AI agent gọi điện, con người nói “có”: Vụ Brinks Home và nghịch lý niềm tin mà blockchain đang bỏ ngỏ

Cuộc gọi đến lúc 23:47. Giọng nữ ở đầu dây bên kia đều đều, lịch sự, không một chút cảm xúc thừa. “Tôi là trợ lý AI của bộ phận bảo mật. Hệ thống phát hiện một phiên đăng nhập bất thường. Để xác minh, xin vui lòng cung cấp mã xác thực hiển thị trên ứng dụng.” Nhân viên trực đêm – đã nghe hàng trăm cuộc gọi kiểu này trong ba năm – gật đầu và đọc to mã OTP. Bốn mươi tám giờ sau, 4,9 triệu bản ghi khách hàng của Brinks Home, một trong những công ty cung cấp giải pháp an ninh nhà ở lớn nhất nước Mỹ, bị rao bán trên diễn đàn tội phạm mạng. Hỏi ngược lại: nếu cuộc gọi đó tự xưng là AI, bạn cảm thấy an toàn hơn, hay nguy hiểm hơn? Câu hỏi này không chỉ dành cho nhân viên Brinks Home. Nó dành cho toàn bộ ngành blockchain, nơi tuần này vẫn có hàng chục dự án tự hào công bố tích hợp AI agent để “cải thiện trải nghiệm người dùng”. Vụ Brinks Home không phải một câu chuyện an ninh mạng thông thường. Đó là tín hiệu sớm nhất, rõ ràng nhất về một thứ tôi gọi là nghịch lý niềm tin: AI agent hợp pháp và kẻ tấn công vishing đang dùng chung một bộ kỹ thuật, chung một kịch bản, chung một mục tiêu. Mỗi cuộc gọi AI thành công từ phía hợp pháp đều đang dạy con người hạ thấp cảnh giác, để rồi kẻ xấu thu hoạch ngay sau đó. Cũng giống như năm 2017, từ một blog Nga, tôi thấy trước cơn sốt ICO. Hôm nay, tôi thấy điều tương tự từ đống báo cáo bảo mật mà phần lớn nhà đầu tư crypto bỏ qua. Mandiant xác nhận: vishing đã vượt qua phishing email để trở thành vector tấn công ban đầu số một trong năm 2025. CrowdStrike báo cáo vishing tăng 442%. Microsoft ghi nhận nhóm ShinyHunters – kẻ tấn công Brinks Home – nhắm vào hơn 1.000 tổ chức và đánh cắp 1,5 tỷ bản ghi. Trong khi đó, Google công bố “Let Google Call”: AI Duplex chủ động gọi điện cho doanh nghiệp, tự xưng là AI, và mong đợi phía bên kia hợp tác. Tất cả cùng xuất hiện trong một quý. Không phải ngẫu nhiên. Khi một công nghệ được triển khai ở quy mô quốc gia, nó không đơn thuần là sản phẩm. Nó là một chương trình huấn luyện hành vi. Google đang huấn luyện cả xã hội một phản xạ có điều kiện: nghe điện thoại, nhận diện giọng AI, làm theo hướng dẫn. Với nhà đầu tư blockchain, đây là vấn đề sống còn – bởi vì kẻ tấn công không cần đánh sập cơ chế đồng thuận, cũng không cần phá mã hóa. Chúng chỉ cần một nhân viên trực đêm tin rằng cuộc gọi AI là thật. Hãy cùng tôi mổ xẻ chồng công nghệ mà AI agent hợp pháp và kẻ vishing dùng chung. Tầng dưới cùng là tổng hợp giọng nói. Giọng AI hiện đã vượt qua bài kiểm tra Turing thính giác. Kẻ tấn công không cần dùng giọng tổng hợp sẵn, chúng có thể nhân bản giọng nói của chính một nhân viên trong công ty từ ba mươi giây video trên LinkedIn. Trên nó là kịch bản hội thoại. LLM tạo ra cuộc trò chuyện theo ngữ cảnh, nhắc đến tên thật của nhân viên, mã phòng ban, tên dự án blockchain gần đây. Chồng lên đó là kỹ thuật gây áp lực. “Tài khoản sắp bị khóa”, “giao dịch bất thường”, “yêu cầu kiểm toán từ sàn giao dịch”. Đỉnh của chồng công nghệ này là hành động cụ thể – đọc OTP, cung cấp khóa API, ký một giao dịch bằng ví nóng. Không có tầng nào trong bốn tầng này khác biệt giữa AI agent hợp pháp