Tiêu đề Bản gốc: "Báo Cáo An Ninh SlowMist × Bitget AI: Việc Giao Tiền cho AI Agent như 'Tôm Hùm' Có Thực Sự An Toàn không?"

Nguồn Bản gốc: Công nghệ SlowMist

I. Nền tảng

Với sự phát triển nhanh chóng của công nghệ mô hình lớn, AI Agent đang dần chuyển từ trợ lý thông minh đơn giản thành hệ thống tự động có khả năng thực hiện các nhiệm vụ một cách tự động.

Trong hệ sinh thái Web3, sự thay đổi này trở nên rõ ràng hơn bao giờ hết. Ngày càng nhiều người dùng bắt đầu thử nghiệm việc cho phép AI Agent tham gia phân tích thị trường, tạo ra chiến lược và tự động giao dịch, biến hình thành "trợ lý giao dịch hoạt động 24/7" từ khái niệm thành hiện thực. Với việc Binance và OKX ra mắt nhiều Kỹ năng AI, Bitget ra mắt Trung tâm Kỹ năng Agent Hub và GetClaw tôm hùm không cần cài đặt, Agent có thể trực tiếp kết nối với API của nền tảng giao dịch, dữ liệu trên chuỗi và công cụ phân tích thị trường, từ đó đảm nhận một phần công việc ra quyết định và thực thi giao dịch mà trước đây cần phải thực hiện bằng tay.

So với các kịch bản tự động truyền thống, AI Agent có khả năng ra quyết định tự chủ mạnh mẽ hơn và có khả năng tương tác hệ thống phức tạp hơn. Chúng có thể truy cập dữ liệu thị trường, gọi API giao dịch, quản lý tài sản trên tài khoản, thậm chí mở rộng chức năng hệ sinh thái thông qua plugin hoặc Kỹ năng. Sự nâng cấp này đã giảm thiểu đáng kể ngưỡng điều chỉnh giao dịch tự động và đưa thêm người dùng thông thường bắt đầu tiếp cận và sử dụng các công cụ giao dịch tự động.

Tuy nhiên, việc mở rộng khả năng cũng đồng nghĩa với việc mở rộng mặt tấn công.

Trong các kịch bản giao dịch truyền thống, rủi ro an ninh thường tập trung vào vấn đề thông tin xác thực tài khoản, rò rỉ Khóa API hoặc cuộc tấn công lừa đảo. Trong kiến trúc AI Agent, các rủi ro mới đang xuất hiện. Ví dụ, Tiêm từ chú thích (Prompt Injection) có thể ảnh hưởng đến logic quyết định của Agent, các plugin hoặc Kỹ năng độc hại có thể trở thành cửa ngõ tấn công chuỗi cung ứng mới, cấu hình môi trường chạy không đúng cũng có thể dẫn đến lạm dụng dữ liệu nhạy cảm hoặc quyền API. Một khi những vấn đề này kết hợp với hệ thống giao dịch tự động, ảnh hưởng tiềm tàng có thể không chỉ là rò rỉ thông tin, mà còn có thể trực tiếp dẫn đến mất mát tài sản thực sự.

Đồng thời, với ngày càng nhiều người dùng bắt đầu kết nối AI Agent với tài khoản giao dịch, kẻ tấn công cũng đang nhanh chóng thích nghi với sự thay đổi này. Các mô hình lừa đảo mới dành cho người dùng Agent, đầu đọc plugin độc hại và lạm dụng Khóa API đã trở thành vấn đề an ninh mới ngày càng phát triển. Trong tình huống Web3, hoạt động tài sản thường có giá trị cao và không thể đảo ngược, một khi hệ thống tự động bị lạm dụng hoặc lừa dối, rủi ro có thể được phóng đại thêm.

Dựa trên cơ sở này, SlowMist phối hợp với Bitget để viết báo cáo này, từ hai góc nhìn là nghiên cứu an ninh và thực tiễn trên nền tảng giao dịch, để phân tích hệ thống an ninh của AI Agent trong nhiều tình huống.

Hy vọng báo cáo này có thể cung cấp một số hướng dẫn an ninh cho người dùng, nhà phát triển và nền tảng, giúp thúc đẩy sự phát triển chắc chắn hơn của hệ sinh thái AI Agent giữa an ninh và sáng tạo.

II. Mối Đe Dọa An Ninh Thực sự của AI Agent | SlowMist

Sự xuất hiện của AI Agent đã giúp hệ thống phần mềm chuyển từ "điều khiển bởi con người" sang "tham gia quyết định và thực thi của mô hình". Thay đổi kiến trúc này đã tăng đáng kể khả năng tự động hóa, nhưng cũng đã mở rộng phạm vi tấn công.

Hiện nay, từ cấu trúc công nghệ hiện tại, một hệ thống AI Agent điển hình thường bao gồm lớp tương tác người dùng, lớp logic ứng dụng, lớp mô hình, lớp gọi công cụ (Công cụ/Kỹ năng), hệ thống nhớ (Bộ nhớ) và môi trường thực thi ở cấp độ thấp hơn.

Thường xuyên, kẻ tấn công không chỉ nhắm vào một mô-đun đơn lẻ, mà thử nghiệm qua nhiều lớp để từ từ ảnh hưởng đến quyền kiểm soát hành vi của Agent.

