Ngành tự xây cơ quan quản lý: Bài toán niềm tin cho AI agent thanh toán 300 tỷ USD

Ngày 4/8/2026, x402 protocol nhìn bề ngoài có vẻ là một câu chuyện thành công điển hình của crypto: 200 triệu giao dịch đã được xử lý, một con số đủ để gây ấn tượng với bất kỳ nhà đầu tư nào. Nhưng khi đặt cạnh con số 300 tỷ USD – thị trường agentic commerce mà Secure Technology Alliance vừa công bố vào đúng ngày hôm đó – thì bức tranh bắt đầu lệch lạc. 200 triệu giao dịch ấy, nếu trung bình mỗi giao dịch trị giá 5 USD, chỉ tương đương 1 tỷ USD tổng khối lượng. Tức là chưa tới 0.3% con số mà ngành đang tự tin dự báo cho bốn năm tới. Bạn có thể gọi đó là khoảng cách giữa thí nghiệm và công nghiệp hóa. Hoặc có thể gọi đó là thứ mà tôi, một kẻ đã dành gần một thập kỷ đọc mã nguồn của các giao thức thanh toán phi tập trung, gọi là “khoảng trống niềm tin”. Khoảng trống này không nằm ở công nghệ. Nó nằm ở tầng pháp lý, nơi mà cỗ máy AI agent đang hoạt động trong một vùng xám: không hoàn toàn là công cụ, không hoàn toàn là chủ thể pháp lý. Và khi cơ quan lập pháp Mỹ còn đang mải mê với GENIUS Act – một khung pháp lý tập trung vào nhà phát hành stablecoin mà gần như bỏ ngỏ cơ chế vận hành của các giao dịch do máy khởi xướng – thì khu vực tư nhân đã bắt đầu tự xây dựng kiến trúc quản trị cho riêng mình. Đó là điều tất yếu. Nhưng điều khiến tôi thực sự quan tâm không phải là việc họ xây dựng, mà là họ đang xây dựng trên nền móng nào. Cùng ngày Diễn đàn Agentic Trust and Commerce Forum được thành lập, Tòa án Phúc thẩm Liên bang khu vực 9 đã ra phán quyết trong vụ Amazon kiện Perplexity AI, phân loại AI agent là “trình duyệt” (browser) thay vì “kẻ xâm nhập” (intruder) theo Đạo luật Lạm dụng Máy tính và Gian lận (CFAA). Về mặt kỹ thuật, phán quyết này có nghĩa là người dùng phải chịu trách nhiệm cho hành động của agent do họ sở hữu – tương tự như việc bạn chịu trách nhiệm khi trình duyệt của bạn truy cập vào một trang web bất hợp pháp. Nhưng đây là một phép ẩn dụ nguy hiểm, bởi vì trình duyệt không tự đưa ra quyết định. Trình duyệt không tự khởi xướng giao dịch. Trình duyệt không tự thương lượng giá. AI agent thì làm tất cả những điều đó. Hãy để tôi đào sâu vào cái gọi là “sự tương tự trình duyệt” này, bởi vì nó nằm ở trung tâm của toàn bộ bài toán quản trị. Khi bạn gõ một URL vào trình duyệt, bạn đang thực hiện một hành động có chủ đích. Khi bạn yêu cầu một AI agent “tìm vé máy bay rẻ nhất và đặt hộ tôi”, bạn đang giao phó một chuỗi quyết định phức tạp. Giữa hai thái cực này là một vùng liên tục về mức độ ủy quyền, và pháp luật hiện tại không có công cụ nào để đo lường ranh giới giữa “hành động theo lệnh” và “hành động vượt quá phạm vi ủy quyền”. Vụ Amazon kiện Perplexity về cơ bản đã nói rằng: “Agent là sự mở rộng của người dùng, và người dùng phải trả giá cho mọi sai lầm của nó.” Một câu trả lời đơn giản cho một bài toán không hề đơn giản. Đây chính là lý do vì sao Diễn đàn Agentic Trust and Commerce Forum lại được cấu trúc xoay quanh bốn câu hỏi cốt lõi, và tôi muốn phân tích từng câu hỏi một cách kỹ lưỡng, bởi vì chúng phản ánh chính xác những lỗ hổng mà tôi đã thấy trong quá trình audit các giao thức tài chính phi tập trung suốt nhiều năm. Câu hỏi thứ nhất: Danh tính agent nên được thiết lập và xác minh như thế nào? Thoạt nghe có vẻ là một câu hỏi về công nghệ, nhưng thực chất là một câu hỏi về triết học. Trong thế giới blockchain, chúng ta đã quen với khái niệm danh tính gắn với cặp khóa. Một địa chỉ ví, một chữ ký số, và bạn có một bằng chứng mật mã về việc ai đã thực hiện giao dịch. Nhưng AI agent không có khóa riêng theo nghĩa truyền thống. Nó có thể có một API key, nhưng API key chỉ chứng minh rằng một thực thể nào đó đã được cấp quyền truy cập vào một hệ thống. Nó không chứng minh được ý định đằng sau mỗi lệnh gọi. Tệ hơn nữa, agent có thể bị nhiễm độc (poisoned), bị thao túng thông qua prompt injection, hoặc đơn giản là bị lừa bởi một trang web độc hại – và khi đó, chữ ký của nó không khác gì chữ ký của một người đang bị đe dọa. Trên thực tế, trong quá trình audit hợp đồng thông minh, tôi từng thấy nhiều trường hợp chủ ví mất tiền vì ký vào một giao dịch độc hại mà họ không hiểu. Nhân lên điều này cho hàng triệu AI agent hoạt động độc lập, và bạn sẽ thấy một thảm họa đang chờ xảy ra. Câu hỏi thứ hai: Tiêu chuẩn dữ liệu và nguyên tắc tương tác nào là cần thiết để ghi lại “ý định”? Đây là nơi mà tôi cảm thấy thoải mái nhất, bởi vì nó liên quan trực tiếp đến một trong những vấn đề nan giải nhất của DeFi: làm thế nào để biểu diễn ý định của người dùng một cách có cấu trúc và có thể kiểm chứng được. Trong thế giới blockchain, chúng ta có khái niệm “intent” – gần đây đã trở thành một từ thông dụng nhờ vào các giao thức như UniswapX hay ERC-4337 account abstraction. Ý tưởng là: thay vì người dùng ký từng giao dịch cụ thể, họ ký một tuyên bố về