SADF: Khi khung điều phối trở thành mặt trận tấn công thực sự của Agent AI

SADF: Khi khung điều phối trở thành mặt trận tấn công thực sự của Agent AI Một con số khiến tôi dừng lại. 31,1% tỷ lệ tấn công thành công. Không phải trên mô hình ngôn ngữ. Mà trên một lớp phần mềm mà hầu hết các đội ngũ bảo mật vẫn đang bỏ qua. SADF — nghiên cứu vừa được trình bày tại DEF CON 34 AI Village — đã chỉ ra rằng khung điều phối Agent chính là bề mặt tấn công mới, và con số 31,1% đó thuộc về SmolAgents, một framework được hàng nghìn nhà phát triển tin dùng. Bong bóng an toàn của Agent AI vỡ, nhưng mùi máu vẫn còn đây. Trong bảy năm làm giám sát thị trường, tôi đã thấy quá nhiều lần ngành công nghiệp tự huyễn hoặc mình: nghĩ rằng bảo mật hệ thống chỉ là bảo mật mô hình. SADF phá bỏ ảo tưởng đó bằng dữ liệu. Vấn đề không nằm ở con mèo, mà nằm ở sợi dây điều khiển nó. Các Agent AI hiện đại không chỉ là một mô hình ngôn ngữ đơn lẻ. Chúng là một hệ sinh thái: mô hình, khung điều phối, công cụ bên ngoài, bộ nhớ, và các Agent con. Nhưng gần như toàn bộ các đánh giá bảo mật hiện tại chỉ tập trung vào lớp mô hình. SADF — viết tắt của Systematic Assessment of Agentic Failure Modes — thực hiện một điều khác biệt: cố định mô hình, thay đổi framework, và đo lường mức độ rò rỉ. Phương pháp của họ khiến tôi nhớ đến cách tôi từng audit các sàn giao dịch. Bạn không thể đổ lỗi cho giao thức khi bot của bạn bị kéo thảm. Bạn phải kiểm tra từng lớp. SADF đã làm đúng điều đó — họ cố định Claude Sonnet làm bộ não, so sánh trực tiếp với việc gọi API thuần túy, sau đó chạy cùng một bộ 32 payload tấn công qua năm môi trường khác nhau: Direct API, CrewAI, LangChain, AutoGen và SmolAgents. Kết quả là một khoảng cách chênh lệch không thể giải thích bằng ngẫu nhiên: từ 11,9% với CrewAI, lên 18,1% với LangChain, 20% với AutoGen, và vọt lên 31,1% với SmolAgents. Trong khi Direct API — không qua bất kỳ framework nào — chỉ đạt 15,5%. Điều đó có nghĩa là: việc sử dụng framework có thể làm tăng gấp đôi bề mặt tấn công của Agent. Token này múa may như con rối, tôi tìm đứa cầm dây. Và SADF vừa tìm thấy đứa cầm dây: đó chính là lớp điều phối. Sâu hơn nữa, nghiên cứu còn phát hiện một lỗ hổng nghiêm trọng trong cách chúng ta đánh giá bảo mật Agent cho đến nay. Họ gọi đó là sự sai lệch do phương pháp chấm điểm. Phương pháp so khớp chuỗi con đơn giản — vốn được sử dụng phổ biến — đã đánh giá quá cao khả năng chống tấn công của Claude lên tới 4-6 lần. Sau khi hiệu chỉnh bằng bộ lọc từ chối, con số thực tế của Claude Sonnet tụt từ mức báo cáo ban đầu xuống còn 15,5%. Một sự điều chỉnh mang tính triệt để, khiến tất cả các benchmark trước đây trở nên đáng ngờ. SADF liệt kê 8 dạng thất bại kiến trúc, trong đó có một số dạng mà tôi chưa từng thấy trong các báo cáo điều tra trước đây: Tool Call Hijacking (cướp lời gọi công cụ), Output Poisoning (đầu độc đầu ra), Cross-Tool Injection (tiêm nhiễm chéo giữa các công cụ), Memory Poisoning (đầu độc bộ nhớ), RAG Poisoning (đầu độc nguồn truy xuất), Delegated Authority Abuse (lạm dụng