1. Tấn Công Điều Khiển Đầu Vào và Tiêm Mã Gợi Ý

Trong kiến trúc AI Agent, đầu vào người dùng và dữ liệu bên ngoài thường được trực tiếp tích hợp vào ngữ cảnh mô hình, điều này đã làm cho Tiêm mã gợi ý (Prompt Injection) trở thành một cách tấn công quan trọng. Kẻ tấn công có thể thông qua việc tạo ra hướng dẫn cụ thể, dụ dỗ Agent thực thi các hành động ban đầu không kích hoạt.

Ví dụ, trong một số trường hợp, chỉ cần thông qua hướng dẫn trò chuyện, kẻ tấn công có thể dụ dỗ Agent tạo và thực thi lệnh hệ thống có nguy cơ cao.

Cách tấn công phức tạp hơn là tiêm mã gián tiếp, có nghĩa là kẻ tấn công ẩn mã độc hại trong nội dung trang web, hướng dẫn tài liệu hoặc chú thích mã. Khi Agent đọc nội dung này trong quá trình thực hiện nhiệm vụ, nó có thể nhầm lẫn với lệnh hợp pháp.

Ví dụ, nhúng lệnh độc hại trong tài liệu plugin, tệp README hoặc tệp Markdown có thể dẫn đến việc Agent thực thi mã tấn công trong quá trình khởi tạo môi trường hoặc cài đặt phụ thuộc.

Đặc điểm của mẫu tấn công này là, thường không dựa vào lỗ hổng truyền thống, mà sử dụng cơ chế tin cậy của mô hình đối với thông tin ngữ cảnh để ảnh hưởng đến logic hành vi của nó.

2. Kỹ Năng / Độc hại Hệ sinh thái Plugin

Trong hệ sinh thái AI Agent hiện tại, Plugin và hệ thống kỹ năng (Kỹ năng / MCP / Công cụ) là cách quan trọng để mở rộng khả năng của Agent. Tuy nhiên, hệ sinh thái Plugin này cũng đang trở thành một cửa vào tấn công chuỗi cung ứng mới.

SlowMist trong quá trình giám sát trung tâm Plugin chính thức của OpenClaw, ClawHub, phát hiện rằng khi số lượng nhà phát triển tăng lên, một số Kỹ năng độc hại đã bắt đầu xâm nhập vào đó. Sau khi SlowMist phân tích tổng hợp cho hơn 400 IOC của Kỹ năng độc hại, họ phát hiện rằng một lượng lớn mẫu chỉ đến một số tên miền cố định hoặc nhiều đường dẫn ngẫu nhiên dưới cùng một IP, thể hiện rõ các đặc điểm tái sử dụng tài nguyên, điều này càng giống như hành vi tấn công hiện đại và theo nhóm.

Trong hệ thống kỹ năng của OpenClaw, tệp lõi thường là SKILL.md.

Khác với mã nguồn truyền thống, các tệp Markdown này thường đảm nhận vai trò "Hướng dẫn cài đặt" và "Điểm khởi đầu," tuy nhiên, trong hệ sinh thái Agent, chúng thường được người dùng sao chép và thực thi trực tiếp, tạo ra một chuỗi thực thi đầy đủ. Kẻ tấn công chỉ cần làm giả lệnh độc hại thành bước cài đặt phụ thuộc, ví dụ sử dụng curl | bash hoặc mã hóa Base64 để ẩn lệnh thực sự, có thể dẫn dụ người dùng thực thi kịch bản độc hại.

Trong các mẫu thực tế, một số Kỹ năng sử dụng chiến lược "Tải hai giai đoạn" điển hình:

· Tập lệnh giai đoạn một chỉ chịu trách nhiệm tải và thực thi

· Giai đoạn Hai: Payload, từ đó giảm tỷ lệ thành công của kiểm tra tĩnh.

Ví dụ với một Kỹ năng "Xu hướng X (Twitter)" có lượt tải cao, SKILL.md của nó đã ẩn mã lệnh Base64.

Sau khi giải mã, ta thấy bản chất của nó là tải xuống và thực thi kịch bản từ xa:

Và chương trình giai đoạn Hai sẽ làm giả cửa sổ hệ thống để lấy mật khẩu của người dùng, và ở thư mục tạm thời hệ thống, thu thập thông tin máy tính cục bộ, tài liệu trên desktop cũng như các tệp trong thư mục tải xuống, sau đó đóng gói và tải lên máy chủ mà kẻ tấn công điều khiển.

Ưu điểm cốt lõi của phương thức tấn công này là, Bản vỏ Skill có thể duy trì ổn định tương đối, trong khi kẻ tấn công chỉ cần thay đổi Payload từ xa để liên tục cập nhật logic tấn công.

3. Rủi ro ở Tầng Quyết định và Sắp xếp Nhiệm vụ của Agent

Trong lớp logic ứng dụng AI Agent, nhiệm vụ thường được mô hình phân rã thành nhiều bước thực thi.

Nếu kẻ tấn công có thể ảnh hưởng đến quá trình phân rã này, có thể dẫn đến Agent thực hiện hành vi bất thường khi thực hiện nhiệm vụ hợp lệ.

Ví dụ, trong quy trình kinh doanh liên quan đến các hoạt động từ nhiều bước (như triển khai tự động hoặc giao dịch trên chuỗi khối), kẻ tấn công có thể thông qua việc sửa đổi các tham số quan trọng hoặc can thiệp vào quyết định logic, làm cho Agent thay đổi địa chỉ mục tiêu trong quá trình thực thi hoặc thực hiện thêm các hoạt động.

