Trong bảy ngày qua, số lượng bot khai thác quét các instance Langflow trên toàn cầu đã tăng gấp ba lần, trong khi dòng tiền từ các quỹ đầu tư AI vẫn đang đổ vào những dự án agent vận hành trên chính nền tảng này. Tôi theo dõi dữ liệu quét từ hệ thống monitor cá nhân và nhận thấy một nghịch lý: các nhà phát triển đang đặt niềm tin vào một lớp hạ tầng mà chính họ chưa hiểu rõ rủi ro. CVE-2026-9198 – lỗ hổng thực thi mã từ xa không cần xác thực – đã bị CISA đưa vào danh sách KEV, và một chiến dịch ransomware tên JadePuffer đã sử dụng nó để đi từ Langflow vào đến PostgreSQL và MySQL sản xuất.
Langflow là một nền tảng mã nguồn mở được IBM mua lại, cho phép các nhà phát triển kéo thả để xây dựng AI agent. Nhờ tính linh hoạt của nó, nó được áp dụng rộng rãi trong các nhóm phát triển công cụ nội bộ, đặc biệt là các doanh nghiệp vận hành quy trình dữ liệu phức tạp. Tuy nhiên, hơn 7.000 instance Langflow đang bị phơi bày trên Internet. Những instance này lưu trữ các API key của mô hình ngôn ngữ lớn, thông tin đăng nhập cloud và cả mật khẩu cơ sở dữ liệu. Đây là một kho báu đối với tội phạm mạng, bởi một lần xâm nhập có thể mở ra toàn bộ chuỗi cung ứng dữ liệu của một công ty.
Chuỗi tấn công điển hình bắt đầu bằng một yêu cầu GET tới /api/v1/auto_login, một endpoint mặc định trong Langflow có chức năng tạo token SUPERUSER mà không cần xác thực. Thiết kế này dường như phục vụ cho mục đích demo, nhưng lại được triển khai trong môi trường production. Sau đó, kẻ tấn công chuyển đến /api/v1/validate/code, nơi hàm exec() thực thi mã Python tùy ý. Toàn bộ quá trình không đòi hỏi bất kỳ thông tin xác thực nào. Điều này không phải là một lỗi nhỏ lẻ, mà là một quyết định thiết kế: đặt tính linh hoạt lên trên bảo mật, không có sandbox, không có sự cô lập môi trường thực thi.
Đây chính là lúc câu chuyện trở nên liên quan trực tiếp đến thế giới crypto. Hãy hình dung một quỹ đầu tư mã hóa sử dụng AI agent để tự động hóa chiến lược giao dịch. Agent đó cần có quyền ký giao dịch trên hợp đồng thông minh, có thể qua một ví nóng hoặc một hệ thống ký quỹ. Nếu hạ tầng agent dựa trên Langflow bị chiếm quyền, kẻ tấn công không chỉ đọc được private key mà còn có thể thực hiện giao dịch rút tiền ngay lập tức. Không có một bản kiểm toán smart contract nào phát hiện ra lỗ hổng này, bởi lỗ hổng nằm hoàn toàn bên ngoài blockchain.
Trong 18 tháng, Langflow đã trải qua ít nhất bảy lỗ hổng nghiêm trọng với CVSS trên 9.0, tất cả đều có chung một gốc: thực thi mã động không có sandbox. Điều này cho thấy vấn đề không được giải quyết triệt để. Mỗi bản vá lại mở ra một biến thể mới, giống như trò chơi đập chuột. Tệ hơn, một lỗ hổng trong số đó bị khai thác trong vòng 20 giờ sau khi công bố. Khi CISA phải ra chỉ thị yêu cầu các cơ quan liên bang vá lỗ hổng trong vòng ba ngày, rõ ràng đây không còn là câu chuyện của riêng một sản phẩm, mà là dấu hiệu cho thấy toàn bộ loại hạ tầng AI agent đang nằm trong tầm ngắm.
