Từ mô hình đến chuỗi: AI tự động hóa đang định hình lại logic quản lý rủi ro tiền điện tử

AI đại diện mất kiểm soát: Rủi ro tiền điện tử đang biến thành khủng hoảng kiểm soát tài chính.

Tác giả: Sean Stein Smith, Forbes

Biên dịch: AididiaoJP, Foresight News

Trong những năm qua, cuộc thảo luận về rủi ro AI đã thay đổi nhanh chóng đến mức khó theo kịp. Hiện nay, những gì các doanh nghiệp phải đối mặt không còn chỉ là những vấn đề nhỏ như chatbot đôi khi nói nhảm, đưa ra quan điểm thiên lệch, hoặc nhân viên vô tình dán thông tin nhạy cảm vào công cụ công cộng. Sự thay đổi thực sự nằm ở chỗ: Các đại diện AI đã có khả năng hành động trực tiếp - chúng có thể gọi các hệ thống bên ngoài, tự viết mã, thậm chí tiến hành một loạt nhiệm vụ phức tạp mà không có ai giám sát.

Sự chuyển mình này đã mang đến những thách thức nghiêm trọng cho thị trường tài chính, đặc biệt là thị trường tiền điện tử. Tài sản tiền điện tử giao dịch 24/7, hợp đồng thông minh tự động thực hiện, và một khi giao dịch trên blockchain được xác nhận, thường thì không thể thu hồi. Khi những đại diện AI này được kết nối với ví, sàn giao dịch, giao thức DeFi hoặc hệ thống thanh toán, chỉ cần một lỗ hổng quyền hạn nhỏ cũng có thể dẫn đến tổn thất tài chính không thể khắc phục. Do đó, rủi ro AI đại diện không chỉ là vấn đề của bộ phận CNTT, mà còn trở thành một chủ đề cốt lõi trong quản trị công ty và quản lý tài sản tiền điện tử.

Cơ chế tiền điện tử đã khuếch đại sức mạnh tấn công của hành động tự chủ của AI

Một sự kiện gần đây được Viện Nghiên cứu An toàn AI Vương quốc Anh công bố đã đưa ra mức độ nguy hiểm của "tính tự chủ" này. Trong một bài kiểm tra đánh giá an ninh mạng, đại diện AI đã thực hiện các hành động liên tục và hoàn toàn không được ủy quyền đối với các cá nhân và tổ chức thực tế. Mặc dù cuối cùng đã bị ngăn chặn kịp thời, nhưng điều này đủ để chứng minh rằng: Các đại diện AI hoàn toàn có khả năng kết hợp các khả năng lập kế hoạch, gọi công cụ, vận hành lâu dài và truy cập bên ngoài theo những cách bất ngờ để thực hiện các cuộc tấn công trong thế giới thực.

Khi tài sản tiền điện tử bị cuốn vào, rủi ro tài chính sẽ tăng theo cấp số nhân. Một đại diện có thể truy cập khóa riêng hoặc ví đã kết nối hoàn toàn có thể chuyển tài sản, ký hợp đồng độc hại, chiếm đoạt tài sản thế chấp, thậm chí tương tác tùy ý với các giao thức phi tập trung. Điều này hoàn toàn khác với chuyển khoản ngân hàng truyền thống - không có dịch vụ khách hàng nào có thể giúp bạn khẩn cấp khóa tài khoản, không có ngân hàng nào có thể ngăn chặn giao dịch, và cũng không có khái niệm "hoàn trả". Một khi tiền đã được chuyển đi, gần như tương đương với việc chìm vào biển cả.

Điều tồi tệ hơn là, thị trường tiền điện tử không bao giờ đóng cửa. Các đại diện AI có thể tiếp tục hoạt động vào nửa đêm, cuối tuần, khi tất cả nhân viên đang ngủ. Các chương trình giao dịch hoặc thanh lý tự động hoàn toàn có thể trong vài phút biến một sai sót nhỏ có thể kiểm soát thành tổn thất thảm khốc. Do đó, khi đánh giá rủi ro của các đại diện AI, điều doanh nghiệp cần chú ý không phải là mô hình thông minh đến mức nào, mà là nó có thể truy cập những hệ thống và tài sản nào. Một đại diện có khả năng trung bình nhưng quyền hạn lớn, có thể thao tác trực tiếp ví, nguy hiểm hơn nhiều so với một mô hình mạnh hơn nhưng bị giam giữ trong sandbox. Thiết kế quyền hạn đang trở thành yếu tố sống còn quan trọng hơn cả việc lựa chọn mô hình.

Kiểm soát nội bộ phải mở rộng đến từng kẽ hở của ví và hợp đồng thông minh

Nhiều doanh nghiệp thực sự đã thiết lập một loạt các biện pháp kiểm soát nội bộ truyền thống như phân tách trách nhiệm, phê duyệt hạn mức, kiểm tra truy cập, quản lý thay đổi. Vấn đề là, những nguyên tắc này phải được thực hiện một cách không khoan nhượng đối với từng đại diện AI tương tác với hệ thống tiền điện tử.

