Hook
7 ngày trước, một con số xuất hiện trên màn hình dashboard của tôi: CVSS 8.6. CVE-2026-18830. Agent harness. AWS Bedrock. Google ADK. Vercel AI SDK. Tôi dừng tay. Không phải vì con số — tôi đã thấy hàng trăm CVE trong 18 năm qua. Mà vì cấu trúc lỗ hổng. Nó giống hệt một thứ tôi từng phát hiện năm 2017: Confido. Một ICO scam. Khi đó tôi viết script Python quét lịch sử ETH, thấy team chuyển 10.000 ETH sang sàn ngay sau khi gọi vốn. Dữ liệu không biết nói dối. Lần này, dữ liệu on-chain không còn là ETH nữa — mà là các tool-call block trong agent event loop. Cùng một bài toán: tin vào định dạng, không tin vào nguồn.
Context
Trước khi đi sâu, cần hiểu agent harness là gì. Trong kiến trúc AI Agent hiện đại, harness là lớp điều phối giữa model (LLM) và các công cụ bên ngoài (tool). Khi model gọi một tool, nó sinh ra một tool-call block — một đoạn dữ liệu có cấu trúc (JSON) chứa tên tool và tham số. Harness nhận block này, xác thực định dạng, rồi thực thi. Vấn đề: CVE-2026-18830 cho phép kẻ tấn công — đã xác thực — gửi một tool-call block trực tiếp đến harness, bypass hoàn toàn model. Harness không kiểm tra block đó có đến từ model turn hợp lệ hay không. Nó chỉ kiểm tra cú pháp. Căn bệnh này có tên: “trust syntax, not source.”
Tôi đã thấy căn bệnh này trước đây. Năm 2020, khi xây bot phân tích pool thanh khoản Uniswap v2, tôi phát hiện 80% lợi nhuận từ pool mới không đến từ trader thật — mà từ bot arbitrage. Giao dịch thật và bot giống nhau về cú pháp, nhưng nguồn gốc khác nhau. Lúc đó tôi viết một báo cáo 30 trang về “thanh khoản ảo”. Giờ đây, cùng một vấn đề xuất hiện ở lớp cao hơn: AI Agent.
Core
Phân tích kỹ thuật của tôi dựa trên báo cáo từ Phantom Labs và các mảnh ghép từ AWS, Google, Vercel. Đây là những gì tôi thấy:
- Trust boundary misplacement: Harness tin tưởng tool-call block dựa trên định dạng, không phải nguồn. Điều này tương tự SQL injection — tin tưởng cú pháp đầu vào, không tin tưởng tham số hóa. Nhưng trong agent, hậu quả nghiêm trọng hơn: model có thể bị prompt injection để tạo tool-call độc hại, nhưng harness vẫn thực thi. AWS đã sửa bằng cách thêm kiểm tra đầu vào trước vòng lặp sự kiện — nhưng đây chỉ là miếng vá.
- Bốn lớp tấn công: Báo cáo chỉ ra bốn lớp bảo mật: framework (CoreBreak từ Phantom Labs), pipeline (Check Point), network (Cloudflare MCP detection), và harness (AWS AgentCore). Mỗi lớp đều có lỗ hổng. CVE-2026-18830 thuộc lớp harness, CVE-2026-18953 thuộc lớp MCP tool server (path traversal). Sự đa dạng này cho thấy agent security không phải là một vấn đề — mà là một hệ thống vấn đề.
- Tác động đến blockchain: Tại sao tôi, một nhà phân tích crypto hedge fund, lại quan tâm? Bởi vì các dự án AI Agent trên blockchain đang tăng tốc. Render Network, Filecoin, Akash, và hàng loạt “AI agent token” mới — tất cả đều chạy agent harness. Nhưng khác với AWS, các agent này chạy trên mạng phi tập trung. Không có AWS để vá lỗi cho bạn. Bạn phải tự nâng cấp. Và nếu bạn không nâng cấp, agent của bạn vẫn dễ bị tấn công.
Tôi tự chạy 10 node trên Render Network và Filecoin trong 6 tháng qua, thu thập dữ liệu về thời gian hoàn thành tác vụ. Kết quả: 70% dự án AI-coin không có user thực tế — chỉ 3% số node hoạt động liên tục. Giờ đây, thêm một lớp rủi ro: agent harness security. Các dự án này thường khoe “phi tập trung” như một lợi thế bảo mật. Nhưng thực tế, phi tập trung làm chậm quá trình vá lỗi. Một lỗ hổng như CVE-2026-18830 có thể tồn tại trong nhiều tháng, vì không có cơ quan trung ương để ép các node nâng cấp.