Trong một trường hợp kiểm định bảo mật trước đó của SlowMist, đã từng thông qua việc trả về từ khóa hỏi ý độc hại cho MCP, từ đó dẫn dụ Agent gọi plugin ví để thực hiện chuyển tiền trên chuỗi khối.

Đặc điểm của loại tấn công này là, sự cố không phải từ mã được tạo bởi mô hình, mà từ quá trình sắp xếp nhiệm vụ bị can thiệp.

4. Rò rỉ Thông tin Nhạy cảm trong Môi trường IDE / CLI

Sau khi AI Agent được sử dụng rộng rãi cho việc hỗ trợ phát triển và tự động hóa vận hành, nhiều Agent bắt đầu chạy trong môi trường IDE, CLI hoặc môi trường phát triển cục bộ.

Môi trường này thường chứa nhiều thông tin nhạy cảm, chẳng hạn như tệp cấu hình .env, Mã thông báo API, Chứng chỉ dịch vụ đám mây, Tệp khóa riêng tư và nhiều loại khóa truy cập khác. Một khi Agent có thể đọc các thư mục này hoặc chỉ mục tệp dự án trong quá trình thực thi nhiệm vụ, có thể vô tình bao gồm thông tin nhạy cảm vào ngữ cảnh mô hình.

Trong một số quy trình phát triển tự động, Agent có thể đọc tệp cấu hình dưới thư mục dự án trong quá trình gỡ lỗi, phân tích nhật ký hoặc cài đặt phụ thuộc. Nếu thiếu chiến lược bỏ qua cụ thể hoặc kiểm soát truy cập, thông tin này có thể được ghi lại vào nhật ký, gửi đến API mô hình từ xa, hoặc thậm chí được một plugin độc hại gửi đi.

Ngoài ra, một số công cụ phát triển sẽ cho phép Agent quét tự động kho lưu trữ mã nguồn để xây dựng bộ nhớ ngữ cảnh (Memory), điều này cũng có thể làm gia tăng phạm vi phơi bày dữ liệu nhạy cảm. Ví dụ, tệp khóa riêng, sao lưu từ khóa, chuỗi kết nối cơ sở dữ liệu hoặc Mã thông báo API của bên thứ ba có thể được đọc trong quá trình lập chỉ mục.

Trong môi trường phát triển Web3, vấn đề này trở nên nổi bật hơn, vì các nhà phát triển thường lưu trữ khóa riêng tư thử nghiệm, Token RPC hoặc kịch bản triển khai trong môi trường cục bộ. Một khi thông tin này bị kẻ xấu lấy cắp thông qua Kỹ năng độc hại, plugin hoặc kịch bản từ xa, kẻ tấn công có thể tiếp tục kiểm soát tài khoản nhà phát triển hoặc môi trường triển khai.

Do đó, trong kịch bản tích hợp AI Agent với IDE / CLI, việc thiết lập chiến lược bỏ qua thư mục nhạy cảm rõ ràng (ví dụ: cơ chế giống như .agentignore, .gitignore) cùng với biện pháp cách ly quyền là một tiền đề quan trọng để giảm thiểu nguy cơ rò rỉ dữ liệu.

5. Không Chắc Chắn về Mô hình và Nguy Cơ Tự Động Hóa

Chính mô hình AI không phải là một hệ thống hoàn toàn xác định, đầu ra của nó có sự không ổn định theo một xác suất nhất định. Được gọi là "ảo tưởng mô hình", tức là mô hình tạo ra kết quả có vẻ hợp lý nhưng thực tế lại sai. Trên các kịch bản ứng dụng truyền thống, loại lỗi này thường chỉ ảnh hưởng đến chất lượng thông tin, nhưng trong kiến trúc AI Agent, đầu ra mô hình có thể trực tiếp kích hoạt hoạt động hệ thống.

Ví dụ, trong một số trường hợp, mô hình không truy vấn thông số thực sự khi triển khai dự án, mà tạo ra một ID sai và tiếp tục thực hiện quá trình triển khai. Nếu tương tự xảy ra trong tình huống giao dịch trên chuỗi hoặc hoạt động tài sản, quyết định sai lầm có thể dẫn đến mất mát tài chính không thể hoàn tác.

6. Nguy Cơ Hoạt Động Có Giá Trị Cao trong Cảnh Web3

Khác với hệ thống phần mềm truyền thống, nhiều hoạt động trong môi trường Web3 là không thể đảo ngược. Ví dụ, chuyển tiền trên chuỗi, Trao đổi Token, thêm thanh khoản và gọi hợp đồng thông minh, khi giao dịch được kí với chữ ký và phát sóng lên mạng, thì thường khó thu hồi hoặc quay lại. Do đó, khi AI Agent được sử dụng để thực hiện hoạt động trên chuỗi, nguy cơ an ninh của nó cũng được phóng đại.

Trong một số dự án thử nghiệm, các nhà phát triển đã bắt đầu thử nghiệm Agent tham gia trực tiếp vào thực thi chiến lược giao dịch trên chuỗi, chẳng hạn như giao dịch tự động, quản lý tài chính hoặc vận hành DeFi.

Tuy nhiên, nếu Agent bị ảnh hưởng bởi tiêm từ khóa, ô nhiễm bối cảnh hoặc tấn công plugin trong quá trình phân tích nhiệm vụ hoặc tạo ra thông số, có thể thay thế địa chỉ mục tiêu trong quá trình giao dịch, sửa đổi số tiền giao dịch hoặc gọi hợp đồng độc hại. Ngoài ra, một số framework Agent cho phép plugin truy cập trực tiếp vào API ví tiền hay giao diện ký, nếu thiếu cách ly ký và cơ chế xác nhận bằng tay, kẻ tấn công có thể thậm chí kích hoạt giao dịch tự động thông qua Kỹ năng độc hại.

