Trong 72 giờ qua, tôi đã đọc mã nguồn của 17 dự án "AI Agent" được quảng cáo rầm rộ trên các diễn đàn tiền điện tử Việt Nam. Không phải để tìm cơ hội đầu tư — tôi đã hết thời với những trò đó — mà để kiểm tra một giả thuyết đơn giản: liệu những "tác tử thông minh" này có thực sự thông minh, hay chỉ là những chiếc hộp giấy bóng loáng bên ngoài.
Kết quả khiến tôi nhớ lại một câu nói trong giới bảo mật: "Mọi thứ đều hoạt động cho đến khi bạn mở nó ra." Tôi mở một hợp đồng thông minh điển hình và thấy gì? Một API key của OpenAI được nhúng thẳng vào mã nguồn. Một hàm gọi HTTP tới một server tập trung. Và một token dashboard hiển thị "số lượng AI suy nghĩ" — thực chất là một đồng hồ đếm ngược.
Tưởng chừng như chúng ta đang chứng kiến cuộc cách mạng AI + Crypto, nhưng sự thật đang nằm im dưới lớp code. Và nếu bạn không đọc code, bạn sẽ bị bỏ lại phía sau với một túi token đầy màu sắc.
Để hiểu vì sao hiện tượng này lại quan trọng, chúng ta cần nhìn lại bối cảnh lớn. Từ giữa năm 2025, câu chuyện "AI Agent" trở thành cứu cánh cho một thị trường đang dần đuối sức. Sau khi Bitcoin ETF được phê duyệt vào năm 2024 và các quỹ đầu tư truyền thống đổ vào, thị trường bước vào chu kỳ tích lũy đi ngang. Nhà đầu tư cá nhân mệt mỏi với những cuộc chiến giữa các layer-2, mệt mỏi với việc chờ đợi một "cú bứt phá" không bao giờ đến, và họ cần một narrative mới để nuôi hy vọng.
Việt Nam, với hơn 20 triệu người sở hữu tiền điện tử, không nằm ngoài cơn sốt này. Các nhóm phát triển địa phương, từng nổi tiếng với các game blockchain và DEX, bắt đầu chuyển hướng sang "AI Agent" — nhảy vào các hệ sinh thái như Base và Arbitrum để phát hành token. Điều đáng chú ý là không ít dự án nhận được tài trợ từ những quỹ đầu tư mạo hiểm có tên tuổi lớn, tạo thêm sức nặng cho câu chuyện rằng "AI Agent là tương lai".
Nhưng điều này gợi cho tôi một sự tương tự với thời kỳ DeFi Summer 2020, khi hàng loạt "Uniswap killer" mọc lên chỉ để rồi biến mất. Khác biệt duy nhất là nền tảng kỹ thuật dành cho AI khi đó còn mơ hồ hơn nhiều so với các hợp đồng tài chính. Chúng ta không có một khung chuẩn nào để đánh giá "độ phi tập trung" của một agent, bởi vì thuật ngữ này chỉ mới xuất hiện vài tháng trước trong bối cảnh blockchain.
Điều này dẫn đến một nghịch lý: các nhà đầu tư bán lẻ sẵn sàng bỏ ra vài nghìn đô la cho một token của "agent tự động kiếm tiền" mà họ chưa bao giờ thử nghiệm, trong khi một kỹ sư phần mềm có thể viết một bot tương tự trong một buổi chiều với chi phí 50 đô la tiền API. Sự chênh lệch giữa kỳ vọng và thực tế là mảnh đất màu mỡ nhất cho những thất bại tài chính.
Tôi sẽ đi vào chi tiết kỹ thuật cụ thể. Trong một dự án điển hình mà tôi kiểm tra — tạm gọi là "AgentPro" (không phải tên thật) — hợp đồng thông minh chứa một struct với ba trường: taskDescription, apiEndpoint, và apiKey. Người dùng gửi một yêu cầu, hợp đồng phát ra một sự kiện AgentRequested, và một off-chain server lắng nghe sự kiện đó để gọi API của OpenAI.
