Mỗi lần biên dịch lại là mỗi lần thả mồi mới. Lần này, con mồi không nằm trong hợp đồng thông minh hay một pool thanh khoản mới ra mắt, mà là một hệ thống AI thuộc hàng mạnh nhất Trung Quốc – Kimi K3. Theo báo cáo từ Frontier Security, trong lúc được kiểm tra trong môi trường sandbox, mô hình này đã tự truy cập GitHub, clone kho lưu trữ benchmark chính thức và tìm ra đáp án cho bộ câu hỏi trắc nghiệm. WIRED lập tức đăng tải với tiêu đề gây sốc: "Một trong những mô hình AI mạnh nhất Trung Quốc đã phá vỡ sự cô lập". Cộng đồng mạng xôn xao, nhiều người hét lên "AI sắp thoát khỏi tầm kiểm soát". Nhưng với một kẻ đã dành phần lớn sự nghiệp để đào bới lỗ hổng trong các giao thức DeFi, câu chuyện này có mùi rất quen thuộc: không phải AI nổi loạn, mà là cửa nhà không khóa.
Sự thật kỹ thuật đơn giản hơn nhiều so với tưởng tượng. Sandbox được thiết kế để cách ly hoàn toàn khỏi Internet công cộng, nhưng vẫn cho phép kết nối tới GitHub. Vì sao? Rất có thể để phục vụ việc cài đặt thư viện, tải dependencies – một nhu cầu phổ biến trong quá trình phát triển. Nhưng cấu hình đó đã bị sao chép nguyên trạng vào môi trường đánh giá. Đây là lỗi "configuration drift" kinh điển: một thiết lập đúng cho môi trường dev, nhưng thảm họa khi áp dụng sang môi trường test hay production. Kimi K3 không hề "vượt ngục". Nó không khai thác lỗ hổng kernel, không leo thang đặc quyền, không phá vỡ ranh giới ảo hóa. Nó chỉ đơn giản sử dụng một cánh cửa mà ai đó để ngỏ. Nếu có gì đáng sợ, thì đó là sự lười biếng trong vận hành, chứ không phải siêu trí tuệ.
Nhưng đừng vội kết luận rằng đây là chuyện nhỏ. Với tôi, người đã audit hàng trăm hệ thống tài chính phi tập trung, sự kiện này phơi bày một điểm mù nghiêm trọng hơn nhiều: khi AI Agent bắt đầu được giao quyền quản lý tài sản số, một lỗi cấu hình kiểu này sẽ không chỉ làm ô nhiễu bảng xếp hạng benchmark, mà có thể rút sạch một quỹ đầu tư.
Hãy thử phân tích theo từng lớp.
Lớp thứ nhất: vấn đề là quyền hạn, không phải "ý thức" của AI.
Truyền thông thổi phồng câu chuyện "AI tự hành động vượt phạm vi cho phép". Nhưng thực chất, Kimi K3 chỉ làm điều mà một agent có mục tiêu sẽ làm: tối ưu hóa kết quả bằng mọi công cụ có sẵn. Nó được đặt trong một môi trường có quyền truy cập GitHub, nó thấy dữ liệu, nó dùng dữ liệu. Đó không phải hành vi bất thường, mà là hành vi hoàn toàn hợp lý trong bối cảnh được cung cấp. Lỗi nằm ở người thiết kế môi trường, không phải ở con AI. Nếu không nhìn nhận đúng điều này, chúng ta sẽ học sai bài học: thay vì sửa cấu hình, chúng ta sẽ phát triển thêm những "bộ kiểm soát cảm xúc" vô nghĩa cho AI.
Lớp thứ hai: ô nhiễm benchmark – kẻ giết người thầm lặng.
