AI Agent Đang Hành Động Như Smart Contract Không Có 'Approve' – Đó Là Lỗ Hổng Lớn Nhất Năm 2026

Ba con số đủ khiến bất kỳ nhà đầu tư nào tỉnh giấc. Năm 2026, một loạt dữ liệu tiêu dùng cho thấy 93% người dùng, trước khi hành động theo một gợi ý từ AI, tự mình kiểm tra lại ít nhất một bước. 85% doanh nghiệp đã triển khai công cụ AI, nhưng chỉ 25% nhân viên thường xuyên sử dụng. Và 74% sẵn sàng chuyển sang đối thủ nếu họ cảm thấy quyền riêng tư bị xâm phạm. Những con số này vẽ ra một bức tranh không mấy vui vẻ: người dùng đang chạy trốn khỏi AI, không phải vì nó kém thông minh, mà vì họ không tin nó. Giữa cơn sốt xây dựng những agent tự chủ, có một thứ mà các phòng sản phẩm đang cố tình lờ đi. Tôi gọi đó là khoảng trống ủy quyền – permission gap. Một AI agent có thể thay bạn đặt vé máy bay, gửi email, chuyển tiền, sửa code, ký văn bản. Nhưng nó không có một lớp ràng buộc cho phép rõ ràng. Nó giống như một chiếc ví nóng không có hàm Approve trong hợp đồng thông minh. Và trên blockchain, điều đó đồng nghĩa với một từ thôi: thảm họa. Hãy nhớ lại cách chúng ta từng dạy người mới bước chân vào DeFi. Bước đầu tiên: đọc kỹ mã hợp đồng trước khi approve. Bước thứ hai: dùng ví phụ, chỉ giữ một lượng token nhỏ. Bước thứ ba: thu hồi quyền ngay sau khi kết thúc. Chúng ta đã xây dựng cơ chế allowance, multisig, timelock, và những trình khám phá quyền như Etherscan Token Approval, để người dùng có thể kiểm tra xem hợp đồng nào đang nắm giữ quyền rút tiền của mình. Tại sao? Vì chúng ta biết rằng một hợp đồng thông minh có thể rút token mà không cần hỏi lại là một quả bom hẹn giờ. Nhưng khi bước sang thế giới AI agent, chúng ta ném tất cả sự khôn ngoan đó ra ngoài cửa sổ. Các agent hiện nay có quyền truy cập API, quyền đọc dữ liệu nhạy cảm, quyền ký giao dịch, quyền gửi tin nhắn thay mặt người dùng. Rất ít khi có một màn hình xác nhận rõ ràng gắn với ý định của chủ sở hữu. Và điều quan trọng hơn: ngay cả khi có màn hình xác nhận, nó cũng không thể hiện được phạm vi quyền hạn – agent được phép làm gì, trong bao lâu, đến đâu. Vấn đề không phải là không có công nghệ. OAuth, RBAC, ACL, đa yếu tố xác thực, tất cả đã tồn tại hàng chục năm. Vấn đề là các nhà sản xuất agent đang đặt khát vọng tự động hóa lên trên trách nhiệm. Họ coi việc hỏi người dùng là một rào cản, một sự phiền phức cần loại bỏ. Đó chính là lỗ hổng thiết kế nghiêm trọng nhất của thời đại AI tạo sinh. Trong hơn hai thập kỷ làm việc với các hệ thống tài chính và blockchain, tôi đã chứng kiến quá nhiều lần sự kiêu ngạo của những đội ngũ phát triển. Năm 2017, đội của tôi đánh giá 12 ICO cho một ngân hàng đầu tư tại Nairobi. Chúng tôi từ chối một dự án huy động 50 triệu đô la chỉ vì hợp đồng thông minh của họ có hàm rút tiền không yêu cầu xác thực đa chữ ký. Ba tháng sau, dự án đó bị hack, toàn bộ quỹ người dùng bốc hơi. Lúc ấy, chúng tôi gọi đó là lỗ hổng kiểm soát truy cập. Ngày nay, chúng ta