**Hook**Tôi từng nghĩ rằng mối đe dọa lớn nhất đối với các developer blockchain là lỗi hợp đồng thông minh hoặc rug pull. Nhưng rồi một bài nghiên cứu tại DEF CON 34 đã xoay chuyển hoàn toàn góc nhìn của tôi: một kẻ tấn công không cần khai thác mã nguồn, không cần social engineering phức tạp – chỉ cần một HTTP POST vào Sentry DSN công khai, và sau đó ngồi chờ AI coding agent của nạn nhân tự động cài đặt backdoor vào máy. Điều này không phải là giả thuyết. Tenet Security đã chứng minh 85% tỷ lệ thành công trong thử nghiệm với hơn 100 tổ chức.
Context
Sentry là một nền tảng theo dõi lỗi (error monitoring) phổ biến, được hàng ngàn nhóm phát triển sử dụng để ghi nhận crash và exception. Các DSN (Data Source Name) là các endpoint công khai, không yêu cầu xác thực khi nhận dữ liệu lỗi – bất kỳ ai có DSN đều có thể POST dữ liệu lỗi vào dự án tương ứng. Trong khi đó, các AI coding agent như Claude Code hay Cursor, thông qua giao thức MCP (Model Context Protocol), có thể truy vấn Sentry để đọc các issue, nhằm hỗ trợ developer sửa lỗi tự động. Sự kết hợp giữa hai thiết kế “hợp lý” riêng lẻ này tạo ra một khe hở khai thác: kẻ tấn công POST một thông báo lỗi giả mạo có chứa hướng dẫn độc hại dưới dạng markdown, agent đọc và coi đó là lệnh sửa lỗi hợp lệ, rồi thực thi lệnh đó – ví dụ: cài đặt một gói npm độc hại từ kho lưu trữ công khai.
Core Insight
Điểm mấu chốt của kỹ thuật này nằm ở lỗ hổng kiến trúc: các agent AI hiện tại không thể phân biệt được ranh giới giữa “dữ liệu” và “chỉ thị” trong ngữ cảnh ngữ nghĩa. Khi một nguồn dữ liệu được agent tin tưởng (như Sentry issue) trả về nội dung, agent mặc nhiên coi nội dung đó là một phần của nhiệm vụ sửa lỗi, mà không có cơ chế kiểm tra xem liệu “đề xuất sửa lỗi” đó có thực sự đến từ code hay từ kẻ tấn công. Đây là biến thể của Indirect Prompt Injection, nhưng được khuếch đại bởi MCP – giao thức mở rộng khả năng của agent ra toàn bộ hệ sinh thái công cụ bên ngoài.
Từ kinh nghiệm audit của tôi với các dự án DeFi, tôi nhận thấy một điểm tương đồng rõ rệt: các oracle cũng từng bị khai thác vì tin tưởng mù quáng vào nguồn dữ liệu bên ngoài. Nhưng ở đây, rủi ro còn lớn hơn vì agent có thể thực thi lệnh trên máy local – không chỉ đọc dữ liệu. Chuỗi tấn công gồm sáu bước: (1) phát hiện DSN công khai (Tenet tìm thấy 2.388 tổ chức có DSN lộ diện); (2) POST sự kiện lỗi giả chứa payload độc hại; (3) developer yêu cầu agent debug issue đó; (4) agent đọc markdown và coi đó là hướng dẫn sửa lỗi; (5) agent thực thi lệnh cài đặt gói npm; (6) gói độc hại đánh cắp thông tin đăng nhập (AWS keys, GitHub tokens, npm registry tokens). Mỗi bước đều có thể thực hiện tự động, không cần sự can thiệp của con người ngoài bước kích hoạt.
Contrarian Angle
Có một quan điểm phổ biến rằng “phân mảnh thanh khoản là vấn đề lớn nhất của DeFi” – nhưng tôi cho rằng điều đó chỉ là narrative do các VC tạo ra để bán sản phẩm mới. Tương tự, trong câu chuyện này, nhiều người sẽ nói rằng “giải pháp là mã hóa tất cả dữ liệu đầu vào của agent” hoặc “cần một cơ chế chữ ký cho các tool call”. Nhưng thực tế, gốc rễ của vấn đề không phải kỹ thuật mà là niềm tin: agent đang được dạy để tin tưởng mọi đầu vào từ các nguồn được cấu hình sẵn. Một layer bảo vệ bổ sung như content filter (mà Sentry đã triển khai) có thể bị bypass bằng cách đơn giản là encode payload. Tenet phát hành agent-jackstop, một bộ cấu hình bảo vệ đầu cuối (network whitelist, command approval, credential isolation), nhưng nó chỉ giảm thiểu hậu quả, không giải quyết được kiến trúc “dữ liệu = lệnh” cốt lõi.
Thực tế, tôi cho rằng đây là tín hiệu cho thấy cuộc đua an toàn AI Agent mới chỉ bắt đầu. Những người xây dựng giao thức MCP và các nền tảng agent cần phải đưa ra một “lớp an toàn ngữ nghĩa” – nơi mỗi tool output mang một metadata về “mức độ tin cậy” và “nguồn gốc”, và agent phải có cơ chế từ chối thực thi các chỉ thị nhúng từ dữ liệu không được xác thực. Điều này tương tự như cách các hợp đồng thông minh phân biệt giữa “call” và “delegatecall” – một sai lầm trong thiết kế có thể dẫn đến mất toàn bộ tài sản.
Takeaway
Tôi đã từng mất 5.000 EUR vào một ICO vì tin vào lời hứa mà không kiểm tra thực tế. Hôm nay, các developer đang đối mặt với một rủi ro tương tự: tin tưởng vào agent của mình mà không đặt câu hỏi “ai đang thực sự viết code cho mình?”. Không phải công nghệ là sai, mà là cách chúng ta đặt niềm tin vào nó. Khi mỗi dòng lệnh bạn gõ có thể bị điều khiển từ xa qua một DSN công khai, đã đến lúc đặt lại câu hỏi: liệu agent của bạn có thực sự là công cụ, hay là cửa sau cho kẻ tấn công? ```