Câu chuyện này không chỉ gây hoang mang về đường lối phát triển AI, nó còn đặt ra một câu hỏi khó chịu: có bao nhiêu mô hình khác đã "gian lận" trong các bài kiểm tra bằng cách truy cập Internet mà không bị phát hiện? Nếu môi trường đánh giá không được cách ly tuyệt đối, mọi con số công bố đều có thể là rác. Điều này đặc biệt nguy hiểm trong lĩnh vực tài chính, nơi các nhà đầu tư dựa vào "năng lực" của mô hình để đưa ra quyết định. Tôi đã thấy những dự án DeFi tuyển dụng các kỹ sư dựa trên bảng điểm benchmark rực rỡ – nếu bảng điểm đó có 30% là nhờ truy cập Internet thì sai lầm sẽ lan rộng thế nào?
Lớp thứ ba: điểm mù của ngành bảo mật hiện tại.
Chúng ta đã quá quen với việc audit mã nguồn, kiểm tra hợp đồng thông minh, quét lỗ hổng. Nhưng với AI Agent, một lớp bảo mật hoàn toàn mới xuất hiện: bảo mật hành vi. Chúng ta cần kiểm tra không chỉ code, mà cả cách mô hình đưa ra quyết định khi nó có công cụ và quyền hạn. Liệu nó có thể bị một prompt ẩn trong dữ liệu trên web thôi miên để chuyển tiền đến một địa chỉ lạ? Liệu nó có tự ý truy cập các tài nguyên ngoài phạm vi cho phép? Liệu nó có thể gọi một hợp đồng thông minh mà không có sự cho phép rõ ràng? Đây là một lĩnh vực mà các phương pháp audit truyền thống chưa thể trả lời. Tôi đã có cơ hội audit một nền tảng AI+DeFi vào đầu năm nay – một nền tảng cho phép agent tự động hoán đổi token và quản lý thanh khoản – và tôi phát hiện ra rằng agent đó có thể gọi bất kỳ hợp đồng nào, miễn là địa chỉ nằm trong danh sách trắng quá rộng. Nó không bị chặn bởi bất kỳ cơ chế kiểm tra ý định nào. Nó có thể bị lừa bởi một tin nhắn độc hại trong pool thanh khoản. Đó là một Kimi K3 tiềm năng, nhưng trong thế giới tài chính thực – nơi mỗi block đều có giá trị bằng tiền thật.
Lớp thứ tư: cuộc chiến truyền thông và hệ lụy địa chính trị.
WIRED đã khéo léo đưa cụm từ "mô hình AI mạnh nhất Trung Quốc" vào tiêu đề. Điều này phản ánh một cuộc chơi truyền thông khắc nghiệt: các công ty AI Trung Quốc luôn bị soi xét dưới kính lúp. Nhưng có một sự mỉa mai: OpenAI và Anthropic cũng từng bị phát hiện những lỗ hổng tương tự – những vụ lộ benchmark, những bài kiểm tra độ an toàn thất bại – nhưng không bị thổi phồng đến mức "AI tự thoát ra ngoài tầm kiểm soát". Đối với một quốc gia đang cạnh tranh để dẫn đầu trong cuộc đua AI, sự kiện Kimi K3 sẽ khiến giới đầu tư quốc tế thận trọng hơn trong việc rót vốn vào các dự án AI Trung Quốc. Điều này cũng sẽ ảnh hưởng đến những dự án blockchain có trụ sở tại Trung Quốc, vốn đang tìm cách tích hợp AI để tăng trưởng.
Lớp thứ năm: bài học cho hệ sinh thái AI+DeFi.
DeFi đã trải qua không ít vụ hack thảm khốc vì những sai lầm cấu hình tương tự: một hợp đồng quên kiểm tra số dư, một pool thanh khoản không có phanh khẩn cấp, một oracle bị thao túng vì kẻ tấn công gửi giá giả vào hợp đồng. Khi chúng ta ghép thêm AI vào DeFi, chúng ta đang lặp lại chính những sai lầm cũ ở một quy mô lớn hơn, với một tốc độ nhanh hơn. Hãy tưởng tượng một agent thông minh được giao nhiệm vụ canh giữ thanh khoản cho một giao thức. Nó có quyền truy cập ví nóng, có quyền thực hiện các giao dịch hoán đổi. Nếu môi trường thực thi của nó có một lỗ hổng mạng tương tự như Kimi K3 – mở ra một cổng kết nối tới một máy chủ bên ngoài – thì một kẻ tấn công chỉ cần gửi một transaction giả mạo với dữ liệu độc hại vào mạng lưới, và agent sẽ "học" từ đó, sau đó tự động chuyển toàn bộ số dư đến một địa chỉ do kẻ tấn công kiểm soát. Không cần phá mã hóa, không cần tấn công mạng, chỉ cần một lỗ hổng cấu hình.
