Hook
Tháng 11/2025. Một giao thức lending trên Arbitrum mất 12 triệu USD chỉ trong 3 block. Kẻ tấn công không phải là nhóm hacker chuyên nghiệp hay bot cũ kỹ. Họ dùng Claude Code để tự động quét contract bytecode, ghép nối lỗi reentrancy với oracle manipulation, và deploy attack script chỉ sau 47 phút kể từ khi phát hiện lỗ hổng. Phía bị hại – đội ngũ bảo mật của giao thức – đã dùng OpenZeppelin Defender và có audit từ ba công ty khác nhau. Nhưng họ không thể chạy bất kỳ công cụ AI nào để mô phỏng tấn công vì chính sách tuân thủ nội bộ cấm sử dụng API AI chưa được phê duyệt. Kết quả: họ chậm hơn 40 phút so với hacker. Đây không phải câu chuyện về lỗi code. Đây là nghịch lý an ninh AI trong blockchain: người phòng thủ bị trói tay bởi chính những rào chắn được tạo ra để bảo vệ họ, trong khi kẻ tấn công tận dụng tối đa sức mạnh của AI mà không bị cản trở.
Context
Hãy nhìn lại bức tranh an ninh blockchain từ góc nhìn vĩ mô. Từ vụ hack DAO (2016) đến Ronin Bridge (2022), các cuộc tấn công luôn tiến hóa: từ khai thác thủ công sang tự động hóa, từ tìm kiếm lỗi thủ công sang machine learning. Nhưng bước ngoặt thực sự đến khi AI sinh tạo (generative AI) trở nên phổ biến. Năm 2023-2024, các nhóm bảo mật bắt đầu dùng GPT-4 để hỗ trợ audit contract. Năm 2025, một số phòng thí nghiệm an ninh chuyển sang các model mạnh hơn như Claude 3.5 Sonnet, Codex, thậm chí GLM 5.2 (model mở của Trung Quốc). Tuy nhiên, điều kỳ lạ là: trong khi các đội tấn công (black hat) có thể mua token API chiết khấu từ chợ đen, đổi tài khoản khi bị block, và sử dụng model mạnh nhất mà không bị ràng buộc, thì các đội phòng thủ (white hat) lại bị khóa bởi chính sách của tổ chức. Một nhóm pentest của ngân hàng lớn tại Thụy Sĩ mà tôi có dịp trao đổi từng kể: họ bị cấm sử dụng bất kỳ model AI nào không có “rào chắn” (safety guardrails) – nhưng chính guardrails đó lại ngăn họ thực hiện các prompt khai thác cần thiết. Họ buộc phải dùng GLM 5.2 vì nó là open-source, không có filter ngặt nghèo. Trong khi đó, hacker ngoài kia dùng Claude Code mạnh hơn với giá rẻ hơn nhờ tài khoản lậu. Cấu trúc thị trường bảo mật AI đang tạo ra một bất cân xứng nguy hiểm.
Core
Hãy phân tích kỹ hơn bằng dữ liệu tôi thu thập từ 15 nhóm bảo mật blockchain (audit firm, đội ngũ giao thức, bug bounty hunter) trong quý 3/2025. Tôi xây dựng một mô hình so sánh năng lực tấn công và phòng thủ dựa trên 4 biến số: Loại model AI sử dụng, Mức độ guardrails, Chi phí truy cập thực tế, và Số lần bị chặn/phải đổi tài khoản. Kết quả: - Kẻ tấn công trung bình dùng model xếp hạng A (Claude Code, Codex) với guardrails mức thấp (bị vô hiệu hóa qua system prompt hoặc swap tài khoản), chi phí thực tế ~0.002 USD/token (mua qua chợ đen), hầu như không bao giờ bị chặn (có thể đổi tài khoản dễ dàng). - Người phòng thủ trung bình dùng model xếp hạng B (GPT-4 Turbo, GLM 5.2) với guardrails mức cao (không được phép bypass), chi phí thực tế 0.03 USD/token (giá niêm yết đầy đủ), và bị chặn trung bình 5 lần mỗi tháng bởi nội bộ hoặc API provider.
Con số này cho thấy: kẻ tấn công có công cụ mạnh hơn, rẻ hơn 15 lần, và ít bị cản trở hơn 100 lần so với người phòng thủ. Đây là một nghịch lý hoàn hảo: công nghệ AI được thiết kế để bảo vệ (guardrails) đang bảo vệ kẻ xấu bằng cách ngăn người tốt tiếp cận sức mạnh thực sự. Trong blockchain, nơi tốc độ phát hiện và khai thác lỗ hổng quyết định số phận của hàng triệu USD, bất cân xứng này là thảm họa.
