Trong 7 ngày qua, một giao thức DeFi đã mất 40% thanh khoản chỉ vì một Agent AI tự động thực hiện sai lệnh DCA trên Uniswap V3. Sự cố không đến từ lỗi hợp đồng thông minh – mã nguồn đã được audit bởi ba công ty khác nhau – mà đến từ lớp orchestration: Agent được huấn luyện để tối ưu hóa phí giao dịch, nhưng không có cơ chế ghi log cho các quyết định trung gian. Khi thanh khoản chảy ra, không ai biết chính xác tại sao.
Câu chuyện này không đơn lẻ. Nó phản ánh một thực tế đang hình thành: các khung pháp lý cho AI Agent trên toàn cầu đang phát triển, nhưng ngành blockchain vẫn đang đối xử với Agent như những “bot thông minh” thông thường. Sự lệch pha giữa kỳ vọng quản trị và thực tế kỹ thuật đang tạo ra một khoảng trống rủi ro mà không ai muốn chịu trách nhiệm.
Bối cảnh hiện tại: Ba cực quản trị, một mớ hỗn độn
Đến giữa năm 2026, thế giới có ba mô hình quản trị AI Agent khác nhau. EU đưa Agent vào AI Act với các điều khoản cụ thể: Điều 9 yêu cầu đánh giá rủi ro tự chủ, Điều 11 đòi hỏi tài liệu kiến trúc Agent chi tiết, Điều 12 bắt buộc ghi log mọi lời gọi công cụ, và Điều 14 yêu cầu cơ chế giám sát con người phải tính đến mức độ tự chủ của Agent. Tuy nhiên, Văn phòng AI EU chưa ban hành hướng dẫn thực thi – “có yêu cầu, không có tiêu chuẩn”.
Trung Quốc áp dụng cơ chế phê duyệt “dịch vụ AI tạo sinh”, coi Agent là một phần của hệ thống mô hình. Trường hợp Apple được phê duyệt vào tháng 7/2026 với kiến trúc ba lớp (mô hình on-device độc quyền + Qwen của Alibaba + Baidu Search) cho thấy: cơ quan quản lý Trung Quốc tập trung vào lựa chọn mô hình, đơn vị đăng ký và an toàn nội dung, chứ không xem xét lớp orchestration (logic định tuyến đa mô hình, ranh giới quyền gọi công cụ, quản lý bộ nhớ dài hạn, độ sâu lập kế hoạch tự chủ).
Mỹ ở cấp liên bang không có hướng dẫn Agent cụ thể, nhưng các bang và tòa án đang lấp đầy khoảng trống. California có AB 316 (trách nhiệm không thể chuyển cho AI) và SB 53 (minh bạch mô hình tiên tiến). Ngày 4/8/2026, Tòa phúc thẩm số 9 phán quyết “AI Agent là công cụ, không phải con người” – định nghĩa pháp lý đầu tiên ở cấp tòa phúc thẩm liên bang. Nhưng ẩn dụ “công cụ” không thể xử lý thực tế kỹ thuật: một hệ thống có thể tự chọn công cụ, thực hiện từng bước và cải thiện hành vi từ phản hồi môi trường khác biệt về bản chất so với “cái búa” hay “phần mềm truyền thống”.
Phân tích kỹ thuật: Khoảng trống quản trị đang định hình lại kiến trúc Agent trên blockchain
Dựa trên kinh nghiệm audit hợp đồng thông minh của tôi từ năm 2017, tôi nhận thấy một sự tương đồng đáng lo ngại: cũng như các ICO năm 2017, các dự án Agent trên blockchain hiện nay đang ưu tiên tốc độ ra mắt hơn là khả năng kiểm toán. Khi tôi audit mã nguồn của một Agent DeFi vào tháng trước, tôi phát hiện ra rằng không có bất kỳ cơ chế ghi log nào cho các quyết định trung gian – Agent chỉ ghi lại kết quả cuối cùng (giao dịch thành công hay thất bại), không ghi lại lý do tại sao nó chọn pool thanh khoản đó, tại sao nó quyết định slippage 2% thay vì 1%, hay tại sao nó chuyển sang chiến lược khác.