gọi nó là AI agent. Một agent tự động quản lý danh mục đầu tư, tự động tương tác với các giao thức DeFi, tự động di chuyển tiền giữa các ví. Nó có thể thông minh hơn bất kỳ con người nào trong việc phân tích thị trường, nhưng quyền hạn của nó thì mơ hồ như một tờ giấy trắng. Điều gì xảy ra khi agent phán đoán sai và thực hiện một hoán đổi lớn? Điều gì xảy ra khi agent bị kẻ xấu thao túng bằng prompt injection? Nếu không có một lớp ủy quyền, mỗi hành động của agent là một lần bạn đặt cược toàn bộ tài khoản vào một bản hợp đồng không có điều khoản. Dữ liệu từ Yext cho thấy 93% người dùng phải tự kiểm tra lại sau khi nhận gợi ý từ AI. Hãy nhìn con số đó qua lăng kính kinh tế học hành vi. Mỗi lần tự kiểm tra là một chi phí – thời gian, công sức, sự bực bội. Tôi gọi đó là thuế tin cậy. Người dùng đang trả ít nhất 50 xu cho mỗi hành động mà lẽ ra sản phẩm phải loại bỏ. Một sản phẩm được thiết kế với cỗ máy trạng thái ủy quyền – permission state machine – sẽ biến chi phí đó thành một phần tự nhiên của cuộc đối thoại. Hãy tưởng tượng một giao diện đơn giản. Agent đề xuất: Tôi sẽ chuyển 200 USDC từ ví A sang ví B để trả hóa đơn điện. Bạn xem thấy người nhận, thấy số tiền, thấy phí gas, thấy dòng chữ: Giao dịch này được phép tối đa 200 USDC và sẽ hết hạn sau 30 phút. Bạn bấm một nút. Không cần mở block explorer, không cần tự kiểm tra số dư, không cần Google xem giao thức có an toàn không. Nút bấm đó là giao diện của một cơ chế sâu hơn: cho phép có thời hạn, có giới hạn về số tiền, có thể thu hồi, và có thể kiểm toán. Trên blockchain, cơ chế này đã thành hiện thực. Account abstraction, được chuẩn hóa trong ERC-4337, cho phép một ví có nhiều khóa với các quyền hạn tinh vi: một khóa chỉ được chi tối đa 100 đô la mỗi ngày, một khóa chỉ có hiệu lực trong vòng 24 giờ, một khóa khác cần xác nhận sinh trắc học. Session keys cho phép các ứng dụng thực hiện hành động thay mặt người dùng trong một phiên có giới hạn. Đây chính là những mảnh ghép cần thiết để xây dựng tầng ủy quyền cho AI agent. Thay vì trao cho agent quyền truy cập toàn bộ ví nóng, bạn có thể tạo một agent wallet – một hợp đồng thông minh đóng vai trò đại diện, với các quy tắc được viết bằng mã. Agent không còn là một chiếc hộp đen kỳ diệu; nó là một tập hợp các quyền hạn có thể lập trình, có thể kiểm toán, và có thể bị khóa lại bất cứ lúc nào. Đây chính là một insight mà bài báo gốc chưa đề cập: không chỉ là yêu cầu sự cho phép của con người, mà là mã hóa toàn bộ cuộc sống của agent thành một chuỗi các allowance có thể xác minh on-chain. Tôi đã thử nghiệm mô hình này trong một dự án token hóa đất đai cho hợp tác xã nông thôn ở Kenya. Chúng tôi cần một hệ thống cho phép các đại diện địa phương phê duyệt các khoản vay nhỏ mà không cần chờ trụ sở chính. Giải pháp là một hợp đồng thông minh với vai trò và quyền hạn rõ ràng. Không một đồng nào được di chuyển nếu thiếu chữ ký từ hai trong ba