Hook
Bạn có tin một tòa tháp được xây bằng gạch trong suốt? Không ai thấy vữa, không ai kiểm tra móng, nhưng mọi người vỗ tay bảo “vững chắc”. Đó là cảm giác của tôi khi đọc tin NEAR AI tích hợp “private inference” vào nền tảng Corbits, mang đến “hardware-enforced confidentiality”. Tôi mở GitHub, tìm repo. Không có. Tìm audit report. Không có. Tìm whitepaper kỹ thuật. Cũng không. Chỉ có một press release và vài dòng hype.
Tôi đã thấy kịch bản này trước đây. Năm 2017, tôi mất 10 ETH vì một ICO hứa hẹn “công nghệ đột phá” nhưng contract overflow. Năm 2020, tôi mất thêm 10 ETH vì YAM Finance – một rebase token mà tôi không kiểm tra admin key. Từ đó tôi có nguyên tắc: đọc code trước, mơ giàu sau. Nhưng ở đây, không có code để đọc. Chỉ có một lời hứa về private inference qua TEE.
Một bug có thể đánh sập cả tòa tháp. Và ngày hôm nay, tôi sẽ chỉ cho bạn thấy cái tháp NEAR AI + Corbits đang đứng trên nền cát gì.
Context
Trước hết, nói cho rõ: private inference là gì? Khi bạn gửi dữ liệu (ví dụ ảnh y tế) lên cloud để AI phân tích, bạn sợ công ty cloud nhìn thấy. Private inference giải quyết vấn đề này: mô hình AI chạy trên dữ liệu đã mã hóa hoặc trong một môi trường cách ly, sao cho ngay cả chủ server cũng không biết nội dung. Có ba cách chính: homomorphic encryption (quá chậm), secure multi-party computation (tốn băng thông), và Trusted Execution Environment (TEE) – dùng chip đặc biệt để tạo “hộp đen” trong CPU.
TEE như Intel SGX hay AMD SEV tạo một enclave – vùng nhớ chỉ có CPU mới truy cập được. Hệ điều hành, hypervisor, thậm chí admin đều không đọc được. Nghe có vẻ an toàn? Về mặt lý thuyết, đúng. Về mặt thực tế, tôi từng thấy các cuộc tấn công như Plundervolt, SGAxe, và gần đây là AEPIC leak. Intel phát hành patch, nhưng patch không sửa được thiết kế – nếu kẻ tấn công có quyền truy cập vật lý hoặc quyền kernel, họ vẫn có thể trích xuất dữ liệu từ enclave.
NEAR AI nói họ tích hợp “private inference” với “hardware-enforced confidentiality”. Không nói là TEE gì, không nói bản firmware nào, không nói đã được pentest chưa. Corbits là nền tảng AI enterprise – tôi chưa từng nghe tên, và cũng không tìm thấy nhiều thông tin về đội ngũ hay lịch sử audit. Đây là điều làm tôi đặt câu hỏi đầu tiên.
Core – Phân Tích Kỹ Thuật Dưới Kính Hiển Vi
Tôi sẽ mổ xẻ tuyên bố “hardware-enforced confidentiality” theo từng lớp. Với 13 năm trong ngành, tôi biết rằng mỗi lớp abstraction là một cơ hội cho lỗ hổng.
Lớp 1 – Hardware: Bạn tin tưởng Intel hoặc AMD. Nhưng bạn có biết rằng Intel SGX từng bị tấn công bằng cách chỉnh điện áp CPU? Hoặc AMD SEV bị lộ memory encryption key qua side-channel? Những lỗi này không phải lý thuyết – chúng đã được chứng minh trong phòng lab. Nếu Corbits dùng cloud (AWS Nitro Enclaves, Azure ACC), họ phải tin tưởng nhà cung cấp cloud. Đó là “trusted” chứ không phải “trustless”. Trong blockchain, chúng ta nói về trustless. Đây là trust-me-hardware – một mô hình hoàn toàn khác.
Lớp 2 – Firmware & OS: TEE enclave chỉ an toàn nếu firmware và OS kernel không bị lỗi. Mỗi năm có hàng trăm CVE về kernel. Một lỗi trong memory management unit có thể cho phép privileged attacker đọc enclave memory. Và nếu Corbits chạy trên Linux, việc patch kernel là chuyện thường ngày. Bạn có dám chắc đội ngũ NEAR AI đã theo dõi từng CVE? Tôi nghi ngờ.
Lớp 3 – Application Logic: Đây là nơi tôi có thể nói chuyện chuyên môn. Private inference là gánh nặng cho developer. Model AI thường là neural network hàng trăm MB. Chạy trong enclave với bộ nhớ hạn chế (SGX giới hạn 128-256 MB cho enclave heap) đòi hỏi tối ưu hóa đặc biệt. Bạn phải chia nhỏ model, hoặc dùng đĩa swap – swap vô hiệu hóa bảo vệ vì dữ liệu thoát ra enclave. Vậy họ làm thế nào? Không ai giải thích.
Năm 2022, khi tôi đóng góp code cho Optimism fraud proof, tôi học được rằng mỗi lần tối ưu hóa batch là một cửa sổ cho bug. Với TEE, cửa sổ đó còn rộng hơn vì không thể debug trực tiếp enclave. Nếu có lỗi, bạn chỉ biết sau khi bị khai thác.