điều họ muốn đạt được – ví dụ “bán 1 ETH với giá tối thiểu 3000 USDC” – và để cho một bên thứ ba tìm cách tốt nhất để thực hiện điều đó. Nhưng trong môi trường AI agent, “ý định” trở nên linh hoạt hơn nhiều. Một agent có thể nhận được một mục tiêu cấp cao (“tối ưu hóa chi phí đi lại trong tháng này”) và tự do quyết định cách thức đạt được mục tiêu đó. Vậy làm sao để ghi lại một cách có cấu trúc một mục tiêu mơ hồ như vậy? Làm sao để xác định rằng agent đã làm đúng điều người dùng muốn, hay đã đi chệch hướng một cách tinh vi? Đây không còn là bài toán mật mã, mà là bài toán biểu diễn tri thức. Và các chuẩn dữ liệu hiện tại – dù là ISO 20022 cho thanh toán hay các schema JSON của OpenAPI – đều không được thiết kế cho loại tương tác mở, nhiều tầng và tự trị này. Câu hỏi thứ ba là câu hỏi khiến tôi quan tâm nhất, bởi vì nó đụng chạm trực tiếp đến khái niệm “sự đồng ý của người tiêu dùng”. Trong các hệ thống thanh toán truyền thống, sự đồng ý thường được biểu hiện qua việc nhập mã PIN, xác thực sinh trắc học, hoặc nhấn nút “Xác nhận” trên giao diện. Nhưng khi không có con người ở điểm giao dịch – khi một agent tự động đàm phán và tự động thanh toán – thì sự đồng ý trở thành một khái niệm trừu tượng. Bạn có thể lập trình cho agent một ngân sách, một danh sách các nhà cung cấp được phép, và một loạt các ràng buộc. Nhưng điều gì xảy ra khi agent gặp phải một tình huống không được liệt kê? Nó sẽ tự quyết định. Và khi nó tự quyết định sai, ai chịu trách nhiệm? Người dùng vì đã không lường trước được mọi kịch bản? Nhà phát triển vì đã không viết đủ chặt chẽ các quy tắc? Hay chính agent vì nó đã “tự ý” hành động vượt quá phạm vi ủy quyền? Tòa án đã trả lời: người dùng chịu trách nhiệm. Nhưng câu trả lời đó hoàn toàn phi logic về mặt kỹ thuật, bởi vì nó giả định rằng người dùng có khả năng kiểm soát mọi hành vi của agent, trong khi bản chất của agent là tự chủ. Câu hỏi thứ tư – về xử lý tranh chấp khi không có con người tại điểm giao dịch – là nơi tôi thấy rõ nhất sự khác biệt giữa một “khuôn khổ quản trị do ngành xây dựng” và một “giao thức kỹ thuật đúng nghĩa”. Trong blockchain, chúng ta có cơ chế dispute resolution thông qua các sàn giao dịch phi tập trung như optimistic rollup: các bên giao dịch có một cửa sổ thời gian để khiếu nại, và một bên thứ ba trung lập (challenger) có thể xác minh tính hợp lệ của các giao dịch thông qua bằng chứng gian lận. Điều này hoạt động trong môi trường mà mọi hành động đều được ghi lại trên một sổ cái công khai. Nhưng trong agentic commerce, không phải lúc nào cũng có sổ cái. Một agent có thể mua một chiếc vé máy bay thông qua nhiều kênh phân tán, từ API của hãng hàng không đến các đại lý trung gian, và không có nguồn dữ liệu duy nhất nào ghi lại toàn bộ chuỗi giao dịch. Vậy làm sao để xác định ai sai ai đúng khi có tranh chấp? Làm sao để trích xuất bằng chứng từ các hệ thống không liên thông với nhau? Và làm sao để phân xử một cách công bằng khi một bên là con người, còn bên kia là một thuật toán? Bốn câu hỏi này, khi đặt cạnh nhau, tạo thành một bức tranh toàn cảnh về những gì đang xảy ra trong ngành thanh toán của Mỹ. Và điều khiến tôi chú ý là cách mà ngành công nghiệp đang trả lời những câu hỏi này không phải bằng tuyên bố hay chính sách, mà bằng tiền mặt. Hãy nhìn vào dòng tiền đang chảy trong tám tuần gần đây. Ngày 3/8/2026, Visa hoàn tất thương vụ mua lại BioCatch với giá 2,4 tỷ USD. BioCatch là một công ty chuyên về sinh trắc học hành vi – công nghệ phân tích cách người dùng tương tác với thiết bị: tốc độ gõ phím, cách di chuyển chuột, góc nghiêng điện thoại – để phát hiện gian lận. Visa không mua BioCatch vì muốn cải thiện bảo mật cho con người. Họ mua BioCatch vì muốn xây dựng một “tầng tin cậy” cho các tương tác do máy khởi xướng, trong đó mỗi phiên hoạt động của agent sẽ được phân tích dựa trên 3.000 điểm dữ liệu để xác định xem hành vi của nó có nằm trong phạm vi dự kiến hay không. Tức là, thay vì hỏi “agent này là ai”, họ đặt câu hỏi “agent này có hoạt động giống với một agent mà chúng ta tin tưởng hay không”. Cùng thời điểm đó, Mastercard chi 1,8 tỷ USD mua lại BVNK – một công ty hạ tầng stablecoin có trụ sở tại London. Động thái này nói lên nhiều điều về chiến lược của Mastercard: họ không mua một sàn giao dịch, không mua một ngân hàng tiền điện tử, mà mua một công ty cung cấp API để doanh nghiệp có thể phát hành và chấp nhận thanh toán bằng stablecoin. Nói cách khác, Mastercard đang mua “tầng thanh toán” cho các giao dịch AI agent, trong khi Visa đang mua “tầng xác thực”. Đây là hai mảnh ghép quan trọng nhất của kiến trúc thanh toán do máy điều hành: một lớp để đảm bảo rằng giao dịch được phép, và một lớp để đảm bảo rằng giao dịch được thanh toán. Nhưng có một chi tiết khiến tôi dừng lại. Trước đó, Mastercard đã ra mắt Verifiable Intent – một tầng xác thực mật mã được đồng phát