Do đó, trong bối cảnh Web3, việc liên kết AI Agent với hệ thống kiểm soát tài sản một cách hoàn toàn là một thiết kế có mức độ rủi ro cao.

Cách tiếp cận an toàn hơn thường là làm cho Agent chỉ chịu trách nhiệm tạo ra đề xuất giao dịch hoặc dữ liệu giao dịch chưa được ký, trong khi quá trình ký thực tế được thực hiện bởi một ví tiền độc lập hoặc xác nhận bằng con người. Đồng thời, kết hợp cơ chế xác minh uy tín địa chỉ, điều chỉnh rủi ro AML và mô phỏng giao dịch cũng có thể giảm thiểu mức độ rủi ro từ giao dịch tự động hóa.

7. Rủi ro cấp quyền cao đưa đến hệ thống

Nhiều AI Agent trong triển khai thực tế có các quyền hệ thống cao, ví dụ như truy cập vào hệ thống tệp địa phương, thực thi lệnh Shell thậm chí chạy với quyền Root. Một khi hành vi của Agent bị chỉ đạo, phạm vi tác động của nó có thể vượt xa một ứng dụng duy nhất.

SlowMist đã thử nghiệm kết hợp OpenClaw với phần mềm nhắn tin trực tuyến như Telegram, để thực hiện điều khiển từ xa. Nếu kênh kiểm soát bị kẻ tấn công chiếm quyền, Agent có thể được sử dụng để thực thi bất kỳ lênh hệ thống nào, đọc dữ liệu trình duyệt, truy cập vào các tệp địa phương hoặc thậm chí kiểm soát các ứng dụng khác. Kết hợp với hệ sinh thái plugin và khả năng gọi công cụ, loại Agent này đã đạt được một số đặc điểm của "điều khiển từ xa thông minh".

Phối hợp xem xét, mối đe dọa an ninh từ AI Agent đã không còn giới hạn chỉ trong lỗ hổng phần mềm truyền thống, mà đã vượt ra khỏi nhiều chiều từ tầng tương tác mô hình, chuỗi cung ứng plugin, môi trường thực thi và tầng vận hành tài sản.

Kẻ tấn công không chỉ có thể kiểm soát hành vi của Agent thông qua mã từ khóa, mà còn có thể đưa ra sau cửa hậu qua các Kỹ năng hoặc gói phần mềm phụ thuộc ác mộng trong lớp chuỗi cung ứng, và mở rộng tác động tấn công trong môi trường chạy với quyền cao.

Trong bối cảnh Web3, do các hoạt động trên chuỗi có tính không thể đảo ngược và liên quan đến giá trị tài sản thực, những rủi ro này thường bị phóng đại thêm. Do đó, trong quá trình thiết kế và sử dụng AI Agent, chỉ phụ thuộc vào chiến lược an ninh ứng dụng truyền thống đã trở nên khó khăn để có thể bao phủ hoàn toàn các mặt tấn công mới, cần thiết lập một hệ thống bảo mật toàn diện hơn trong việc kiểm soát quyền hạn, quản lý chuỗi cung ứng và cơ chế giao dịch an toàn.

Ba、Thực Hành An Toàn Giao Dịch của AI Agent｜Bitget

Khi khả năng của AI Agent ngày càng được cải thiện, chúng không còn chỉ cung cấp thông tin hoặc hỗ trợ quyết định, mà bắt đầu tham gia trực tiếp vào vận hành hệ thống, thậm chí thực thi các giao dịch trên chuỗi.

Trong bối cảnh giao dịch mã hóa, sự thay đổi này trở nên rõ rệt hơn. Ngày càng có nhiều người dùng bắt đầu thử nghiệm việc để cho phép AI Agent tham gia phân tích thị trường, thực hiện chiến lược và giao dịch tự động. Khi Agent có thể gọi trực tiếp giao diện giao dịch, truy cập tài sản tài khoản và đặt lệnh tự động, vấn đề bảo mật của nó cũng từ "Rủi ro bảo mật hệ thống" tiến triển thành "Rủi ro tài sản thực sự". Khi AI Agent được sử dụng cho giao dịch thực tế, người dùng nên làm thế nào để bảo vệ an toàn tài khoản và tài sản của mình?

Dựa trên điều này, phần nhỏ này do Nhóm An ninh Bitget kết hợp kinh nghiệm thực tế về nền tảng giao dịch, từ nhiều góc độ bao gồm an ninh tài khoản, quản lý quyền API, cách ly tài sản và theo dõi giao dịch, giới thiệu hệ thống về các chiến lược bảo mật cần chú ý khi sử dụng AI Agent cho giao dịch tự động.

1. Rủi ro Bảo mật Chính của AI Agent trong Tình huống Giao dịch

2. An toàn Tài khoản

Sau khi AI Agent xuất hiện, con đường tấn công đã thay đổi:

· Không cần phải đăng nhập vào tài khoản của bạn — chỉ cần có Key API của bạn

· Không cần phải bạn phát hiện — Agent hoạt động tự động 24/7, các hoạt động bất thường có thể tiếp tục trong nhiều ngày

· Không cần phải rút tiền — mất toàn bộ tài sản trực tiếp trong giao diện nền tảng, cũng là mục tiêu của cuộc tấn công

Việc tạo, sửa đổi và xóa Key API đều cần phải được hoàn tất thông qua tài khoản đã đăng nhập — tài khoản bị kiểm soát có nghĩa là quyền quản lý Key cũng bị kiểm soát. Cấp độ an toàn của tài khoản trực tiếp quyết định ngưỡng an toàn của Key API.