Không đại diện nào nên có khả năng "một bước" - ví dụ như đồng thời thực hiện việc tạo ví, sửa đổi danh sách trắng địa chỉ, khởi xướng chuyển khoản mà không cần sự can thiệp của con người. Giao dịch có rủi ro cao phải yêu cầu phê duyệt của người thật, và thông tin mà người phê duyệt nhận được phải rõ ràng và đầy đủ: địa chỉ nhận, loại tài sản, số tiền, mạng lưới, phí Gas, và giao dịch này thực sự nhằm mục đích gì. Những thông báo mơ hồ, tự động hiện lên "vui lòng xác nhận thao tác hệ thống" hoàn toàn không phải là kiểm soát hiệu quả, chỉ tạo ra một cảm giác an toàn ảo.

Khóa riêng và quyền ký cần được bảo vệ đặc biệt. Tuyệt đối không để đại diện tự do đọc cụm từ ghi nhớ hoặc chứng chỉ ký. Cơ chế đa chữ ký, mô-đun an toàn phần cứng, hạn mức cho mỗi giao dịch, thời gian chờ chuyển khoản, v.v., đều có thể giảm thiểu rủi ro "một lỗ hổng bị khai thác, ví ngay lập tức bị xóa sạch". Trước khi tương tác với hợp đồng thông minh, phải thực hiện mô phỏng, kiểm tra nghiêm ngặt, đặc biệt là khi liên quan đến ủy quyền token không giới hạn hoặc hợp đồng có nguồn gốc không rõ ràng, cần phải hết sức cẩn trọng.

Doanh nghiệp cũng phải thiết lập nhật ký hoạt động đầy đủ - đại diện đã truy cập gì, nhận được chỉ thị gì, đề xuất giao dịch nào, giao dịch nào cuối cùng thành công trên chuỗi, và có người thật nào đã dẫn dắt các thao tác này hay không. Những ghi chép này là không thể thiếu cho việc truy cứu trách nhiệm, kiểm toán an toàn, bảo vệ tài sản và thậm chí công bố tài chính. Không có nhật ký, khi có sự cố, sẽ không thể giải thích rõ ràng.

Sự cố AI + tiền điện tử cần chia sẻ bài học trong ngành

Quỹ Linux và Liên minh AI An toàn Mở đã triển khai cơ chế "Chia sẻ phát hiện AI" (SAFE), nhằm giúp các tổ chức học hỏi lẫn nhau về các sự kiện và tình huống an toàn AI thực tế trong điều kiện bảo mật. Các công ty tiền điện tử, ngân hàng, tổ chức lưu ký, sàn giao dịch và cơ quan kiểm toán nên tích cực tham gia vào việc chia sẻ thông tin như vậy.

Ngành công nghiệp tiền điện tử đã hiểu rõ giá trị của việc xem xét kỹ lưỡng các cuộc tấn công của hacker, sự sụp đổ của cầu nối chuỗi, rò rỉ khóa, và lỗ hổng hợp đồng thông minh. Và AI đại diện đã thêm một chiều hướng mới cho vấn đề cũ này - một sự cố có thể liên quan đến mô hình, thiết kế từ khóa, tích hợp công cụ, chính sách truy cập, và cuối cùng là giao dịch trên chuỗi. Do đó, báo cáo sự cố thực sự hữu ích phải làm rõ tất cả các cấp độ này, thay vì chỉ mơ hồ nói rằng "AI gặp vấn đề".

Hội đồng quản trị hiện cần phải đặt câu hỏi rõ ràng: Liệu AI đại diện có được đưa vào quản trị ví, kế hoạch ứng phó khẩn cấp an ninh mạng và quy trình phê duyệt nâng cấp hay không? Các kiểm toán viên cũng cần xem xét liệu các thao tác của đại diện không được ủy quyền có thể dẫn đến tổn thất tài sản trực tiếp, báo cáo sai số dư, nợ tiềm ẩn, thậm chí có thể gây ra những thiếu sót nghiêm trọng trong hệ thống kiểm soát nội bộ. Đội ngũ tài chính cũng cần phải suy nghĩ trước: Khi xảy ra giao dịch trên chuỗi độc hại hoặc thất bại, làm thế nào để nhận diện, định giá, và công bố trung thực trong báo cáo tài chính.

Tất nhiên, đại diện AI không chỉ có rủi ro. Trong tương lai, nó hoàn toàn có thể nâng cao đáng kể hiệu quả tuân thủ tiền điện tử, tự động đối chiếu, phát hiện gian lận và quản lý tài chính. Những lợi ích này là hoàn toàn có thể đạt được. Nhưng điều kiện tiên quyết là khả năng tự chủ phải đi kèm với các biện pháp kiểm soát đủ mạnh. Nếu không, một sai sót nhỏ trong mã có thể ngay lập tức biến thành một giao dịch trên chuỗi không thể thu hồi.

Trong thế giới tiền điện tử, trách nhiệm phải được thiết kế, nhúng và kiểm tra trước khi đại diện thực sự có khả năng hành động. Dù bạn là tín đồ của tiền điện tử hay người ủng hộ AI, bạn cũng nên nhìn nhận điều này - bởi vì một khi mất kiểm soát, kết quả thường là vĩnh viễn.

Nội dung này chỉ được đưa ra nhằm mục đích cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, ưu đãi trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto. Tài sản crypto có độ biến động cao và có thể dẫn đến thua lỗ.Tính khả dụng của các dịch vụ, sản phẩm và sự kiện liên quan của WEEX có thể khác nhau tùy theo khu vực. Bạn có trách nhiệm bảo đảm việc tham gia của mình tuân thủ các luật và quy định hiện hành tại địa phương.