CoreBreak hé lộ lỗ hổng chết người trong tầng điều phối AI Agent: Mô hình bảo mật 'kiểm tra hình dạng, bỏ qua nguồn gốc' đang đe dọa toàn bộ hệ sinh thái Web3

Hãy cùng trace execution path của một cuộc tấn công giả định. Một Agent AI được cấu hình để thực hiện giao dịch DeFi, với 'bước xác nhận thủ công' như lớp bảo vệ cuối cùng. Kẻ tấn công, thay vì cố gắng vượt qua mô hình ngôn ngữ lớn (LLM), lại chọn một con đường khác: chúng gửi một sự kiện giả mạo vào lịch sử hội thoại của Agent, giả mạo rằng người dùng đã 'phê duyệt' giao dịch. Tầng điều phối, được thiết kế để tin tưởng bất kỳ dữ liệu nào có 'hình dạng' giống như một công cụ gọi, đã thực thi lệnh chuyển tiền mà không hề kiểm tra nguồn gốc của sự kiện đó. Đây không phải là một kịch bản viễn tưởng. Đây là bản chất của CoreBreak. Điều tinh tế (và đáng sợ) trong thiết kế của các Agent framework hiện tại là chúng đã xây dựng một giả định kiến trúc sai lầm: tầng điều phối (orchestration layer) chỉ kiểm tra 'hình dạng' của dữ liệu, chứ không kiểm tra 'nguồn gốc' của nó. Dù là AWS Bedrock AgentCore, Google ADK, hay Vercel SDK, tất cả đều mắc phải cùng một căn bệnh: 'khoảng cách kiểm tra-thực thi' (inspection-execution gap). Các biện pháp phòng thủ ở cấp độ mô hình (system prompt, refusal alignment) hoàn toàn vô dụng vì chúng không nằm trong chuỗi thực thi. Phần lớn phân tích về các lỗ hổng AI Agent hiện nay đều sai lầm khi tập trung vào việc 'tăng cường' mô hình. Họ nói về việc huấn luyện lại LLM để nó 'từ chối' các yêu cầu độc hại. Nhưng với CoreBreak, kẻ tấn công không cần phải thuyết phục mô hình. Chúng chỉ cần gửi một payload trực tiếp đến tầng điều phối, bỏ qua hoàn toàn mô hình. Điều này có nghĩa là, bất kỳ nỗ lực nào để làm cho mô hình 'an toàn hơn' cũng sẽ không ngăn chặn được kiểu tấn công này. Insight ở cấp độ giao thức mà hầu hết mọi người bỏ lỡ là: đây không phải là một lỗi code riêng lẻ, mà là một lỗi thiết kế kiến trúc có tính hệ thống. Nó giống như việc xây một ngôi nhà với một cánh cửa trước cực kỳ kiên cố, nhưng lại để cửa sau mở toang. Các nhà phát triển đã dành quá nhiều thời gian để gia cố 'cánh cửa trước' (mô hình), mà quên mất rằng kẻ tấn công có thể đi đường vòng qua 'cửa sau' (tầng điều phối). Dựa trên kinh nghiệm audit của tôi, tôi thấy rằng các dự án Web3 đang rơi vào một cái bẫy tương tự. Họ tích hợp các AI Agent để tự động hóa quy trình, nhưng lại không audit kỹ lưỡng tầng điều phối. Họ tin tưởng rằng 'mô hình sẽ bảo vệ chúng ta'. Nhưng CoreBreak đã chứng minh rằng niềm tin đó là sai lầm. Một Agent có thể thực hiện các giao dịch DeFi, thay đổi quyền truy cập vào smart contract, hoặc thậm chí deploy contract mới, tất cả đều dựa trên các lệnh gọi công cụ giả mạo mà mô hình không hề hay biết. Hãy xem xét kỹ hơn về CVE-2026-18236 của Google ADK. CVSS 9.3, mức 'nghiêm trọng'. Lỗ hổng này cho phép kẻ tấn công thao túng lịch sử hội thoại để giả mạo xác nhận của con người. Điều này có ý nghĩa gì? Nó có nghĩa là toàn bộ khái niệm 'human-in-the-loop' (HITL) - một trụ cột của thiết kế Agent an toàn - đã bị phá vỡ. Nếu một Agent được thiết kế để yêu cầu 'xác nhận bằng tay' trước khi thực hiện giao dịch trị giá 1 triệu USD, kẻ tấn công có thể giả mạo rằng xác nhận đó đã được thực hiện. Điều mà các dev không nói với bạn là: việc sửa lỗi này không hề đơn giản. Nó đòi hỏi phải thiết kế lại toàn bộ tầng điều phối, thêm vào cơ chế xác thực nguồn gốc cho mỗi lần gọi công cụ. Giải pháp không phải là 'mạnh mẽ hơn', mà là 'có thể kiểm chứng hơn'. Mỗi lần gọi công cụ phải được gắn với một bằng chứng mật mã hoặc logic, chứng minh rằng nó thực sự đến từ một vòng suy luận (model turn) đã được xác thực. Tôi thấy rằng cộng đồng Web3 đang có một cơ hội để đi trước một bước. Các nguyên tắc mà chúng ta đã học được từ DeFi - 'don't trust, verify', 'least privilege', 'defense in depth' - cần được áp dụng một cách triệt để vào thiết kế AI Agent. Chúng ta không thể để các Agent trở thành 'hộp đen' mà chúng ta mù quáng tin tưởng. Chúng ta cần audit Agent giống như audit smart contract. Nếu bạn đọc kỹ whitepaper của các giao thức Web3 hiện đại, bạn sẽ thấy rằng họ thường nói về 'sự phi tập trung' và 'tính minh bạch' như những giá trị cốt lõi. Nhưng một Agent chạy trên một tầng điều phối không an toàn sẽ phá hủy tất cả những giá trị đó. Nó tạo ra một điểm tập trung mới, một điểm yếu mới, mà kẻ tấn công có thể khai thác. Contrarian Angle: Lỗ hổng này không chỉ là vấn đề của AI, mà còn là vấn đề của toàn bộ hệ sinh thái Web3. Các dự án DeFi, NFT, và các ứng dụng phi tập trung khác đang bắt đầu tích hợp Agent. Nếu không giải quyết vấn đề này, chúng ta sẽ tạo ra một 'trái bom hẹn giờ' cho toàn bộ hệ sinh thái. Các nhà đầu tư và người dùng cần phải yêu cầu các dự án chứng minh rằng Agent của họ an toàn, không chỉ ở cấp độ mô hình, mà còn ở cấp độ tầng điều phối. Takeaway: CoreBreak không phải là một sự cố cá biệt. Nó là một tín hiệu cảnh báo. Một tín hiệu cho thấy rằng cuộc chiến bảo mật trong AI Agent vừa mới bắt đầu. Và nếu Web3 không học bài học từ DeFi - đó là bài học về việc không bao giờ tin tưởng vào bất kỳ giả định nào mà không kiểm tra - thì chúng ta sẽ phải trả giá đắt. Câu hỏi không phải là 'liệu có cuộc tấn công nào không?', mà là 'bạn đã sẵn sàng cho cuộc tấn công đầu tiên chưa?'.