài sản cuối cùng chỉ chấp nhận các yêu cầu tuân thủ các quy tắc đã được thiết lập trước, thay vì chỉ tin tưởng vào phán đoán của các Agent phía trên.

Ý tưởng trong đây thực ra không mới mẻ. Các ngân hàng không bao giờ giao cho một người duy nhất toàn bộ quyền khởi tạo thanh toán, phê duyệt thanh toán và thực hiện chuyển tiền chỉ vì tin tưởng nhân viên; các công ty niêm yết cũng không để bộ phận kinh doanh vừa chịu trách nhiệm tạo ra doanh thu, vừa tự quyết định kết quả kiểm toán tài chính của chính mình.

Nói một cách đơn giản, điều này phù hợp với logic trong thế giới thực: một hệ thống vững chắc không nên dựa trên giả định rằng người tham gia sẽ không bao giờ mắc lỗi hoặc thông đồng với nhau.

Việc áp dụng logic này vào Agent Wallet sẽ trở nên đặc biệt quan trọng.

Ví truyền thống tập trung vào «người dùng», do đó người dùng xem nội dung giao dịch, quyết định có cấp phép hay không, và cuối cùng tự mình ký tên; nhưng Agent Wallet lại hướng đến điều ngược lại — để AI tự động nhận lợi nhuận, điều chỉnh vị thế, đổi coin, chuyển chuỗi, thậm chí quản lý toàn bộ danh mục tài sản dựa trên biến động thị trường.

Nếu mỗi bước đều phải xác nhận lại với người dùng, giá trị tự động hóa của Agent sẽ bị giảm đáng kể.

Vì vậy, vấn đề mà ví tương lai cần giải quyết rất có thể sẽ không còn chỉ là “làm thế nào để an toàn giao quyền ký cho Agent”, mà có khả năng sẽ mở rộng hơn nữa thành “làm thế nào để Agent có đủ quyền tự chủ, đồng thời không bao giờ vượt quá phạm vi người dùng đã cấp phép?”

Yêu cầu này đòi hỏi quyền được chuyển từ một hệ thống đơn giản “Cho phép/Từ chối” sang một cơ chế tinh vi hơn.

Ví dụ: một Agent có thể thao tác với những tài sản nào trong một khoảng thời gian nhất định, có thể gọi các giao thức nào, hạn mức mỗi giao dịch và tổng hạn mức là bao nhiêu; các Agent khác nhau có thể gọi lẫn nhau không, có được phép chia sẻ ngữ cảnh không; ai đề xuất một thao tác, ai phê duyệt và ai thực hiện cuối cùng; những hành vi nào có thể được tự động thực hiện, những thao tác nào dù Agent có chắc chắn đến đâu cũng phải được cấp lại sự cho phép của con người.

Ngay cả một Agent chịu trách nhiệm kiểm duyệt bảo mật, bản thân nó có thực sự độc lập hay không, cũng có thể trở thành một phần của hệ thống quyền hạn.

Đối với blockchain, tin tốt là bản thân nó thực sự rất phù hợp để đảm nhận vai trò “lớp thể chế” này.

Hợp đồng thông minh có thể trực tiếp thực thi các hạn chế như giới hạn giao dịch, phạm vi tài sản và thời hạn ủy quyền tại cấp độ thực thi, trong khi các cơ chế như tài khoản trừu tượng, chữ ký đa bên và Session Key cũng mang lại không gian thiết kế linh hoạt hơn cho việc “ủy quyền có giới hạn” so với ví khóa riêng truyền thống.

Nhưng blockchain cũng chỉ giải quyết được một phần vấn đề — nó có thể ghi lại những gì đã xảy ra trên chuỗi, nhưng khó có thể tự nhiên phán đoán tại sao Agent lại làm như vậy, cũng như các Agent đã trải qua quá trình giao tiếp, kiểm duyệt và hợp tác như thế nào trước khi đưa ra quyết định.

Đây có thể mới là lớp bảo mật thực sự cần được bổ sung cho Agent Wallet ở giai đoạn tiếp theo.

Trong vài năm qua, vấn đề được thảo luận nhiều nhất về an toàn AI là làm thế nào để khiến các mô hình trở nên “nghe lời” hơn.

Điều này bao gồm việc không xuất ra nội dung nguy hiểm, không thực hiện các lệnh độc hại, không vượt quá ranh giới do người dùng thiết lập, nhưng khi Agent bắt đầu có khả năng bộ nhớ dài hạn, gọi công cụ và thực hiện tài khoản cũng như tài sản thật, thì chỉ dựa vào “làm cho mô hình nghe lời hơn” có thể đã không còn đủ.

Những gì đã xảy ra trong vài tháng qua đang liên tục chứng minh điều này.

Các kẻ tấn công đã bắt đầu sử dụng nhiều Agent cùng lúc để thực hiện cuộc tấn công; các Agent trong môi trường thử nghiệm sẽ tự tìm kiếm các kênh giao tiếp mới; một Agent có quyền công cụ cũng có thể biến một email độc hại thành thực thi thực tế trước khi hệ thống bảo mật kịp ngăn chặn.

Vitalik đề xuất quản trị đối kháng, cung cấp một cách tiếp cận khác để hiểu về An toàn AI: không giả định rằng mọi Agent trong tương lai đều đáng tin cậy, mà cho phép toàn bộ hệ thống vẫn vận hành ổn định trong một khung an toàn, ngay cả khi đối mặt với các Agent thông minh và hệ thống quyền hạn phức tạp.

From this perspective, AI Agent + security is destined to be a long-term topic.

Sau tất cả, khi chúng ta ngày càng giao nhiều việc hơn cho AI, liệu chúng ta vẫn có thể chắc chắn rằng những quyền lực quan trọng nhất chưa bao giờ vượt ra ngoài ranh giới mà con người thực sự đặt ra?