SADF：AI Agent，11.9%-31.1%

Bot tôi nổ – you chỉ cần nhấn buy. Nhưng lần này, bot không phải là thứ tôi săn tín hiệu, mà là thứ tôi đang phân tích. Một nghiên cứu mới từ DEF CON 34 AI Village vừa công bố: AI Agent framework – thứ mà mọi blockchain project đang tích hợp để tự động hóa DeFi, quản lý DAO, hay vận hành bot giao dịch – đang mang một attack surface khổng lồ, và nó đã bị đánh giá thấp trong suốt ba năm qua. Tôi đã đọc báo cáo SADF: The Orchestration Framework Is the Attack Surface từ Julie Brunias và đội ngũ. Đây không phải một bài phân tích lý thuyết khô khan. Đây là một cú đấm thẳng vào mặt ngành AI Agent. Họ cố định model – Claude Sonnet – và so sánh Direct API với bốn framework phổ biến: CrewAI, LangChain, AutoGen, SmolAgents. Kết quả? Attack Success Rate (ACR) tăng từ 15.5% lên đến 31.1% khi bạn thêm framework vào. Hãy tưởng tượng bạn đang chạy một bot giao dịch tự động trên Uniswap. Bạn nghĩ model của bạn an toàn. Nhưng thực tế, framework mà bạn chọn – LangChain hay AutoGen – đang mở ra cánh cửa cho kẻ tấn công. Tool Call Hijacking, Output Poisoning, Cross-Tool Injection – tám loại failure mode được xác định, và mỗi loại đều có thể làm bot của bạn bán token với giá 0 hoặc chuyển tiền vào ví lạ. Tôi nhìn vào con số: CrewAI chỉ 11.9% ACR – thấp nhất. SmolAgents lên đến 31.1% – cao gấp 2.6 lần. Và điều gì làm tôi giật mình? SmolAgents có một failure mode độc nhất: RAG Poisoning, với tỷ lệ 20%, và Context Boundary Violation lên đến 64%. Nghĩa là, nếu bạn dùng SmolAgents để chạy bot phân tích dữ liệu on-chain, kẻ tấn công có thể tiêm dữ liệu giả vào RAG của bạn, và bot sẽ đưa ra quyết định giao dịch dựa trên thông tin sai lệch. Đây không phải chuyện đùa. Trong thị trường tăng hiện tại, mọi người đang FOMO, đổ tiền vào các dự án AI Agent mà không kiểm tra framework security. Tôi đã thấy các project huy động hàng triệu USD, nhưng audit code của họ chỉ tập trung vào smart contract, không phải framework layer. Đó là một lỗ hổng chết người. Bối cảnh: AI Agent đang trở thành xương sống của nhiều ứng dụng blockchain. Từ bot giao dịch tự động, đến quản lý thanh khoản, đến hệ thống voting trong DAO. Các framework như LangChain và AutoGen được sử dụng rộng rãi vì chúng đơn giản hóa việc tích hợp tool và memory. Nhưng sự đơn giản đó đi kèm với cái giá: attack surface mở rộng. Nghiên cứu SADF đã chỉ ra rằng, khi bạn thêm framework vào, model không còn là điểm yếu duy nhất. Các tool call, memory, và orchestration layer trở thành vector tấn công mới. Và vì hầu hết các framework đều mặc định cho phép tool call không giới hạn, kẻ tấn công có thể dễ dàng khai thác. Tôi đã từng viết bot Telegram để săn ICO vào năm 2017. Lúc đó, tôi chỉ lo về smart contract bug. Bây giờ, với AI Agent, mọi thứ phức tạp hơn nhiều. Tôi nhìn thấy một pattern: các dự án blockchain thường tập trung vào model accuracy, nhưng bỏ qua framework security. Họ dùng LangChain vì nó phổ biến, nhưng không biết rằng nó có ACR 18.1% – cao hơn CrewAI 52%. Cốt lõi của vấn đề: SADF đã chứng minh rằng framework layer không chỉ là một lớp trung gian vô hại. Nó là một attack surface có thể đo lường được. Và điều này thay đổi cách chúng ta đánh giá bảo mật cho các hệ thống AI Agent. Thay