Điều này trực tiếp vi phạm Điều 12 của EU AI Act nếu Agent được triển khai phục vụ người dùng EU. Nhưng vấn đề không chỉ là tuân thủ. Không có log, không thể kiểm toán; không thể kiểm toán, không thể xác định nguyên nhân khi Agent gây ra tổn thất. Trong một hệ thống blockchain nơi giao dịch là không thể đảo ngược, việc thiếu khả năng truy xuất nguồn gốc quyết định của Agent là một lỗ hổng bảo mật thiết kế, không chỉ là vấn đề pháp lý.
Các dự án Agent hiện tại thường sử dụng một trong hai kiến trúc: (1) Agent đơn giản chạy off-chain, gọi hợp đồng thông minh thông qua private key; (2) Agent phức tạp hơn chạy trên mạng lưới oracle hoặc execution layer riêng. Cả hai đều không có tiêu chuẩn cho log tool call, audit trail, hay cơ chế human-in-the-loop. Một số dự án tiên tiến như Autonolas hay Fetch.ai đã bắt đầu xây dựng các mô-đun giám sát, nhưng chúng vẫn là tùy chọn, không phải bắt buộc.
Góc nhìn phản trực giác: “Phi tập trung” không phải là lá chắn khỏi quy định
Nhiều người trong cộng đồng blockchain tin rằng bản chất phi tập trung của Agent (không có điểm kiểm soát duy nhất) sẽ giúp họ tránh được các yêu cầu quản trị như log tập trung hay giám sát con người. Điều này có thể đúng trong một số trường hợp, nhưng nó bỏ qua một thực tế: các cơ quan quản lý đang ngày càng xem xét “người vận hành” hoặc “người triển khai” chịu trách nhiệm, bất kể Agent có chạy trên blockchain hay không. Nếu bạn triển khai một Agent cho thuật toán tạo lập thị trường tự động trên Ethereum, và Agent đó gây thiệt hại cho người dùng EU, bạn có thể bị truy cứu trách nhiệm theo Điều 14 của AI Act – yêu cầu bạn phải có cơ chế giám sát con người, bất kể Agent có chạy trên hợp đồng thông minh phi tập trung hay không.
Điểm mù bảo mật lớn nhất: log tool call và quyền gọi hợp đồng
Trong quá trình audit, tôi thấy rằng hầu hết các Agent DeFi hiện nay không có giới hạn quyền gọi hợp đồng thông minh. Một Agent được cấp private key có thể gọi bất kỳ hàm nào trong hợp đồng, không có kiểm tra quyền hạn chi tiết. Điều này vi phạm nguyên tắc “least privilege” và là một lỗ hổng bảo mật nghiêm trọng. Nếu Agent bị tấn công hoặc bị lỗi, kẻ tấn công có thể rút toàn bộ thanh khoản.
Takeaway: Dự báo và câu hỏi cho tương lai
Trong 12 tháng tới, tôi dự đoán sẽ có một làn sóng các công cụ “Agent Governance Stack” ra đời – cung cấp log, audit, và human-in-the-loop như một dịch vụ. Các dự án blockchain bắt đầu tích hợp Agent sẽ phải đối mặt với một lựa chọn khó khăn: hoặc xây dựng khả năng quản trị ngay từ đầu (tốn kém nhưng bền vững), hoặc chờ đến khi quy định thực sự được thực thi (rủi ro bị phạt hoặc mất thị trường).
Liệu ngành blockchain có lặp lại sai lầm của các ICO năm 2017: xây dựng trước, kiểm toán sau, và trả giá cho sự thiếu chuẩn bị? Hay chúng ta sẽ học được bài học từ quá khứ?