Quét 150 kho mã nguồn Bitcoin, AI tìm ra hơn chục lỗ hổng: Mỗi giờ một lỗi nghiêm trọng
Lê Thảo
Ngày 9/8, một nhóm bảo mật tự nguyện vừa công bố kết quả quét mã nguồn các dự án Bitcoin core. Họ dùng AI tiên tiến để rà soát khoảng 150 kho lưu trữ, tìm ra hơn chục lỗ hổng ảnh hưởng đến ví, thư viện mật mã và hạ tầng. Điều đáng nói: mỗi người trong nhóm trung bình phát hiện một lỗi nghiêm trọng mỗi giờ. Trong 12 giờ qua, họ đã gửi báo cáo tới nhiều dự án, dù tên cụ thể chưa được tiết lộ.
Tôi nhớ năm 2020, khi tự nguyện audit Yearn Finance v2, tôi mất hai tháng để tìm ra ba lỗ hổng nhỏ. Hôm nay, AI rút ngắn thời gian đó xuống còn vài giờ cho một nhóm người. Không phải vì họ giỏi hơn tôi, mà vì cách tìm kiếm đã thay đổi. Khi bạn dùng AI để quét toàn bộ luồng dữ liệu, bạn không còn nhìn code theo cách con người vẫn nhìn.
Nhóm sử dụng nhiều mô hình: Kimi K3, GPT Sol của OpenAI, Claude Fable của Anthropic, Opus, và GLM 5.2 của Z.ai. Không chỉ tìm lỗi, AI còn tạo tài liệu hỗ trợ cho từng phát hiện. Có nghĩa là chuỗi từ phát hiện đến báo cáo giờ đây liền mạch hơn. Một lỗ hổng bị bỏ sót nhiều năm có thể bị phơi bày chỉ trong một buổi chiều.
Nhìn kỹ vào con số: 150 kho mã nguồn, hơn chục lỗ hổng, mỗi giờ một lỗi nghiêm trọng. Đây là tốc độ mà con người khó đạt được nếu làm thủ công. Nhưng tôi không ngạc nhiên về khả năng của AI. Tôi ngạc nhiên về cách cộng đồng đang phản ứng: vừa mừng vì lỗ hổng được vá, vừa lo vì công cụ tương tự có thể rơi vào tay kẻ xấu.
Thực tế không đơn giản như vậy. Những sự cố gần đây của Coldcard và Boltz cho thấy AI đang được cả hai phía sử dụng: nhà nghiên cứu bảo mật để tìm và vá lỗi, kẻ tấn công để khai thác nhanh hơn. Đây không phải câu chuyện về thiện hay ác. Đó là câu chuyện về tốc độ. Trong thế giới phi tập trung, nơi không có đội ngũ an ninh tập trung canh gác mọi ngóc ngách, tốc độ phát hiện lỗ hổng trở thành yếu tố sống còn.
Tôi đã làm quản lý giao thức suốt nhiều năm, từng chứng kiến các dự án huy động hàng trăm triệu đô nhưng chỉ có hai kỹ sư bảo mật làm việc bán thời gian. Họ không lười. Họ đơn giản là không đủ người. AI không thay thế họ, nhưng nó san bằng khoảng cách giữa một nhóm năm người và năm mươi người.
Điều khiến tôi quan tâm không phải là AI phát hiện được bao nhiêu lỗi, mà là khả năng tạo tài liệu đi kèm. Một báo cáo lỗ hổng chỉ hữu ích nếu người đọc hiểu nó. Trong nhiều dự án tôi từng làm, có những lỗi nghiêm trọng bị bỏ qua vì báo cáo quá khó hiểu. AI có thể viết mô tả rõ ràng, kèm các bước tái hiện và đề xuất vá lỗi. Điều này làm giảm gánh nặng cho đội ngũ phát triển, vốn thường xuyên phải đọc những báo cáo mơ hồ.
Nhưng có một góc nhìn ngược. Nếu AI có thể quét và tìm lỗi nhanh như vậy, liệu các kho mã nguồn có đang được bảo vệ đúng cách? Không phải bởi tường lửa hay mã hóa, mà bởi chính sự phức tạp của hệ thống. Khi tôi audit code, tôi nhận ra một điều: lỗ hổng thường nằm ở những nơi mà con người không nghĩ tới. AI học từ dữ liệu, nhưng dữ liệu đó phản ánh cách con người từng viết code và từng phạm sai lầm. Vậy AI có thể phát hiện một loại lỗi mà chưa từng xuất hiện trước đó không? Câu trả lời vẫn đang bỏ ngỏ.
Chúng ta đang ở giai đoạn mà AI bảo mật giống như một kỹ sư trẻ xuất sắc: nhanh, chính xác, nhưng đôi khi thiếu bối cảnh. Tôi từng chứng kiến một lỗ hổng bị báo cáo là nghiêm trọng, nhưng thực tế nó nằm trong một module đã bị ngừng sử dụng từ lâu. AI không biết điều đó. Con người, với kinh nghiệm, có thể phân biệt được đâu là lỗi thật và đâu là mã không bao giờ chạy.