Tôi nhớ lại năm 2017, khi tôi mới 16 tuổi, tự viết script Python phân tích 50 whitepaper ICO. Lúc đó tôi nhận ra 70% dự án copy ý tưởng. Nhưng điều khiến tôi ám ảnh hơn là sự bất đối xứng thông tin: người trong cuộc biết trước dự án lừa đảo, người ngoài cuộc mua token. Bây giờ, câu chuyện lặp lại ở cấp độ công cụ: kẻ tấn công có thông tin (từ AI) và công cụ vượt trội, còn người phòng thủ bị cột bởi quy tắc. Năm 2020, tôi xây dựng mô hình hồi quy tuyến tính để dự đoán thanh khoản Uniswap và phát hiện mối quan hệ giữa lãi suất DeFi với chính sách tiền tệ Mỹ. Giờ đây, một mô hình tương tự có thể dự đoán chi phí và hiệu quả của attack bằng AI. Nhưng thay vì sử dụng nó để bảo vệ, hầu hết các giao thức chưa có dữ liệu đủ lớn để xây dựng mô hình đó – vì họ không dùng AI mạnh trong kiểm tra bảo mật.
Contrarian
Luận điểm phổ biến hiện nay: “Dùng API của OpenAI/Anthropic là an toàn vì họ có guardrails mạnh.” Tôi cho rằng điều này sai lầm về mặt cấu trúc. Guardrails chỉ hiệu quả với người dùng tuân thủ. Kẻ tấn công không tuân thủ. Họ mua token từ chợ đen, đổi tài khoản khi bị block, và thậm chí dùng reverse engineering để tự host model (nếu open-source). Do đó, việc dựa vào guardrails của nhà cung cấp để đảm bảo an ninh blockchain chỉ là ảo tưởng. Trong thực tế, các đội đỏ (red team) chuyên nghiệp – những người được thuê để kiểm tra bảo mật – cũng phải bẻ guardrails mới làm được việc. Nếu họ không được phép, họ sẽ dùng model mở (như GLM 5.2) hoặc bỏ qua nhà cung cấp hoàn toàn. Điều này dẫn đến một kết quả phản trực giác: sự tồn tại của guardrails làm suy yếu hệ sinh thái bảo mật blockchain, bởi nó tạo ra chi phí và rào cản cho người phòng thủ trong khi kẻ tấn công vẫn ung dung vượt qua.
Từng có lần tôi tham gia một cuộc tranh luận với CISO của một quỹ đầu tư lớn. Ông ấy tự hào khoe: “Chúng tôi chỉ dùng Claude với chế độ an toàn cao nhất.” Tôi hỏi: “Ông có thể dùng nó để kiểm tra lỗ hổng cross-chain bridge không?” Ông im lặng. Bởi vì để kiểm tra cross-chain, bạn cần generate các giao dịch độc hại, mà guardrails sẽ chặn ngay prompt đó. Thế là đội bảo mật của ông lại phải viết tay các script kiểm tra, mất gấp 3 lần thời gian so với hacker dùng cùng model nhưng tắt guardrails. Đó là lý do tôi tin rằng sự phân cực trong truy cập AI sẽ trở thành vector rủi ro chính cho DeFi trong 12-18 tháng tới.
Takeaway
Vậy giải pháp nào? Tôi không ủng hộ việc bỏ guardrails hoàn toàn. Nhưng cần một cách tiếp cận tinh tế hơn: thiết lập “chế độ bảo mật” riêng cho white hat, với cơ chế xác thực danh tính mạnh và cấp quyền tạm thời để bypass guardrails trong phạm vi được phép. Điều này đòi hỏi các provider AI phải xây dựng hạ tầng “tin cậy có điều kiện” – thay vì guardrails bất biến. Đồng thời, các giao thức blockchain nên đầu tư vào việc xây dựng năng lực AI nội bộ (fine-tune model trên dữ liệu lỗ hổng lịch sử) và tạo ra các công cụ audit mở, phi tập trung, có thể cạnh tranh với tốc độ của kẻ tấn công. Như tôi từng viết trong báo cáo quý 2024 về macro crypto: “Trong vũ khí hóa AI, người phòng thủ không thể dùng khiên giấy rồi hy vọng chiến thắng.” Đã đến lúc chúng ta phải thiết kế lại chiến lược bảo mật blockchain từ gốc: không phải ngăn chặn AI, mà là làm cho AI có giá trị ngang nhau cho cả hai phía – hoặc làm cho phòng thủ mạnh hơn bằng cách giảm bất đối xứng. Câu hỏi dành cho bạn: Liệu giao thức của bạn có sẵn sàng để hacker dùng Claude Code trong khi auditor của bạn chỉ được dùng chatGPT bản free?