Tôi cứ quay lại một sự phân biệt nghe có vẻ dễ bị bỏ sót trong các cuộc trò chuyện về crypto và AI.
Trao cho một tác nhân AI một ví không phải là quyết định rằng tác nhân đó thực sự được phép làm gì với ví đó.
Một là quyền truy cập.
Cái còn lại là ranh giới.
Hiện tại, nhiều thiết lập crypto mang tính tác nhân dường như có phần đầu nhưng không có phần thứ hai. Ví được nạp tiền còn tác nhân có được khả năng ký, và phần còn lại chủ yếu là niềm tin. Niềm tin rằng mô hình sẽ cư xử đúng như mong muốn. Niềm tin rằng các prompt là an toàn. Niềm tin rằng logic sẽ không bị lệch. Niềm tin rằng một lỗ hổng/bị khai thác hoặc đầu vào bên ngoài kém chất lượng sẽ không đẩy hệ thống vào một hành động mà không ai có ý định ủy quyền.
Mô hình đó bắt đầu trông có vẻ mong manh ngay khi các tác nhân ngừng đóng vai trò như trợ lý và bắt đầu hoạt động như người điều hành (operators).
Một tác nhân chỉ tóm tắt thông tin hoặc phác thảo ý tưởng giao dịch là một chuyện. Nhưng một tác nhân có thể tự thực hiện việc hoán đổi (swap) để quản lý quỹ kho bạc, cân bằng lại một vị thế, hoặc tương tác với một giao thức (protocol) một cách độc lập thì hoàn toàn là chuyện khác. Khi tác nhân có thể khởi tạo các hành động onchain thực sự, câu hỏi không còn chỉ là liệu nó có một ví (wallet) hay không.
Câu hỏi thực sự trở thành:
trước khi giá trị thực sự được chuyển đi, ví được phép làm gì?
Sự khác biệt này quan trọng vì một ví không hiểu ý định (intent).
Một ví có thể xác minh chữ ký. Nó có thể giữ tiền. Nó có thể ký các giao dịch nếu có đúng khóa phù hợp. Nhưng nó không biết liệu một giao dịch giao dịch được đề xuất có phù hợp với ủy nhiệm kho bạc (treasury mandate) hay không, liệu việc chuyển có vượt giới hạn rủi ro hay không, hoặc liệu tác nhân có đang tương tác với một hợp đồng mà nó không được chạm vào ngay từ đầu hay không.
Dưới góc nhìn của ví, một giao dịch thường chỉ là thứ cần ký nếu khóa sẵn có. Nó không biết sự khác biệt giữa một tác nhân hành động trong phạm vi chính sách (policy) và một tác nhân làm điều mà nó không bao giờ được phép làm.
Đó là nơi tôi nghĩ cuộc trò chuyện hiện tại về tác nhân AI trong crypto vẫn còn cảm giác thiếu.
Rất nhiều sự chú ý được đổ vào việc cung cấp cho các tác nhân nhiều năng lực hơn, nhiều công cụ hơn, nhiều quyền thực thi hơn, và nhiều tính tự chủ hơn. Nhưng năng lực mà không có ranh giới (boundaries) tạo ra một mô hình bảo mật rất kỳ lạ. Hệ thống ngày càng được tự động hóa hơn, trong khi lớp kiểm soát (control layer) thường lại mỏng đi. Nếu tác nhân có quyền ví rộng, thì một lần chèn prompt (prompt injection), một lỗi chiến lược (strategy error), một tích hợp lỗi (bad integration) hoặc một bug đơn giản vẫn có thể tạo ra một giao dịch onchain hoàn toàn hợp lệ.
“Valid” (hợp lệ) là từ quan trọng ở đây.
Bởi vì blockchain có thể không thấy có gì sai với nó cả.
Chữ ký có thể là đúng.
Ví có thể có sẵn quỹ.
Lời gọi hợp đồng có thể được thực thi.
Giao dịch có thể hợp lệ về mặt kỹ thuật.
Tuy vậy, nó vẫn có thể là một giao dịch mà con người đứng sau tác nhân đó không hề muốn cho phép.
Vì vậy, tôi nghĩ hạ tầng (infrastructure) cho tác nhân cần một thứ mạnh hơn quyền truy cập ví. Nó cần một cách để tách khả năng của tác nhân trong việc đề xuất một hành động khỏi quyết định của hệ thống về việc hành động đó có thực sự được phép thực thi hay không.
Đây là lúc Newton bắt đầu trở nên có ý nghĩa với tôi.
Newton được xây dựng như một lớp ủy quyền (authorization layer) nằm giữa “ý định giao dịch” (transaction intent) và việc quyết toán (settlement) trên blockchain. Thay vì giả định rằng bất kỳ hành động nào được đề xuất bởi ví đều nên chuyển thẳng sang thực thi, Newton chèn việc kiểm tra chính sách (policy check) trước khi giá trị được chuyển đi. Giao dịch được đánh giá trước, và chỉ khi nó thỏa mãn các quy tắc đã định thì mới tiếp tục hướng tới bước quyết toán (settlement).
Với một tác nhân AI, điều đó làm thay đổi ý nghĩa của việc truy cập ví khá nhiều.