Bạn nên thực hiện:

· Bật Google Authenticator làm 2FA chính, thay vì tin nhắn (SIM có thể bị tấn công)

· Bật Passkey cho đăng nhập không mật khẩu: Dựa trên chuẩn FIDO2/WebAuthn, mã khóa công khai/tư nhân thay thế mật khẩu truyền thống, cuộc tấn công lừa đảo sẽ vô hiệu từ cấp độ kiến trúc

· Thiết lập mã ngăn chặn lừa đảo

· Định kỳ kiểm tra Trung tâm quản lý thiết bị, phát hiện thiết bị lạ ngay lập tức đăng xuất và thay đổi mật khẩu

3. An toàn API

Trong cấu trúc giao dịch tự động của AI Agent, Key API tương đương với "Chứng chỉ quyền thực thi của Agent". Agent chính nó không giữ quyền kiểm soát tài khoản trực tiếp, tất cả các hoạt động mà nó có thể thực hiện, đều phụ thuộc vào phạm vi quyền key API được cấp. Do đó, biên giới quyền API không chỉ xác định những gì Agent có thể làm, mà còn xác định mức độ mà thiệt hại có thể mở rộng trong trường hợp xảy ra sự kiện bảo mật.

Ma Trận Cấu Hình Quyền Hạn —— Quyền Hạn Tối Thiểu, Không Phải Là Quyền Hạn Tiện Ích:

Trong hầu hết các nền tảng giao dịch, API Key thường hỗ trợ nhiều cơ chế kiểm soát bảo mật, nếu sử dụng hợp lý, có thể giảm đáng kể nguy cơ lạm dụng API Key. Một số lời khuyên cấu hình bảo mật phổ biến bao gồm:

Lỗi Phổ Biến Của Người Dùng:

· Dán trực tiếp API Key của tài khoản chính vào cấu hình Agent —— tiết lộ toàn bộ quyền hạn của tài khoản chính

· Chọn "Chọn Tất Cả" cho loại doanh nghiệp để tiện lợi, thực tế đã mở rộng phạm vi hoạt động

· Không thiết lập Passphrase, hoặc Passphrase giống mật khẩu tài khoản

· API Key cứng nhắc được viết trực tiếp trong mã nguồn, sau khi đưa lên GitHub bị robot thu thập chỉ trong vòng 3 phút

· Một Key được ủy quyền cho nhiều Agent và công cụ cùng một lúc, khi bị xâm nhập, tất cả đều bị tiết lộ

· Key bị lộ ra sau đó không được hủy ngay lập tức, kẻ tấn công tiếp tục tận dụng cửa sổ thời gian tiềm năng

Quản Lý Vòng Đời của Key:

Mỗi 90 ngày, hãy thay đổi một lần API Key, ngay lập tức xóa Key cũ khi ngưng hoạt động Xóa ngay lập tức Key tương ứng khi quét API, không để lại điểm tấn công dư thừa Kiểm tra định kỳ hồ sơ gọi API, phát hiện IP lạ hoặc khoảng thời gian hoạt động bất thường ngay lập tức hủy bỏ

4. An Toàn Tài Chính

Sự tổn thất mà kẻ tấn công có thể gây ra sau khi có API Key phụ thuộc vào số tiền mà Key này có thể di chuyển. Do đó, khi thiết kế kiến trúc giao dịch AI Agent, ngoài an toàn tài khoản và kiểm soát quyền hạn API, cũng nên thiết lập cơ chế cô lập tài chính, xác định rõ ngưỡng tổn thất tối đa cho nguy cơ tiềm ẩn.

Cơ Chế Cô Lập Tài Khoản Con:

· Tạo tài khoản con dành riêng cho Agent, hoàn toàn tách biệt với tài khoản chính

· Tài khoản chính chỉ chuyển giao số tiền cần thiết cho Agent, không phải toàn bộ tài sản

· Ngay cả khi Khóa con của Tài khoản bị đánh cắp, số tiền tối đa mà kẻ tấn công có thể thao túng = Số dư trong Tài khoản con, Tài khoản chính không bị ảnh hưởng

· Nhiều Chiến lược Agent sử dụng nhiều Tài khoản con khác nhau để quản lý một cách riêng biệt và cách ly lẫn nhau

Mật khẩu Vốn là Cái khóa thứ hai:

· Mật khẩu Vốn (Fund Password) hoàn toàn tách biệt với mật khẩu đăng nhập, ngay cả khi tài khoản đã được đăng nhập, không có Mật khẩu Vốn vẫn không thể thực hiện rút tiền

· Mật khẩu Vốn và mật khẩu đăng nhập được thiết lập thành các mật khẩu khác nhau

· Kích hoạt Danh sách địa chỉ rút tiền: Chỉ có thể rút tiền đến các địa chỉ đã được thêm trước, địa chỉ mới cần phải chờ 24 giờ để được duyệt

· Sau khi thay đổi Mật khẩu Vốn, hệ thống tự động đóng băng rút tiền trong 24 giờ — Đây là cơ chế bảo vệ của bạn

5. Bảo mật Giao dịch

Trong kịch bản Giao dịch tự động của AI Agent, vấn đề bảo mật thường không phải là hành vi ngoại lệ một lần, mà có thể xảy ra dần dần trong quá trình hệ thống hoạt động liên tục.Do đó, ngoài việc kiểm soát an ninh tài khoản và quyền truy cập API, cần thiết lập một cơ chế giám sát Giao dịch liên tục và cơ chế phát hiện ngoại lệ, để kịp thời phát hiện và can thiệp vào giai đoạn đầu khi vấn đề xảy ra.