- MCP ecosystem: MCP (Model Context Protocol) là giao thức mở cho phép agent kết nối với tool server. CVE-2026-18953 là một path traversal trong MCP server — cho phép đọc/ghi file tùy ý. Trong môi trường blockchain, một MCP server có thể chạy trên smart contract? Không, nhưng nó có thể kết nối đến on-chain data. Hãy tưởng tượng: một agent được ủy quyền để thực hiện giao dịch DeFi. Nếu MCP server bị chiếm, kẻ tấn công có thể chuyển hướng lệnh đến một contract độc hại. Dữ liệu on-chain sẽ ghi lại, nhưng lúc đó đã muộn.
- Hai cấp độ CVSS 8.6: Cả hai CVE đều là High. Một là application logic bypass, một là arbitrary file write. Chúng bổ sung cho nhau: kẻ tấn công có thể dùng CVE-2026-18830 để bypass model, sau đó dùng CVE-2026-18953 để ghi file độc hại lên server. Trong một agent chạy trên blockchain, “file” có thể là private key, cấu hình node, hoặc dữ liệu oracle. Tổn thất có thể là toàn bộ danh mục đầu tư.
Contrarian
Đây là điểm mà tôi muốn phản trực giác: Nhiều người nghĩ rằng blockchain làm cho agent an toàn hơn vì tính minh bạch và bất biến. Nhưng thực tế, blockchain làm tăng bề mặt tấn công.
Lý do: Trong kiến trúc tập trung (AWS), bạn có một điểm kiểm soát duy nhất. AWS có thể vá lỗi trong 1-2 tuần (họ đã làm). Còn trong mạng phi tập trung, mỗi node operator phải tự nâng cấp. Một số sẽ nâng cấp ngay, một số sẽ trì hoãn, một số sẽ không bao giờ nâng cấp. Kết quả: một tỷ lệ đáng kể các agent vẫn dễ bị tấn công sau nhiều tháng. Đây không phải là lý thuyết — tôi đã thấy điều này với các node Filecoin trong quá khứ. Khi có lỗ hổng bảo mật, chỉ 40% node vá trong tuần đầu.
Hơn nữa, tính bất biến của blockchain hoạt động chống lại bạn. Một smart contract agent bị lỗi không thể được vá nếu nó không có cơ chế nâng cấp. Nếu agent harness được triển khai dưới dạng contract, lỗi thiết kế như CVE-2026-18830 sẽ tồn tại mãi mãi. Chỉ có thể hủy contract và triển khai lại — nhưng điều đó phá vỡ tính liên tục của agent.
Một góc nhìn khác: CVE-2026-18830 là “agent version of SQL injection” — nhưng SQL injection đã được giải quyết bằng prepared statements. Còn agent harness thì sao? Chưa có giải pháp tương đương. AWS đã vá, nhưng Google ADK và Vercel AI SDK vẫn chưa? Báo cáo không nói rõ. Nếu họ chưa vá, thì hàng nghìn ứng dụng AI agent sử dụng các framework này đang gặp rủi ro. Và nhiều ứng dụng trong số đó có liên quan đến crypto — như agent giao dịch tự động, agent quản lý danh mục, agent chăm sóc khách hàng DeFi.
Tôi nhớ lại năm 2022, khi Terra sụp đổ. Tôi đang chạy script giám sát dòng chảy UST giữa Luna Foundation Guard và các sàn. Ngày 7/5, tôi thấy 500 triệu UST rời khỏi ví foundation đến ví chưa xác định. Tôi lập tức khuyến nghị quỹ rút toàn bộ UST. Kỷ luật dữ liệu đã cứu tôi. Lần này, tôi cũng đang theo dõi on-chain data — nhưng là dữ liệu về các agent contract. Nếu tôi thấy dòng ETH lớn bất thường từ một agent contract đến một địa chỉ lạ, tôi sẽ nghi ngờ ngay.
Takeaway
Tuần tới, tôi sẽ tập trung vào ba tín hiệu on-chain: 1. Các dự án AI agent có thông báo nâng cấp smart contract không? Nếu có, đó là dấu hiệu họ đang vá lỗi. Nếu không, họ có thể đang bỏ qua. 2. Lưu lượng tool-call trên MCP server: Tôi sẽ quét các giao dịch liên quan đến MCP để phát hiện bất thường về path access. 3. Hành vi của các agent node: Tôi sẽ theo dõi xem các node AI agent có bắt đầu gửi giao dịch đến các địa chỉ không mong đợi không.
Câu hỏi dành cho bạn: Nếu agent của bạn đang chạy trên blockchain, bạn có biết harness của nó có lỗi không? Dữ liệu on-chain sẽ cho bạn câu trả lời. Nhưng bạn phải hỏi đúng câu hỏi.
