Khi AI Agent có quyền thực thi trên chuỗi: Ai sẽ xác minh thông tin nó nhìn thấy và lệnh nó phát ra?

Đọc bài viết này mất 17 phút

Ngày càng nhiều AI Agent đang có được khả năng thực thi trên chuỗi thông qua tài khoản thông minh, ví chiến lược hoặc dịch vụ ký hạn chế.

一、Vụ việc KelpDAO đã phơi bày điều gì

Ngày 18 tháng 4 năm 2026, cầu nối liên chuỗi rsETH của KelpDAO bị tấn công, 116.500 rsETH bị giải phóng bất thường, tại thời điểm xảy ra sự việc giá trị khoảng 292 triệu USD. Báo cáo sự cố của LayerZero cho thấy, kẻ tấn công đã thông qua kỹ thuật xã hội để chiếm đoạt khóa phiên của nhà phát triển, làm ô nhiễm RPC nội bộ mà LayerZero Labs DVN phụ thuộc vào, đồng thời dùng tấn công từ chối dịch vụ để đàn áp RPC bên ngoài, khiến dịch vụ ký xác nhận dựa trên dữ liệu sai lệch để cấp chứng nhận cho các thông điệp giả mạo. KelpDAO lúc đó đã thay đổi đường dẫn xác thực từ 2-of-2 thành 1-of-1 DVN. Một khi DVN duy nhất được chỉ định cấp chứng nhận sai, hệ thống không còn yêu cầu DVN độc lập thứ hai xác thực chéo cùng một thông điệp. CrowdStrike và Mandiant với độ tin cậy cao đã quy kết sự kiện này cho nhóm TraderTraitor (UNC4899) liên quan đến Triều Tiên.

Loại sự cố này không phải là cá biệt. Nhiều sự kiện an ninh nghiêm trọng trên chuỗi, vấn đề thường không nằm ở việc giả định mật mã học bị bác bỏ, mà nằm ở các khâu kiểm soát khóa, nguồn dữ liệu, cấu hình trình xác thực, triển khai giao thức và quyền vận hành — hệ thống không chỉ cần trả lời câu hỏi "chữ ký này có hợp lệ hay không", mà còn phải trả lời "ai có quyền ký, ký dựa trên thông tin gì, và trạng thái tương ứng với chữ ký có thực sự xảy ra hay không".

Ngày càng nhiều AI Agent đang có được khả năng thực thi trên chuỗi thông qua tài khoản thông minh, ví chiến lược hoặc dịch vụ ký hạn chế. Một chữ ký hợp lệ chỉ có thể chứng minh rằng một đường dẫn ủy quyền nào đó đã được gọi, nhưng không chứng minh được dữ liệu mà Agent dựa vào là đáng tin cậy, quyết định tuân thủ chiến lược đã định, hoặc giao dịch đó vốn dĩ nên xảy ra tại thời điểm này. Đối tượng xác thực đang mở rộng từ "tính xác thực của chữ ký" sang "tính nhất quán giữa đầu vào, quyết định và thực thi".

二、Các giải pháp hiện có đã giải quyết được gì, và còn để lại điều gì

Một số bộ giải pháp hiện có mỗi bộ giải quyết được một phần vấn đề tin cậy, và cũng mỗi bộ đặt phần niềm tin còn lại vào các vai trò khác nhau:

Oracle và cơ chế phân xử tranh chấp: Kết quả thị trường của Polymarket trước tiên do người tham gia đề xuất, chỉ khi bị nghi ngờ trong thời gian thách thức mới được đưa vào quy trình bỏ phiếu của người nắm giữ token UMA. Vấn đề không nằm ở chỗ "không có kiểm tra lại", mà nằm ở chỗ kiểm tra lại có đáng tin cậy hay không — khi quy tắc mơ hồ, sự kiện thực tế có nhiều cách diễn giải, hoặc quyền bỏ phiếu tập trung vào một số ít địa chỉ, hệ thống thực chất đang giao câu hỏi "ai định nghĩa sự thật" cho một cơ cấu quản trị khác.

Đa chữ ký cầu nối liên chuỗi và DVN: Hai phương thức triển khai khác nhau, nhưng đều yêu cầu bên ứng dụng cấu hình rõ ràng tập hợp trình xác thực và ngưỡng. Sau khi KelpDAO cấu hình đường dẫn thành 1-of-1 DVN, toàn bộ đường dẫn xác thực phụ thuộc vào một dịch vụ xác thực duy nhất; còn nguồn dữ liệu và cơ chế ứng phó sự cố mà dịch vụ đó phụ thuộc vào, lại có thể tạo thành điểm nghẽn đơn lẻ ở lớp tiếp theo.

