Ai chịu trách nhiệm khi một AI agent làm bạn mất tiền?

Vào ngày 04/05, một thông điệp ẩn dưới dạng mã Morse đã góp phần kích hoạt một giao dịch chuyển tiền điện tử trị giá hàng trăm nghìn USD. Thông điệp này đi qua hai hệ thống AI kết nối với nhau. Một bên là Grok – chatbot do xAI của Elon Musk phát triển. Bên còn lại là Bankrbot, một “trợ lý” AI có thể thực hiện thanh toán từ ví tiền điện tử liên kết.

Kẻ tấn công đã gửi cho ví một membership token dạng kỹ thuật số, qua đó mở khoá các công cụ thanh toán của Bankr. Sau đó, Grok giải mã nội dung thông điệp, và Bankrbot hiểu phản hồi này là một lệnh thanh toán. Kết quả, khoảng 150,000 – 200,000 USD đã được chuyển đi.

Một tin nhắn mã Morse dẫn đến giao dịch tiền điện tử hàng trăm nghìn USD

Tại sao việc này đáng lo ngại? Bởi đây là ví dụ điển hình về một vụ hack quy mô lớn chỉ nhờ 2 agent AI phối hợp. Một bên AI tạo ra văn bản, bên còn lại tự động coi đó là lệnh cho phép chi tiền.

Nếu nhìn vào tốc độ phát triển của các hệ thống thanh toán “tự động” dùng AI như hiện nay, những tình huống như vậy có thể sẽ trở thành ác mộng với tương lai của ngành tài chính thông qua AI (Agentic Finance).

Keyrock đã ghi nhận 176 triệulượt thanh toán tự động trên blockchain, tổng giá trị lên tới 73 triệu USD tính đến tháng 04/2026. Trong đó, phần lớn các giao dịch khá nhỏ, đa số chỉ từ 0.01 đến 0.10 USD, 76% dưới 0.30 USD. Nhưng khi phần mềm tự động liên tục tự chi trả những khoản nhỏ này, thì kiểm soát lại là vấn đề lớn.

Xu hướng này không chỉ dừng lại trong lĩnh vực blockchain mà còn lan sang hạ tầng thanh toán truyền thống. Mastercard đã ra mắt Agent Pay for Machines vào tháng 06/2026 để xử lý các giao dịch nhỏ, tần suất cao. Google và Visa cũng đang phát triển các tiêu chuẩn để các agent xác nhận danh tính, quyền hạn khi thực hiện giao dịch.

BeInCrypto đã phỏng vấn Rodrigo Coelho – CEO của Edge & Node; Nitin Gaur – Giám đốc phụ trách khối tổ chức tại Nethermind; và Francesco Andreoli – Giám đốc Quan hệ phát triển tại MetaMask, để tìm hiểu ai chịu trách nhiệm khi xảy ra sự cố.

Coelho trả lời thẳng thắn:

“Công ty triển khai hệ thống đó sẽ phải chịu trách nhiệm. Không có kịch bản nào mà trách nhiệm lại được quy cho bản thân mô hình AI cả,” theo lời Rodrigo Coelho, CEO tại Edge & Node – đơn vị phát triển nền tảng AI và Web3.

Tiểu bang California (Mỹ) đã áp dụng nguyên tắc này thành luật. Luật AB 316 có hiệu lực từ tháng 01/2024, quy định người phát triển, chỉnh sửa hoặc sử dụng AI không được phép đổ lỗi cho hệ thống tự ý gây ra thiệt hại. Tuy nhiên, quy trình xác định nguyên nhân và khả năng dự đoán hậu quả vẫn là yếu tố quan trọng.

Biên nhận không có nghĩa là có quyền

Một giao dịch trên blockchain chỉ chứng minh rằng tiền đã được chuyển đi. Điều này không đồng nghĩa với việc agent thực sự có quyền thực hiện giao dịch đó.

“Hầu hết các công ty triển khai agent hiện nay đều không thể chứng minh agent của mình được trao quyền gì. Họ chỉ có thể cho bạn xem giao dịch xảy ra trên blockchain, bản ghi công khai và không thể xoá được. Nhưng họ lại không chứng minh được đằng sau giao dịch đó là lệnh uỷ quyền nào,” Coelho cho biết.

