Thanh khoản đang di cư. Nhưng lần này, dòng tiền không chảy theo chu kỳ thị trường. Nó đang chảy vào một lỗ hổng bảo mật chưa từng có tiền lệ, nơi mà chính kiến trúc của trình duyệt agentic đã biến tầng bảo mật quan trọng nhất của Internet thành một cánh cửa mở toang. Một báo cáo từ Zenity tại Black Hat 2026 vừa phơi bày một sự thật khó nuốt: năm sản phẩm trình duyệt agentic lớn nhất thế giới – sản phẩm của Google, Microsoft, OpenAI, Anthropic và Perplexity – đều có thể bị chiếm quyền điều khiển hoàn toàn chỉ bằng một trang web độc hại. Không cần click. Không cần tương tác. Chỉ cần một lần ghé thăm. Và mọi thứ từ mật khẩu, token xác thực, đến số dư ví crypto đều có thể nằm trong tay kẻ tấn công. Đây không phải là một bug thông thường. Đây là một sự phản bội kiến trúc.
Bối cảnh cần được đặt thẳng lên bàn. Agentic browser là thế hệ trình duyệt mà AI có thể tự động thực hiện tác vụ thay người dùng: mua sắm, đặt vé, chuyển tiền, tương tác với các ứng dụng DeFi. Để làm được điều đó, chúng phải làm một điều mà ngành bảo mật đã cố gắng ngăn chặn suốt 30 năm qua: phá bỏ Same-Origin Policy (SOP) – bức tường lửa ngăn cách giữa các trang web. Trong một thế giới mà mọi thứ đều có thể tương tác với mọi thứ, các agent có thể đọc dữ liệu từ tab này và thực hiện hành động ở tab khác. Đối với người dùng Web3, điều này có nghĩa là: một agent đang kết nối ví MetaMask của bạn có thể vô tình (hoặc cố ý) đọc lệnh chuyển tiền từ một tab ngân hàng khác. Zenity gọi đây là Intent Collision – sự đụng độ giữa ý định của người dùng và ý định của kẻ tấn công được nhúng trong chính nội dung trang web. Kẻ tấn công chỉ cần sử dụng các kỹ thuật CSS cổ điển như chữ trắng trên nền trắng, phần tử ẩn với display:none, hoặc Unicode zero-width characters để giấu các lệnh độc hại trong trang. AI đọc trang web, nhìn thấy nội dung, nhận diện nó như một 'chỉ dẫn' và tự động tuân theo. Không ai nhấn nút. Không ai xác nhận. Chỉ có một chuỗi lệnh âm thầm chạy phía sau hậu trường.
Điểm cốt lõi mà bài báo của Forkast không nói trực tiếp, nhưng dữ liệu kỹ thuật đã phơi bày: đây là một sự đánh đổi có chủ đích. Không phải ai đó quên viết một dòng mã. Chính các kỹ sư đã gỡ bỏ SOP vì họ muốn agent có quyền truy cập mọi thứ người dùng có thể truy cập. Họ đã đánh đổi an toàn lấy sự tiện lợi. Vấn đề là, khi bạn gỡ bỏ SOP, bạn không chỉ tạo ra một lỗ hổng – bạn tạo ra một lớp kiến trúc nơi mà 'zero-click takeover' trở thành một tính năng mặc định. Hãy nhìn vào chuỗi tấn công hoàn chỉnh được tiết lộ: từ ChatMate RPE ở tầng tích hợp công cụ, đến CVE-2026-9198 trong Langflow ở tầng điều phối, và cuối cùng là Intent Collision ở tầng trình duyệt. Ba lớp này cộng lại tạo thành một đường tấn công hoàn chỉnh chạy xuyên suốt toàn bộ hệ sinh thái AI agent. Điều này có ý nghĩa sâu sắc với Web3: trong môi trường mà tài sản được quản lý bằng private key, một agent bị chiếm quyền đồng nghĩa với việc quỹ bị rút sạch. Một sàn DEX sử dụng agent để tự động thực hiện giao dịch sẽ không còn là một sàn an toàn – nó là một chiếc két sắt mà ai đó đã đánh tráo mã số bằng một tờ giấy nhớ dán bên ngoài.
