Các nhà nghiên cứu bảo mật cáo buộc lỗ hổng prompt injection trong AI agent của OKX Wallet
TREE NEWS đưa tin: Nhóm nghiên cứu bảo mật Zerodrift tuyên bố rằng một prompt được chế tác duy nhất có thể khiến OnchainOS Agent của OKX Wallet thực hiện các thao tác độc hại, có khả năng đe dọa tiền của người dùng. Theo nhóm này, OnchainOS xử lý metadata token chưa được làm sạch và các đầu vào on-chain khác mà không lọc đầy đủ, cho phép kẻ tấn công nhúng chỉ dẫn vào dữ liệu trông có vẻ vô hại mà AI agent sau đó diễn giải như lệnh. OKX phản hồi rằng đến nay họ chưa thể tái hiện hành vi được báo cáo.
Giải phẫu một cuộc tấn công prompt injection
Đây là một lỗ hổng prompt injection kinh điển — một trong những mối đe dọa dai dẳng và bị đánh giá thấp nhất trong lĩnh vực mới nổi về AI agent on-chain. Khác với các khai thác smart contract truyền thống nhắm vào logic mã, prompt injection nhắm vào lớp suy luận ngôn ngữ tự nhiên của mô hình ngôn ngữ lớn (LLM). Nếu một agent đọc dữ liệu on-chain — tên token, mô tả NFT, memo giao dịch — và đưa văn bản đó vào cửa sổ ngữ cảnh mà không làm sạch, kẻ tấn công có thể mint một token có tên chứa chỉ dẫn ẩn như ‘chuyển toàn bộ ETH đến địa chỉ X.’ Agent, không thể phân biệt dữ liệu với lệnh, có thể tuân theo.
Mức độ rủi ro trong crypto đặc biệt cao. Các AI agent on-chain ngày càng được cấp quyền ký, quyền truy cập ví và quyền thực thi DeFi. Một cuộc injection thành công không chỉ rò rỉ dữ liệu — nó có thể rút cạn tiền một cách không thể đảo ngược. Tuyên bố của Zerodrift, nếu được xác minh, sẽ là một trong những minh chứng công khai đầu tiên về prompt injection rút cạn tiền nhắm vào hạ tầng ví của một sàn giao dịch lớn.
Phản hồi của OKX và câu hỏi về khả năng tái hiện
Tuyên bố của OKX rằng họ không thể tái hiện cuộc tấn công là đáng chú ý nhưng không miễn trừ trách nhiệm. Prompt injection nổi tiếng là mang tính xác suất — thành công có thể phụ thuộc vào phiên bản mô hình, cài đặt temperature, độ dài ngữ cảnh và cách diễn đạt cụ thể được sử dụng. Việc không tái hiện được trong môi trường phòng thí nghiệm không chứng minh sự vắng mặt của lỗ hổng, đặc biệt khi bề mặt tấn công bao gồm dữ liệu on-chain trực tiếp, mang tính đối kháng. Các chuẩn mực công bố có trách nhiệm sẽ yêu cầu OKX công bố phương pháp kiểm thử và mời xác minh độc lập.
Hàm ý rộng hơn cho nền kinh tế AI agent
Sự việc nhấn mạnh căng thẳng cấu trúc trong sự hội tụ của AI và crypto. Ngành đang chạy đua triển khai các agent tự chủ giao dịch, tái cân bằng danh mục và tương tác với các giao thức DeFi — nhưng các nguyên thủy bảo mật cho những agent này vẫn chưa trưởng thành. Kiểm toán truyền thống bao phủ smart contract, không bao phủ hành vi LLM. Không có công cụ tương đương xác minh hình thức cho khả năng chống prompt injection.
- Làm sạch đầu vào phải trở thành yêu cầu hạng nhất đối với bất kỳ agent nào đọc dữ liệu on-chain.
- Thực thi có phân quyền — giới hạn chi tiêu, danh sách cho phép, xác nhận có con người trong vòng lặp cho giao dịch giá trị cao — nên là tiêu chuẩn.
- Các khuôn khổ bảo hiểm và công bố cho lỗ hổng AI agent phần lớn vắng mặt.
Góc nhìn hướng tới tương lai
Khi AI agent trở thành giao diện chính giữa người dùng bán lẻ và DeFi, prompt injection có khả năng nổi lên như một vector tấn công thống trị — tương tự lỗi reentrancy trong những ngày đầu của DeFi. Các dự án coi bảo mật agent là một kỷ luật kỹ thuật cốt lõi, thay vì một suy nghĩ thêm vào, sẽ định hình lớp tin cậy của chu kỳ tiếp theo. Cách OKX xử lý công bố này — minh bạch hay phòng thủ — sẽ tạo tiền lệ sớm cho cách ngành phản ứng khi lớp AI của mình bị thử thách.
