Pull rug hay pull request? Lần này, câu trả lời không đơn giản như vậy. Bạn nghĩ AI Agent an toàn vì model được huấn luyện kỹ, system prompt được thiết kế cẩn thận, và mọi output đều qua filter? Sai. CoreBreak cho thấy kẻ tấn công không cần 'lừa' model – chỉ cần gửi đúng format dữ liệu tool call, dispatch layer sẽ tự động thực thi, bypass hoàn toàn lớp bảo vệ thông minh nhất. Đây không phải lỗi code, mà là lỗi thiết kế kiến trúc: trust gap giữa checking và executing. Với tư cách một người đã audit smart contract từ ICO 2017, tôi thấy pattern này quen thuộc – giống như reentrancy guard bị bỏ qua vì 'hàm này chỉ được gọi từ contract khác'. Nhưng lần này, hậu quả lớn hơn nhiều.
Context: CoreBreak là gì?
CoreBreak là tên gọi của một nhóm lỗ hổng bảo mật ảnh hưởng đến ba nền tảng AI Agent hàng đầu: AWS Bedrock AgentCore, Google ADK, và Vercel AI SDK. Được phát hiện bởi đội ngũ Stealth Research và trình bày tại Black Hat USA 2026, các lỗ hổng này đã được gán CVE cụ thể: CVE-2026-18830 (AWS), CVE-2026-18236 (Google), và hai CVE cho Vercel. CVSS dao động từ 6.3 (Medium) đến 9.3 (Critical). Bản chất kỹ thuật: dispatch layer – lớp chịu trách nhiệm chuyển tiếp tool call từ model đến executor – tin tưởng mù quáng rằng bất kỳ dữ liệu nào có format 'tool call' đều đến từ model đã được xác thực. Trong kiến trúc microservice, session history có thể bị đầu độc, message queue có thể bị can thiệp, và dispatch layer không có cơ chế kiểm tra nguồn gốc. Kết quả: attacker có thể inject tool call trực tiếp vào pipeline, khiến Agent thực thi các hành động nguy hiểm mà không cần vượt qua model alignment.
Core: Phân tích kỹ thuật – Trust chain breakage
Hãy đi sâu vào mã nguồn ảo: dispatch layer thường parse output từ model, tìm các block định dạng tool call (ví dụ:
So sánh với prompt injection: prompt injection tấn công model layer – attacker cố gắng thao túng output của model. CoreBreak tấn công infrastructure layer – attacker bypass hoàn toàn model. Giống như SQL injection (tấn công database) vs XSS (tấn công trình duyệt); dù thường bị nhầm lẫn, nhưng chiến lược phòng thủ hoàn toàn khác nhau. Điều đáng nói: ba nền tảng khác nhau, với ba kiến trúc khác nhau, đều mắc cùng một lỗi thiết kế. Điều này chứng tỏ đây là systemic blind spot trong toàn bộ ngành AI Agent, không phải lỗi của một developer cụ thể.
CVSS 9.3 của Google ADK là đáng sợ nhất: attacker có thể giả mạo 'human approval confirmation'. Trong luồng Agent thông thường, các hành động nguy hiểm yêu cầu con người phê duyệt. Nhưng nếu dispatch layer không kiểm tra rằng confirmation thực sự đến từ UI của admin, thì attacker có thể gửi một message chứa 'confirmed=true' và bypass hoàn toàn human-in-the-loop. Điều này phá vỡ lớp bảo vệ cuối cùng. AWS có CVSS 8.6, yêu cầu authenticated remote caller (đã có credential), nhưng attack surface vẫn rộng. Vercel 6.3, cần local sandbox escape, nhưng vẫn nghiêm trọng nếu kết hợp với các lỗ hổng khác.
Điều thú vị: AWS tự động deploy fix mà không cần user action; Google yêu cầu manual upgrade lên ADK 2.5.0; Vercel cũng manual. Điều này phản ánh business model: AWS đang bán 'security as a service', còn Google và Vercel đẩy trách nhiệm xuống user. Trong blockchain, chúng ta đã thấy pattern này: smart contract upgradeable vs immutability. Mỗi approach đều có trade-off.
Contrarian: Góc nhìn phản trực giác – Model alignment không phải là silver bullet
Nhiều startup AI Agent đang quảng cáo 'model alignment là giải pháp bảo mật tối ưu'. CoreBreak chứng minh điều ngược lại: dù model có alignment đến đâu, nếu infrastructure layer không xác thực nguồn gốc lệnh, thì alignment vô dụng. Giống như khóa cửa trước bằng khóa siêu an toàn, nhưng để cửa sau mở toang. Điều này đặt ra câu hỏi: tại sao toàn bộ ngành lại tập trung quá nhiều vào model safety mà bỏ quên infrastructure security? Có lẽ vì model safety dễ 'kể chuyện' hơn: nói về 'AI ethics' nghe hay hơn 'fix bug trong dispatch layer'.
Một điểm mù khác: MCP (Model Context Protocol) – giao thức mở cho tool calling – hiện không có trường 'origin verification' trong specification. Điều này có nghĩa là bất kỳ Agent nào dùng MCP cũng có thể bị CoreBreak tương tự. LangChain, CrewAI, AutoGen – tất cả đều đang chạy trên cùng một assumption sai lầm. Tôi dự đoán sẽ có một loạt CVE mới cho các framework này trong 6 tháng tới, khi các nhà nghiên cứu bắt đầu audit dispatch layer của chúng.
Takeaway: Ai sẽ thắng trong cuộc đua Agent security?
Trong bear market, survival quan trọng hơn profit. CoreBreak là lời cảnh tỉnh cho các team đang build Agent: nếu dispatch layer của bạn chưa có Model Turn Verification, bạn đang ngồi trên quả bom hẹn giờ. Tôi kỳ vọng trong 2 năm tới, 'Model Turn Binding' sẽ trở thành security primitive cơ bản, giống như signature verification trong smart contract. Các nền tảng tích hợp nó sớm nhất sẽ giành được trust premium từ enterprise. Còn lại, pull rug hay pull request? Hãy tự hỏi: dispatch layer của bạn đã kiểm tra chữ ký model turn chưa? Nếu chưa, thì câu trả lời là pull rug.