triển với Google. Verifiable Intent, theo như tài liệu kỹ thuật, sử dụng chữ ký số để tạo ra “bằng chứng có thể xác minh về ý định của người dùng”. Nhưng đây là một khái niệm mơ hồ về mặt kỹ thuật, bởi vì chữ ký số chỉ có thể xác minh rằng một thực thể nắm giữ một khóa bí mật nào đó đã ký vào một chuỗi byte cụ thể. Nó không thể xác minh “ý định” theo nghĩa con người của từ này. Khi bạn ký một giao dịch chuyển 100 USDC cho một địa chỉ cụ thể, bạn đang thể hiện ý định chuyển tiền cho địa chỉ đó. Nhưng điều gì xảy ra nếu bạn đang bị lừa? Điều gì xảy ra nếu một giao diện độc hại đã thay thế địa chỉ thật bằng địa chỉ của kẻ tấn công? Bạn vẫn ký, chữ ký vẫn hợp lệ, và ý định của bạn – theo cách hiểu của máy tính – vẫn là chuyển tiền đến địa chỉ đó. Nhưng ý định thực sự của bạn không phải vậy. Đây là một lỗ hổng triết học ngay tại trung tâm của khái niệm Verifiable Intent. Và khi bạn thêm vào yếu tố AI agent – nơi mà chính cái “ý định” được tạo ra bởi một mô hình học máy chứ không phải bởi một bộ não con người – thì bài toán càng trở nên phức tạp hơn. Nếu bạn đang tự hỏi vì sao tôi – một kẻ chuyên audit hợp đồng thông minh – lại dành nhiều thời gian phân tích một vấn đề pháp lý và hạ tầng thanh toán truyền thống như vậy, thì xin hãy kiên nhẫn. Bởi vì tôi đang nhìn thấy một sự lặp lại của lịch sử, và tôi muốn chỉ ra cho bạn thấy điều đó. Năm 2017, tôi vừa tốt nghiệp và nhận một công việc audit nhỏ cho một dự án ICO tên là TokenSwap – một nền tảng hoán đổi token phi tập trung. Sau hai tuần đọc mã nguồn Solidity của họ, tôi phát hiện ra một lỗi integer overflow trong hàm tính phí. Lỗi này, nếu bị khai thác, có thể dẫn đến việc kẻ tấn công khiến số phí tính ra bằng 0 hoặc thậm chí là số âm, từ đó rút toàn bộ thanh khoản của pool. Tôi đã viết báo cáo chi tiết với năm issue trên GitHub. Tôi đánh dấu mức độ nghiêm trọng cao, tôi đính kèm các đoạn mã chứng minh, tôi thậm chí viết cả một bài kiểm tra mô phỏng để cho thấy tác động. Đội ngũ dự án phản hồi chậm. Họ nói rằng họ sẽ xem xét. Hai tuần sau, dự án bị khai thác đúng lỗi đó. 200 ETH đã bị rút sạch. Trong thị trường giá 800 USD cho một ETH, đó là một vụ mất cắp 160.000 USD – con số không lớn theo tiêu chuẩn ngày nay, nhưng là một bài học không bao giờ phai nhạt với tôi: trong môi trường phi tập trung, khi không có cơ quan trung ương để kiểm soát rủi ro, thì sự cẩu thả về kỹ thuật sẽ bị trừng phạt ngay lập tức và không thương tiếc. Giờ đây, tôi nhìn thấy chính khuôn mẫu đó – môi trường mới, rủi ro mới, nhưng cùng một loại sự cẩu thả – đang diễn ra trong ngành công nghiệp thanh toán AI agent. Chỉ có điều lần này, các nạn nhân không phải là những nhà đầu tư cá voi trong một ICO mù sương, mà là người tiêu dùng bình thường, và giá trị có thể không chỉ là 200 ETH mà là hàng tỷ USD. Hãy nhìn vào kiến trúc hạ tầng mà các gã khổng lồ thanh toán đang xây dựng. Về mặt khái niệm, nó có ba lớp. Lớp thứ nhất là lớp sinh trắc học hành vi của BioCatch – nó hoạt động ở lớp ứng dụng, phân tích hành vi của agent trong thời gian thực. Lớp thứ hai là lớp xác thực ý định của Mastercard (Verifiable Intent) – nó hoạt động ở lớp giao dịch, tạo ra các bằng chứng mật mã về việc một giao dịch có được “chủ động” thực hiện hay không. Và lớp thứ ba là lớp thanh toán stablecoin của BVNK – nó hoạt động ở lớp thanh toán bù trừ, cho phép các khoản thanh toán được định danh bằng stablecoin như USDC hoặc USDT. Bạn có thấy điều gì đó quen thuộc không? Hãy so sánh với kiến trúc của một hệ thống phòng chống gian lận thẻ tín dụng truyền thống. BioCatch giống hệt các công cụ phát hiện gian lận dựa trên phân tích hành vi người dùng mà các ngân hàng đã dùng suốt hai thập kỷ qua. Verifiable Intent giống hệt các cơ chế xác thực giao dịch như 3-D Secure hoặc Verified by Visa. Và BVNK về cơ bản giống hệt một mạng lưới thanh toán như VisaNet hay Fedwire, chỉ khác là nó sử dụng stablecoin thay vì tiền pháp định truyền thống. Nói cách khác, ngành công nghiệp thanh toán đang tái tạo chính những cấu trúc vận hành của hệ thống cũ, chỉ với một lớp sơn công nghệ mới. Điều này không nhất thiết là xấu – sự thận trọng là điều đúng đắn khi xử lý tiền của người khác. Nhưng nó đặt ra một câu hỏi khó chịu: nếu toàn bộ kiến trúc chỉ là sự tái thiết của những gì đã tồn tại, thì liệu nó có thực sự giải quyết được vấn đề cốt lõi mà lớp quản trị mới tuyên bố sẽ giải quyết hay không? Tôi muốn đi sâu vào vấn đề sinh trắc học hành vi của BioCatch, bởi vì tôi tin rằng đây là nơi nguy cơ tiềm ẩn lớn nhất. BioCatch được sinh ra trong thế giới ngân hàng bán lẻ, nơi các hành vi của con người có những khuôn mẫu tương đối ổn định – bạn gõ phím theo cùng một cách, bạn di chuyển chuột theo cùng một quỹ đạo, bạn sử dụng điện thoại theo cùng một tư thế. Khi một người dùng hợp lệ bị chiếm quyền điều khiển và kẻ tấn công cố gắng thao túng thiết bị, các hành vi này