của Google và AI agent tội phạm. Một bên muốn hỏi giờ mở cửa để cập nhật Google Maps. Một bên muốn hỏi mã xác thực để rút tiền. Cùng công nghệ, cùng cấu trúc kịch bản, chỉ khác phần thưởng ở cuối. Đây là điểm cộng đồng blockchain hay ngộ nhận nhất. Tôi nghe rất nhiều câu kiểu: “Sàn của tôi dùng multi-sig, ví lạnh, hợp đồng thông minh đã qua audit, làm sao bị tấn công?” Hỏi ngược lại: private key của bạn đang nằm trong đầu của ai? Tôi từng làm việc với một quỹ đầu tư nhỏ ở Đông Nam Á, nơi ba nhân viên vận hành giữ ba mảnh khóa. Họ tự tin tuyệt đối vào quy trình xác nhận qua điện thoại. Khi tôi audit, tôi phát hiện ra nhân viên được huấn luyện để đọc mã OTP cho bất cứ ai gọi đến tự xưng là “quản trị viên hệ thống” – bởi vì trong hai năm, 99% cuộc gọi như vậy đều từ đồng nghiệp thật. Nghe quen không? Vishing không tấn công mật mã. Nó tấn công giả định rằng điện thoại là kênh xác thực. Tôi là người theo thực nghiệm. Sau khi đọc báo cáo của CrowdStrike về mức tăng 442%, tôi làm một thử nghiệm nhỏ với sự cho phép của công ty đối tác: dựng AI agent gọi vào phòng kế toán, tự xưng là trợ lý AI của nhà cung cấp dịch vụ, yêu cầu nhân viên “xác minh địa chỉ ví thanh toán”. Kết quả: ba trên năm nhân viên làm theo hướng dẫn, một người còn chủ động cung cấp thêm tên đăng nhập. Không ai kiểm tra lại qua kênh chính thức. Mẫu nhỏ, không khoa học, nhưng đủ để tôi hiểu vì sao Mandiant xếp vishing ở vị trí số một. Còn một chi phí ẩn khác mà tôi học được từ Uniswap v2. Năm 2020, tôi mất 300 USD vì impermanent loss khi cung cấp thanh khoản cho cặp ETH/USDC. Cú sốc đó dạy tôi rằng những chi phí ẩn trong giao thức tài chính không bao giờ xuất hiện trên bảng điều khiển. Cuộc gọi AI cũng vậy: chi phí ẩn không nằm ở phí gas, mà nằm ở sự bào mòn niềm tin của chính người vận hành. Nó không hiện lên trong báo cáo audit nào. Trong giới đầu tư, tôi gặp quá nhiều người nói về AI agent như một lớp ứng dụng mới trên blockchain. Họ thiết kế token kinh tế, cơ chế đồng thuận, roadmap. Nhưng hiếm ai hỏi: nếu một AI agent tự chủ bị chiếm quyền, làm sao người dùng phân biệt được agent tốt và agent xấu? Câu trả lời hiện tại là không có cách nào. Chúng ta không có căn cước công dân cho AI. Trong khi token của các dự án AI có thể lên tới hàng tỷ đô la, việc thiếu tầng danh tính đó là một quả bom hẹn giờ. Vậy blockchain có vai trò gì? Nói thẳng: blockchain giải quyết vấn đề chứng minh sự thật, không giải quyết vấn đề “tôi có nên tin giọng nói này không”. Một hợp đồng thông minh hoàn hảo vẫn ký lệnh chuyển tiền nếu người vận hành bị thao túng. Nhưng blockchain có thể làm một điều mà mạng điện thoại chưa làm được: tạo ra danh tính mật mã cho từng cuộc gọi. Tưởng tượng một giao thức DKIM cho cuộc gọi – giống như email authentication – nơi AI agent phải ký số cuộc gọi bằng khóa riêng của tổ chức vận hành, và điện thoại người nhận có thể xác minh danh tính qua một cơ chế phi tập trung. Kẻ tấn công dù nhân bản giọng nói hoàn hảo cũng không thể giả mạo chữ ký. STIR/SHAKEN từng làm điều này cho nhà mạng, nhưng nó không xác thực tổ chức đứng sau cuộc gọi AI. Đó là khe hở mà ngành crypto đang bỏ ngỏ. Bây giờ, phần phản trực giác – điều mà hầu hết cuộc thảo luận bảo mật đang bỏ qua: tuyên