Lỗ hổng CoreBreak: Khi AI Agent Trust Model bị bẻ gãy – Bài học cho Crypto
Vũ Phúc
Tháng 7 vừa qua, ba gã khổng lồ AWS, Google và Vercel đồng loạt vá lỗ hổng bảo mật trong AI Agent framework của họ. Điểm chung? Kẻ tấn công có thể gọi tool trực tiếp mà không cần qua model, và thậm chí fake cả 'human approval'. Trong thế giới crypto, nơi smart contract tự động hóa hàng tỷ USD, đây không chỉ là tin tức công nghệ – nó là hồi chuông cảnh báo cho toàn bộ hệ sinh thái AI Agent đang mọc lên như nấm sau mưa.
Hãy gọi đúng tên: CoreBreak không phải một lỗi đơn lẻ. Nó là mô hình tấn công được Stealth Research tổng hợp từ ba CVE riêng biệt – CVE-2026-18830 (AWS Bedrock AgentCore), CVE-2026-18236 (Google ADK for Python), và CVE-2026-64650/64651 (Vercel @ai-sdk). Cả ba đều khai thác cùng một giả định nguy hiểm: lớp điều phối (scheduling layer) tin tưởng dữ liệu chỉ vì nó có đúng định dạng, chứ không kiểm tra nguồn gốc. Nếu bạn đang xây dựng agent để giao dịch, arbitrage, hay quản lý treasury, hãy dừng lại và đọc tiếp.
Mỗi lần bị gọi là 'con gái không hiểu rủi ro phái sinh', tôi lại mua thêm một hợp đồng quyền chọn. Và lần này, tôi mua put cho toàn bộ hệ sinh thái AI Agent. Bởi vì CoreBreak chứng minh rằng mọi lớp bảo vệ model – system prompt, RLHF, alignment training – đều có thể bị bypass chỉ bằng cách gửi một gói tin đúng định dạng vào đúng API. Ở AWS, InvokeHarness API nhận 'tool use content block' từ người dùng đã xác thực và thực thi nó mà không hỏi block đó có thực sự do model sinh ra hay không. CVSS 8.6 – cao, nhưng chưa phải cao nhất. Google ADK cho phép kẻ tấn công chèn hoặc thao túng lịch sử hội thoại để giả mạo xác nhận của con người cho các tool nhạy cảm. CVSS 9.3 – nghiêm trọng. Vercel dựa vào kiểm tra đường dẫn tiến trình, và một process độc hại trong sandbox Linux có thể dễ dàng giả mạo đường dẫn. CVSS 6.3 – thấp hơn, nhưng ảnh hưởng đến hàng triệu frontend developer.
Tôi đã từng audit smart contract ICO năm 2017, và pattern này quen thuộc đến đau lòng: mọi người tin vào cấu trúc dữ liệu mà không kiểm tra nguồn gốc. Như Ethereum transaction phải có chữ ký, nhưng ở đây không có. Kết quả là một 'inspection-execution gap' – khoảng cách giữa kiểm tra và thực thi. Model chỉ kiểm tra nội dung, nhưng scheduling layer thực thi bất cứ thứ gì có format giống tool call. Và đây không phải chuyện cá biệt. GuardFall – nghiên cứu từ Adversa AI – cho thấy 10/11 AI coding agent có thể bị shell injection bypass. Toàn bộ ngành đang xây nhà trên cát.
Mỗi lần một startup AI Agent khoe 'human-in-the-loop', tôi lại mua thêm một quyền chọn call để short sự tự tin của họ. Bởi vì CoreBreak cho thấy 'human approval' trong Google ADK có thể bị giả mạo chỉ bằng cách chèn một event giả vào session history. Điều này phá hủy hoàn toàn giả định an toàn phổ biến nhất: 'cứ để con người xác nhận lần cuối'. Nếu kẻ tấn công có thể control agent output, hắn có thể fake bất kỳ xác nhận nào. Trong crypto, nếu agent được dùng để ký giao dịch hoặc phê duyệt quyền, hậu quả là không thể đảo ngược.
Đừng đổ lỗi cho model. Đừng nghĩ rằng thêm system prompt hay RLHF sẽ cứu bạn. Vấn đề nằm ở lớp hạ tầng – plumbing layer. Cũng giống như DeFi, nếu smart contract có lỗi, không governance nào sửa được. Ở đây cũng vậy: nếu scheduling layer không verify nguồn gốc, mọi lớp bảo vệ phía trên đều vô dụng. Hướng khắc phục không phải là huấn luyện model tốt hơn, mà là thêm cơ chế ràng buộc mật mã giữa mỗi lượt model và mỗi lần gọi tool. Mỗi tool call phải được ký số bởi model session đó. Nghe có vẻ nặng? Nhưng blockchain đã làm điều đó từ năm 2009.
Crypto đã học được bài học về 'don't trust, verify'. AI Agent chưa. Và điều trớ trêu là các công ty lớn như AWS, Google, Vercel lại mắc cùng một lỗi cấu trúc. Điều này cho thấy đây không phải lỗi lập trình viên, mà là lỗi thiết kế kiến trúc. Nếu bạn đang xây dựng agent để giao dịch DeFi, hãy nhớ rằng kẻ tấn công có thể gọi bất kỳ tool nào mà không cần qua model. Hãy đòi hỏi source verification trước khi deploy. Đừng để lịch sử lặp lại.
Mỗi lần tôi thấy một dự án AI Agent không audit scheduling layer, tôi lại mua thêm một hợp đồng quyền chọn – lần này là để bảo vệ danh mục của mình. Bởi vì trong thị trường crypto, kẻ nào hiểu rủi ro trước sẽ sống sót. Còn kẻ nào tin vào 'human approval' mà không kiểm tra nguồn gốc? Họ sẽ là thanh khoản cho những người khôn ngoan hơn.
Khi nào chúng ta mới học được bài học từ Smart Contract?