Hiện nay còn thiếu rất nhiều thông tin: ai đã trao quyền, chính sách nào đang áp dụng, agent tham khảo dữ liệu nào và khoản thanh toán đó có vượt quá giới hạn không. Một địa chỉ ví không thể trả lời những câu hỏi này.

Nitin Gaur đến từ Nethermind cho biết tranh chấp sẽ chỉ được giải quyết dựa trên chứng cứ uỷ quyền.

“Điều quyết định ai đúng là bằng chứng uỷ quyền. Nếu chứng minh agent hoạt động trong giới hạn, theo đúng lệnh được ký xác nhận có giới hạn thời gian… thì xử lý giống mọi giao dịch hợp lệ khác.”

AP2 của Google sử dụng các uỷ quyền được ký điện tử để chính xác ghi nhận ý định thực hiện giao dịch của người dùng. Giao thức Trusted Agent của Visa cho phép agent đã được duyệt trình bày chữ ký số để xác thực danh tính và quyền hạn liên quan.

Với Mastercard, giải pháp bổ sung thêm quy trình xác thực và giới hạn quyền được thực thi tự động bằng phần mềm. Dù mỗi bên có cách tiếp cận khác nhau, mục tiêu chung là: quyền thực hiện giao dịch phải luôn gắn với từng thanh toán.

Đặt giới hạn ở nơi agent không thể can thiệp

Lệnh uỷ quyền vẫn sẽ vô nghĩa nếu agent có thể tự sửa, tự phê duyệt lệnh của chính mình, hoặc nắm quyền ký không giới hạn. Coelho cho rằng giới hạn phải nằm ở chỗ agent không thể tiếp cận, đó là khoá riêng.

“Agent không nên giữ khoá riêng truy cập ví. Agent chỉ nên có quyền đề xuất lệnh thanh toán. Một hệ thống tách biệt sẽ quyết định cho phép hay từ chối,” Coelho nhấn mạnh.

Francesco Andreoli của MetaMask cũng lưu ý điều tương tự khi nói về các đoạn prompt:

“Các biện pháp kiểm soát hiệu quả là những thứ agent không thể chạm đến. Nếu chính sách được viết ở prompt, thì nó không phải chính sách — chỉ là gợi ý, mà hệ thống AI từng nhiều lần bị thuyết phục làm sai.”

Trong thực tế, điều này đồng nghĩa với việc cần phân tách tiền, giới hạn giá trị từng giao dịch và giới hạn tổng cộng trong ngày, hạn chế đối tác được phép, áp dụng cơ chế thu hồi quyền nhanh chóng và phải thử nghiệm nút ngắt khẩn cấp (kill switch). Một hệ thống độc lập sẽ kiểm tra tuân thủ trước khi ký xác nhận giao dịch.

Các công cụ mà các agent sử dụng lại tạo ra một rủi ro khác. Snyk đã quét 3,984 bộ kỹ năng công khai của agent vào tháng 02/2024 và phát hiện ít nhất một vấn đề bảo mật trong 36.82% số đó. Họ xác nhận có 76 payload độc hại, liên quan đến đánh cắp thông tin đăng nhập, cài cửa sau hoặc đánh cắp dữ liệu.

Gaur cho rằng prompt injection là hình thức phổ biến nhất: “Prompt injection là hình thức phổ biến: agent nhận lệnh từ nguồn dữ liệu không đáng tin cậy mà mình được yêu cầu đọc, rồi thực hiện lệnh đó như thể đó là lệnh từ chính chủ.”

Do đó, một quy trình kiểm tra minh bạch và bảo vệ được cần phải ghi lại danh tính agent, lệnh có chữ ký, phiên bản chính sách, giao dịch, dữ liệu nguồn và bất kỳ ngoại lệ nào được phê duyệt, tất cả đều phải được ghi lại khi thanh toán xảy ra. Blockchain chỉ đáp ứng được một phần của yêu cầu này.

Tiêu chuẩn của Gaur đơn giản hơn: “Có thể chứng minh, có thể thu hồi và giới hạn rõ ràng.”

Nếu không đáp ứng được các yếu tố trên, doanh nghiệp chỉ còn lại một biên lai không thể thay đổi cho một quyết định mà họ không thể chứng minh được.