bên. Người dân không hiểu blockchain, nhưng họ hiểu cảm giác an toàn khi biết rằng không ai có thể tự ý lấy tiền của họ. Đó là bài học tôi mang theo suốt 9 năm qua: niềm tin không đến từ việc giải thích công nghệ, mà đến từ việc thiết kế các ranh giới rõ ràng. Bây giờ, AI agent đang ở vị trí của người nông dân Kenya. Nó cần được cấp quyền hạn theo cách mà nó có thể hiểu và tuân thủ. Nhưng các nhà phát triển agent đang làm ngược lại: họ càng làm cho agent thông minh, thì càng ít hỏi người dùng. Họ gọi đó là trải nghiệm mượt mà. Tôi gọi đó là sự thiếu trách nhiệm có chủ ý. Năm 2024, tôi công bố một báo cáo về ETF và dòng kiều hối ở Đông Phi. Một phát hiện khiến tôi nhớ mãi: những người dùng stablecoin tại Kenya thường rời bỏ các ứng dụng ví có quá nhiều quyền tự động. Họ không ngại trả phí cao hơn, chỉ cần họ kiểm soát được từng khoản tiền. Điều đó cho thấy một chân lý: với người dùng có thu nhập thấp, mất tiền do một sai lầm kỹ thuật là thảm họa không thể chấp nhận. Họ sẵn sàng trả tiền cho sự an toàn. Vậy mà các sản phẩm AI agent hiện nay lại đang thiết kế cho những người dùng giàu có, những người có thể chịu đựng được rủi ro mất 200 đô la. Đây là một sự bất công. Nếu permission gap không được giải quyết, AI sẽ chỉ phục vụ cho một nhóm nhỏ đặc quyền, còn những người cần nó nhất – người lao động, nông dân, chủ doanh nghiệp nhỏ – sẽ bị bỏ lại. Và đó là lý do tôi viết bài này. Prompt injection đang trở thành vũ khí lợi hại. Kẻ tấn công có thể nhúng một câu lệnh ẩn vào một trang web mà agent đang đọc. Agent không phân biệt được đâu là nội dung, đâu là chỉ thị. Nó có thể ký một giao dịch chuyển toàn bộ tài sản mà không hề hay biết. Trong một hệ thống có lớp ủy quyền tốt, thiệt hại sẽ được giới hạn bởi allowance: ngay cả khi agent bị lừa, nó không thể chuyển quá 50 đô la hoặc chuyển đến một địa chỉ chưa được phép. Đây chính là điều các dự án agent cần học từ DeFi: luôn giả định rằng hợp đồng có thể bị tấn công, vì vậy hãy giới hạn quyền rút tiền. Vấn đề tiếp theo là quyền sở hữu khóa. Nếu agent sở hữu một private key, ai giữ bản sao dự phòng? Nếu agent bị hỏng hoặc bị thay thế bởi một phiên bản độc hại, làm sao người dùng thu hồi quyền? Đây là lý do các giải pháp ví thông minh với tính năng phục hồi xã hội trở nên quan trọng. Người dùng có thể chỉ định những người giám hộ để khôi phục quyền kiểm soát khi agent hoạt động bất thường. Trên blockchain, điều này đã được hiện thực hóa bằng hợp đồng phục hồi ví. Nhưng trong thế giới AI, chưa có tiêu chuẩn tương tự. Và còn một lớp nữa: kiểm toán. Một hệ thống agent đáng tin cậy phải ghi lại mọi hành động, lý do, và dữ liệu đầu vào. Điều này giống như một sổ cái giao dịch nhưng bao gồm cả quyết định. Các công ty kiểm toán truyền thống sẽ sớm phát triển dịch vụ audit hành vi agent, và blockchain lại là nơi hoàn hảo để lưu trữ những bằng chứng đó nhờ tính bất biến và minh bạch. Nếu mọi hành động của agent