Hệ thống giám sát cần thiết phải có:

Phát hiện tín hiệu ngoại lệ — Dừng ngay khi xảy ra các trường hợp sau và kiểm tra:

· Agent không hoạt động trong thời gian dài, nhưng có đơn hàng mới hoặc nhật ký gọi API vị trí mới hoặc có yêu cầu IP Máy chủ của Agent

· Nhận thông báo giao dịch của cặp tiền chưa từng thiết lập

· Số dư tài khoản biến đổi không rõ nguồn gốc

· Agent liên tục cảnh báo "Cần thêm quyền hạn để thực thi" — Hãy hiểu rõ vấn đề trước khi quyết định có cấp phép hay không

Quản lý Nguồn gốc Kỹ năng và Công cụ:

· Chỉ cài đặt Kỹ năng được phát hành chính thống và đã được xem xét từ kênh

· Tránh cài đặt tiện ích mở rộng từ nguồn không rõ hoặc chưa được xác minh

· Xem xét định kỳ danh sách Skill đã được cài đặt để xóa bỏ những Skill không còn sử dụng

· Cẩn trọng với các Skill phiên bản "nâng cấp" từ cộng đồng hoặc phiên bản "dịch thuật"—bất kỳ phiên bản không chính thức nào đều có nguy cơ

6. Bảo mật Dữ liệu

Quyết định của AI Agent dựa vào một lượng lớn dữ liệu (thông tin tài khoản, lượng nắm giữ, lịch sử giao dịch, thông tin thị trường, tham số chiến lược). Nếu dữ liệu này bị rò rỉ hoặc bị thay đổi, kẻ tấn công có thể suy luận chiến lược của bạn hoặc thậm chí kiểm soát hành vi giao dịch của bạn.

Điều bạn nên thực hiện

· Nguyên tắc cung cấp dữ liệu tối thiểu: Chỉ cung cấp dữ liệu cần thiết để thực hiện giao dịch cho Agent

· Mã hóa dữ liệu nhạy cảm: Không cho phép Agent xuất thông tin tài khoản đầy đủ, API Key và dữ liệu nhạy cảm khác trong các bản ghi nhật ký hoặc thông tin gỡ lỗi

· Cấm tải lên dữ liệu tài khoản đầy đủ lên mô hình AI công cộng (như API LLM công cộng)

· Nếu có thể, phân tách dữ liệu chiến lược và dữ liệu tài khoản

· Tắt hoặc hạn chế Agent từ xuất dữ liệu giao dịch lịch sử

Lỗi phổ biến của người dùng

· Tải lịch sử giao dịch đầy đủ lên AI "Hãy giúp tôi tối ưu chiến lược"

· In ra API Key / Secret trong nhật ký của Agent

· Đăng ảnh chụp màn hình giao dịch trên diễn đàn công cộng (bao gồm ID đơn hàng, thông tin tài khoản)

· Tải lên bản sao lưu cơ sở dữ liệu lên công cụ AI để phân tích

7. Thiết kế Bảo mật Ứng dụng AI Agent ở Tầng Nền

Ngoài việc cấu hình bảo mật ở phía người dùng, tính an toàn của hệ sinh thái giao dịch AI Agent đến một mức độ lớn còn phụ thuộc vào thiết kế bảo mật ở tầng nền của nền tảng.

Một nền tảng Agent trưởng thành thường cần xây dựng các cơ chế bảo vệ hệ thống có hệ thống trong các lĩnh vực như cách ly tài khoản, kiểm soát quyền API, kiểm tra tiện ích mở rộng và khả năng bảo mật cơ bản, giúp giảm thiểu rủi ro toàn diện mà người dùng phải đối mặt khi truy cập vào hệ thống giao dịch tự động.

Trong kiến trúc nền tảng thực tế, các thiết kế bảo mật phổ biến bao gồm các khía cạnh sau.

1. Hệ thống Cách Ly Tài Khoản Phụ

Trong môi trường giao dịch tự động, các nền tảng thường cung cấp hệ thống tài khoản con hoặc tài khoản chiến lược để phân biệt vốn và quyền hạn của các hệ thống tự động khác nhau. Thông qua cách này, người dùng có thể gán mỗi Điều Phối hoặc chiến lược giao dịch với một tài khoản độc lập và hồ bơi vốn, từ đó tránh được rủi ro khi nhiều hệ thống tự động chia sẻ cùng một tài khoản.

2. Cấu Hình Quyền API Tinh Thể

Hoạt động cốt lõi của Điều Phối AI dựa vào giao diện API, vì vậy nền tảng thường cần hỗ trợ kiểm soát quyền API một cách tỉ mỉ, chẳng hạn như phân chia quyền giao dịch, giới hạn nguồn IP và các biện pháp xác thực bảo mật bổ sung. Thông qua mô hình quyền này, người dùng chỉ cấp cho Điều Phối các quyền tối thiểu cần thiết để hoàn thành nhiệm vụ.