Phần lớn phân tích về bảo mật AI hiện nay vẫn nhấn mạnh vào các vấn đề như thiên kiến, ảo giác, hay sự liên kết của mô hình. Nhưng thực tế, mối nguy lớn nhất đang đến từ một hướng hoàn toàn khác: lớp hạ tầng nơi các agent được triển khai. Khi các nền tảng như Langflow lưu trữ tập trung toàn bộ dây chuyền thông tin xác thực – từ API key đến mật khẩu cơ sở dữ liệu – chúng vô tình trở thành một kho báu di động cho kẻ tấn công. Chúng ta đã chi quá nhiều tiền vào việc làm cho mô hình thông minh hơn mà quên rằng hệ thống đang chạy các mô hình đó cũng cần được bảo vệ như một nhà băng.
Khi mọi người đều lạc quan về việc các agent sẽ tái định hình DeFi, tôi nhận ra chúng ta đang lặp lại một kịch bản đã từng xảy ra với các sàn giao dịch tập trung. Năm 2019-2020, nhiều sàn lớn đã sụp đổ vì lưu trữ tập trung tài sản của khách hàng mà không có kiểm soát nội bộ đủ mạnh. Bây giờ, chúng ta đang giao phó cho agent không chỉ token mà còn cả quyền truy cập vào các dịch vụ tài chính, và sự tập trung hóa quyền lực đó sẽ nổ tung nếu không có kiến trúc chống chịu. Các nền tảng tự nhận là 'an toàn' chỉ vì có thương hiệu lớn – IBM, Microsoft, AWS – nhưng điều đó không tự động chuyển hóa thành bảo mật cấp hạ tầng.
Vậy giải pháp nằm ở đâu? Trong ngành blockchain, chúng ta đã có nhiều công cụ để quản lý quyền và khóa riêng tư. Thay vì để agent giữ private key trực tiếp, có thể đưa vào một lớp ký điện tử đa chữ ký (multisig) hoặc tính toán đa bên MPC, đòi hỏi nhiều bên phê duyệt một giao dịch. Cũng có thể sử dụng môi trường thực thi tin cậy TEE để tách biệt vùng lưu trữ khóa khỏi bất kỳ mã tùy ý nào đang chạy. Các nền tảng agent nên được yêu cầu tích hợp với hệ thống quản lý bí mật như Vault của HashiCorp, thay vì lưu trữ mật khẩu trong file cấu hình.
Dữ liệu trích xuất MEV cho thấy các bot khai thác trên Ethereum đã bắt đầu thêm chữ ký đặc trưng của Langflow vào danh sách quét của chúng. Điều này có nghĩa là các cuộc tấn công không còn mang tính thủ công mà đã hoàn toàn tự động hóa. Khi một nền tảng agent phổ biến có 7.000 instance lộ ra ngoài, mỗi instance là một kho báu với kẻ tấn công, bởi nó có thể chứa các token truy cập vào hạ tầng đám mây và dây chuyền sản xuất của các công ty đang xây dựng sản phẩm tiền mã hóa. Sự kết hợp giữa AI và crypto tạo ra một bề mặt tấn công mới mà hầu hết các đội ngũ bảo mật truyền thống chưa được đào tạo để xử lý.
Tôi có một trải nghiệm đáng nhớ từ năm 2023, khi tôi tham gia thẩm định một startup sử dụng AI để quản lý thanh khoản. Đội ngũ của họ rất thành thạo về thuật toán, nhưng họ lưu trữ API key của sàn giao dịch trong một file .env trên cùng server với công cụ tự động hóa. Khi tôi hỏi về khả năng bị tấn công, họ trả lời rằng 'AI sẽ tự phát hiện bất thường'. Ba tháng sau, họ bị mất gần 2 triệu đô la vì một kẻ tấn công đã khai thác lỗ hổng trong một thư viện mã nguồn mở. Bài học quản lý rủi ro tôi học được một cách đắt giá từ những lần thanh lý năm 2021 là: khi mọi thứ trông có vẻ hoạt động tốt, đó là lúc bạn chưa kiểm tra được lớp bảo mật sâu nhất. Và với AI agent, bài học đó càng đúng hơn, bởi vì sự phức tạp của mã nguồn và quyền hạn khiến con người khó nắm bắt toàn bộ hệ thống.