Một khía cạnh khác: attestation. TEE hoạt động dựa trên “remote attestation” – tạo chữ ký số chứng minh enclave đang chạy code đúng. Nhưng attestation key nằm trong chip. Nếu chip bị clone hoặc key bị đánh cắp (xem vụ Intel ME key leak), bạn không thể phân biệt enclave thật hay giả. Và nếu Corbits không implement attestation đúng cách, kẻ tấn công có thể tuồn enclave độc hại.
Tôi đã audit một dự án AI Oracle năm 2026 – ChainML. Họ dùng TEE để lấy dữ liệu off-chain. Tôi phát hiện lỗi: attestation verification dùng một public key cố định, nếu key đó bị lộ, attacker có thể giả mạo oracle. NEAR AI + Corbits có dùng multi-party attestation không? Họ có rotate key không? Không ai biết.
Rủi ro về key management: Nếu TEE enclave lưu private key cho blockchain, ai quản lý key đó? Nếu key nằm trong enclave, nhưng enclave có thể bị rollback (tấn công rollback – một kiểu replay attack), attacker có thể ép enclave dùng key cũ. Vấn đề này đã được thảo luận nhiều trong cộng đồng confidential computing, nhưng ít dự án AI giải quyết triệt để.
Tóm tắt core analysis: NEAR AI + Corbits dùng TEE để hứa hẹn privacy, nhưng họ không công khai bất kỳ chi tiết kỹ thuật nào. Không mã nguồn, không kiến trúc, không audit. Từ kinh nghiệm audit 5+ dự án, tôi biết rằng những dự án không có technical spec thường có lỗi cơ bản. “Hardware-enforced confidentiality” trở thành buzzword.
Contrarian – Góc Nhìn Phản Trực Giác
Mọi người sẽ bảo: “TEE là giải pháp duy nhất khả thi cho private inference hiện tại, vì ZK-ML quá chậm.” Đúng. ZK proofs cho neural network mất hàng phút, hàng giờ. Nhưng đừng nhầm lẫn giữa “khả thi hôm nay” và “an toàn mãi mãi”.
Tôi cho rằng chính sự phụ thuộc vào TEE đang tạo ra ảo tưởng an toàn. Các team marketing thường nói “hardware-enforced” nghe có vẻ tuyệt đối, nhưng trong thực tế, đó là “trust Intel/AMD/Cloud”. Một bước lùi so với ethos crypto: “Don’t trust, verify”. Với ZK, bạn xác minh bằng proof. Với TEE, bạn xác minh bằng attestation – nhưng attestation có thể bị giả mạo nếu key leak.
Điểm mù lớn nhất: Khi doanh nghiệp chạy AI trên cloud, họ đã tin tưởng AWS hay Azure kiểm soát dữ liệu. NEAR AI “thêm” TEE vào, nhưng vẫn trong cùng data center đó. Bạn vẫn tin một bên thứ ba. Vậy privacy cải thiện thế nào? Chỉ là chuyển từ trust hyperscaler sang trust chip vendor. Nếu Intel bị hack (đã từng – xem vụ Intel Management Engine 2017), toàn bộ enclave trên CPU đó có thể bị đọc.
Còn một điều: Corbits là nền tảng AI enterprise. Nếu doanh nghiệp viết app AI chạy trên Corbits, họ có cần dùng NEAR blockchain không? Hay chỉ dùng private inference như một tính năng add-on? Nếu không có token hoặc on-chain settlement, NEAR AI chỉ là một plugin trên Corbits, không khác gì các dịch vụ confidential computing của AWS.
Thực tế: Rug pull? Tôi đã thấy từ xa. Không phải kéo thảm kiểu ICO, mà kéo thảm niềm tin: hứa hẹn privacy nhưng không audit, hứa hẹn hardware security nhưng không chi tiết.
Takeaway – Dự Báo Lỗ Hổng
Tôi dự đoán: trong vòng 6-12 tháng tới, nếu NEAR AI không publish source code hoặc audit third-party (như Trail of Bits, NCC Group), dự án này sẽ gặp một trong hai kịch bản:
- Bị khai thác lỗi attestation – attacker giả enclave và đánh cắp dữ liệu inference. Hậu quả: doanh nghiệp mất dữ liệu khách hàng, kiện tụng.
- Hoặc bị lộ key management – private key rò rỉ, attacker có thể thay đổi model AI của Corbits, khiến output sai lệch.
Takeaway của tôi rất đơn giản: Trước khi bạn tin vào “hardware-enforced confidentiality”, hãy tự hỏi: ai giữ key attestation? có rotate không? enclave memory có giới hạn? code có open source? Nếu không có câu trả lời, thì tòa tháp đó có thể sụp đổ bất cứ lúc nào.
Đọc code trước, mơ giàu sau. Và với NEAR AI + Corbits, tôi vẫn chưa thấy code nào cả.
Prompt tạo hình minh họa: Một tòa tháp bằng kính trong suốt, đứng trên nền cát với các vết nứt, xung quanh là các mảnh code và biểu tượng TEE (Intel SGX), phong cách dark cyberpunk, góc nhìn từ dưới lên.