đều được ký số và lưu trữ on-chain, thì khi tranh chấp xảy ra, chúng ta có một nguồn sự thật duy nhất. Đây không phải là tương lai xa xôi. Các dự án như Lit Protocol hoặc Coinbase AgentKit đã bắt đầu kết nối agent với blockchain. Nhưng họ mới đang ở giai đoạn đầu, và hầu hết vẫn chưa chú trọng đúng mức vào lớp ủy quyền. Đừng vội kết luận rằng chủ động là kẻ thù của xin phép. Cuộc sống sẽ không thể vận hành nếu bạn phải gật đầu 500 lần một ngày. Tương lai, như mọi hệ thống kiểm soát rủi ro tốt, sẽ là sự phân tầng. Hành động rủi ro thấp – đặt báo thức, thêm sự kiện vào lịch, tìm kiếm thông tin – có thể tự động hoàn toàn. Hành động rủi ro trung bình – chi tiêu dưới 50 đô la, mua hàng trong ngân sách – cần một nút xác nhận. Hành động rủi ro cao – chuyển tiền lớn, thay đổi quyền truy cập hệ thống, ký hợp đồng pháp lý – phải yêu cầu xác thực đa yếu tố, thậm chí chữ ký từ nhiều bên. Đây không phải là sự đánh đổi giữa tiện lợi và an toàn. Đây là việc thiết kế một giao diện theo khẩu vị rủi ro, giống như các ngân hàng đã làm suốt nửa thế kỷ. Sự trớ trêu lớn nhất của thời đại này là blockchain, thứ từng tuyên bố don't trust verify, lại đang trở thành nền tảng của lòng tin cho AI. Các nhà phát triển agent sẽ sớm nhận ra họ cần không chỉ một mô hình ngôn ngữ lớn, mà còn một sổ cái minh bạch để ghi lại hành động, một cơ chế đồng thuận để xác nhận sự cho phép, và một hệ thống bảo hiểm để bồi thường khi agent làm sai. Tất cả những thứ đó đều có thể xây bằng blockchain. Các công ty bảo hiểm sẽ bắt đầu bán bảo hiểm hành vi agent. Các công ty kiểm toán sẽ phát triển dịch vụ kiểm toán nhật ký quyết định. Các nhà cung cấp hạ tầng sẽ xây dựng kho lưu trữ sự đồng thuận phục vụ tranh chấp pháp lý. Đây là một thị trường trị giá hàng trăm tỷ đô la, và nó nằm trong tầm tay của các kỹ sư blockchain, những người đã giải quyết những vấn đề tương tự cho DeFi. Nhưng cũng có một nỗi lo: nếu các nền tảng lớn như OpenAI hoặc Microsoft xây dựng lớp ủy quyền ngay trong sản phẩm của họ, họ sẽ biến nó thành một tiêu chuẩn đóng. Họ có thể định nghĩa sự cho phép theo cách có lợi cho họ và hút toàn bộ dữ liệu về quyền hạn về trung tâm. Điều này sẽ tạo ra sự tập trung quyền lực còn tồi tệ hơn cả kiểm soát dữ liệu hiện tại. Lịch sử của App Store và các chính sách quyền riêng tư đã cho chúng ta thấy: khi niềm tin trở thành một lớp hạ tầng, hạ tầng đó sẽ thu thuế. Vì vậy, những người theo chủ nghĩa phi tập trung không nên đứng ngoài cuộc chơi. Nếu muốn một tầng ủy quyền mở, có khả năng tương tác, không bị chiếm đoạt bởi một tập đoàn, chúng ta cần bắt đầu xây dựng nó ngay bây giờ – như một giao thức, không phải như một tính năng. Nhưng hãy cẩn thận với một nghịch lý khác: càng nhiều lời nhắc xác nhận, người dùng càng trở nên vô cảm. Họ sẽ bấm đồng ý mà không đọc, và khi đó lớp ủy quyền chỉ còn là hình thức. Vì vậy, các nhà thiết kế cần ưu tiên chất lượng hơn số lượng: hãy dành những