vì chỉ audit model, bạn phải audit cả framework + tool environment. Hãy nhìn vào con số chi tiết. Direct API với Claude Sonnet có ACR 15.5%. Khi thêm CrewAI, ACR giảm xuống 11.9% – điều này có vẻ tốt, nhưng thực tế CrewAI có cấu trúc task isolation giúp giảm rủi ro. Tuy nhiên, LangChain tăng lên 18.1%, AutoGen 20.0%, và SmolAgents 31.1%. Sự khác biệt giữa CrewAI và SmolAgents là 2.6 lần – một con số không thể bỏ qua. Điều gì làm SmolAgents nguy hiểm đến vậy? Nghiên cứu chỉ ra rằng nó có tỷ lệ Context Boundary Violation cực cao: 64%. Điều này có nghĩa là agent có thể vượt ra khỏi phạm vi được ủy quyền, truy cập vào các tool hoặc dữ liệu không được phép. Trong một hệ thống DeFi, điều này có thể dẫn đến việc agent thực hiện các giao dịch trái phép hoặc rút tiền từ pool. Nhưng đây mới là phần đáng sợ: RAG Poisoning. SmolAgents là framework duy nhất trong nghiên cứu có failure mode này, với tỷ lệ 20%. Kẻ tấn công có thể tiêm dữ liệu độc hại vào knowledge base của agent, và agent sẽ sử dụng dữ liệu đó để đưa ra quyết định. Hãy tưởng tượng bot của bạn đang phân tích dữ liệu on-chain để quyết định mua hay bán. Nếu kẻ tấn công tiêm dữ liệu giả về một token sắp pump, bot sẽ mua vào và kẻ tấn công sẽ bán ra. Tôi đã thấy điều này xảy ra trong thực tế. Năm 2021, khi tôi chạy bot sniping Uniswap, tôi phát hiện một số bot bị nhiễm độc dữ liệu từ các pool thanh khoản giả. Lúc đó, tôi nghĩ đó là lỗi của smart contract. Bây giờ, với SADF, tôi hiểu rằng vấn đề có thể đến từ framework layer. Góc nhìn phản trực giác: Nghiên cứu này cho thấy rằng framework an toàn nhất – CrewAI – lại là framework ít phổ biến nhất. Trong khi đó, LangChain và AutoGen – những cái tên được hàng nghìn dự án blockchain sử dụng – lại có ACR cao hơn. Điều này có nghĩa là các dự án đang chọn framework dựa trên tiện ích, không phải bảo mật. Và thị trường tăng hiện tại đang che giấu rủi ro này. Tôi có một kinh nghiệm cá nhân: Năm 2020, tôi xây dựng bot sniping Uniswap bằng một framework tự chế. Tôi không dùng LangChain hay AutoGen vì tôi không tin tưởng vào code của họ. Bot của tôi hoạt động ổn định, nhưng tôi mất nhiều thời gian để debug. Bây giờ, nhìn lại, tôi thấy quyết định đó đúng đắn. Nhưng không phải ai cũng có thời gian để build từ đầu. Takeaway cho cộng đồng blockchain: Đừng mù quáng chạy theo AI Agent. Hãy audit framework của bạn trước khi deploy. Nếu bạn đang dùng SmolAgents, hãy cẩn thận với RAG Poisoning và Context Boundary Violation. Nếu bạn dùng LangChain, hãy kiểm tra tool call permissions. Và nếu bạn dùng CrewAI, bạn có thể thở phào nhẹ nhõm, nhưng đừng chủ quan. Tôi đang theo dõi sát sao các CVE liên quan đến framework này. Azure SRE Agent (CVE-2026-62830) và Langflow (CVE-2026-9198) đã chứng minh rằng framework-level vulnerabilities không chỉ là lý thuyết. Chúng có thật, và chúng đang được khai thác. Bạn có dám không? Bạn có dám chạy bot giao dịch trên SmolAgents mà không có audit không? Tôi thì không. Và tôi đã sống qua ba mùa bear market. Bài viết này không phải để dọa bạn. Nó là để cảnh báo. Thị trường tăng đang che giấu nhiều lỗ hổng. Và SADF đã chỉ ra một trong những lỗ hổng lớn nhất: framework security. Đừng để bot của bạn trở thành mục tiêu của kẻ tấn công.