Ngày 5 tháng 8 năm 2026, Oasis Security công bố lỗ hổng thực thi mã từ xa (RCE) trên nền tảng AI agent Paperclip, điểm CVSS 10.0. Rapid7 ngay lập tức phát hành module Metasploit. Lỗ hổng này không chỉ là cơn ác mộng với các nhà phát triển AI agent – nó còn là hồi chuông cảnh tỉnh cho toàn bộ ngành blockchain, nơi 'cấu hình là mã' đang trở thành một tiêu chuẩn chết người.
Khi bạn nhập một file cấu hình .paperclip.yaml vào Paperclip, bạn không đưa vào dữ liệu – bạn đưa vào một thực thể có thể thực thi lệnh shell trên server. Đây là kết quả của việc thiết kế ranh giới 'cấu hình – thực thi' một cách cẩu thả. Trong blockchain, chúng ta cũng làm điều tương tự mỗi ngày: một đề xuất DAO chứa dữ liệu call data, một hợp đồng thông minh cho phép người dùng nạp bytecode tùy ý, một multisig wallet với quyền thực thi gần như vô hạn. Đừng bao giờ tin vào lời hứa; hãy kiểm tra chữ ký.
Bối cảnh: Cơn sốt AI agent và vết xe đổ của ‘cấu hình là mã’
Paperclip là một nền tảng mã nguồn mở cho phép tạo và triển khai AI agent thông qua các file cấu hình YAML. Nó hỗ trợ ‘process adapter’ – một cơ chế cho phép agent chạy các lệnh shell. Vấn đề: endpoint nhập cấu hình chỉ kiểm tra quyền board-level, trong khi endpoint tạo instance yêu cầu quyền admin. Kết quả là bất kỳ ai có tài khoản (mở đăng ký, tự phê duyệt) đều có thể gửi một gói agent chứa script độc hại và kích hoạt nó.
Sáu bước tấn công – tất cả đều dùng API thông thường, không cần khai thác lỗ hổng bảo mật nào khác. Điều này có điểm tương đồng với một số lỗ hổng trong hợp đồng thông minh DeFi: ví dụ như lỗi reentrancy trong Uniswap v2 mà tôi từng kiểm toán năm 2020 – cũng chỉ là tận dụng luồng gọi hàm bình thường.
Trong blockchain, câu chuyện 'cấu hình là mã' còn nguy hiểm hơn. Một đề xuất DAO có thể chứa calldata thực thi bất kỳ hành động nào trên hợp đồng. Một cầu nối cross-chain có thể xử lý các giao dịch với dữ liệu tùy ý từ người dùng. Nếu không kiểm tra chữ ký và phân quyền đúng cách, một 'cấu hình' vô hại có thể biến thành một lệnh hủy diệt.
Phân tích kỹ thuật: Ba lớp lỗ hổng kiến trúc
Lỗ hổng Paperclip không phải là lỗi code đơn lẻ. Nó là sự kết hợp của ba lớp: (1) thiếu xác thực – endpoint nhập cấu hình không kiểm tra quyền admin; (2) bất đối xứng ủy quyền – hàm assertInstanceAdmin không được import trong router; (3) tin tưởng tuyệt đối vào cấu hình – file YAML được xem như metadata thụ động, trong khi thực tế nó chứa lệnh thực thi.
Lớp thứ ba là điểm chết người. Trong một cuộc kiểm toán hợp đồng ICO năm 2017, tôi từng thấy một lỗi tương tự: token sale contract cho phép người dùng gửi dữ liệu tùy ý vào hàm mint, và dữ liệu đó được dùng làm địa chỉ nhận token. Kẻ tấn công có thể mint token cho bất kỳ ai. Đó cũng là 'cấu hình là mã' – dữ liệu đầu vào trở thành logic thực thi.
Trong Paperclip, cấu hình YAML có thể chứa lệnh spawn() – một hàm shell. Khi agent được kích hoạt, lệnh đó chạy với quyền của user OS. Không sandbox, không container. Đó là lý do CVSS đạt 10.0.
Góc nhìn phản trực giác: Lỗ hổng này thực sự là một feature chưa được kiểm soát
Nhiều người sẽ nói: 'Đây chỉ là lỗi lập trình, sửa vài dòng là xong.' Nhưng sự thật là Paperclip đã thiết kế process adapter có chủ đích – nó cho phép agent chạy lệnh shell, đó là một tính năng. Vấn đề là họ không phân biệt được giữa 'cấu hình mô tả' và 'cấu hình thực thi'. Trong blockchain, chúng ta cũng có những tính năng tương tự: DAO proposals có thể gọi bất kỳ hàm nào; hợp đồng proxy cho phép nâng cấp logic; cầu nối có thể relay bất kỳ giao dịch nào.
Điều phản trực giác là: càng nhiều tính năng linh hoạt, càng nhiều bề mặt tấn công. Và Paperclip không phải ngoại lệ: Flowise (CVE-2025-59528, CVSS 10.0), LangFlow (CVE-2026-55255, đã bị khai thác), Anthropic MCP Inspector (CVE-2025-49596, DNS rebinding) – tất cả đều có cùng một mẫu: 'cấu hình nhập khẩu = thực thi mã'. Đây là một vấn đề mang tính hệ thống, không phải lỗi cá biệt.
Takeaway: Đã đến lúc xem 'cấu hình' như một loại tài sản số cần được bảo vệ nghiêm ngặt
Trong blockchain, chúng ta đã học được rằng private key là tài sản số cần được bảo vệ tuyệt đối. Bây giờ, chúng ta cần học thêm một bài học: cấu hình cũng là tài sản số. Một file YAML, một calldata, một đề xuất DAO – tất cả đều có thể mang mã thực thi. Hãy đối xử với chúng như những hợp đồng thông minh: kiểm tra chữ ký, phân quyền chặt chẽ, và luôn luôn chạy trong môi trường cách ly.
Paperclip đã tung bản vá v2026.416.0: vô hiệu hóa đăng ký mở, cấm tự phê duyệt CLI, thêm kiểm tra quyền. Nhưng đó chỉ là chữa triệu chứng. Căn bệnh – coi cấu hình là dữ liệu thụ động – vẫn còn đó. Khi bạn nhìn vào một dự án blockchain, hãy tự hỏi: 'Ai có thể nhập cấu hình? Họ có thể làm gì với nó? Và tôi có kiểm tra chữ ký không?' Đừng bao giờ tin vào lời hứa; hãy kiểm tra chữ ký.