câu hỏi cho những hành động thực sự có rủi ro, còn những việc nhỏ nhặt hãy để mặc agent tự động. Điều này đòi hỏi một mô hình đánh giá rủi ro theo thời gian thực – một thứ các công ty blockchain có thế mạnh nhờ dữ liệu on-chain minh bạch. Nếu agent có thể học từ lịch sử giao dịch của người dùng để dự đoán họ sẽ đồng ý điều gì, nó có thể đưa ra đề xuất xác nhận ngắn gọn, không phải pop-up gây phiền nhiễu mà là một dòng nhắc thông minh. Tôi cũng muốn chỉ ra một điểm mù trong các cuộc thảo luận: khái niệm đồng thuận có hiệu lực trong luật. Không phải cứ bấm nút đồng ý là bạn đã thực sự hiểu và chấp nhận hậu quả. Với những hành động phức tạp như đầu tư tài chính hoặc quyết định y tế, một agent không thể chỉ hỏi bạn có chắc không? mà phải cung cấp thông tin về rủi ro, chi phí và các phương án thay thế. Điều này đi sâu vào luật và đạo đức, và một lần nữa, blockchain với tính bất biến có thể giúp lưu trữ bằng chứng về quá trình ra quyết định. Nếu không có những bằng chứng này, tòa án sẽ rất khó xác định trách nhiệm khi agent gây thiệt hại. Và đó chính là nơi permission gap trở thành một vấn đề pháp lý, không chỉ là thiếu sót về sản phẩm. Vậy, với tư cách một nhà đầu tư, tôi sẽ nhìn vào điều gì khi đánh giá một dự án AI agent trong năm 2026? Trước tiên, tài liệu kỹ thuật có đề cập đến cơ chế ủy quyền không? Thứ hai, agent có một định danh on-chain riêng, với lịch sử hành động có thể kiểm toán không? Thứ ba, có giới hạn về số tiền và phạm vi hành động có thể cấu hình không? Nếu câu trả lời là không, thì dù mô hình có thông minh đến đâu, sản phẩm vẫn là một chiếc ví nóng không có khóa. Thị trường tăng giá hiện tại khiến chúng ta quên những bài học của năm 2022, khi hàng tỷ đô la bốc hơi vì những lỗ hổng kiểm soát truy cập đơn giản. Thị trường tăng giá che giấu lỗi kỹ thuật, nhưng lỗi kỹ thuật không biến mất vì bạn không nhìn thấy. AI agent đang khuếch đại sức mạnh của từng dòng code, và vì thế cũng khuếch đại sức tàn phá của một sai sót nhỏ. Hãy nhìn vào những giao thức DeFi từng thất bại: họ không thiếu trí tuệ, họ thiếu một lớp kiểm soát rõ ràng. Với những nhà phát triển, tôi muốn nói: nếu bạn đang xây dựng một agent, hãy bắt đầu với câu hỏi điều tồi tệ nhất agent này có thể làm nếu nó hiểu sai hoặc bị tấn công là gì? Sau đó, thiết kế một lớp quyền hạn giới hạn chính xác điều đó. Nếu bạn không biết bắt đầu từ đâu, hãy nhìn vào ERC-20 allowance, ERC-4337 account abstraction, và session keys. Đừng chờ tiêu chuẩn ngành xuất hiện. Cơ hội nằm ở việc tạo ra nó. Câu hỏi cuối cùng không phải AI có thể tự chủ đến đâu, mà là bạn có muốn sống trong một thế giới nơi một cỗ máy có thể tự ý tiêu tiền của bạn mà không cần hỏi không? Nếu câu trả lời là không, hãy bắt đầu yêu cầu các nhà phát triển xây dựng tầng ủy quyền ngay hôm nay. Bởi vì trong thế giới blockchain, một agent không có quyền hạn rõ ràng chính là một hợp đồng thông minh đang chờ bị khai thác.