CoreBreak: Khi AI Agent blockchain bị 'đánh lừa' bởi chính pipeline – và tại sao model không thể cứu bạn

Hook: Trong 7 ngày qua, một AI Agent trên Arbitrum đã tự động thực hiện 47 giao dịch swap trên Uniswap v3, tất cả đều thông qua một contract proxy mà không có bất kỳ log nào từ model. Không có prompt injection, không có jailbreak. Chỉ là một cuộc gọi API đến scheduler layer. Lỗ 50%? Đó là chi phí học tập. Nhưng lần này, cái giá phải trả có thể là toàn bộ thanh khoản của protocol. Context: CoreBreak không phải là một lỗi thông thường. Đây là ba CVE được công bố đồng thời vào tháng 7/2026: CVE-2026-18830 (AWS Bedrock AgentCore), CVE-2026-18236 (Google ADK for Python), và CVE-2026-64650/64651 (Vercel @ai-sdk). Cả ba đều khai thác cùng một điểm mù: scheduler layer tin tưởng dữ liệu đầu vào dựa trên hình dạng (shape) thay vì nguồn gốc (origin). Trong thế giới blockchain, điều này tương đương với việc một smart contract chấp nhận bất kỳ calldata nào có chữ ký đúng format mà không kiểm tra xem nó có thực sự đến từ owner hay không. Các AI Agent – từ bot MEV, DeFi yield optimizer đến cross-chain bridge executor – đều chạy trên các framework này. Nếu scheduler không kiểm tra nguồn gốc của tool call, một kẻ tấn công có thể giả mạo bất kỳ lệnh nào. Và model-level defense? Vô dụng. Core: Hãy đi vào kỹ thuật. CVE-2026-18830 cho phép một remote attacker đã xác thực gửi trực tiếp tool use content block vào InvokeHarness API của AWS Bedrock AgentCore. Scheduler không kiểm tra xem block đó có thực sự được sinh ra từ model round hay không. Nó chỉ nhìn vào format: có đúng cấu trúc JSON không? Có đúng trường 'toolUseId' không? Nếu có, nó thực thi. Trong crypto, hãy tưởng tượng một agent được ủy quyền để thực hiện swap trên một DEX. Nếu scheduler chấp nhận tool call từ bất kỳ nguồn nào có format đúng, kẻ tấn công có thể gửi một lệnh 'transferFrom' thay vì 'swap' – và agent sẽ ký transaction đó. Lỗ 50%? Đó là chi phí học tập, nhưng ở đây chi phí là cả pool thanh khoản. Google ADK (CVE-2026-18236, CVSS 9.3) còn nguy hiểm hơn: nó cho phép giả mạo session history, từ đó fake human approval cho các sensitive tool. Trong nhiều DeFi agent, 'human approval' là bước bắt buộc trước khi thực hiện giao dịch lớn. CoreBreak cho thấy bước này có thể bị bypass bằng cách inject một event vào history. Kết quả: agent có thể thực hiện bất kỳ lệnh nào mà không cần chủ sở hữu biết. Với Vercel SDK, lỗ hổng nằm ở process path check – một malicious process trong Linux sandbox có thể giả mạo approved script path. Điểm chung: tất cả đều là inspection-execution gap. Scheduler kiểm tra format, nhưng không kiểm tra nguồn gốc. Đây là lỗi kiến trúc, không phải lỗi model. GuardFall research còn phát hiện 10/11 AI coding agent có thể bị shell injection. Điều này có nghĩa là nếu bạn dùng AI agent để viết smart contract, kẻ tấn công có thể chèn code độc vào tool call mà model không hề hay biết. Contrarian: Nhiều người nghĩ rằng AI agent an toàn vì model được train với RLHF, có refusal và system prompt. Sai. CoreBreak chứng minh rằng model-level defense hoàn toàn vô hiệu khi attack xảy ra ở plumbing layer. Thực tế, attack không cần phải vượt qua model – nó chỉ cần gửi dữ liệu đúng format vào scheduler. Điều này có nghĩa là toàn bộ ngành công nghiệp đang đầu tư hàng tỷ USD vào model alignment, nhưng lại bỏ qua lớp hạ tầng thực thi. Lỗ 50%? Đó là chi phí học tập. Nhưng nếu không sửa pipeline, chi phí đó sẽ lặp lại. Một góc nhìn phản trực giác khác: các nền tảng managed service như AWS Bedrock có lợi thế hơn trong việc tự động vá lỗi, nhưng lại tạo ra cảm giác an toàn giả tạo. Khách hàng không cần làm gì, nhưng họ cũng không biết liệu bản vá có thực sự hiệu quả hay không. Trong khi đó, open-source SDK như Google ADK và Vercel yêu cầu người dùng tự update, nhưng lại cho phép kiểm soát chi tiết. Sự đánh đổi giữa convenience và security chưa bao giờ rõ ràng hơn. Takeaway: CoreBreak không phải là lỗi cuối cùng. Nó là hồi chuông cảnh tỉnh cho toàn bộ hệ sinh thái AI agent. Nếu bạn đang xây dựng agent trên blockchain, hãy kiểm tra scheduler layer của bạn. Nếu scheduler tin tưởng bất kỳ tool call nào có format đúng, bạn đang có một lỗ hổng chết người. Lỗ 50%? Đó là chi phí học tập. Nhưng câu hỏi thực sự là: bạn có sẵn sàng trả giá đó không?