3. Cơ Chế Kiểm Tra Plugin và Kỹ Năng Của Điều Phối

Một số nền tảng sẽ thiết lập cơ chế kiểm tra cho quá trình phát hành và đưa lên kệ các plugin hoặc kỹ năng, chẳng hạn như kiểm tra mã nguồn, đánh giá quyền hạn và kiểm thử bảo mật, nhằm giảm thiểu khả năng các thành phần độc hại nhập vào hệ sinh thái. Về mặt bảo mật, các cơ chế kiểm tra như vậy tương đương với việc thêm một tầng lọc cấp nền tảng vào chuỗi cung ứng plugin, nhưng người dùng vẫn cần duy trì ý thức bảo mật cơ bản đối với các phần mở rộng họ cài đặt.

4. Khả Năng Bảo Mật Cơ Bản của Nền Tảng

Ngoài các cơ chế an ninh liên quan đến Điều Phối, hệ thống tài khoản an toàn của chính nền tảng giao dịch cũng sẽ ảnh hưởng đáng kể đến người dùng Điều Phối. Ví dụ:

8. Đánh Lừa Mới Dành Riêng Cho Người Dùng Điều Phối

Mặt Nạ Điều Phối

“Khóa API của bạn đang mắc rủi ro an ninh, vui lòng cấu hình lại ngay.” Sau đó, cung cấp liên kết lừa đảo.

→ Công ty không bao giờ gửi tin nhắn riêng để yêu cầu Khóa API.

Gói Kỹ Năng Gửi Code Độc Hại

Cộng đồng chia sẻ “Kỹ Năng Giao Dịch Nâng Cao,” khi chạy sẽ lặng lẽ gửi Khóa của bạn.

→ Chỉ cài đặt các Kỹ Năng thông qua kênh kiểm tra chính thức của công ty.

Thông Báo Nâng Cấp Giả Mạo

「Yêu cầu Phục Hồi Quyền Truy Cập」, khi nhấp vào đó sẽ mở trang web sao chép.

→ Kiểm tra Mã Chống Lừa đảo qua Email.

Tấn Công Nhúng Từ Khóa

Nhúng chỉ dẫn vào dữ liệu thị trường, tin tức, chú thích nến để điều khiển Agent thực thi các hành động không mong muốn.

→ Đặt giới hạn vốn cho tài khoản con, ngay cả khi bị nhúng, thiệt hại vẫn có ranh giới cứng.

Script Độc Hại Giả Mạo thành「Công Cụ Kiểm Tra Bảo Mật」

Tuyên bố có thể kiểm tra xem Khóa của bạn có bị rò rỉ không, nhưng thực ra chỉ đang đánh cắp Khóa.

→ Kiểm tra tình trạng gọi API thông qua nhật ký hoặc ghi lại truy cập được cung cấp bởi nền tảng chính thức.

9. Đường dẫn Xác Định sự cố

Phát hiện bất kỳ bất thường nào

   ↓

Ngay lập tức thu hồi hoặc vô hiệu hóa Khóa API đáng ngờ

   ↓

Điều tra đơn hàng / vị trí giao dịch bất thường trong tài khoản và hủy giao dịch có thể hủy ngay lập tức

   ↓

Kiểm tra lịch sử rút tiền để xác nhận xem tiền đã được chuyển đi chưa

   ↓

Thay đổi mật khẩu đăng nhập + mật khẩu tài khoản, đăng xuất khỏi tất cả các thiết bị đã đăng nhập

   ↓

Liên hệ hỗ trợ bảo mật của nền tảng, cung cấp thời gian và nhật ký hoạt động bất thường

   ↓

Xác định lộ đường của Key (thư viện mã / tệp cấu hình / nhật ký Skill)

Nguyên Tắc Cốt Lõi: Khi gặp bất kỳ nghi ngờ nào, trước hết thu hồi Key, sau đó tìm nguyên nhân, không được đảo ngược thứ tự.

Tư Vấn và Tóm Tắt

Trong bản báo cáo này, SlowMist và Bitget kết hợp ví dụ thực và nghiên cứu an ninh, phân tích các vấn đề an ninh điển hình của AI Agent hiện tại trong cảnh Web3, bao gồm nguy cơ kiểm soát Hành vi của Agent bởi Prompt Injection, nguy cơ chuỗi cung ứng trong sinh học và Skill, vấn đề lạm dụng Khóa API và quyền hạn tài khoản, cũng như nguy cơ về lỗi thực thi tự động và mở rộng quyền hạn.

Các vấn đề này thường không phải do lỗ hổng duy nhất gây ra, mà là kết quả của sự phối hợp giữa thiết kế kiến trúc Agent, chiến lược kiểm soát quyền hạn và môi trường thực thi an toàn.

Do đó, khi xây dựng hoặc sử dụng hệ thống AI Agent, nên thiết kế bảo mật từ mức độ kiến trúc tổng thể, ví dụ như tuân thủ nguyên tắc tối thiểu quyền hạn để gán API Key và quyền tài khoản cho Agent, tránh mở các tính năng có nguy cơ cao không cần thiết;

Ở mức độ gọi công cụ, cần phân quyền cho plugin và Skill để cách ly quyền hạn, tránh việc một thành phần duy nhất đồng thời có khả năng truy xuất dữ liệu, tạo quyết định và thực hiện giao dịch tiền;

Khi Agent thực hiện các hoạt động quan trọng, hãy thiết lập ranh giới hành vi rõ ràng và giới hạn tham số, đồng thời tại các tình huống cần thiết thêm cơ chế xác nhận bằng con người để giảm thiểu rủi ro không thể đảo ngược do thực thi tự động mang lại.