sẽ lệch khỏi khuôn mẫu đã học, và hệ thống sẽ phát hiện ra sự bất thường. Đây là một cách tiếp cận hợp lý cho môi trường có một con người duy nhất điều khiển một thiết bị. Nhưng chuyển sang thế giới AI agent, giả định nền tảng này sụp đổ. Một AI agent không có “thói quen đánh máy”. Nó không có “cách di chuyển chuột” hay “tư thế cầm điện thoại”. Mọi hành vi của nó đều được sinh ra từ một mô hình xác suất, và mô hình đó có thể bị thay đổi chỉ bằng một bản cập nhật trọng số nhỏ. Nếu bạn muốn dùng sinh trắc học hành vi để xác định một agent có hoạt động “bình thường” hay không, bạn sẽ phải xây dựng một hồ sơ hành vi cho mỗi agent – và hồ sơ đó sẽ cập nhật mỗi khi agent thay đổi phiên bản mô hình. Kết quả là gì? Đó là một cuộc chạy đua vũ trang giữa các công ty phòng chống gian lận đang cố gắng mô hình hóa hành vi của AI và các nhà phát triển AI đang cố gắng tối ưu hóa hành vi của agent cho các tác vụ cụ thể. Và trong cuộc chạy đua này, chắc chắn có kẻ sẽ thua. Điều đáng lo ngại hơn là việc BioCatch thu thập 3.000 điểm dữ liệu mỗi phiên giao dịch đặt ra một vấn đề về quyền riêng tư ở quy mô chưa từng có. Nếu mỗi phiên hoạt động của AI agent đều bị ghi lại toàn bộ hành vi – thậm chí là hành vi của một thuật toán, không phải của con người – thì chúng ta đang tạo ra một kho dữ liệu khổng lồ về mô hình ra quyết định của một cỗ máy. Kho dữ liệu đó có thể bị lạm dụng: nó có thể được dùng để điều chỉnh hành vi của agent theo hướng có lợi cho người nắm dữ liệu, hoặc tệ hơn, để thao túng các quyết định của người tiêu dùng theo những cách mà họ không thể kiểm soát. Đây không còn là vấn đề bảo mật giao dịch đơn lẻ nữa, mà là vấn đề kiểm soát hệ thống. Bây giờ hãy nói về Verifiable Intent của Mastercard. Tôi đã nói rằng khái niệm “ý định” trong ngữ cảnh mật mã là mơ hồ. Hãy để tôi cụ thể hóa bằng một kịch bản khai thác tiềm năng. Giả sử một AI agent được giao nhiệm vụ mua một chiếc máy ảnh cũ từ một trang web đấu giá. Kẻ tấn công biết rằng agent này sử dụng Verifiable Intent, và biết rằng protocol này dựa trên việc agent ký vào một “tuyên bố ý định” chứa các tham số chính: người bán, số tiền, điều kiện giao dịch. Kẻ tấn công có thể chạy một cuộc tấn công prompt injection – chèn một đoạn văn bản độc hại vào mô tả sản phẩm mà agent sẽ truy cập – để thuyết phục agent rằng trên thực tế, người bán chính là kẻ tấn công, và số tiền đúng là 5.000 USDC thay vì 500 USDC như dự kiến. Agent sẽ ký. Verifiable Intent sẽ xác minh chữ ký và thanh toán sẽ được thực hiện. Người dùng sẽ mất tiền. Và khi họ khiếu nại, hệ thống sẽ trả lời rằng “ý định của bạn, được thể hiện qua agent của bạn, đã được xác minh”. Bạn có hiểu tại sao tôi nói điều này không phải là một lý thuyết suông? Trong quá trình audit hợp đồng thông minh, tôi đã chứng kiến nhiều phiên bản khác nhau của kịch bản này hàng chục lần: các giao diện người dùng bị tấn công, các oracle bị thao túng, các trình xác thực bị lừa. Sự khác biệt duy nhất ở đây là con người đang được thay thế bằng một cỗ máy dễ bị thao túng hơn nhiều. Tôi biết có một số người sẽ lập luận rằng các công ty như Mastercard và Visa đã có nhiều năm kinh nghiệm quản lý rủi ro thanh toán, và rằng họ sẽ xây dựng các cơ chế đánh giá rủi ro có thể lọc ra các giao dịch đáng ngờ. Điều đó có thể đúng trong thế giới nơi mà cơ chế đánh giá rủi ro dựa trên các quy tắc do con người xác định và được tinh chỉnh qua nhiều năm dữ liệu. Nhưng trong thế giới AI agent, các quy tắc đó trở nên vô nghĩa, bởi vì agent không tuân theo “logic” của con người. Agent tuân theo xác suất. Và xác suất có thể bị bẻ cong. Điều này đưa tôi đến một điểm mà tôi muốn gọi là điểm mù lớn nhất của toàn bộ kiến trúc quản trị mới: đó là giả định rằng bạn có thể đo lường và kiểm soát hành vi của một hệ thống tự trị mà không cần hiểu nội tại của nó. Cách tiếp cận của Visa/BioCatch là quan sát hành vi bên ngoài và phát hiện bất thường. Cách tiếp cận của Mastercard/Google là tạo ra các bằng chứng mật mã về ý định. Nhưng cả hai đều không giải quyết được câu hỏi cơ bản: làm thế nào để biết rằng một agent thực sự đang làm những gì người dùng muốn, theo cùng một cách hiểu mà một con người trung thực sẽ làm? Nếu chúng ta quay về với thế giới blockchain, chúng ta có một nguyên tắc xử lý vấn đề này rất rõ ràng: code is law. Một hợp đồng thông minh không “hiểu” ý định của người dùng. Nó chỉ thực thi các lệnh được viết trong bytecode của nó. Nếu người dùng ký một giao dịch, và giao dịch đó gọi một hàm trong hợp đồng thông minh, thì hàm đó sẽ thực thi – không có ngoại lệ. Điều này nghe có vẻ cứng nhắc, nhưng nó tạo ra một môi trường có thể dự đoán được. Vấn đề nằm ở chỗ con người thường không đọc code trước khi ký. Họ nhấn nút “Kết nối ví”, họ nhấn nút “Phê duyệt”, và họ tin rằng mọi thứ sẽ ổn. Đây là một trong những lỗ hổng tâm lý lớn nhất trong DeFi, và tôi – với tư cách là một