Đề Xuất Ethereum Tăng Cường Bảo Mật Ví AI-Agent Bằng Giới Hạn Chi Tiêu Theo Tài Sản

Bối Cảnh: Vấn Đề Chi Tiêu Uỷ Quyền Trên Ethereum

Trong một giao dịch thông thường, người dùng ký xác nhận từng lần chuyển tiền. Nhưng khi hệ sinh thái crypto ngày càng phụ thuộc vào các tác nhân tự động (autonomous agents), ví ủy quyền (delegated wallets), hoặc script bên ngoài, một câu hỏi thực tế đặt ra: làm thế nào kiểm soát quyền di chuyển tiền khi người dùng chỉ cần cấp phép một lần?

Đó là vấn đề mà các nhà phát triển Ethereum đang bắt đầu giải quyết thông qua đề xuất asset-enforced spend mandate tại diễn đàn Ethereum Magicians.

Nguyên Lý Thiết Kế: Kiểm Soát Gắn Với Token

Ý tưởng cốt lõi của đề xuất là: các quy tắc kiểm soát nên đi cùng tài sản (token), thay vì chỉ nằm �ng ví, session key, hay chính sách ứng dụng.

Cụ thể, trước mỗi lần chuyển token, hợp đồng tài sản sẽ kiểm tra một "cổng" (gate) để xác nhận giao dịch có hợp lệ hay không. Cổng này có thể thi hành các quy tắc như:

• Giới hạn mỗi giao dịch (per-transaction caps)
• Thời hạn hiệu lực của phê duyệt (expiration dates)
• Danh sách token được phép chuyển (allowed tokens)
• Trạng thái thu hồi phê duyệt (revocation status)

Điều này đặc biệt quan trọng vì nhiều vụ mất tiền onchain xảy ra khi người dùng cấp phê duyệt quá rộng mà không hiểu rõ phạm vi mình đã cho phép.

Tại Sao Lớp Tài Sản Lại Quan Trọng

Nếu khóa của một AI agent bị xâm phạm, hoặc phiên giao dịch bị lỗi, token vẫn có thể từ chối các chuyển khoản vượt quá hạn mức được phê duyệt. Đề xuất cũng giới thiệu một bộ từ vựng có thể đọc bằng máy (machine-readable reason vocabulary) — thay vì giao dịch thất bại chỉ trả về lỗi chung chung, hệ thống sẽ cho biết cụ thể lý do: không có mandate, mandate đã hết hạn, đã bị thu hồi, token không nằm trong danh sách cho phép, hoặc số tiền vượt hạn mức.

AI Agent Đặt Ra Yêu Cầu Mới

Ví AI-agent vẫn đang ở giai đoạn sơ khai, nhưng xu hướng rõ ràng: nếu bot được kỳ vọng tái cân bằng danh mục, thanh toán hóa đơn, quản lý tài khoản quỹ con, hoặc tương tác với các giao thức DeFi, người dùng sẽ cần nhiều hơn một nút phê duyệt đơn giản. Họ cần ranh giới có thể đọc được, thực thi được, và thu hồi được.

Đề xuất này nằm trong cùng nhóm giải pháp với account abstraction, delegated signing, và các kiểm tra pre-transfer của token được quy chuẩn — nhưng tập trung vào một primitive bảo mật cụ thể: những gì một người nắm giữ được phép chi tiền, được thực thi bởi tài sản thay vì bởi hành vi của agent.

Còn Sớm Nhưng Đúng Thời Điểm

Đề xuất chưa phải ERC hoàn thiện và chưa được đưa vào quy trình tiêu chuẩn hóa của Ethereum. Nó đang được đưa ra để xin phản hồi sớm, nghĩa là chi tiết có thể thay đổi hoặc không bao giờ ra production.

Tuy nhiên, thời điểm này đáng chú ý. Crypto đang tiến về phía ví tự động hóa nhiều hơn, tài sản token hóa ngày càng phổ biến, và các luồng giao dịch ủy quyền ngày càng nhiều. Nếu không có kiểm soát quyền mạnh hơn, sự tiện lợi của agentic finance có thể nhanh chóng trở thành bề mặt tấn công mới.

Câu hỏi quan trọng cho các nhà phát triển Ethereum là: giới hạn chi tiêu nên nằm ở ví, ứng dụng, hay chính tài sản? Đề xuất này lập luận rằng hợp đồng token nên có vai trò trong việc này — và nếu được áp dụng ở một dạng nào đó, các khoản thanh toán AI-agent có thể trở nên an toàn hơn mà không yêu cầu mọi ứng dụng phải tự xây lại hệ thống phân quyền từ đầu.

Nguồn: Ethereum Magicians Forum — bài viết gốc bởi News Desk, biên tập bởi Samuel Rae.