quyền ủy quyền), Multi-Agent Propagation (lây lan giữa các Agent), và Context Boundary Violation (vi phạm ranh giới ngữ cảnh). Theo dữ liệu nghiên cứu, 5.119 dòng đánh giá được thực hiện trong một môi trường mô phỏng công cụ, cách ly hoàn toàn với hệ thống thật. Điều này đảm bảo an toàn về mặt đạo đức, nhưng lại che giấu một thực tế: sự phức tạp của hệ thống thật — như thứ tự phản hồi công cụ, quyền hạn thực tế, độ trễ — chưa từng được đưa vào thử nghiệm. Có một con số mà tôi không thể ngừng nghĩ đến: SmolAgents đạt 64% tỷ lệ Context Boundary Violation. Nghĩa là hơn một nửa số lần tấn công, thông tin từ ngữ cảnh này tràn sang ngữ cảnh khác. Trong một hệ thống tài chính, con số này đồng nghĩa với việc một Agent giao dịch có thể bị điều hướng bởi thông tin từ một Agent hoàn toàn khác, không liên quan. Ở góc nhìn của một người từng theo dõi các vụ rug pull và thao túng thị trường, tôi thấy sự tương đồng rõ rệt: một payload độc hại có thể lây lan qua nhiều Agent như một vụ pump-and-dump có tổ chức, trong khi không một lớp mô hình nào có thể ngăn chặn được vì lỗ hổng nằm ở kiến trúc kết nối. Còn có một chi tiết khác khiến tôi đặt câu hỏi về sự thống nhất của nghiên cứu. SADF tuyên bố khảo sát 8 kiến trúc, nhưng chỉ công bố dữ liệu đầy đủ của 5 nhóm. Ngoài ra, phiên bản trước đó — với tuyên bố phối hợp tiết lộ 10 kiến trúc — đã bị thay thế hoàn toàn và được giữ trong thư mục SUPERSEDED. Sự minh bạch này đáng khen, nhưng cũng đặt ra câu hỏi: khoảng cách giữa “công bố” và “dữ liệu thực sự” trong nghiên cứu an ninh mạng lớn đến mức nào? Sự xuất hiện của các CVE thực tế — như CVE-2026-62830 trên Azure SRE Agent và CVE-2026-9198 trên Langflow — xác nhận rằng các lỗ hổng cấp framework không chỉ là suy luận lý thuyết. Đây là điểm quan trọng. Khi một gã khổng lồ như Microsoft phải vá lỗi trên Agent của họ, thì các doanh nghiệp nhỏ đang chạy Agent trên SmolAgents hay AutoGen của họ cũng nên tự hỏi: ai đang kiểm tra khung điều phối của chúng ta? Tôi nhìn thấy một mô hình kinh doanh đang hình thành. Nếu khoảng cách giữa CrewAI (11,9%) và SmolAgents (31,1%) bền vững, các doanh nghiệp sẽ bắt đầu đưa chỉ số ACR vào hồ sơ mời thầu. “Security-Evaluation-as-a-Service” — dịch vụ đánh giá bảo mật Agent như một dịch vụ — sẽ trở thành một ngành mới. Và nếu được tích hợp vào đường ống CI/CD, nó trở thành doanh thu định kỳ, thậm chí còn giá trị hơn cả các cuộc tư vấn bảo mật một lần. Nhưng ở đây tôi thấy một nghịch lý: nghiên cứu an ninh mạng quan trọng này lại được đăng trên một nguồn tin về blockchain/Web3. Đối tượng độc giả lệch hoàn toàn với mục tiêu thực sự — các CISO, kỹ sư bảo mật, nhà phát triển Agent. Giá trị thương mại của nghiên cứu này có thể bị thất thoát ngay từ khâu phát hành. Điều gì sẽ xảy ra nếu một trong 32 payload đó được tối ưu bằng kỹ thuật tiêm nhiễm đa tầng và nhắm vào một Agent quản lý danh mục đầu tư tài sản số? Tôi không cần phải viết tiếp. Câu trả lời đã nằm trong con số 31,1% – và trong sự im lặng của các framework hiện đang chạy trong hệ thống tài chính phi tập trung.