Khi AI trở thành vũ khí rẻ: Bài học từ WASP-OS cho hạ tầng blockchain

Vào tháng 8 năm 2025, Black Hat trở thành nơi trình diễn một thứ không giống bản vá, mà giống một tuyên ngôn: WASP-OS, một mô hình ngôn ngữ 30B tham số, đạt tỷ lệ khai thác thành công 56% với chi phí thấp hơn GPT-4o từ 70 đến 125 lần. Đây không phải một mẫu quảng cáo. Đây là một lời tuyên bố rằng chi phí biên của chiến tranh số đang tiến về con số không. Với những ai đã chứng kiến DeFi Summer 2020, cảnh tượng này có một sự quen thuộc đến rợn người: nguồn lực lớn, niềm tin mù quáng, và một vũ khí rẻ tiền đang chờ được sử dụng. Bối cảnh cho sự xuất hiện của WASP-OS là một chiến trường đã có sẵn. ShadowRay 2.0 đã biến 230.000 máy chủ Ray lộ ra ngoài thành botnet phục vụ đào coin, đánh cắp dữ liệu, DDoS. Chúng không thuộc về một tổ chức duy nhất — chúng nằm rải rác giữa các công ty AI non trẻ, phòng thí nghiệm nghiên cứu, doanh nghiệp không có đội ngũ bảo mật riêng. Trong lúc đó, Roblox trình bày kiến trúc "Caging the Agent": cô lập file hệ thống, thực thi chính sách mạng, tách biệt credential, đặt model gateway, cắt VPN vào production. Về bản chất, đây là một chiến lược phòng thủ được lắp ráp từ các kỹ thuật đã có hai thập kỷ — nhưng nó hiếm hoi đến mức được gọi là điển hình. Xa hơn, Check Point cho thấy Cloudflare CodeMode/Workers có thể bị tấn công bằng prompt injection, khiến model tự sinh mã độc và vượt qua sandbox. Unit 42 ghi nhận DeepSeek — một mô hình mã nguồn mở không có lớp kiểm soát an toàn — trở thành mục tiêu vì sự dễ khai thác của chính nó. Điều khiến tôi quan tâm không phải là từng kỹ thuật, mà là sự thay đổi trong cấu trúc chi phí. WASP-OS không thông minh hơn GPT-4o. Nó đủ thông minh cho một nhiệm vụ hẹp: khai thác lỗ hổng. 56% tỷ lệ thành công, chi phí rẻ hơn 70-125 lần, tạo ra một nền kinh tế tấn công mới. Trước đây, khai thác an ninh là một ngành thủ công, đắt đỏ, đòi hỏi chuyên gia. Bây giờ nó trở thành một bài toán tối ưu hóa có thể chạy song song với chi phí gần như bằng không. Trong DeFi, kẻ tấn công phải hiểu logic tài chính. Còn với tác tử AI, kẻ tấn công chỉ cần một prompt tốt. Đó là lý do những cuộc tấn công vào mô hình ngôn ngữ không thể được vá bằng các bản vá mã nguồn — lỗ hổng nằm trong không gian ngữ nghĩa, nơi ý định bị bóp méo qua nhiều lớp ngôn ngữ. Cái giá của mỗi lớp trừu tượng là một lớp bề mặt tấn công mới. Câu này tôi viết sau khi dành hai tháng xây dựng mô hình dự đoán tổn thất thanh khoản trên Uniswap v2 — tôi phát hiện rằng hầu hết các giao thức chết không vì thiếu tính năng, mà vì một hợp đồng thông minh không được kiểm toán kỹ, một hàm không kiểm tra quyền. Ray cũng vậy: framework tin rằng mạng nội bộ là đáng tin cậy, giống như các hợp đồng thông minh từng tin rằng caller là "người dùng". Cả hai đều sai, và cả hai đều phải trả giá. Phòng thủ hiện tại đang rơi vào một nghịch lý. Roblox "cage" tác tử của họ — giới hạn tuyệt đối những gì nó có thể chạm tới. Nhưng caging có nghĩa là giảm năng lực. Bạn cô lập tác tử khỏi production, nó trở thành một trợ lý vô dụng. Bạn cấp cho nó quyền truy cập, nó trở thành một con ngựa thành Troy. Đây là lý do MCP security — một loạt startup mọc lên trong 48 giờ sau hội nghị — về cơ bản đang bán bảo hiểm cho một nghịch lý kiến trúc. Model Context Protocol trở thành tiêu chuẩn giao tiếp giữa agent và công cụ, nhưng không có cơ chế xác thực mạnh, không kiểm soát luồng dữ liệu theo