ACR 11.9%-31.1%: Khi Framework Trở Thành Mặt Trận Tấn Công Của Agent AI

Mùi máu trên sàn đấu AI Agent vẫn còn đây. Không phải từ model, mà từ lớp khung xương mà cả ngành đang cố tình bỏ quên. Bản tin DEF CON 34 AI Village vừa hé lộ một thí nghiệm khiến tôi nhớ lại cảm giác săn log bất thường của FTX tuần trước khi sụp đổ: SADF nghiên cứu đã cố định model Claude Sonnet, giữ nguyên công cụ, chỉ thay đổi framework điều phối giữa Direct API, CrewAI, LangChain, AutoGen, SmolAgents. Kết quả? Attack Success Rate nhảy múa từ 11.9% lên 31.1%. Cùng một model. Cùng một prompt. Chỉ khác lớp dây rối bên dưới. Token này múa may như con rối, tôi tìm đứa cầm dây — và lần này, đứa cầm dây chính là framework orchestration. Đây không phải chuyện model yếu hay mạnh. Đây là cuộc đổi ngọn giáo: kẻ tấn công không cần hack não AI, chỉ cần bẻ khớp tay nó. Tôi đã audit code 20 năm, đã nhìn thấy nhiều thứ bong bóng vỡ sau khi mùi máu đã tan. Nhưng lần này, vết cắt nằm ở lớp mà hầu hết báo cáo bảo mật chỉ lướt qua. Bối cảnh khiến nghiên cứu này đáng giá hơn mọi báo cáo marketing an toàn AI hiện hành: ngành đang bị ám ảnh bởi benchmark model, trong khi agent đã bước sang kiến trúc đa thành phần. Nếu tôi nhìn vào bất kỳ hệ thống agent vận hành tiền thật năm 2026, tôi không thể tách bạch rủi ro của model khỏi rủi ro của framework — chúng dính vào nhau như máu và thịt. Nhưng hầu hết đánh giá an toàn vẫn chỉ chăm chăm vào từng model riêng lẻ, như kiểm tra chất lượng một con dao mà quên mất rằng chính cánh tay cầm dao là thứ đang bị điều khiển. Nghiên cứu này cắt đúng điểm mù đó bằng một thiết kế thí nghiệm sạch: cố định model, cô lập biến, đo lường phần bề mặt tấn công mà framework cộng thêm vào. Kết quả không chỉ là một bảng số. Nó là lời buộc tội cho toàn bộ ngành đánh giá an toàn AI đã ngủ quên trên chiến thắng của benchmark. Số liệu cụ thể từ mổ xẻ này: Direct API ghi nhận ACR 15.5%. CrewAI đạt 11.9% nhờ kiến trúc phân tách nhiệm vụ rời rạc — tốt hơn cả baseline. Nhưng LangChain tăng lên 18.1%, AutoGen vọt lên 20.0%, còn SmolAgents cán mốc 31.1% — gấp đôi API gốc — đồng thời sở hữu những failure mode riêng như RAG Poisoning ở mức 20% và Context Boundary Violation lên đến 64%. Dãy số 11.9% và 31.1% không chỉ là một khoảng cách. Nó là khoảng cách giữa một agent được xây với kiến trúc phòng thủ có chủ đích, và một agent mà framework tự vẽ đường tấn công cho hacker. Từ 5.119 dòng đánh giá với 32 payload và 8 loại tấn công — Tool Call Hijacking, Output Poisoning, Cross-Tool Injection, Memory Poisoning, RAG Poisoning, Delegated Authority Abuse, Multi-Agent Propagation, Context Boundary Violation — nghiên cứu tạo ra một từ vựng chung cho ngành. Giờ đây tôi có thể nói chuyện với một CISO về "RAG Poisoning" mà không cần giải thích 10 phút. Chúng ta vừa có một hệ quy chiếu chung để tính toán rủi ro. Và một chi tiết kỹ thuật khiến tôi tin tưởng nghiên cứu này hơn mức trung bình: phương pháp chấm điểm của họ đã tự phát hiện và sửa sai một lỗi định kiến lớn. Phép so khớp chuỗi đơn giản đã làm sai lệch điểm của Claude model gấp 4-6 lần. Sau khi áp dụng bộ lọc refusal-aware, con số thật của Claude Sonnet rơi từ vùng bị thổi phồng xuống 15.5%, còn Claude Haiku xuống 22.3%. Đây là mẫu hình của một phòng thí nghiệm có văn hóa làm khoa học nghiêm túc, không phải PR cho model. Tất cả thử nghiệm được chạy trong môi trường công cụ mô phỏng cô lập, không đụng vào hệ thống thật. Nhưng tôi sẽ không làm tròn vai một kẻ săn tin nếu chỉ dừng ở những gì họ công bố. Dưới bề mặt phẳng lặng, có vài vết rạn mà thị trường đang bỏ qua. Thứ nhất: khoảng cách 2.6 lần giữa CrewAI và SmolAgents không chỉ là một con số kỹ thuật. Nó là một manh mối kinh doanh. Trong một thị trường đang tăng giá như hiện tại, nơi các