người đã từng viết hợp đồng audit – đã chứng kiến vô số vụ mất tiền vì lý do này. Giờ hãy tưởng tượng, thay vì một người dùng con người có thể được giáo dục để cảnh giác, bạn có một AI agent được lập trình để tin tưởng bất cứ thứ gì nó đọc thấy trên mạng. Agent đó sẽ dễ bị thao túng hơn con người gấp nhiều lần. Và Verifiable Intent – khái niệm tưởng chừng như mang lại sự chắc chắn – lại trở thành một công cụ tạo ra sự chắc chắn giả tạo: nó xác minh rằng một agent đã ký một tuyên bố, nhưng nó không thể xác minh rằng việc ký đó là kết quả của quá trình đánh giá đúng đắn. Là một người đã từng rút vào lý thuyết vào năm 2022 khi thị trường gấu tước mất công việc audit của mình, tôi đã dành bốn tháng để viết một bản phân tích 50 trang về modular so với monolithic blockchain sau khi đọc whitepaper của Celestia về data availability sampling. Bài phân tích đó được vài nghìn người xem, nhưng tôi nhận ra rằng nó quá lý thuyết và thiếu ứng dụng thực tế. Bài học tôi rút ra từ đó là: bất kỳ phân tích nào không chỉ ra được các rủi ro cụ thể và các con đường khai thác tiềm năng đều chỉ là thứ để giải trí. Vì vậy, trong phần tiếp theo của bài viết này, tôi sẽ chỉ ra những lỗ hổng cụ thể mà tôi nhìn thấy trong kiến trúc của Diễn đàn Agentic Trust and Commerce Forum. Lỗ hổng thứ nhất là vấn đề “chủ quyền danh tính” – khái niệm mà Diễn đàn đang xây dựng xung quanh câu hỏi về danh tính agent. Trong một bài đăng của Itai Sela, Chủ tịch Ban điều hành Secure Technology Alliance, ông nói rằng “danh tính và xác thực sẽ là nền tảng của phương trình niềm tin”. Tôi đồng ý với điều đó. Nhưng tôi không đồng ý với cách mà ngành công nghiệp này – và tôi đang nói riêng về các công ty thanh toán truyền thống – định nghĩa “danh tính”. Với họ, danh tính là một thứ gì đó gắn với một thực thể có thể được xác định: một con người, một doanh nghiệp, một thiết bị. Nhưng trong thế giới AI, một agent có thể có nhiều trạng thái danh tính khác nhau ở các thời điểm khác nhau. Nó có thể được đào tạo bởi một công ty, được tinh chỉnh bởi một công ty khác, và được vận hành bởi một người dùng cá nhân. Vậy ai là “chủ sở hữu” của agent? Ai là người HÀI LÒNG với danh tính của agent hơn: người đào tạo ra nó, người vận hành nó, hay người chịu trách nhiệm pháp lý cho hành động của nó? Trong blockchain, vấn đề này được giải quyết một cách đơn giản nhưng không hoàn hảo: danh tính là một cặp khóa. Người nắm giữ khóa riêng là chủ sở hữu. Nhưng điều gì xảy ra nếu một agent sở hữu khóa riêng của chính nó? Điều gì xảy ra nếu agent được tạo ra một ví mới, và ví đó không thuộc về bất kỳ ai khác? Đây không còn là khoa học viễn tưởng – đã có các dự án thử nghiệm cho phép AI agent tạo và quản lý ví tiền điện tử một cách tự chủ. Nếu một agent như vậy gây ra một khoản nợ hoặc tham gia vào một giao dịch gian lận, thì ai phải chịu trách nhiệm? Agent không thể bị kiện. Nó không có tài sản để bị tịch thu. Nó chỉ là một chuỗi các trọng số mạng nơ-ron. Và nếu mô hình của nó nằm trên một máy chủ ở một quốc gia khác với người dùng, thì pháp luật của quốc gia nào sẽ được áp dụng? Đây là những câu hỏi mà tôi không thấy được thảo luận một cách nghiêm túc tại bất kỳ diễn đàn ngành nào. Thay vào đó, tôi thấy một xu hướng an toàn: các công ty đang né tránh những câu hỏi khó bằng cách xây dựng các lớp trừu tượng giống như những gì họ đã làm trong hệ thống thanh toán truyền thống. Họ tạo ra một “tầng tin cậy” mới, với các chứng chỉ, khóa công khai, và các cơ chế xác minh. Họ nói với các cơ quan quản lý rằng họ đang kiểm soát rủi ro. Nhưng liệu họ có thực sự kiểm soát được một hệ thống mà chính họ cũng không hiểu hết không? Tôi nhớ một lần, trong năm 2025, khi tôi làm chuyên gia bảo mật cấp cao cho một quỹ đầu tư, tôi đã viết một công cụ sử dụng GPT-4 để phân tích EVM bytecode nhằm phát hiện các lỗ hổng reentrancy. Kết quả là công cụ này hoạt động – nhưng với tỷ lệ dương tính giả lên tới 30%. Cứ ba lỗi mà nó phát hiện ra, thì có một lỗi không thực sự là lỗi. Và việc lọc ra các cảnh báo sai này tốn nhiều thời gian hơn so với việc tự tay phân tích mã nguồn. Điều đó dạy cho tôi một bài học: các hệ thống AI tạo ra các kết quả có vẻ chắc chắn nhưng thực chất lại có độ chính xác không cao. Khi bạn áp dụng loại công cụ này vào các hệ thống thanh toán – nơi mà một lỗi nhỏ có thể dẫn đến tổn thất hàng triệu USD – thì giá của sự không chắc chắn đó là rất đắt. Tỷ lệ dương tính giả 30% trong một công cụ phân tích bytecode là một con số chấp nhận được khi bạn là một con người ngồi đọc từng dòng báo cáo và quyết định xem có nên theo dõi hay không. Nhưng trong một hệ thống thanh toán tự trị, nơi mà một agent mua một món hàng và hệ thống BẮT BUỘC phải quyết định trong vài giây để duyệt hoặc chặn giao dịch thì con số 30% này trở thành một thảm họa. Nếu bạn chặn quá nhiều giao dịch hợp lệ, người dùng sẽ bỏ đi vì sự bất tiện. Nếu