Hook
Cái gọi là AI Agent? Tôi chỉ thấy metadata và lỗ hổng. Nous Research vừa tung ra Hermes Agent Bot Mode — một sản phẩm cho phép bạn tạo ra cả một đội ngũ AI “nhân viên” ảo, tự động giao tiếp qua @, chia sẻ hộp thư, thực thi tác vụ theo lịch. Nghe có vẻ như bước đột phá về năng suất. Nhưng với tư cách một kẻ đã đào xới hàng trăm smart contract, tôi chỉ thấy một bề mặt tấn công rộng hơn bất kỳ giao thức DeFi nào từng audit.
Context
Hermes Agent là sản phẩm của Nous Research, team đứng sau dòng model Hermes nguồn mở. Bot Mode không phải là model mới, mà là lớp giao diện tương tác: mỗi bot thực chất là một Profile cũ được “tái đóng gói” với khả năng nhận việc, nhớ riêng, kỹ năng riêng, và lịch trình riêng. Người dùng có thể @ một bot để giao việc, bot trả lời qua hộp thư chung, và có thể chạy tác vụ định kỳ mà không cần con người. Cộng đồng so sánh nó với Grok Bot của xAI, và chính đồng sáng lập Teknium thừa nhận: “Yep, chúng tôi đã lấp đầy khoảng trống đó.”
Nhưng hãy nhìn vào kiến trúc: mỗi bot có bộ nhớ, kỹ năng, lịch sử trò chuyện độc lập. Các bot giao tiếp qua hộp thư dùng chung. Không có bất kỳ mô tả nào về cơ chế kiểm soát truy cập, xác thực nguồn tin nhắn, hoặc giới hạn hành động nguy hiểm. Đây là mảnh đất màu mỡ cho tấn công.
Core
Hãy phân tích như tôi từng phân tích hợp đồng ICO năm 2017. Khi đó, lỗi integer overflow trong OmiseGO suýt làm mất 15% token. Giờ đây, Bot Mode có những điểm yếu cấu trúc tương tự — chỉ khác là chúng sống trong thế giới AI, không phải EVM.
1. Prompt Injection liên bot. Nếu bot A nhận được một prompt độc hại từ bên ngoài (qua web, email, file), nó có thể @ bot B với nội dung đã bị nhiễm. Bot B, không có cơ chế xác thực nguồn, sẽ thực thi lệnh đó. Đây là reentrancy của thế giới agent: một cuộc tấn công vào một bot có thể lan sang toàn bộ đội. Tôi đã thấy điều này trong audit Uniswap v2 — lỗi phí LP có thể gây ra hiệu ứng domino. Ở đây, domino là toàn bộ quy trình tự động hóa.
2. Memory poisoning. Mỗi bot duy trì bộ nhớ riêng. Nếu kẻ tấn công gửi một loạt tin nhắn “vô hại” nhưng dần dần đầu độc bộ nhớ, bot sẽ học sai và đưa ra quyết định sai lệch. Trong DeFi, tôi từng thấy oracle manipulation qua lịch sử giá giả. Memory poisoning là phiên bản AI của nó.
3. Tác vụ định kỳ không có giám sát. Bot có thể chạy lệnh theo lịch. Nếu kỹ năng của bot bao gồm gọi API bên ngoài (gửi email, thanh toán, sửa file), một tác vụ độc hại được lên lịch trước có thể gây thiệt hại mà không ai kịp can thiệp. Tôi nhớ lại vụ Terra Luna: Anchor Protocol dùng oracle đơn lẻ, không có fallback. Ở đây, không có “human in the loop” cho các tác vụ định kỳ.
4. Thiếu sandbox. Không có thông tin về việc bot chạy trong môi trường cách ly. Nếu bot có quyền truy cập hệ thống file hoặc network, một prompt injection có thể leo thang thành remote code execution. Đây là lỗi cơ bản mà tôi từng chỉ ra trong audit Render Network: thiếu rate limiting dẫn đến tắc nghẽn pool GPU. Lần này, hậu quả có thể là mất dữ liệu hoặc tài sản.
Contrarian
Nhiều người cho rằng AI Agent là tương lai của tự động hóa, và Bot Mode là bước tiến dân chủ hóa. Sai. Thực tế, bảo mật multi-agent hiện tại còn tệ hơn DeFi năm 2017. Khi đó, ít nhất các smart contract có thể audit được (dù lỗi đầy). Còn Hermes Agent? Không có sách trắng kỹ thuật, không có báo cáo bảo mật, không có mô tả về cơ chế phòng thủ. Nó giống như một giao thức DeFi không có audit, nhưng lại được quảng cáo là “usable by everyone”.
Điểm mù lớn nhất: mọi người nghĩ rằng vấn đề là model hallucination, nhưng thực tế vấn đề là trust giữa các bot. Một bot bị chiếm quyền có thể giả mạo bot khác, gửi lệnh độc hại qua @, và không có cơ chế chữ ký số hay xác thực danh tính. Trong thế giới blockchain, chúng ta có chữ ký ECDSA. Trong thế giới agent, chỉ có chuỗi văn bản. Đây là mảnh đất màu mỡ cho social engineering ở cấp độ máy.
Takeaway
Tôi dự đoán: trong vòng 6 tháng tới, sẽ có ít nhất một vụ tấn công nghiêm trọng vào hệ thống multi-agent, gây thiệt hại về tài chính hoặc dữ liệu, tương tự vụ reentrancy trên DAO năm 2016. Khi đó, mọi người sẽ ngạc nhiên: “Sao AI lại bị hack?” Còn tôi, tôi chỉ thấy metadata và lỗ hổng. Câu hỏi không phải là “liệu có bị hack không”, mà là “khi nào và ai sẽ là nạn nhân đầu tiên?”