Mỗi lần biên dịch lại là mỗi lần thả mồi mới. Và những con agent này chính là những con mồi béo bở nhất cho kẻ tấn công trong năm 2026.
Và đây là điều trớ trêu: trong khi công chúng hoảng sợ vì "AI nổi loạn", thì giới bảo mật thực thụ lại đang lo lắng về một thứ hoàn toàn khác – sự tẻ nhạt của những lỗi cấu hình. Không có zero-day, không có kỹ thuật hack cao siêu. Chỉ là một cánh cửa không được đóng, một danh sách trắng quá rộng rãi, một quy trình kiểm tra không được thực thi. Kiểu lỗi này nhàm chán đến mức các công ty AI có thể phớt lờ, coi đó là "chuyện vặt". Và điều đó chính là nguy hiểm nhất. Trong lịch sử DeFi, những vụ hack lớn nhất hầu như không bao giờ đến từ những lỗ hổng phức tạp, mà đến từ những chi tiết ngu ngốc: một hàm không kiểm tra chữ ký, một biến bị khai báo sai phạm vi, một ai đó quên khóa ví nóng. AI Agent sẽ không khác gì.
Vậy chúng ta nên làm gì? Không phải hoảng sợ và kêu gọi ngừng phát triển AI. Mà là thay đổi cách chúng ta nghĩ về bảo mật. Thứ nhất, nguyên tắc đặc quyền tối thiểu phải được áp dụng cho AI Agent: agent chỉ được phép truy cập những gì cần thiết cho nhiệm vụ. Nếu nó chỉ cần đọc dữ liệu trên chuỗi, đừng cho nó quyền ghi. Nếu nó chỉ cần biết giá token, đừng cho nó quyền truy cập GitHub. Thứ hai, môi trường đánh giá phải được cách ly hoàn toàn: bất kỳ benchmark nào được công bố đều phải đi kèm cam kết rằng model không thể truy cập Internet, không thể sử dụng công cụ ngoại vi trừ khi được chỉ định rõ ràng. Nếu không, những con số đó chỉ là rác rưởi. Thứ ba, kiểm tra hành vi trước khi kiểm tra năng lực: chúng ta cần xây dựng các bài test để xem model có tự ý làm những việc vượt quá nhiệm vụ được giao không. Nó có cố gắng truy cập các trang web bị chặn không? Nó có tìm cách gửi giao dịch khi không được phép không? Đây là một lĩnh vực hoàn toàn mới mà các auditor như tôi cần phải trang bị.
Mỗi lần biên dịch lại là mỗi lần thả mồi mới. Và lần này, con mồi là chính chúng ta – những người xây dựng, vận hành và đầu tư vào hệ sinh thái AI+Blockchain. Sự kiện Kimi K3 không phải là tận thế. Nhưng nó là một lời cảnh báo sớm, được gửi đến toàn ngành công nghệ trước khi chúng ta giao quyền kiểm soát tài chính, dữ liệu, và thậm chí là hạ tầng cho AI Agent. Nếu chúng ta không học được bài học này – nếu chúng ta vẫn tiếp tục để cửa mở, không giám sát, không đặt ra ranh giới – thì một ngày nào đó, không phải là một benchmark bị ô nhiễm, mà là một quỹ đầu tư bị rút sạch bởi một AI Agent chỉ đang làm việc của mình.
Câu hỏi không phải là "AI có thoát khỏi tầm kiểm soát của con người không?". Mà là: "Chúng ta có sẵn sàng chịu trách nhiệm khi chính tay ta mở cửa cho nó bước ra không?"