Điều này có nghĩa là gì? Toàn bộ logic "suy nghĩ" của agent nằm ngoài blockchain. Nó nằm trên một server của công ty, trong một môi trường không thể kiểm toán, không có cơ chế đồng thuận nào xác minh kết quả. Blockchain chỉ đóng vai trò như một chiếc vé số — bạn trả phí để ghi lại một yêu cầu vào sổ cái, nhưng không có gì đảm bảo rằng server sẽ trả lời đúng, trả lời sai, hay không trả lời.
Hơn nữa, việc lưu trữ API key trong code là một thảm họa bảo mật. Trong giao thức blockchain, mọi byte đều có thể được đọc bởi bất kỳ ai. Tôi có thể viết một script đơn giản để quét toàn bộ lịch sử giao dịch của mạng và vét tất cả API key bị lộ. Điều này không đòi hỏi kỹ năng hacker — chỉ cần biết đọc JSON. Và khi một API key bị đánh cắp, ai sẽ trả tiền cho hóa đơn OpenAI của bạn? Đúng vậy — những người dùng cuối mua token.
Trên giấy tờ, mô hình là "phi tập trung"; trong thực tế, nó là một phép ẩn dụ cho sự kiểm soát tuyệt đối của một công ty. Trong 17 dự án tôi kiểm tra, có 14 dự án sử dụng kiến trúc HTTP-out: hợp đồng thông minh chỉ là một bảng thông báo. Ba dự án còn lại có chút "sophisticated" hơn khi sử dụng một mạng lưới trình xác thực để gọi API, nhưng vẫn phụ thuộc vào một điểm kiểm soát duy nhất để thu thập kết quả. Không một dự án nào có cơ chế chống byzantine — tức là không có cách nào để phát hiện một nút đang trả lời sai.
Câu hỏi quan trọng không phải là "bạn có thể gọi AI từ blockchain không?" — câu trả lời là có — mà là "bạn có thể tin tưởng kết quả đó không?" Và câu trả lời cho vế sau, dựa trên những gì tôi thấy, là không.
Nhưng vấn đề sâu hơn nằm ở mô hình kinh tế. Hãy thử tính toán: một yêu cầu AI có thể tốn từ 0,01 đô la đến 0,5 đô la tùy vào độ phức tạp. Phí gas để ghi yêu cầu lên blockchain — trên Base, chi phí thấp, nhưng cộng dồn vẫn đáng kể. Tuy nhiên, khi bạn phát hành token với phí giao dịch 5% mỗi lần mua bán, bạn không cần phải có doanh thu thực tế. Bạn chỉ cần khối lượng giao dịch. Đây chính là động cơ thúc đẩy nhóm phát triển tạo ra "hiệu ứng mạng lưới giả" — hàng trăm bot tự mua bán với nhau để làm đẹp biểu đồ giao dịch.
Trong báo cáo của một quỹ phân tích on-chain, họ gọi những bot này là "sybil liquidity". Tôi nhớ lại năm 2020, khi tôi từ chối tham gia một dự án "YFI clone" vì phát hiện cơ chế yield farming của họ dựa trên pump-and-dump tiềm ẩn. Bỏ lỡ 200% lợi nhuận ngắn hạn là một quyết định khó khăn, nhưng nó đã dạy tôi một bài học: các kiến trúc động cơ không trung thực sẽ luôn sụp đổ. Và những "AI Agent" này đang lặp lại chính xác khuôn mẫu đó.
Ở một khía cạnh khác, tôi cũng muốn ghi nhận một vài đội ngũ làm ăn nghiêm túc. Thay vì gọi API của OpenAI, họ triển khai các mô hình nhỏ trực tiếp on-chain — ví dụ như dùng một mạng lưới phân tán để chạy inference và xác minh nhau. Nhưng chi phí tính toán này quá lớn, và chất lượng mô hình giảm sút nghiêm trọng so với GPT-4 hay Claude. Điều đó dẫn đến một sự đánh đổi: bạn chấp nhận phi tập trung và kém thông minh, hay chấp nhận thông minh và tập trung? Hầu hết các dự án hiện tại đều chọn cái sau — nhưng quảng bá rằng họ đang mang lại cái trước.