dự án AI+Crypto huy động hàng chục triệu USD nhờ vẽ ra những giấc mơ agent tự động, con số ACR này chính là thứ mà các nhà thẩm định bảo mật cần nhét vào RFQ và bảng so sánh nhà cung cấp. Ai kiểm soát benchmark framework an toàn, kẻ đó nắm chìa khóa mở két tiền mua sắm bảo mật của doanh nghiệp. Những CVE ngoài đời thực — Azure SRE Agent với CVE-2026-62830, Langflow với CVE-2026-9198 — chứng minh rằng framework-level bug không chỉ là chuyện phòng thí nghiệm. Nó đang và sẽ tiếp tục lan ra ngoài dây chuyền sản xuất thật. Đây là tín hiệu đầu tiên cho một ngành dịch vụ mới: Security-Evaluation-as-a-Service, nơi các hãng bảo mật lớn đóng gói phương pháp SADF thành sản phẩm audit có thể lặp lại và tính phí định kỳ, tích hợp vào CI/CD để thu phí liên tục. Tôi để phần phản trực giác sau cùng, để người đọc tự thấm. Nghiên cứu này xuất hiện trên một nguồn tin blockchain/Web3. Sự lệch pha ấy khiến tôi đặt câu hỏi về động lực phổ biến: một nghiên cứu về framework safety cho agent AI, có giá trị nhất định với mọi hệ thống agent trên thế giới, lại được đưa lên một sàn thông tin về Web3? Có thể đó là vì nhóm nghiên cứu muốn tiếp cận một cộng đồng đặc biệt nhạy cảm với rủi ro do agent gây ra — nơi những bot giao dịch được quảng cáo là "tự động không cần giám sát" có thể âm thầm ăn mòn ví người dùng. Cũng có thể đó là một dấu hỏi về kênh phân phối. Nhưng một điểm mù lớn hơn nằm ngay trong thiết kế thí nghiệm: toàn bộ bài test được chạy trong môi trường mô phỏng. Không có quyền hạn thật, không có thời gian phản hồi thật của công cụ, không có sự lộn xộn của hệ thống sản xuất. Trong môi trường mô phỏng, mọi cuộc tấn công đều là bài tập. Và tôi biết thừa — từ những bài học DeFi Summer năm 2020 khi bot của tôi chết vì một lỗi slippage trong môi trường test — rằng điều kiện thực tế có thể biến chuyện nhỏ thành thảm họa. Phân bố 32 payload cũng không đại diện cho phân bố tấn công ngoài tự nhiên; các đường tấn công hiếm gặp nhưng nguy hiểm chết người có thể không có trong bộ mẫu. Tôi cũng không biết các framework được cấu hình với tham số gì — độ nhiệt, quyền hạn công cụ, prompt hệ thống — và mức độ ảnh hưởng của chúng đến ACR chưa được phân tích. Câu hỏi tiếp theo: nếu đổi model sang GPT-5.4 hoặc DeepSeek, thứ tự xếp hạng rủi ro này có còn đứng vững không? Tương tác "model × framework" có thể thay đổi toàn bộ cục diện, và nghiên cứu chưa trả lời điều đó. Phiên bản trước của báo cáo — vốn tuyên bố bao phủ 10 framework — đã bị thay thế và cất vào thư mục SUPERSEDED, một sự thừa nhận lỗi đáng khen, nhưng cũng là lời nhắc rằng đây vẫn là một POC mới lớn lên từng ngày chứ chưa phải chuẩn mực ngành. Vậy giờ ta đi đâu khi framework đã chính thức thành mặt trận tấn công? Trước hết, hãy coi con số ACR 11.9%-31.1% như một bản đồ mỏ khoáng sản cho ngành bảo mật. Nếu một framework chứng minh được kiến trúc chống lại được 8 failure mode này với ACR thấp hơn, đó chính là một lợi thế cạnh tranh khốc liệt có thể đưa vào bảng giá hoặc hợp đồng. Ai xây dựng được một Agent Firewall với khả năng chặn Cross-Tool Injection ở tầng khung xương, kẻ đó có thể thắng cả ván cờ bảo mật agent trong 18 tháng tới. Tôi sẽ theo dõi SADF ở cự ly gần: xem họ có phát hành môi trường thử nghiệm như một bộ công cụ chuẩn, có chuyển đánh giá qua các model khác nhau để kiểm tra tính vững chắc, và trên hết, liệu họ có đi từ mô phỏng ra môi trường sống thật — nơi mùi máu không còn được lọc qua ống nghiệm. Kẻ săn tin đã tìm thấy dấu vết. Và công việc của tôi chưa bao giờ kết thúc với một bản báo cáo — nó bắt đầu khi những người có tiền bắt đầu hành động theo một cách mà họ chưa từng nghĩ tới. Bong bóng an toàn AI của bạn đang phồng lên trông có vẻ rất đẹp. Nhưng tôi đã ngửi thấy một vết rò ở tầng hầm framework rồi đấy.