Đây là luận điểm phản trực giác. Cộng đồng bảo mật đang ồn ào về 'cách vá lỗi', nhưng câu hỏi thực sự không phải là làm sao vá được. Nó là liệu ngành này có dám thừa nhận rằng mô hình 'agent tự do' đã sai từ gốc. Hãy nhìn vào cách các nhà cung cấp phản ứng: một số thừa nhận và hứa khắc phục, số khác lại cho rằng đây là 'tính năng dự kiến'. Sự chia rẽ này không phải là về mặt kỹ thuật. Nó là về chiến lược marketing. Các công ty hướng đến doanh nghiệp thì phải thừa nhận lỗi, bởi khách hàng của họ đọc báo cáo an ninh. Các công ty hướng đến người tiêu dùng lại xem nhẹ vì họ biết rằng người dùng cá nhân sẽ tiếp tục lướt web bằng convenience. Nhưng đối với Web3, cách tiếp cận 'xem như tính năng' là một bản án tử hình. Trong lĩnh vực tài chính phi tập trung, không có 'bảo hiểm' nào có thể trả lại cho bạn 10 ETH nếu một trình duyệt agentic tự ý ký một giao dịch độc hại. Dựa trên kinh nghiệm phân tích của tôi khi làm việc với các giao thức DeFi ở Nigeria, tôi đã thấy quá nhiều lần sự thật rằng 'kẻ tấn công' không cần phải hack trực tiếp – họ chỉ cần dựa vào sự mù quáng của người dùng và kiến trúc phần mềm ưu tiên trải nghiệm hơn an toàn. Khi Microsoft, Google và OpenAI cùng ngồi vào bàn đàm phán về một tiêu chuẩn bảo mật chung, họ sẽ phải đối mặt với một sự thật khó chịu: mọi giải pháp vá lỗi tầng trên sẽ chỉ là miếng dán cho một vết nứt kết cấu. Cách duy nhất để thực sự bảo vệ tài sản người dùng là khôi phục một số dạng cô lập giữa 'ý định của người dùng' và 'nội dung trang web'. Nhưng làm điều đó, bạn sẽ mất đi điều làm cho agent trở nên mạnh mẽ – khả năng tự động hóa mọi thứ. Đó là một sự đánh đổi không có chiến thắng.
Vậy, chúng ta – những người xây dựng Web3 – có thể học được gì từ vụ việc này? Trong ngắn hạn, các dự án DeFi nên trì hoãn việc tích hợp agentic browser vào quy trình quản lý tài sản. Việc thêm một lớp xác thực MFA cho mọi giao dịch do agent khởi xướng là điều bắt buộc, nhưng nó vẫn chưa đủ. Về lâu dài, chính sự kiện này là hồi chuông cảnh tỉnh cho một cuộc di cư vĩ mô: thanh khoản đang di cư khỏi những nền tảng không coi bảo mật kiến trúc là nền tảng cốt lõi. Hãy theo dấu nó. Khi người dùng Web3 bắt đầu rút tiền khỏi các ứng dụng dựa trên agent, dòng thanh khoản đó sẽ chảy về đâu? Có thể về các giao thức tự quản lý khóa riêng, hoặc về các giải pháp lưu ký lạnh truyền thống hơn. Nhưng nó sẽ không đứng yên. Và câu hỏi còn lại cho tất cả chúng ta: khi các trình duyệt agentic đã được chứng minh là an toàn tuyệt đối, liệu bạn có còn muốn để chúng quản lý tài sản của mình không? Hay chúng ta sẽ tìm một con đường khác – một con đường nơi mà sự tin tưởng không được đánh đổi lấy sự thuận tiện?