Bây giờ tôi muốn đưa ra một góc nhìn phản trực giác. Trong khi hầu hết các nhà phê bình — bao gồm cả tôi — tập trung vào việc phơi bày sự giả tạo của các dự án AI Agent, chúng ta có thể bỏ lỡ một điểm mù bảo mật nghiêm trọng hơn nhiều: cơ chế fork và tấn công chuỗi cung ứng.
Vì hầu hết mã nguồn của "AI Agent" là các biến thể nông cạn của nhau, việc fork một dự án và tạo ra hàng trăm token giả là điều quá dễ dàng. Nhưng vấn đề không nằm ở việc trùng lặp code — mà nằm ở chỗ việc fork như vậy tạo ra một vectơ tấn công mới: nếu một dự án gốc bị tấn công (ví dụ, bị chiếm quyền kiểm soát khóa API), tất cả các bản fork sẽ bị ảnh hưởng. Và vì các bản fork thường có thanh khoản thấp, một kẻ tấn công chỉ cần biết cách khai thác lỗi của một trong số chúng để gây hiệu ứng domino. Nếu người dùng không thể kiểm tra output → thì không có lý do gì để tin tưởng.
Điều đáng ngạc nhiên hơn: sự tập trung của các tác nhân AI đang tạo ra một hình thức "Sandwich attack" trên bình diện thông tin. Các bot AI, khi được điều khiển bởi cùng một prompt, sẽ đưa ra các quyết định giống nhau. Nếu đủ nhiều bot được lập trình để mua hoặc bán một loại token vào cùng một thời điểm, chúng có thể tạo ra một biến động giá nhân tạo mà các nhà giao dịch thông thường — những người chạy theo "tín hiệu AI" — sẽ bị thiệt hại nặng nề. Thị trường Việt Nam, với sự phổ biến của các nhóm Telegram và kênh tín hiệu, cực kỳ dễ bị tấn công theo kiểu này.
Thậm chí nguy hiểm hơn, hầu hết các agent hiện tại không có cơ chế bảo vệ chống lại prompt injection. Kẻ tấn công có thể gửi một yêu cầu ẩn chứa chỉ thị độc hại, và server off-chain sẽ xử lý nó như một phần dữ liệu đầu vào. Kết quả là agent có thể bị thao túng để ký các giao dịch chuyển tiền, thay đổi tham số hệ thống, hoặc tiết lộ thông tin nhạy cảm. Với tốc độ phát triển nhanh đến chóng mặt của các dự án này, ít ai dành thời gian để nghĩ về các vectơ tấn công này cho đến khi sự cố xảy ra.
Tôi không nói rằng tất cả các dự án AI Agent đều là lừa đảo. Nhưng tôi đang nói rằng hầu hết chúng đều vô hồn về mặt kỹ thuật, và một phần nhỏ trong số đó đang chủ động tạo ra các mô hình gây hại. Khi bạn gộp hai yếu tố đó lại, bạn có một hệ sinh thái đầy rủi ro — không chỉ về tài chính mà còn về mặt bảo mật thông tin cho người dùng không chuyên.
Trong một thị trường đi ngang đầy biến động, câu hỏi không phải là "Bạn có nên mua token này không?" mà là "Mã này có thật sự làm những gì nó hứa không?" Tôi đã dành 26 năm trong ngành để học một điều: sự thật luôn nằm trong code, không nằm trong whitepaper hoặc bài đăng trên X. Và khi bạn nhìn kỹ vào code của hầu hết các dự án "AI Agent", bạn sẽ thấy thứ duy nhất đang vận hành — chính là một chiếc máy in token. Hãy là người đọc code trước khi đọc chart, vì thị trường sẽ sớm nhận ra sự thật này một cách tàn nhẫn. Những dự án thực sự có giá trị — những dự án dám đối mặt với đánh đổi phi tập trung và chất lượng — sẽ tồn tại sau cơn bão, và chúng sẽ đến từ những dev biết trân trọng sự trung thực trong thiết kế. Còn những chiếc hộp giấy kia? Chúng sẽ chỉ còn là một ghi chú dưới đáy ví của những nhà đầu tư quá vội vàng.