bạn duyệt quá nhiều giao dịch độc hại, bạn sẽ bị tổn thất tài chính. Và với một mô hình AI có độ chính xác không hoàn hảo, bạn sẽ luôn ở giữa hai ngọn lửa. Điều này dẫn tôi đến phần quan trọng nhất của bài viết – một góc nhìn mà tôi tin là phản trực giác đối với những ai đang kỳ vọng vào câu chuyện “ngành công nghiệp tự quản lý sẽ xây dựng một hệ thống tốt hơn”. Góc nhìn đó là: việc tự xây dựng cơ quan quản lý của ngành công nghiệp, bằng cách này hay cách khác, sẽ tạo ra một hình thức tập trung hóa tinh vi hơn, chứ không phải là một hệ thống phân quyền như những gì crypto đã dạy chúng ta. Hãy nhìn vào cấu trúc của Diễn đàn Agentic Trust and Commerce Forum. Nó được thành lập bởi Secure Technology Alliance – một tổ chức có nguồn gốc từ U.S. Payments Forum, nơi quy tụ các gã khổng lồ thanh toán như Visa, Mastercard, và các ngân hàng lớn. Khi họ nói rằng họ sẽ thiết lập các tiêu chuẩn cho danh tính agent, dữ liệu, và sự đồng ý, họ đang đặt mình vào vị trí của người tạo ra các giao thức mà cả hệ sinh thái phải tuân theo. Và các giao thức do các công ty hiện hữu tạo ra sẽ luôn có xu hướng ưu ái mô hình kinh doanh của các công ty đó. Visa đã mua BioCatch để tạo ra một lớp xác thực. Mastercard đã mua BVNK để tạo ra một lớp thanh toán. Khi họ cùng ngồi vào bàn để viết tiêu chuẩn, liệu họ có xây dựng một giao thức mở cho phép bất kỳ ai phát hành token và tổ chức một mạng lưới thanh toán phi tập trung, hay họ sẽ xây dựng một giao thức yêu cầu các thành viên phải trả phí cho họ – những người nắm giữ hạ tầng quan trọng? Đây là câu trả lời mà tôi nghĩ ai cũng có thể đoán được. Và đây là lúc câu chuyện trở nên kỳ lạ. Trong thế giới blockchain, chúng ta đã quen với việc các giao thức phi tập trung cạnh tranh để trở thành tầng trung gian đáng tin cậy nhất: Uniswap cạnh tranh với các AMM khác, Lido cạnh tranh với các giao thức staking lỏng khác. Cạnh tranh tạo ra nhiều lựa chọn, và nhiều lựa chọn tạo ra một hệ sinh thái có khả năng chống chịu tốt hơn. Nhưng trong thế giới thanh toán truyền thống, Visa và Mastercard thống trị gần như toàn bộ thị trường. Khi họ cùng nhau ngồi vào một diễn đàn và tự đặt ra các tiêu chuẩn, họ không cạnh tranh để tạo ra sự đa dạng – họ cạnh tranh để tạo ra sự tương thích. Và sự tương thích, trong trường hợp này, có nghĩa là các giao thức xử lý thanh toán của họ sẽ trở thành nền tảng mà thị trường agent commerce phải xây dựng trên đó. Tôi muốn đưa ra một ví dụ để minh họa cho điểm này. Giả sử Diễn đàn quyết định rằng một trong những tiêu chuẩn cho việc ghi lại “ý định” của agent là việc sử dụng một định dạng dữ liệu cụ thể – gọi nó là “Intent Schema v1”. Đối với các nhà phát triển ứng dụng, để tương thích với hệ sinh thái thanh toán của Visa và Mastercard, họ sẽ phải triển khai Intent Schema v1. Nhưng Intent Schema v1 được thiết kế bởi các kỹ sư của Visa và Mastercard, những người hiểu rõ mô hình kinh doanh xoay quanh việc thu phí mỗi giao dịch. Liệu schema này có cho phép các nhà phát triển bỏ qua tầng trung gian và thực hiện thanh toán trực tiếp giữa người mua và người bán bằng stablecoin trên một mạng lưới phi tập trung không? Hay nó sẽ yêu cầu một bên đóng vai trò “xác thực danh tính” – một vai trò mà chỉ những gã khổng lồ thanh toán mới có thể đảm nhiệm, bởi vì họ là những người nắm giữ cơ sở hạ tầng xác thực đó? Và đó chính là điểm mù mà tôi đã hứa sẽ chỉ ra từ đầu bài viết: khi ngành công nghiệp tự xây dựng cơ quan quản lý, họ sẽ xây dựng nó theo hình ảnh của chính họ. Họ sẽ tạo ra các tiêu chuẩn kỹ thuật có vẻ trung lập, nhưng lại ẩn chứa các lựa chọn về mặt kinh tế và chính trị có lợi cho họ. Trong một thế giới nơi mà các cơ quan chính phủ đang tụt lại phía sau, thì các tập đoàn tư nhân sẽ không chỉ xây dựng các quy tắc – họ sẽ xây dựng cả các điều kiện cơ sở hạ tầng để thực thi các quy tắc đó. Nhưng hãy để tôi nói rõ ràng rằng tôi không phản đối việc ngành công nghiệp tự quản lý. Tôi đã sống đủ lâu trong thế giới crypto để biết rằng sự can thiệp của chính phủ thường mang lại nhiều rắc rối hơn là giải pháp. Tôi chỉ cảnh báo rằng niềm tin mù quáng vào các cơ quan tự quản lý cũng nguy hiểm không kém niềm tin mù quáng vào chính phủ. Bởi vì một điều tôi học được từ 16 năm quan sát ngành này: trong môi trường phi tập trung – dù đó là blockchain hay là một thị trường mới nổi – thì rủi ro luôn có xu hướng dịch chuyển đến nơi ít có khả năng quản lý nhất. Và khi các công ty lớn đặt ra các tiêu chuẩn, rủi ro sẽ dịch chuyển về phía các nhà phát triển nhỏ và người tiêu dùng cuối cùng – những người buộc phải tuân theo tiêu chuẩn nhưng đóng góp rất ít vào việc định hình nó. Hãy nhìn vào thực tế của giao thức x402 – một nền tảng được khởi xướng bởi Linux Foundation và đã xử lý 200 triệu giao dịch. Tôi muốn đọc mã nguồn của nó để phân tích xem nó có thực sự phi tập trung như những gì được quảng cáo hay không. Nhưng