Ví vẫn có thể tồn tại. Tác nhân vẫn có thể đề xuất các hành động. Nhưng giao dịch không còn chỉ phụ thuộc vào việc tác nhân có khóa hay giao dịch có hợp lệ về mặt kỹ thuật hay không. Nó còn phụ thuộc vào việc hành động đó có phù hợp với các quy tắc được định nghĩa xung quanh tác nhân đó hay không.
Đó là một mô hình hữu ích hơn nhiều.
Nó có nghĩa là một tác nhân có thể hoạt động trong các ranh giới cấp phép (permission boundaries) thay vì quyền ký rộng mở không giới hạn.
Những ranh giới đó có thể trông như vậy.
chỉ tương tác với các giao thức đã được phê duyệt
chỉ gửi tiền cho các đối tác đã được phê duyệt
giới hạn chi tiêu theo ngày hoặc theo giờ
ngưỡng kích thước giao dịch làm phát sinh phê duyệt (approval) bổ sung
các hạn chế đối với tài sản, sàn/venue hoặc hành động cụ thể
các quy tắc chặn mọi hoạt động ra ngoài phạm vi chiến lược đã được xác định
Điều quan trọng không phải là chính sách cụ thể. Điều quan trọng là chính sách nằm ở đâu.
Trong một thiết lập tác nhân yếu, ranh giới chủ yếu nằm bên trong mô hình: prompt hoặc logic ứng dụng xung quanh nó. Bạn hy vọng rằng tác nhân sẽ làm theo chỉ dẫn vì đó là cách nó được thiết kế.
Trong một thiết lập mạnh hơn, ranh giới nằm bên ngoài tác nhân và kiểm tra giao dịch trước khi thực thi.
Đó là sự thay đổi mà tôi thấy thú vị nhất trong Newton.
Tác nhân vẫn có thể hữu ích, linh hoạt và nhanh. Nhưng hệ thống không còn phải tin chỉ vào tác nhân để tự định nghĩa giới hạn hành vi của nó nữa. Lớp ủy quyền có thể đóng vai trò là một mặt phẳng điều khiển (control plane) tách biệt giữa ý định của tác nhân (agent intent) và việc dịch chuyển vốn (capital movement).
Điều đó làm thay đổi nơi mà niềm tin (trust) được đặt vào.
Trong mô hình cũ, niềm tin tập trung ngay trong chính ngăn xếp (stack) của tác nhân: mô hình, prompt, logic điều phối (orchestration) và các quyền ví gắn với nó.
Trong mô hình của Newton, niềm tin chuyển dịch hướng về một lớp chính sách (policy layer) nằm bên ngoài tác nhân. Mô hình vẫn có thể tạo ra ý tưởng và đề xuất các giao dịch, nhưng quyết định về việc các hành động đó có thỏa mãn các ranh giới được phép hay không được kiểm tra ở đâu đó khác trước khi thực thi.
Tôi nghĩ sự tách biệt này quan trọng vì nó làm hệ thống bền vững hơn trước đúng thứ mà các hệ thống mang tính “tác nhân” (agentic systems) thường kém ở việc tránh: các hành vi ngoài dự kiến.
Một tác nhân không cần phải độc hại để tạo ra rủi ro. Chỉ cần nó sai một lần trong một bối cảnh mà ví có quá nhiều tự do là đủ.
Đó là lý do tôi không nghĩ câu hỏi hữu ích nhất là: tác nhân có thể dùng ví không?
Câu hỏi hay hơn là điều gì xảy ra khi tác nhân cố làm điều gì đó vượt ra ngoài ranh giới mà nó được cấp?
Nếu câu trả lời là không sao miễn là giao dịch hợp lệ và khóa có thể ký, thì hệ thống vẫn dựa quá nặng vào việc tác nhân hành xử hoàn hảo.
Nếu câu trả lời là giao dịch thất bại vì nó không thỏa mãn chính sách ủy quyền, thì đó là một mức độ kiểm soát hoàn toàn khác.
Newton không giải quyết mọi phần của bài toán tác nhân AI. Nó không quyết định chiến lược của một tác nhân có tốt hay không, lập luận có vững hay không, hay các giả định về thị trường có hợp lý hay không.
Điều nó có thể làm thì hẹp hơn và theo một số cách lại quan trọng hơn.
Nó có thể giúp định nghĩa không gian mà trong đó một tác nhân được phép hành động trước khi giao dịch thậm chí chạm tới giai đoạn quyết toán.
Đối với tôi, đây chính là ý nghĩa thực sự của mô hình.
Ý ở đây không phải là làm cho tác nhân thông minh hơn.
Mục tiêu là ngăn việc quyền truy cập ví bị hiểu nhầm thành quyền cho phép (permission).
Bởi vì đó không phải là cùng một thứ.
Một ví trao cho tác nhân khả năng để hành động.
Một lớp ủy quyền (authorization layer) có thể quyết định liệu hành động đó có thực sự được phép xảy ra hay không.
Và khi ngày càng nhiều tác nhân bắt đầu xử lý vốn thật ngoài chuỗi (onchain), thì sự khác biệt này có vẻ không còn giống một cải tiến bảo mật “tốt” nữa, mà giống như một mảnh ghép cơ bản của hạ tầng tài chính.