CoreBreak: Lỗ hổng Lớp Điều phối AI Agent – Cảnh báo cho Crypto
Đặng Thảo
Ba lỗ hổng bảo mật mới được phát hiện trong các framework AI Agent hàng đầu – AWS Bedrock AgentCore, Google ADK cho Python, và Vercel @ai-sdk/harness-codex – có CVSS lên tới 9.3, mức 'nghiêm trọng'. Nhưng điều đáng nói không phải là điểm số, mà là bản chất: chúng không phải lỗi của model, mà là lỗi của lớp điều phối – lớp mà các dự án blockchain đang ngày càng phụ thuộc vào để tự động hóa giao dịch, quản lý thanh khoản, và vận hành các agent phi tập trung.
Được nghiên cứu bởi Stealth và Adversa AI, bộ lỗ hổng mang tên CoreBreak cho thấy một điểm mù chết người: lớp điều phối (scheduling layer) của AI Agent tin tưởng mọi dữ liệu có hình dạng đúng mà không kiểm tra nguồn gốc. Hệ thống giả định rằng nếu một tool call giống tool call do model sinh ra, thì nó phải đến từ model. Sai lầm này mở ra cánh cửa cho attacker trực tiếp inject tool block, giả mạo human approval, và bypass mọi biện pháp bảo vệ ở cấp model – từ system prompt alignment đến rejection training.
Với một người đã theo dõi các chu kỳ thanh khoản và lỗi bảo mật trong crypto suốt 25 năm, tôi thấy CoreBreak không chỉ là vấn đề của AI. Nó là một phiên bản hiện đại của lỗi 'kiểm tra hình dạng, không kiểm tra nguồn gốc' mà chúng ta đã thấy trong smart contract: một contract kiểm tra kiểu dữ liệu đầu vào nhưng không kiểm tra msg.sender, dẫn đến reentrancy hoặc access control bypass. Giống như một cánh cửa không khóa, nếu bạn chỉ kiểm tra hình dạng chìa khóa mà không hỏi nó đến từ đâu, thì ai cũng có thể mở.
Cụ thể, CVE-2026-18830 ở AWS Bedrock cho phép một remote caller đã xác thực inject tool use content block vào lời gọi API InvokeHarness. Lớp điều phối không kiểm tra liệu block đó có được sinh ra bởi model trong cùng một session hay không. CVSS 8.6 – cao, nhưng điều kiện 'đã xác thực' có thể gây hiểu lầm. Trong nhiều hệ thống, attacker có thể leo thang từ một tài khoản người dùng thông thường để gọi API này. Điều này nhắc tôi nhớ lại câu chuyện về hợp đồng thông minh Parity: một lỗi typo nhỏ ở thư viện đã đóng băng hàng trăm triệu USD. Ở đây, lỗi còn tinh vi hơn: nó nằm ở giả định về nguồn gốc dữ liệu – một giả định mà các dự án blockchain cũng thường mắc phải khi thiết kế oracle hoặc cross-chain bridge.
CVE-2026-18236 ở Google ADK còn nghiêm trọng hơn, CVSS 9.3. Attacker có thể inject hoặc thao túng event vào session history, giả mạo human approval cho các tool nhạy cảm. Ý nghĩa: nếu một agent được dùng để tự động phê duyệt giao dịch trên DEX hoặc ký hợp đồng thông minh, attacker có thể tạo ra bằng chứng 'người dùng đã xác nhận' mà không có sự đồng ý thực sự. Điều này phá hủy hoàn toàn mô hình bảo mật 'human-in-the-loop' mà nhiều dự án DeFi đang dựa vào.
CVE-2026-64650/64651 ở Vercel SDK có vẻ nhẹ hơn (CVSS 6.3), nhưng lại ảnh hưởng đến frontend và full-stack developers – cộng đồng đang xây dựng các ứng dụng Web3 tích hợp agent. Lỗi kiểm tra process path có thể bị bypass bởi code độc hại trong Linux sandbox, cho phép attacker leo thang đặc quyền.
Không phải model yếu, mà là kiến trúc quá tin tưởng. Đây là điểm mấu chốt. Nhiều người trong cộng đồng crypto vẫn nghĩ rằng AI Agent sẽ an toàn nếu model được huấn luyện tốt với alignment và rejection training. Nhưng CoreBreak chứng minh điều ngược lại: khi lớp điều phối tin tưởng mọi dữ liệu có hình dạng đúng, model có alignment đến đâu cũng vô ích. Tương tự như trong crypto, khi smart contract không kiểm tra msg.sender, thì logic nghiệp vụ có hoàn hảo đến đâu cũng bị bypass.
Từ góc nhìn macro, lỗ hổng này xuất hiện trong bối cảnh thanh khoản toàn cầu dồi dào, các quỹ đầu tư đang đổ tiền vào AI Agent và các ứng dụng blockchain tự động hóa. Sự kết hợp này tạo ra một nghịch lý: càng nhiều tiền đổ vào, càng ít an toàn. Các dự án sử dụng AI Agent để quản lý thanh khoản, thực hiện arbitrage, hoặc tương tác với cross-chain bridge cần đặc biệt chú ý. Nếu agent của bạn chạy trên AWS Bedrock, Google ADK, hoặc Vercel SDK mà chưa cập nhật bản vá, bạn đang để cửa mở cho attacker.
Trong 12 tháng tới, hãy chú ý đến các dự án blockchain quảng cáo 'AI Agent tự động'. Nếu họ không công bố audit lớp scheduling, họ đang chơi với lửa. Và nếu bạn nghĩ rằng vấn đề này chỉ là của AI, hãy nhìn vào lịch sử crypto: mỗi lần một layer mới được thêm vào, lại có một lỗi cũ được tái hiện. Lần này, nó là 'kiểm tra hình dạng, không kiểm tra nguồn gốc' – một lỗi mà chúng ta tưởng đã để lại từ thời DAO hack.