Đồng thời, đối với đầu vào bên ngoài mà Agent hoạt động phụ thuộc, cần thông qua thiết kế Prompt hợp lý và cơ chế cách ly đầu vào để ngăn chặn cuộc tấn công Prompt Injection, tránh việc sử dụng nội dung bên ngoài trực tiếp làm lệnh hệ thống tham gia quá trình suy luận mô hình. Trong giai đoạn triển khai và vận hành thực tế, cũng cần tăng cường quản lý bảo mật API Key và tài khoản, ví dụ như chỉ mở các quyền cần thiết, thiết lập danh sách trắng địa chỉ IP, định kỳ đổi mới Key và tránh lưu trữ thông tin nhạy cảm dưới dạng văn bản thô trong kho lưu trữ mã nguồn, tập tin cấu hình hoặc hệ thống nhật ký;

Trong quy trình phát triển và môi trường chạy, cần thông qua các biện pháp như kiểm tra an toàn của plugin, kiểm soát thông tin nhạy cảm trong nhật ký và các biện pháp giám sát hành vi để giảm thiểu rủi ro rò rỉ cấu hình, tấn công chuỗi cung ứng và các rủi ro do hoạt động bất thường mang lại.

Ở mức độ kiến trúc bảo mật toàn cầu hơn, SlowMist đã đề xuất một hướng tiếp cận quản trị an toàn đa lớp dành cho tình huống AI và Web3 Agent, thông qua việc xây dựng hệ thống bảo vệ phân tầng để hệ thống hóa giảm thiểu rủi ro của Agent trong môi trường có quyền hạn cao.

Trong khung này, L1 quản trị an ninh ban đầu đầu tiên sử dụng một cơ sở an toàn phát triển và sử dụng thống nhất như cơ sở, thông qua việc thiết lập các tiêu chuẩn an toàn bao gồm các công cụ phát triển, Agent framework, môi trường plugin và quy tắc an ninh chung, cung cấp nguồn chiến lược thống nhất và tiêu chuẩn kiểm tra đối với nhóm khi triển khai chuỗi công cụ AI.

Trên cơ sở này, L2 thông qua sự hội tụ ranh giới quyền hạn của Agent, kiểm soát tối thiểu quyền hạn cho việc gọi công cụ và cơ chế xác nhận bằng con người cho các hành vi chính, có thể hạn chế hiệu quả phạm vi thực thi của các hoạt động có nguy cơ cao.

Đồng thời, L3 ở mức độ cổng ra giao tiếp bên ngoài đưa vào khả năng nhận biết đe dọa thời gian thực, kiểm tra trước URL, kho lưu trữ phụ thuộc, nguồn plugin và các tài nguyên bên ngoài khác để giảm thiểu xác suất mặt nạ nội dung độc hại hoặc chuỗi cung ứng nhiễm độc vào dãy thực thi;

Trong tình huống liên quan đến giao dịch trên chuỗi hoặc hoạt động tài sản, thông qua L4 phân tích rủi ro trên chuỗi và cơ chế chữ ký độc lập để đạt được cách ly an ninh bổ sung, giúp Agent có thể xây dựng giao dịch mà không tiếp xúc trực tiếp với khóa riêng, từ đó giảm thiểu rủi ro hệ thống do hoạt động với tài sản có giá trị cao đem lại.

Và cuối cùng, L5 thông qua cơ chế vận hành bao gồm kiểm tra liên tục, kiểm toán nhật ký, và đánh giá an ninh định kỳ, tạo nên khả năng an ninh vòng đóng 「kiểm tra trước thực thi, ràng buộc trong thực thi, phân tích sau thực thi」.

Phương pháp an ninh theo tầng này không phải là một sản phẩm hoặc công cụ đơn lẻ, mà là một khung kiểm soát an ninh dành cho chuỗi công cụ AI và sinh thái tác nhân thông minh, mục tiêu cốt lõi là không làm giảm đáng kể hiệu suất phát triển và khả năng tự động hóa, mà thông qua chiến lược hệ thống hóa, kiểm toán liên tục và kết nối khả năng an ninh, giúp các nhóm xây dựng hệ thống vận hành an ninh của Tác nhân có thể duy trì, có thể kiểm toán và có thể phát triển, từ đó đối phó tốt hơn với các thách thức an ninh liên tục biến đổi trong bối cảnh tích hợp sâu giữa AI và Web3.

Nhìn chung, Tác nhân AI đã mang đến cho sinh thái Web3 khả năng tự động hóa và thông minh cao hơn, nhưng thách thức an ninh của nó cũng không thể bị xem nhẹ.

Chỉ khi thiết kế hệ thống, quản lý quyền và giám sát vận hành trên nhiều mặt giữ chặt các cơ chế an ninh hoàn chỉnh, mới có thể trong việc thúc đẩy sự đổi mới công nghệ của Tác nhân AI, hiệu quả giảm thiểu rủi ro tiềm năng.

Hy vọng báo cáo này có thể cung cấp thông tin tham khảo cho nhà phát triển, nền tảng và người dùng trong việc xây dựng và sử dụng hệ thống Tác nhân AI, trong việc thúc đẩy sự phát triển công nghệ, đồng thời đẩy mạnh hơn nữa việc hình thành môi trường sinh thái Web3 an toàn, đáng tin cậy hơn.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia