Trong sự cố bảo mật lần này của Binance, điều tôi quan tâm nhất không phải là số tiền, mà là điểm xâm nhập

Thông tin sơ bộ từ phía chính thức: máy tính của một kỹ sư DevOps bị xâm nhập, kẻ tấn công vào được container dịch vụ và gửi các giao dịch rút tiền trái phép. Sau đó, họ còn phát hiện những điểm xâm nhập khác; hiện chưa phát hiện khóa riêng của ví bị rò rỉ

Nhìn lại phía chúng ta, hiện nay mọi người đều đang cho AI agent chạy script và gọi API trên máy tính

Tôi tự đặt ra 3 nguyên tắc:
1. Chỉ cấp quyền tối thiểu cho key mà agent sử dụng. Tôi vừa cấp cho agent key đăng bài trên Square; nó chỉ có thể đăng bài, không thể truy cập tài sản hay giao dịch
2. Không bật quyền rút tiền cho API key của sàn giao dịch; nếu có thể giới hạn theo IP thì hãy giới hạn
3. Không tùy tiện cài plugin và skill trên máy tính chạy agent; hãy xem qua mã nguồn trước khi cài

Một khi máy tính bị xâm nhập, agent có quyền gì thì kẻ tấn công cũng có quyền đó

#AIAgent #AnToàn