Hook
Khi tôi audit hợp đồng thông minh của một giao thức DeFi vào tháng 3 năm nay, tôi phát hiện một điều kỳ lạ: nhóm phát triển đã nhúng một module gọi API bên ngoài để lấy dữ liệu giá, nhưng không có bất kỳ cơ chế xác thực nào về “ai” thực sự đang gọi API đó. Tôi đặt câu hỏi: nếu AI Agent tự động gọi API này, ai chịu trách nhiệm khi dữ liệu bị thao túng? Câu trả lời vừa được Tòa án Phúc thẩm Liên bang Mỹ Khu vực thứ 9 đưa ra trong vụ Amazon kiện Perplexity AI – và nó thay đổi cách chúng ta nhìn nhận về trách nhiệm pháp lý trong không gian blockchain.
Context
Vào tháng 2 năm 2025, Amazon đệ đơn kiện Perplexity AI, một startup cung cấp AI Agent dạng trình duyệt giúp người dùng tìm kiếm và so sánh giá sản phẩm. Amazon cáo buộc Perplexity vi phạm Đạo luật Lừa đảo và Lạm dụng Máy tính Liên bang (CFAA) và luật tương tự của California (CDAFA) vì AI Agent của họ đã truy cập vào máy chủ Amazon mà không được phép. Tòa án đã bác bỏ lập luận của Amazon, phán quyết rằng AI Agent không phải là một “thực thể độc lập” trong CFAA, mà chỉ là công cụ của người dùng. Quyết định này dựa trên thực tế kỹ thuật: máy chủ của Perplexity không giao tiếp trực tiếp với cơ sở hạ tầng Amazon – mọi yêu cầu đều được thực hiện thông qua trình duyệt của người dùng. Điều tinh tế (và đáng sợ) trong thiết kế này là… nó tạo ra một ranh giới mỏng manh giữa “hành vi do người dùng khởi xướng” và “hành vi tự động của agent”.
Core
Hãy cùng trace execution path trong vụ kiện này. Amazon lập luận rằng AI Agent của Perplexity đã “truy cập” máy chủ Amazon trên góc nhìn kỹ thuật, do đó vi phạm CFAA. Nhưng Tòa án đã phân tích rằng khái niệm “truy cập” trong CFAA (18 U.S.C. §1030) đòi hỏi phải xác định “chủ thể” thực hiện hành vi. Dựa trên tiền lệ từ Tối cao Pháp viện trong vụ Van Buren v. United States (2021), Tòa án đã thu hẹp phạm vi của CFAA: không phải mọi hành vi truy cập vượt quá ủy quyền đều là bất hợp pháp. Ở đây, Tòa án thứ 9 đã áp dụng logic “công cụ/người đại diện”: phần mềm tự động không phải là một “con người” theo nghĩa pháp lý, do đó nó không thể tự mình “truy cập” trái phép. Trách nhiệm thuộc về người dùng cuối – người đã chủ động sử dụng công cụ đó.
Insight ở cấp độ giao thức mà hầu hết mọi người bỏ lỡ… là phán quyết này không tạo ra một “vùng an toàn” tuyệt đối cho AI Agent. Trong phần “concurring opinion”, thẩm phán cảnh báo rằng nếu kiến trúc của AI Agent thay đổi – ví dụ nếu máy chủ backend của Perplexity bắt đầu giao tiếp trực tiếp với máy chủ Amazon (giống như vụ Facebook v. Power Ventures) – thì kết luận có thể khác. Điều mà các dev không nói với bạn: ranh giới pháp lý nằm ở lớp mạng, không phải ở chức năng. Nếu agent của bạn sử dụng proxy server riêng để tăng tốc độ, bạn đã vô tình đưa dự án vào vùng rủi ro cao.
Phần lớn phân tích sai về tác động của vụ kiện này đối với ngành blockchain. Nhiều người cho rằng nó chỉ liên quan đến AI Agent thương mại điện tử. Nhưng với tư cách là một DeFi Security Auditor, tôi thấy song song trực tiếp với các smart contract tự động thực hiện giao dịch trên các giao thức thanh khoản. Hãy tưởng tượng một AI Agent được ủy quyền để thực hiện giao dịch swap trên Uniswap – nếu agent đó bị lỗi và gây ra tổn thất, ai chịu trách nhiệm? Theo phán quyết này, nếu agent được thiết kế như “công cụ do người dùng điều khiển” (user-directed tool), người dùng sẽ là bên chịu trách nhiệm. Nhưng nếu agent có khả năng tự chủ (autonomous agent) – chẳng hạn như bot chạy trên mạng lưới off-chain với quyền quyết định độc lập – thì trách nhiệm sẽ rơi vào nhà phát triển hoặc người vận hành.
Contrarian
Điểm mù bảo mật mà hầu hết các team blockchain bỏ qua là: phán quyết này không giải quyết vấn đề “ủy quyền có thể bị thu hồi”. Trong thế giới DeFi, việc thu hồi ủy quyền (revoke approval) là một khái niệm phổ biến. Nhưng trong CFAA, việc Amazon gửi một “cease and desist” letter cho Perplexity có thể được coi là hành động thu hồi ủy quyền. Nếu Perplexity tiếp tục cho phép người dùng truy cập Amazon thông qua agent của mình sau khi nhận được thư, mỗi truy cập đó có thể trở thành bất hợp pháp. Tương tự, nếu một giao thức blockchain gửi thông báo đến một bot thanh lý rằng bot không được phép tương tác với hợp đồng thông minh của họ, bot đó có thể vi phạm CFAA nếu tiếp tục hoạt động. Đây là lỗ hổng pháp lý mà hầu hết các dự án chưa tính đến trong kế hoạch tuân thủ của mình.
Takeaway
Phán quyết Perplexity là một bước tiến quan trọng, nhưng nó đặt ra câu hỏi tiến bộ: liệu chúng ta có đang xây dựng các hệ thống blockchain dựa trên giả định rằng “người dùng luôn kiểm soát”, trong khi thực tế các agent tự động đang ngày càng chiếm ưu thế? Nếu một DAO sử dụng AI Agent để quản lý kho bạc, và agent đó thực hiện giao dịch không được phép, ai sẽ là “người dùng”? Câu trả lời chưa có, nhưng tôi cá rằng chúng ta sẽ thấy nhiều vụ kiện hơn trong 18 tháng tới. Hãy chuẩn bị code của bạn cho điều đó.