ý định. Những startup này giống những công ty bán máy dò kim loại cho hành khách đi máy bay — trong khi kẻ khủng bố đã mua vé hạng thương gia. Tôi đã từng theo dõi dòng vốn stablecoin để nhận diện đáy của bear market 2022. Khi tổng cung USDT và USDC giảm 30% so với đỉnh tháng 5, tôi biết thị trường đang thanh lý mạnh. Bây giờ, tôi theo dõi một loại "dòng vốn" khác: dòng lệnh độc hại, số lượng bằng chứng tấn công, mức độ tập trung của hạ tầng. Với 230.000 máy chủ Ray bị lộ, "tổng cung" của lỗ hổng là rất lớn. Với WASP-OS, "chi phí khai thác" gần bằng không. Khi bạn kết hợp hai yếu tố này, thị trường không cần một tin xấu để sụp đổ — nó chỉ cần một tác tử AI bị chiếm quyền trong một hệ thống tài chính. Hãy tưởng tượng một agent quản lý thanh khoản trên một giao thức DeFi được cấp quyền triệu hồi stablecoin, và một prompt ẩn bên trong một email bảo mật khiến nó chuyển toàn bộ dự trữ sang một ví lạ. Không có hack ở lớp contract. Không có exploit ở lớp máy chủ. Chỉ có một lời nói dối được đóng gói thành văn bản hợp lệ. Đó là loại tấn công mà không một bản kiểm toán smart contract nào có thể phát hiện. Tôi nhớ lại một phân tích năm 2021 về NFT blue-chip, nơi tôi đối chiếu giá CryptoPunks với M2 toàn cầu và tìm thấy beta 1.5 — tài sản kỹ thuật số phóng đại mọi biến động của thanh khoản. Các tác tử AI cũng vậy: chúng khuếch đại năng lực, nhưng cũng khuếch đại rủi ro. Nếu một giao thức có thể kiểm soát rủi ro tài chính bằng cách kiểm toán dòng tiền, thì nó phải kiểm soát rủi ro AI bằng cách kiểm toán quyền của tác tử — và hầu như không ai làm điều đó. Góc nhìn phản trực giác ở đây là: sự an toàn tuyệt đối không bao giờ là mục tiêu của thị trường. Ngành bảo mật kiếm tiền từ sự sợ hãi, và sự sợ hãi được duy trì bởi các cuộc tấn công. NVIDIA phát hành WASP-OS — một mô hình tấn công rẻ và hiệu quả — trong khi chính NVIDIA là công ty bán GPU cần thiết để chạy nó. WASP-OS là cỗ máy thời gian của ngành an ninh mạng, nhưng nó cũng là một công cụ bán phần cứng rất khéo léo. Họ vừa là người bán súng, vừa bán đạn, lại vừa tổ chức cuộc chiến. Điều này không nhất thiết là một âm mưu, nhưng đó là một incentive structure không thể bỏ qua. Trong khi đó, các câu chuyện về "omnichain" hay "cross-chain security" do VC sản xuất khiến chúng ta tin rằng vấn đề là sự tương tác giữa các chuỗi. Thực tế, mối đe dọa lớn nhất đến từ một nơi đơn giản hơn: một tác tử AI được cấp quá nhiều quyền và một prompt được viết quá khéo léo. Kẻ tấn công không cần cầu nối giữa các chuỗi; họ cần cầu nối giữa lời nói và hành động — và tác tử AI chính là cây cầu đó. Khi mọi thứ trên internet trở thành một tác tử — có quyền, có công cụ, có khả năng hành động — định nghĩa của quyền lực thay đổi. Quyền lực không còn là việc bạn có thể làm gì, mà là việc bạn không thể bị bắt làm gì. Trong thị trường giảm này, các giao thức nên tự hỏi: "Nếu tác tử AI của tôi bị chiếm, thiệt hại tối thiểu là gì?" Hạ tầng AI an toàn không phải là một tính năng. Nó là điều kiện để tồn tại. Những kẻ tấn công không bao giờ đổi mới — chúng chỉ chờ các nhà phát triển đổi mới. Câu hỏi duy nhất còn lại: bạn muốn xây bức tường trước, hay sửa lại nền móng sau khi nó sụp? Lịch sử của DeFi đã trả lời một cách tàn khốc. Ngành blockchain đang chứng kiến cùng một vở kịch, với một dàn diễn viên mới — và một kịch bản cũ. Và cây cầu đó cần được xây bằng những vật liệu chưa từng tồn tại: sự khiêm tốn về quyền hạn.