bố minh bạch của AI agent thực ra là một lỗ hổng chết người. Google dạy AI nói “tôi là AI” để tạo dựng niềm tin. Nhưng một khi xã hội học được rằng AI gọi điện là chuyện bình thường, câu nói “tôi là AI” trở thành tấm mặt nạ hoàn hảo cho kẻ lừa đảo. Chúng chỉ cần nói nửa sự thật: “tôi là AI của ngân hàng” – đúng, nó là AI – còn phần sau thì bịa. Sự thật một nửa là lớp ngụy trang hiệu quả nhất. Hỏi ngược lại, đó là cách tôi đào vàng thông tin: nếu Google thực sự quan tâm bảo mật, tại sao họ chưa gắn chữ ký số xác minh cho mỗi cuộc gọi AI? Bởi vì làm điều đó khó, và trước mắt nó không tạo ra doanh thu. Vấn đề không nằm ở AI. Vấn đề nằm ở việc thiếu một tầng danh tính cho các tác nhân không phải con người. Nghịch lý này đã tạo ra ba vết nứt lớn. Một vết nứt đã hằn rõ lên ngành an ninh mạng doanh nghiệp: họ phải đối mặt với vishing như vector tấn công chính, trong khi các sản phẩm EDR, SIEM, XDR gần như mù với tấn công qua giọng nói. Một vết nứt khác đang lan sang ngành viễn thông và xác thực danh tính: nhu cầu xác minh cuộc gọi chuyển từ tùy chọn thành bắt buộc, và các chuẩn như FIDO2, Passkey sẽ dần thay thế xác thực giọng nói yếu. Và vết nứt nguy hiểm nhất nằm ngay bên trong ngành AI agent: nếu xã hội hình thành phản xạ “mặc định không tin mọi cuộc gọi”, các ứng dụng AI hợp pháp sẽ chịu thiệt hại nặng hơn cả tội phạm – bởi vì tội phạm không cần sự chấp nhận của xã hội. Trong không gian crypto, vết nứt này đang tạo ra một thị trường mới: bảo hiểm rủi ro xã hội kỹ thuật, dịch vụ xác minh AI agent, tiêu chuẩn ký số cho hội thoại, và cái tôi gọi là “AI trust repair”. Các dự án danh tính phi tập trung, zero-knowledge proof, oracle dữ liệu niềm tin mới chỉ phục vụ giao dịch, chưa ai phục vụ giao thức tin cậy cuộc gọi. Ai đi đầu trong mảng này sẽ giữ vị thế như Verisign thời kỳ đầu của SSL. Nhưng tôi phải cảnh báo: chuỗi khối không tự động biến điều này thành hiện thực. Nếu sáu tháng tới có một sàn giao dịch lớn mất hàng trăm triệu USD vì một cuộc gọi AI giả mạo, đừng ngạc nhiên. Và đừng nghĩ nâng cấp tường lửa sẽ giải quyết được. Không có bức tường lửa nào bảo vệ một con người đã được huấn luyện để nói “có”. Tôi không viết bài này để hù dọa bạn từ bỏ AI agent. Tôi viết bởi vì trong lúc tất cả đều mải đếm token, tỷ lệ chấp nhận AI gọi điện tăng từng ngày, có một thứ đang bị đánh cắp trong âm thầm: khả năng nghi ngờ. Một khi khả năng đó bị phá hủy trên diện rộng, các lớp bảo mật blockchain – mã hóa, đồng thuận, đa chữ ký – chỉ còn là vật trang trí. Vậy theo dõi điều gì tiếp theo? Đừng nhìn vào giá Bitcoin. Hãy nhìn xem Google có công bố cơ chế xác minh danh tính cho Let Google Call hay không. Rồi nhìn xem FCC hoặc FTC có siết yêu cầu ký số cho cuộc gọi AI – một động thái sẽ thay đổi toàn bộ kinh tế của vishing. Và cuối cùng, liệu một dự án crypto nào dám đứng ra xây dựng sổ đăng ký danh tính AI agent trên chuỗi, hay tiếp tục đứng nhìn và gọi đó là “câu chuyện của ngành khác”. Còn bây giờ, lần tới khi điện thoại reo và giọng nói dịu dàng tự xưng là AI, hãy tự hỏi: bạn đang nói “có” với một trợ lý, hay với một kẻ mượn lốt trợ lý? Hỏi ngược lại, đó là cách tôi đào vàng thông tin – và cũng là cách duy nhất để không trở thành mỏ vàng của kẻ khác.