vấn đề sâu xa hơn là: 200 triệu giao dịch là một con số đáng kể, và nếu nó được xử lý thông qua một cơ sở hạ tầng mở, phi tập trung – nơi mà không một thực thể nào có thể kiểm duyệt hay thao túng – thì nó có thể trở thành một nền tảng vững chắc cho agent commerce thực sự. Nhưng nếu 200 triệu giao dịch đó chỉ là các khoản thanh toán nhỏ lẻ, không đủ lớn để thu hút sự chú ý của các tay chơi lớn, thì con số đó chẳng có nghĩa lý gì về sự trưởng thành của thị trường. Điều tôi muốn nói là: con số 200 triệu giao dịch có thể gây hiểu lầm. Trong bối cảnh agent commerce – nơi mà một agent có thể thực hiện hàng nghìn giao dịch nhỏ mỗi ngày – thì con số giao dịch tăng vọt không có nghĩa là giá trị kinh tế tăng theo tỷ lệ tương ứng. Có thể có một agent đang thực hiện hàng nghìn lệnh gọi API nhỏ để thu thập dữ liệu giá, mỗi lệnh được định giá bằng một phần trăm xu. Điều đó tạo ra 200 triệu giao dịch trên giấy tờ nhưng chỉ tạo ra một lượng giá trị rất nhỏ. Và khi thị trường thực sự chuyển sang các giao dịch có giá trị lớn – mua nhà, mua xe, đầu tư – thì các vấn đề về bảo mật và tin cậy sẽ trở nên nghiêm trọng hơn rất nhiều. Nhìn lại toàn bộ bức tranh, tôi nhận thấy rằng Diễn đàn Agentic Trust and Commerce Forum đang rơi vào một tình thế tiến thoái lưỡng nan kinh điển. Một mặt, họ biết rằng nếu không hành động nhanh, thị trường sẽ phát triển một cách manh mún và hỗn loạn, và khi có một vụ sụp đổ lớn, chính phủ sẽ vào cuộc với các quy định hạn chế và kém linh hoạt. Mặt khác, họ cũng biết rằng nếu họ hành động quá quyết đoán, họ có thể tạo ra một hệ sinh thái bị kiểm soát quá chặt chẽ bởi một nhóm các công ty thống trị, làm kìm hãm sự đổi mới. Và chính trong sự căng thẳng đó, họ đã chọn một con đường trung gian: tạo ra một diễn đàn mở, với một chỉ dấu về quyền lực rộng rãi, nhưng vẫn nằm trong khuôn khổ do các tập đoàn lớn thống trị. Và đó là lý do tại sao tôi, với tư cách là một người viết blog chuyên phân tích về bảo mật DeFi và AI, không cảm thấy lạc quan. Tôi đã học được rằng mọi hệ thống quản trị – dù là một hợp đồng thông minh, một nhà nước, hay một diễn đàn doanh nghiệp – đều có một điểm mù cơ bản: nó không thể dự đoán được các tình huống mà chính nó tạo ra. Và trong trường hợp này, điểm mù đó là giả định rằng các thành viên trong diễn đàn sẽ hành động vì lợi ích chung, trong khi ai cũng biết rằng lợi ích cá nhân của Visa không giống với lợi ích của một nhà phát triển ứng dụng nhỏ lẻ. Tuy nhiên, không phải mọi thứ đều ảm đạm. Có một điểm sáng trong câu chuyện này: đó là sự hiện diện của x402 và các giao thức mở dựa trên blockchain. Nếu các giao thức như x402 thực sự đạt được khối lượng giao dịch lớn và thu hút được sự quan tâm của các nhà phát triển, chúng có thể trở thành một sự đối trọng với các tiêu chuẩn do Diễn đàn tạo ra. Sự tồn tại của các lựa chọn thay thế mở là điều duy nhất đảm bảo rằng các tiêu chuẩn công nghiệp không trở thành các bức tường bao quanh một khu vườn riêng. Và trong một thị trường đang được dự báo trị giá 300 tỷ USD vào năm 2030, sự đối trọng này sẽ có giá trị rất lớn. Nhưng điều gì sẽ xảy ra nếu diễn đàn này thất bại? Điều gì sẽ xảy ra nếu cuộc họp đầu tiên của họ – dự kiến vào ngày 17-18/11/2026 tại khuôn viên tập đoàn Best Buy ở Minneapolis – không đạt được sự đồng thuận? Liệu họ có tiếp tục đối thoại hay sẽ bỏ dở như nhiều sáng kiến tiêu chuẩn khác trong lịch sử công nghệ? Tôi đã thấy quá nhiều tổ chức tiêu chuẩn rồi. Họ tạo ra các tài liệu dài hàng trăm trang với các biểu đồ và sơ đồ đẹp đẽ, sau đó họ tổ chức các buổi hội thảo với các khách mời danh dự, và sau một năm, mọi người nhận ra rằng họ vẫn đang chờ một ai đó thực sự bắt đầu viết code. Tiêu chuẩn trong lý thuyết là một chuyện; tiêu chuẩn trong thực tế – thứ mà mọi người thực sự triển khai và sử dụng – lại là một chuyện hoàn toàn khác. Trong thế giới blockchain, tôi đã chứng kiến sự ra đời của hàng trăm giao thức và cơ quan quản trị ngành. Hầu hết chúng đều chết im lặng. Chỉ một số ít sống sót và trở thành nền tảng vững chắc. Điều quyết định sự sống còn không nằm ở chất lượng của các tài liệu chiến lược hay phạm vi phủ sóng truyền thông, mà nằm ở hai yếu tố: tốc độ thực thi và mức độ hấp dẫn kinh tế. Nếu diễn đàn này có thể nhanh chóng tạo ra một bộ API xác thực cụ thể, định dạng dữ liệu và các quy trình xử lý tranh chấp mà các nhà phát triển có thể tích hợp ngay lập tức, thì nó có thể trở thành một thứ gì đó. Nhưng nếu họ chỉ dừng lại ở các cuộc họp và các tuyên bố, thì thị trường sẽ tự tìm ra cách riêng của mình – và có thể theo những hướng mà không ai mong đợi. Điều tôi muốn nhấn mạnh ở đây là sự khẩn trương của vấn đề. Không phải vì tôi nghĩ rằng một vụ tấn công AI agent quy mô lớn sẽ xảy ra vào ngày mai hay ngày mốt. Mà vì những quyết định về kiến trúc được đưa ra ngày hôm nay sẽ đặt nền móng cho những gì xây dựng trong mười năm tới. Khi