Bạn nghĩ mình an toàn khi dùng AI coding agent? Hãy nhìn vào lỗ hổng tôi đã thấy.
Hook
Một nhóm nghiên cứu bảo mật vừa trình diễn tại DEF CON 34 một cuộc tấn công có tên Agentjacking. Nó không phải khai thác zero-day hay lỗi hợp đồng thông minh. Nó là thứ đơn giản hơn nhiều: lợi dụng cách AI coding agent (Claude Code, Cursor) đọc dữ liệu từ Sentry – một nền tảng theo dõi lỗi phổ biến. Kết quả? 85% thử nghiệm thành công, 2.388 tổ chức có thể bị tấn công, và các token AWS, GitHub, thậm chí cả private key của blockchain developer – tất cả đều có thể bị đánh cắp chỉ qua một HTTP POST.
Context
Tại sao lại là bây giờ? Bởi vì ngành blockchain đang chạy đua tích hợp AI Agent vào quy trình phát triển. Từ viết smart contract, audit code, đến deploy lên mainnet, các developer ngày càng tin tưởng vào Claude Code, Cursor, hay các MCP server (Model Context Protocol) để tự động hóa. Nhưng chính sự tin tưởng đó tạo ra điểm mù. MCP là giao thức mở do Anthropic phát triển, cho phép Agent kết nối với bất kỳ nguồn dữ liệu nào: Sentry, GitHub, Cloudflare, v.v. Vấn đề là MCP không phân biệt được “dữ liệu” và “chỉ thị”. Một dòng markdown trong Sentry issue có thể bị Agent hiểu là lệnh sửa lỗi – và thực thi nó.
Core
Chi tiết kỹ thuật: Tenet Security đã phát hiện rằng hàng nghìn tổ chức để lộ DSN (Data Source Name) của Sentry công khai trên GitHub, npm, blog. DSN là một URL cho phép bất kỳ ai gửi dữ liệu lỗi đến Sentry project của họ. Kẻ tấn công chỉ cần: 1. Quét tìm DSN công khai (họ tìm thấy 2.388 tổ chức, trong đó 71 trang web trong top 1 triệu Alexa, và ~27% Fortune 1000 có Cloudflare MCP). 2. Gửi một POST request với payload chứa markdown “hướng dẫn sửa lỗi” nhưng thực chất là lệnh cài npm package độc hại. 3. Khi developer chạy AI coding agent và yêu cầu “debug Sentry issue”, Agent sẽ đọc issue đó, trích xuất “fix” từ markdown, và thực thi – bao gồm chạy lệnh shell do attacker kiểm soát. 4. Package độc hại đánh cắp mọi credential trong máy: AWS keys, GitHub OAuth tokens, npm tokens, Docker registry tokens, và đặc biệt – private key của blockchain wallet hoặc keystore.
Đây không phải lỗi của model AI. Đây là lỗi kiến trúc. MCP cho phép Agent tin tưởng mọi dữ liệu từ tool output. Không có cơ chế nào để đánh dấu “dữ liệu này là hướng dẫn giả mạo”. Tenet đã chứng minh điều này trong môi trường thực tế: họ mô phỏng một developer đang fix bug, và Agent của họ – Claude Code và Cursor – đều bị lừa thành công. Sentry, sau khi được thông báo vào ngày 3/6/2025 (có thể là 2026, nhưng dữ liệu cho thấy 2025), đã triển khai một content filter chặn các payload cụ thể. Nhưng filter đó là blacklist string – có thể bypass dễ dàng. Tenet cũng phát hành agent-jackstop, một bộ cấu hình bảo vệ cho Cursor/Claude Code: chặn mạng ra ngoài, yêu cầu phê duyệt lệnh, cô lập credential. Nhưng tất cả chỉ là giải pháp tạm thời, không giải quyết gốc rễ.
Contrarian
Mọi người đang nói về “AI Agent thay thế developer”. Nhưng câu chuyện thực sự ở đây là: AI Agent đang mở rộng bề mặt tấn công theo cách mà chúng ta chưa từng thấy. Trong blockchain, nơi mà private key là tài sản, một lỗ hổng như Agentjacking có thể dẫn đến mất trắng. Hãy tưởng tượng: một developer dùng Claude Code để audit smart contract. Agent kết nối với Sentry để xem lỗi runtime. Attacker đã gửi một issue giả mạo hướng dẫn “thêm một hàm withdraw” – và Agent thực thi nó, deploy lên mainnet. Điều này không chỉ lý thuyết. Tenet đã chỉ ra rằng 85% thử nghiệm thành công. Nhưng tôi muốn nhấn mạnh một góc khuất: Sentry từ chối sửa lỗi tận gốc. Họ nói “technically infeasible”. Điều đó có nghĩa là họ chấp nhận rủi ro, và đẩy trách nhiệm cho người dùng. Trong khi đó, các nhà phát triển blockchain vẫn đang mải mê chạy theo tính năng mới của AI mà quên mất rằng công cụ càng thông minh, càng dễ bị thao túng.
Takeaway
Tôi không nói bạn nên bỏ AI coding agent. Nhưng nếu bạn đang dùng Claude Code hay Cursor để viết smart contract, hãy tự hỏi: Agent của bạn có thể đọc Sentry issue không? Có kết nối MCP server nào không? Nếu có, bạn đã cấu hình agent-jackstop hay chưa? Bởi vì lần tới khi bạn gõ “debug this error”, câu trả lời có thể không phải là fix, mà là mất sạch private key. Còn Sentry? Họ sẽ vẫn tiếp tục bán dịch vụ, và bạn sẽ phải tự bảo vệ mình. Trong thế giới crypto, trust không có chỗ – và giờ đây, trust cũng không có chỗ trong AI Agent.