Lưu ký MPC: Điểm bán hàng của chữ ký ngưỡng là khóa không tồn tại hoàn chỉnh ở một nơi duy nhất, nhưng việc phân mảnh về mặt mật mã không tự động mang lại sự phân quyền ở cấp độ tổ chức. Theo thông tin nhóm Multichain tiết lộ vào thời điểm đó, sau khi nhà sáng lập bị cảnh sát Trung Quốc giam giữ, nhóm ngay lập tức mất quyền truy cập vào các máy chủ nút MPC liên quan, những máy chủ này chạy dưới tài khoản đám mây cá nhân của nhà sáng lập. Một khi tài khoản đám mây, quyền vận hành và khả năng ứng phó khẩn cấp tập trung vào một người, thiết kế ngưỡng của MPC vẫn có thể để lại điểm lỗi đơn lẻ ở cấp độ tổ chức.

TEE: Môi trường thực thi tin cậy có thể cô lập mã và dữ liệu nhạy cảm, nhưng nó không loại bỏ niềm tin, mà chỉ thay đổi điểm dựa vào của niềm tin. Gốc tin cậy phần cứng và cập nhật vi mã thường phụ thuộc vào nhà sản xuất chip, trong khi mã enclave, quyền nâng cấp và chính sách xác thực có thể do bên dự án hoặc bên vận hành kiểm soát. TEE có thể bảo vệ quá trình tính toán, nhưng không tự động phân tán các quyền quản trị này.

Chế độ lỗi của các giải pháp này không giống nhau, nhưng chúng đều chỉ ra cùng một loại vấn đề: ngưỡng và phi tập trung hóa được ghi trong sách trắng chỉ có thể tạo thành ranh giới bảo mật thực sự khi thực sự được áp dụng vào nguồn dữ liệu, quyền tài khoản, khóa nâng cấp và quy trình quản trị.

Ba, CRVA: Thiết kế lại cách phân bổ quyền xác thực

DeepSafe được đổi tên từ Bool Network vào năm 2025. CRVA tiếp nối hướng kỹ thuật được các nhà nghiên cứu liên quan của Bool Network đề xuất vào năm 2022. Bài báo liên quan được công bố trên IEEE Transactions on Information Forensics and Security (IEEE TIFS, Document ID 9903072), đề xuất một nền tảng công chứng xuyên chuỗi dựa trên "ủy ban ẩn đang tiến hóa" (evolving hidden committee).

Cách thực hiện cụ thể là: các nút tham gia lựa chọn ngẫu nhiên thông qua Ring-VRF, người trúng tuyển nộp bằng chứng và khóa công khai tạm thời, người quan sát bên ngoài có thể xác minh tư cách của họ nhưng khó nhận diện danh tính dài hạn. Ủy ban tạm thời trúng tuyển sau đó cùng ký thông qua MPC ngưỡng, không một nút đơn lẻ nào có thể độc lập tạo ra kết quả. Các quy trình quan trọng như quản lý khóa được thiết kế chạy trong TEE (ví dụ Intel SGX) theo bài báo, nhằm giảm khả năng bên vận hành máy chủ đọc hoặc can thiệp vào các phần khóa. Ủy ban cũng được luân chuyển theo epoch, nhiệm kỳ mới nhận phần khóa mới thông qua bàn giao khóa có thể xác minh, phần khóa cũ hết hiệu lực, chu kỳ luân chuyển cụ thể do tham số mạng thực tế quyết định.

Bên dự án cũng hy vọng sử dụng TEE để che giấu trạng thái hoạt động của ủy ban, khiến người vận hành nút khó xác định nút của mình có tham gia vào một lần xác thực nào đó hay không. Mức độ đạt được mục tiêu này phụ thuộc vào mã nguồn mạng hiện tại, xác thực từ xa, siêu dữ liệu phía máy chủ và bảo vệ kênh phụ, không phải là kết luận tự động có được chỉ vì "sử dụng TEE".

Nhưng các cơ chế này giải quyết vấn đề "ai xác minh, làm sao cùng nhau đưa ra kết quả một cách an toàn", chứ không tự động định nghĩa "kết quả nào mới là đúng". Đặt trong bối cảnh AI Agent, ủy ban vẫn phải dựa trên các chính sách, nguồn dữ liệu và quy tắc phán quyết có thể thực thi đã được thiết lập trước để đưa ra kết luận — nếu bản thân bộ quy tắc này có vấn đề, nguồn dữ liệu phụ thuộc không đáng tin cậy, hoặc đối tượng xác minh vốn không tồn tại câu trả lời có thể phán định khách quan, thì dù ủy ban có an toàn đến đâu cũng có thể cùng nhau xác nhận một kết luận sai lầm.