bạn xây dựng một hệ thống xác thực sinh trắc học hành vi dựa trên 3.000 điểm dữ liệu về phiên làm việc của agent, bạn đang đưa ra một quyết định khó đảo ngược về quyền riêng tư và quyền kiểm soát. Khi bạn tạo ra một định dạng chuẩn để ghi lại “ý định”, bạn đang quyết định xem liệu người dùng – con người – có thể kiểm tra và hiểu được những gì agent của họ đang làm, hay họ sẽ bị bỏ lại phía sau trong một biển các tuyên bố mật mã mà họ không thể giải mã. Khi bạn quyết định rằng danh tính của agent được gắn với một thực thể tập trung như Visa, bạn đang tạo ra một điểm nghẽn trung gian mà những kẻ tấn công sẽ nhắm vào về lâu dài. Trong quá trình audit hợp đồng thông minh, tôi học được cách kiểm tra hai thứ: thứ nhất là các trường hợp biên – những tình huống mà dữ liệu đầu vào nằm ngoài kỳ vọng của nhà phát triển – và thứ hai là các tương tác phức tạp giữa các hợp đồng với nhau. Một hợp đồng có thể tự mình an toàn, nhưng khi nó kết hợp với các hợp đồng khác – đặc biệt là khi nó gọi các hàm ngoài mà nó không kiểm soát – thì các lỗ hổng sẽ xuất hiện. Tương tự, mỗi thành phần trong kiến trúc agent commerce – BioCatch, Verifiable Intent, BVNK, x402 – có thể an toàn khi chạy độc lập. Nhưng khi chúng được kết nối với nhau thành một hệ thống phức tạp, những tương tác giữa chúng sẽ tạo ra những kịch bản không lường trước. Và chúng ta đang nói về một hệ thống có sự tham gia của các tác tử tự trị có khả năng học hỏi và thích nghi. Điều này đưa chúng ta đến một vấn đề mà không một tiêu chuẩn hay diễn đàn nào có thể giải quyết một cách trọn vẹn: sự không thể đoán trước của một mạng lưới các thực thể tự trị tương tác với nhau. Mỗi agent đều có hành vi có thể dự đoán được khi chạy độc lập, nhưng khi hàng nghìn agent cùng tương tác với nhau trong một thị trường mở, các thuộc tính nổi trội (emergent properties) có thể xuất hiện – và chúng không phải lúc nào cũng tuân theo các quy tắc đã được thiết lập. Đây là bài học từ sự sụp đổ của các thị trường tài chính truyền thống, và nó được khuếch đại lên nhiều lần trong một môi trường nơi mà các tác tử có thể hành động nhanh hơn con người hàng nghìn lần. Tôi đã nói nhiều về vấn đề. Nhưng tôi muốn kết thúc bài phân tích này bằng một câu hỏi, và một dự đoán. Câu hỏi là: liệu chúng ta – những người đang quan sát từ bên ngoài, những người đã dành nhiều năm để xây dựng các hệ thống blockchain phi tập trung – có thể làm gì ĐỂ ĐÓNG GÓP vào việc định hình tương lai nàу? Chúng ta có thể chỉ ngồi đó và phê phán sự tập trung hóa của Visa và Mastercard, hay chúng ta có thể tích cực xây dựng các giải pháp thay thế mở, có khả năng tương tác với các hệ thống truyền thống nhưng không phụ thuộc vào chúng? Dự đoán của tôi là: trước khi đạt đến con số 300 tỷ USD, sẽ có một vụ sụp đổ lớn đầu tiên trong lĩnh vực agent commerce. Có thể là một vụ tấn công prompt injection quy mô lớn khiến hàng nghìn người tiêu dùng mất tiền. Có thể là một lỗ hổng trong giao thức xác thực ý định khiến một agent ký một giao dịch bất thường. Có thể là sự sụp đổ của một trong những công ty khởi nghiệp cung cấp hạ tầng agent commerce vì thiếu khả năng quản lý rủi ro. Bất kể hình thức nào, sự kiện đó sẽ định hình cách mà chính phủ và công chúng nhìn nhận về AI agent – và có thể khiến cho mọi nỗ lực tự quản lý hiện nay trở nên vô nghĩa nếu họ không hành động đủ nhanh. Đó là lý do tại sao tôi nghĩ rằng Diễn đàn Agentic Trust and Commerce Forum – dù có những hạn chế của nó – vẫn là một bước đi đúng hướng. Nhưng nó chỉ đúng hướng nếu các thành viên tham gia với tinh thần cầu thị, sẵn sàng lắng nghe các tiếng nói từ cộng đồng kỹ thuật – những người đã làm việc với mã nguồn, với các giao thức và với các mô hình rủi ro trong nhiều năm. Nếu họ chỉ tụ họp với nhau để bảo vệ lợi ích của các tập đoàn lớn, thì họ sẽ thất bại, và thất bại đó sẽ tốn kém cho tất cả mọi người. Và nếu họ thành công – nếu họ thực sự tạo ra một khuôn khổ mở, có khả năng bảo vệ người tiêu dùng mà không kìm hãm sự đổi mới – thì họ sẽ đặt nền móng cho một kỷ nguyên mà AI không chỉ là công cụ hỗ trợ, mà là tác tử kinh tế thực sự. Tôi không biết điều gì sẽ xảy ra. Nhưng tôi biết rằng tôi sẽ theo dõi sát sao, bởi vì khi lịch sử được viết về giai đoạn này, những gì xảy ra tại khuôn viên Best Buy ở Minneapolis vào tháng 11/2026 có thể sẽ được nhớ đến như một bước ngoặt. Và tôi – một người đã kiểm tra từng dòng code, từng dấu phẩy, từng hàm, và từng kịch bản bảo mật tiềm ẩn trong suốt gần một thập kỷ – sẽ không bỏ lỡ nó. Bởi vì nếu có một điều mà 16 năm quan sát ngành công nghiệp đã dạy tôi, thì đó là: những thứ được gọi là “không tưởng” không bao giờ xảy ra một cách tình cờ. Chúng luôn được xây dựng từ trước, bởi những người đủ tỉnh táo để nhìn thấy cơn bão trước khi nó ập đến. Và cơn bão này, cơn bão của niềm tin trong thế giới agent commerce, đang hình thành ngay trước mắt chúng ta." }