Vậy nên cách tiếp cận tốt nhất không phải là tin hoàn toàn vào AI, cũng không phải bài xích nó. Đó là kết hợp: AI tìm ra các ứng viên, con người xác nhận và ưu tiên xử lý. Nhóm bảo mật tự nguyện kia có vẻ đang làm đúng điều này khi gửi báo cáo cho các dự án thay vì tự mình vá lỗi.
Nhìn về phía trước, tôi cho rằng làn sóng AI bảo mật sẽ làm thay đổi cách các dự án phi tập trung vận hành. Không phải bằng cách loại bỏ con người, mà bằng cách tăng cường năng lực cho những nhóm nhỏ. Điều này đặc biệt quan trọng trong thị trường tăng hiện tại, khi tiền chảy vào các dự án mới nhanh hơn khả năng kiểm tra code của họ. AI giúp giảm rủi ro kỹ thuật trong một môi trường mà ai cũng đang vội.
Dựa trên kinh nghiệm audit của tôi, và cả những lần phải xử lý hậu quả khi lỗ hổng bị khai thác, tôi nhận thấy một điều: công nghệ không bao giờ là vấn đề chính. Vấn đề chính là quy trình và con người. AI không thể thay thế một quy trình bảo mật tốt, nhưng nó có thể khiến quy trình đó nhanh hơn và ít tốn kém hơn.
Câu hỏi đặt ra không phải là AI có thể tìm được bao nhiêu lỗ hổng. Mà là khi AI tìm thấy chúng, chúng ta có sẵn sàng hành động trước khi kẻ xấu kịp lợi dụng? Trong một thế giới phi tập trung, nơi không có cơ quan trung ương ép buộc mọi người vá lỗi, trách nhiệm thuộc về từng dự án. Và trách nhiệm đó giờ đây lớn hơn bao giờ hết.
Tôi nhớ lại lần đầu tiên gửi báo cáo audit cho Yearn Finance. Tôi hồi hộp, không chắc họ có đọc không. Cuối cùng họ không chỉ đọc mà còn phản hồi trong vòng 48 giờ. Sự chuyên nghiệp đó tạo nên niềm tin. Trong bối cảnh AI đang tăng tốc phát hiện lỗ hổng, các dự án cần phản hồi nhanh như vậy, nếu không muốn bị bỏ lại phía sau.
Vài năm trước, tôi từng viết rằng bảo mật không chỉ là code, mà là trách nhiệm. Hôm nay, tôi vẫn giữ quan điểm đó. Nhưng giờ đây trách nhiệm đó còn bao gồm việc biết cách sử dụng công cụ mới. Không phải để chạy theo xu hướng, mà để bảo vệ người dùng đang tin tưởng giao tài sản của họ cho các giao thức.
Quay lại nhóm bảo mật tự nguyện. Họ không tiết lộ tên các dự án bị ảnh hưởng, nhưng tôi đoán rằng trong số đó có những cái tên quen thuộc. Tôi cũng đoán rằng chúng ta sẽ sớm thấy các bản vá được phát hành, đi kèm lời cảm ơn tới nhóm nghiên cứu. Và đó là một tín hiệu tốt: cộng đồng đang tự bảo vệ mình bằng những công cụ thông minh hơn.
Một điều cuối. Khi bạn nghe tin AI tìm ra hàng loạt lỗ hổng, đừng hoảng sợ. Hãy xem đó là dấu hiệu của một hệ sinh thái đang trưởng thành. Lỗ hổng luôn tồn tại, kể cả khi không ai biết. Điều khác biệt là giờ đây chúng ta có cách tìm ra chúng nhanh hơn, và có cơ hội sửa chữa trước khi thảm họa xảy ra.
Những con số từ cuộc quét đó – 150 kho mã nguồn, một lỗi nghiêm trọng mỗi giờ – không chỉ nói về khả năng của AI. Chúng nói về sự thay đổi căn bản trong cách chúng ta nghĩ về bảo mật trong không gian phi tập trung. Không còn là câu chuyện của một vài chuyên gia nữa. Giờ là câu chuyện của công cụ, quy trình và cộng đồng.
Còn tôi, tôi vẫn sẽ dành thời gian cuối tuần để đọc code, theo cách chậm rãi quen thuộc. Không phải vì tôi không tin AI. Mà vì tôi muốn hiểu những gì đang chạy phía sau. AI có thể tìm ra nơi có vấn đề, nhưng chỉ con người mới hiểu tại sao nó lại thành vấn đề. Và trong hành trình đó, mỗi phát hiện nhỏ đều có ý nghĩa, dù là do máy móc hay do con người tìm ra.