CRVA cố gắng giảm thiểu rủi ro do người xác minh cố định tiếp xúc lâu dài và quyền ký tập trung, nhưng không thể loại bỏ hoàn toàn các điểm nghẽn đơn lẻ ở tầng quản trị và triển khai. Việc chấp nhận node, nâng cấp giao thức, chứng nhận TEE và bảo mật phần mềm vẫn cần được kiểm toán liên tục. Trong điều kiện cổ phần cũ được vô hiệu hóa một cách đáng tin cậy và ủy ban mới duy trì đủ tính độc lập, việc luân phiên có thể rút ngắn thời gian tấn công nhắm vào nhóm ký cố định, nhưng không thể bao phủ các rủi ro hệ thống như chuỗi cung ứng phần mềm hoặc quyền nâng cấp.

Bốn, Nền tảng kỹ thuật và tiến độ triển khai

Mạch kỹ thuật của CRVA có thể truy nguyên về bài báo Bool Network được công bố trên IEEE TIFS tập 17 (năm 2022), DOI là 10.1109/TIFS.2022.3209546. Mô hình giao thức, bằng chứng bảo mật và đánh giá nguyên mẫu trong bài báo đã trải qua quá trình bình duyệt đồng nghiệp, cung cấp cơ sở học thuật cho các thiết kế như ủy ban ẩn động, Ring-VRF, quản lý khóa ngưỡng và bảo vệ TEE. Cần phân biệt rằng, bình duyệt đồng nghiệp chỉ nhắm vào mô hình và triển khai trong bài báo; CRVA mà DeepSafe đang triển khai hiện tại tương ứng với phương án trong bài báo như thế nào vẫn cần được đánh giá dựa trên thông số kỹ thuật phiên bản hiện hành, kiểm toán mã nguồn và tham số mạng.

Theo công bố của DeepSafe vào tháng 10 năm 2025, mạng lưới khi đó đã xử lý tích lũy gần 120 triệu lần xác minh, với hơn 2,65 triệu tài khoản hoạt động. Phía dự án còn cho biết, quan hệ hệ sinh thái của họ đã vượt qua 70 mối quan hệ, bao gồm các loại hình khác nhau như tương thích ví, tích hợp kỹ thuật, đầu tư và hợp tác thị trường.

Vào tháng 10 năm 2025, DeepSafe thông báo hoàn thành vòng gọi vốn hạt giống trị giá 3 triệu USD, với các nhà đầu tư bao gồm Antalpha Global, ViaBTC Capital và Gate 1. Nhìn theo dòng thời gian, vòng gọi vốn này chủ yếu tương ứng với việc nghiên cứu phát triển kỹ thuật và mở rộng hệ sinh thái sau khi đổi thương hiệu.

Năm, Từ giải pháp xác minh đến hạ tầng phổ quát

Khi hạ tầng blockchain dần mô-đun hóa, đồng thuận, thực thi, tính khả dụng dữ liệu, tương tác và hệ thống tài khoản bắt đầu được đảm nhận bởi các thành phần khác nhau. Mô-đun hóa không làm cho vấn đề tin cậy biến mất, mà khiến ranh giới bảo mật của mỗi tầng trở nên rõ ràng hơn — nhà phát triển không chỉ phải lựa chọn công nghệ nào, mà còn phải đánh giá ai cung cấp đảm bảo an toàn cho tầng đó, và ai chịu trách nhiệm khi có sự cố. Sau khi AI Agent có được khả năng thực thi trên chuỗi, các vấn đề mới xuất hiện: ai xác nhận dữ liệu nó đọc là đáng tin cậy, quyết định không vượt quyền, và giao dịch cuối cùng khớp với ủy quyền của người dùng? Những câu hỏi này sẽ không tự động có câu trả lời chỉ vì một chữ ký hợp lệ.

DeepSafe mong muốn trừu tượng hóa năng lực xác minh từ một mô-đun phụ trợ bên trong ứng dụng đơn lẻ thành cơ sở hạ tầng mà các giao thức và AI Agent khác nhau có thể gọi đến — "Proof, Not Promises" (Bằng chứng, không phải lời hứa), dùng bằng chứng có thể xác minh để thay thế cam kết của bên thực thi. CRVA đã kết hợp rút thăm ẩn danh, cộng tác ngưỡng và TEE thành một lộ trình kỹ thuật; liệu nó có thể mở rộng thêm để bao phủ các tình huống khác nhau như oracle, cross-chain và AI Agent, đồng thời phát triển thành cơ sở hạ tầng xác minh phổ quát hay không, sẽ phụ thuộc vào sự tích lũy liên tục về năng lực mạng hiện tại, kiểm toán độc lập và tích hợp thực tế.