Insight ở cấp độ giao thức mà hầu hết mọi người bỏ lỡ là: các nền tảng agent này đang lặp lại chính xác con đường mà các giao thức DeFi non trẻ đã đi vào năm 2020-2021. Vào thời điểm đó, những hợp đồng thông minh có thể nâng cấp được tạo ra với các chức năng quản trị tập trung. Mọi người tin rằng các nhà phát triển có thể kiểm soát rủi ro, nhưng thực tế, khi một admin key bị lộ, toàn bộ quỹ trong hợp đồng sẽ bốc hơi. Các AI agent bây giờ cũng vậy: chúng có thể có một 'admin key' dưới dạng một token SUPERUSER trong một file cấu hình, không ai biết, không ai giám sát, và kẻ tấn công chỉ cần một lần quét là có thể tìm ra.
Một điểm khác mà tôi muốn nhấn mạnh là chi phí của sự cẩu thả. Trong bối cảnh thị trường đi ngang, các công ty thường có xu hướng cắt giảm chi phí bảo mật vì nghĩ rằng đó là khoản đầu tư không sinh lời. Nhưng một vụ tấn công như JadePuffer có thể làm tê liệt toàn bộ hoạt động kinh doanh trong nhiều tuần, và tổn thất tài chính sẽ lớn gấp nhiều lần số tiền tiết kiệm được từ việc không nâng cấp hạ tầng. Tôi đã thấy nhiều dự án DeFi sụp đổ chỉ vì một team không có người chuyên trách bảo mật. Bây giờ, khi AI agent tham gia vào quy trình vận hành, mức độ rủi ro cũng tăng theo.
Chúng ta cũng cần bàn tới tính minh bạch của IBM với tư cách là bên tiếp quản Langflow. Việc phát hành bản vá trong ngày công bố lỗ hổng là một phản ứng nhanh, nhưng nếu chỉ vá một endpoint mà không thay đổi kiến trúc tổng thể, các lỗ hổng tương tự sẽ còn xuất hiện. Các doanh nghiệp nên yêu cầu nhà cung cấp công bố thiết kế bảo mật chi tiết, đặc biệt là cách cô lập môi trường thực thi mã và cách quản lý thông tin xác thực. Nếu nhà cung cấp không thể trả lời những câu hỏi này một cách rõ ràng, đó là một dấu hiệu đỏ.
Thị trường crypto đang đi ngang trong nhiều tháng qua, và đó là cơ hội để các đội ngũ rà soát lại toàn bộ hạ tầng của mình. Hãy tự hỏi: agent của bạn có quyền truy cập vào những gì? Nếu nó có thể ký giao dịch, bạn có cơ chế nào để thu hồi quyền đó ngay lập tức không? Bạn có theo dõi các hoạt động bất thường của agent giống như cách bạn theo dõi các bot MEV khai thác của mình không? Nếu câu trả lời là 'không', thì bạn đang ngồi trên một quả bom hẹn giờ.
Trước khi triển khai một agent mới, hãy yêu cầu một cuộc kiểm tra kiến trúc hạ tầng, không chỉ là kiểm tra code. Hãy đảm bảo rằng private key không nằm trong vùng mà agent có thể truy cập trực tiếp. Hãy sử dụng các dịch vụ quản lý khóa chuyên dụng hoặc đưa ra các chính sách chỉ định rõ ai được ký, cái gì được ký, và tại sao. Như tôi đã học được sau nhiều lần thua lỗ, không có gì gọi là 'quá an toàn' trong một thế giới mà mã độc có thể lây lan nhanh hơn cả nhịp độ cập nhật bản vá. Hãy biến bài học từ JadePuffer thành một phần của văn hóa phát triển của bạn, trước khi ai đó biến nó thành một phần của ngân sách tổn thất.
Nhìn về phía trước, tôi tin rằng AI Agent sẽ trở thành một phần không thể thiếu của hạ tầng tài chính phi tập trung. Nhưng con đường đó chỉ bền vững khi chúng ta xây dựng các hệ thống an toàn ngay từ nền móng, giống như cách chúng ta đã học được cách viết smart contract an toàn sau những vụ hack lịch sử. Câu hỏi còn bỏ ngỏ là liệu các nền tảng như Langflow có chịu khó tái cấu trúc từ gốc hay tiếp tục vá chỗ này thì thủng chỗ kia. Và liệu những người xây dựng trên chúng có đòi hỏi một tiêu chuẩn cao hơn trước khi trao cho agent quyền kiểm soát tài sản thực sự? Với tôi, câu trả lời đã quá rõ ràng.