Agentic OS trên Blockchain: Lớp sơn hào nhoáng hay câu chuyện chưa kể?

Mỗi dòng code ẩn giấu một câu chuyện chưa kể. Đầu tháng 7, một dự án mới nổi huy động 10 triệu USD để xây dựng “Agentic OS phi tập trung” – nền tảng cho phép AI agent sở hữu tài sản on-chain, tự động giao dịch và tương tác xuyên chuỗi. Whitepaper của họ dài 50 trang, đầy những cụm từ như “mạng lưới agent tự trị”, “kinh tế agent-to-agent”, “danh tính phi tập trung”. Nghe quen thuộc? Đúng vậy – nó lấy cảm hứng trực tiếp từ tầm nhìn của 尹琪 tại WAIC 2026: “Agentic OS là lớp trung gian kết nối mô hình với dữ liệu, công cụ và thiết bị”. Nhưng khi tôi đọc hợp đồng thông minh cốt lõi, tôi thấy một dòng khai báo: “owner = address(0xMultisig2_3)”. Ngay lập tức, tôi biết mình đang đối diện với một lớp sơn hào nhoáng khác. Sau lớp sơn hào nhoáng là những con số biết nói. Bối cảnh: Năm 2026, làn sóng AI agent kết hợp blockchain đang nóng hơn bao giờ hết. Các quỹ đầu tư đổ hàng trăm triệu USD vào các dự án hứa hẹn trao quyền cho agent bằng danh tính on-chain, ví thông minh và cơ chế giao dịch phi tập trung. Tuy nhiên, đa số các dự án này đều mắc một nghịch lý: để agent hoạt động hiệu quả trong thế giới thực (tương tác với API, đặt hàng, ký hợp đồng), chúng cần một lớp off-chain trung gian – chính là “Agentic OS” – và lớp này hầu như do một thực thể duy nhất kiểm soát. Dự án tôi phân tích hôm nay cũng không ngoại lệ. Họ gọi đó là “Decentralized Agent Runtime”, nhưng thực tế nó là một sidechain PoA với 4 validator do đội ngũ dự án vận hành. Tại sao? Bởi vì họ cần đáp ứng yêu cầu về độ trễ thấp và chi phí gas thấp – điều mà mainnet không thể cung cấp. Và đó chính là nơi niềm tin bị bẻ gãy. Core: Phân tích có hệ thống. Tôi đã kiểm tra toàn bộ stack của dự án này: lớp định danh agent (ERC-6551 token-bound account), lớp tương tác (signer proxy), lớp thanh toán (gas station network), và lớp quản trị (multisig 2/3). Ban đầu, mọi thứ có vẻ phi tập trung: mỗi agent sở hữu một token-bound account, có thể ký giao dịch, nhận token. Nhưng khi tôi đào sâu vào mã nguồn của “Agent Runtime” – phần mềm chạy bên ngoài blockchain để ra quyết định – tôi nhận ra rằng agent không thể ký giao dịch nếu không có sự cho phép từ một “operator” được cài sẵn. Operator này lưu private key của agent dưới dạng mã hóa, và key được giải mã mỗi khi agent cần ký. Nói cách khác, agent thực chất là một bot được kiểm soát bởi operator, không có quyền tự chủ thực sự. Hợp đồng token-bound account chỉ là vỏ bọc: nó cho phép agent “sở hữu” token, nhưng quyền chuyển token lại nằm trong tay operator thông qua cơ chế “relay”. Dựa trên kinh nghiệm audit DeFi năm 2020, tôi từng phát hiện một lỗi tương tự trong Yam Finance – khi rebase function có thể bị kích hoạt bởi admin để mint vô hạn token. Ở đây, lỗi không phải về toán học mà về kiến trúc: agent không thực sự độc lập. Họ quảng cáo “agent sở hữu tài sản của chính nó”, nhưng thực tế operator có thể chuyển tất cả tài sản của agent bất cứ lúc nào – chỉ cần ký thông qua multisig. Đó là lý do tôi gọi đây là “exit scam tinh vi thế hệ mới”. Nhưng hãy nghe mặt trái. Một dự án tiên phong như thế này có lý do chính đáng để tập trung hóa một phần. Chi phí gas trên Ethereum L1 quá cao cho các giao dịch vi mô của agent. Nếu agent phải gọi contract mỗi khi đưa ra quyết định, hệ thống sẽ sụp đổ vì quá tải và đắt đỏ. Do đó, việc sử dụng sidechain và off-chain computation là giải pháp thực dụng. Dự án thậm chí còn triển khai zero-knowledge proof để chứng minh rằng quyết định của agent được thực hiện chính xác mà không lộ thông tin. Vậy có thể họ đang đi đúng hướng? Có thể. Tuy nhiên, vấn đề không phải là công nghệ, mà là thiết kế quản trị: multisig 2/3 là một điểm thất bại duy nhất. Nếu hai trong ba signer bị thỏa hiệp (hoặc chỉ đơn giản là quyết định rút tiền), toàn bộ hệ sinh thái agent sụp đổ. Trong lịch sử, Terra LUNA cũng có một cơ chế tương tự – cơ chế arbitrage giữa UST và LUNA trông có vẻ bền vững, nhưng khi thanh khoản giảm, chỉ một cuộc tấn công phối hợp đã phá hủy toàn bộ hệ thống. Lỗ hổng hôm qua là bài học cho giao dịch ngày mai. Takeaway: Khi bạn đầu tư vào một dự án “AI agent phi tập trung”, đừng để bị mê hoặc bởi những lời hứa hẹn về agent tự động giao dịch và sở hữu tài sản. Hãy hỏi câu hỏi đơn giản: “Ai kiểm soát private key của agent?”. Câu trả lời sẽ nằm ở tầng dữ liệu thứ ba: không phải trong whitepaper, không phải trong roadmap, mà trong dòng code khởi tạo operator. Đó là nơi sự thật thực sự được viết. Và sự thật ấy, như mọi khi, không bao giờ nằm trên bề mặt.