Mã luôn chứa lỗi. Những lỗi sâu xa trước đây thường ẩn giấu vì việc phát hiện chúng đòi hỏi chuyên môn con người khan hiếm và đắt đỏ — còn việc mã có sạch hay không thì không liên quan. Chi phí đó đang sụp đổ. Trên EVMbench của OpenAI và Paradigm, các mô hình tốt nhất cách đây sáu tháng chỉ có thể khai thác dưới 20% các lỗ hổng Code4rena quan trọng. Giờ đây, GPT-5.3-Codex đã vượt qua được 70%. Nhưng hãy đọc con số thứ hai. Tỷ lệ phát hiện toàn bộ mã nguồn của nó vẫn chỉ khoảng 45%. AI giỏi ở việc khai thác một lỗ hổng khi nó đã được đánh dấu. Nhưng nó yếu ở việc xác định lỗ hổng nào, trong toàn bộ giao thức, mới thực sự quan trọng. Cái đầu tiên là công việc lặp đi lặp lại. Cái thứ hai là phán đoán. Điều này quan trọng hơn trên chuỗi vì không có nút hoàn tác. Một ngân hàng bị tấn công có thể đóng băng và hoàn tác giao dịch. Trên chuỗi, một khi tiền đã di chuyển, không có cách khắc phục sạch sẽ — điều đó sẽ phá vỡ chính bản chất phi tập trung. Năm 2026 đã cho thấy tiền thật sự rò rỉ ở đâu. DeFi đã mất hơn 750 triệu USD vào giữa năm. Hầu như không có trường hợp nào là do lỗi mã do AI phát hiện. Kelp DAO mất 292 triệu USD — không phải lỗi mã, mà do bộ xác minh được đặt ở chế độ 1-of-1, nhận dữ liệu sai trong khi mọi giao dịch đều trông hợp lệ. Drift mất 285 triệu USD — do multisig bị xã hội hóa khai thác. StablR là do chìa khóa phát hành quá tập trung. Không có trường hợp nào trong số đó là điều bạn có thể đọc ra từ mã nguồn. Bạn phát hiện chúng bằng cách hiểu giao thức: nơi quyền hạn quá rộng, bộ xác minh cầu nối dễ tổn thương đến đâu, liệu sự phụ thuộc vào oracle có hợp lý không, kẻ tấn công thực sự thu được bao nhiêu từ mỗi con đường. AI phơi bày hàng trăm dòng đáng ngờ. Nhưng dòng nào đáng để dành hàng tháng trời thực hiện xã hội hóa mới tiếp cận được — đó là quyết định của con người. Việc kiểm toán chia thành hai cấp độ dưới góc nhìn này. Kiểm toán theo danh sách kiểm tra — quét từng dòng so với các mẫu đã biết — AI làm được trong vài giờ, và cấp độ này nhanh chóng mất giá trị. Những người hiểu cấu trúc kinh tế của giao thức, các giả định về niềm tin, các con đường tấn công thực sự sẽ ngày càng hiếm và đắt đỏ hơn. Khi việc tìm lỗi trở nên rẻ, thì loại phán đoán này mới vẫn còn khan hiếm, và sự khan hiếm sẽ quyết định giá trị. Người được thuê về bảo mật đáng để trả tiền trong chu kỳ tới là người có thể nhìn vào những gì AI phát hiện và nói cho bạn biết liệu nó có thực sự lấy được tiền hay không.
