AI Pentest: Cơn Sốt 250 Triệu USD Của Horizon3.ai Và Bài Toán Bảo Mật Crypto

250 triệu USD. 2 tỷ USD định giá. Hai con số vừa xuất hiện trong bản tin về vòng gọi vốn E của Horizon3.ai, một công ty an ninh mạng AI có trụ sở tại Mỹ. Trong lúc thị trường crypto chìm trong sắc đỏ, thanh khoản bốc hơi khỏi altcoin, dòng tiền lớn vẫn đổ vào một công ty chuyên mô phỏng tấn công. Điều đó nói lên điều gì? Sự thật nằm ở số liệu, không phải ở lời hứa. Vì sao một công ty an ninh mạng lại được nhắc đến trong giới blockchain? Bởi vì nền tảng của Horizon3.ai, có tên NodeZero, là một hệ thống tự động hóa pentest – kiểm thử xâm nhập. Pentest truyền thống giống như một cuộc khám sức khỏe tổng quát mỗi năm một lần. Bạn trả tiền cho một đội ngũ chuyên gia, họ tìm lỗ hổng, viết báo cáo, rồi ra về. Sáu tháng sau, mã nguồn phần mềm thay đổi, hạ tầng mở rộng, những lỗ hổng mới xuất hiện, nhưng báo cáo cũ vẫn nằm đó. Với ngành tài chính phi tập trung, vấn đề còn nghiêm trọng hơn. Một giao thức DeFi có thể nâng cấp hợp đồng thông minh hàng tuần. Thuê pentest mỗi lần là điều không tưởng về chi phí lẫn thời gian. Đó là khoảng trống mà Horizon3.ai tấn công: biến pentest từ một dự án rời rạc thành một dịch vụ chạy liên tục. Hãy nhìn vào các con số thực tế. Theo báo cáo của Chainalysis, trong năm 2024, hacker đã đánh cắp hơn 2,2 tỷ USD từ các nền tảng tài sản số. Còn theo dữ liệu từ Immunefi, chỉ riêng quý 1 năm 2025, hơn 600 triệu USD đã bị mất trong các vụ khai thác hợp đồng thông minh và cầu nối cross-chain. Đằng sau những vụ hack này, một điểm chung lặp đi lặp lại: các hợp đồng chưa được kiểm tra kỹ lưỡng, hoặc kiểm tra một lần rồi không bao giờ kiểm tra lại. Nói một cách ngắn gọn, thị trường crypto đang phải trả giá cho mô hình bảo mật lỗi thời. Horizon3.ai không phải công ty crypto. Họ không phát hành token, không xây layer 2, không hứa hẹn APY 1000%. Sản phẩm của họ là NodeZero – một nền tảng tự động hóa pentest hoạt động dựa trên AI. Cụ thể, NodeZero quét toàn bộ hệ thống của khách hàng, mô phỏng các cuộc tấn công theo khung MITRE ATT&CK, tự động phân tích lỗ hổng, ưu tiên rủi ro và đưa ra hướng khắc phục. Toàn bộ quá trình có thể chạy lặp lại liên tục, không cần con người giám sát từng bước. Đây chính là điểm cốt lõi: nó biến hoạt động kiểm tra bảo mật từ một quy trình thủ công, chậm chạp, thành một cỗ máy chạy mãi không mệt. Theo phân tích từ các tài liệu mà tôi tiếp cận được, vòng E này có quy mô 250 triệu USD, định giá sau tiền là 2 tỷ USD. Con số này không quá đắt nếu so với các công ty an ninh mạng AI hàng đầu. CrowdStrike hiện có vốn hóa hơn 90 tỷ USD, Palo Alto Networks khoảng 120 tỷ USD. Nếu giả định Horizon3.ai đạt doanh thu định kỳ hàng năm (ARR) khoảng 150 triệu USD, hệ số giá trị trên doanh thu là khoảng 13 lần. Mức này nằm trong vùng hợp lý cho một công ty tăng trưởng nhanh trong lĩnh vực AI bảo mật. Nhưng lưu ý: đây chỉ là ước tính. Sự thật nằm ở số liệu, không phải ở lời hứa. Nếu doanh thu thực chỉ là 60 triệu USD, hệ số PS lên tới 33 lần – rất khó biện minh trong bối cảnh lãi suất cao. Vậy điều này có ý nghĩa gì với các nhà phát triển blockchain? Câu trả lời là rất lớn. Công nghệ tương tự NodeZero có thể được tùy chỉnh để kiểm tra bảo mật cho các sàn giao dịch phi tập trung, ví tiền số, cầu nối xuyên chuỗi. Trong quá khứ, tôi từng tham gia kiểm tra một giao thức cho vay trên Ethereum. Chúng tôi phải thuê một công ty bảo mật bên ngoài, tốn 180.000 USD cho một đợt kiểm tra kéo dài 6 tuần. Kết quả tìm được 4 lỗ hổng nghiêm trọng. Nhưng ngay khi đội ngũ vá xong, phiên bản mới lại có 2 lỗ hổng khác – một trong số đó không được phát hiện cho đến một năm sau. Nếu có một hệ thống tự động hóa như NodeZero chạy ngay trong quy trình phát hành, rủi ro sẽ giảm đi rõ rệt. Trong 7 ngày qua, tổng giá trị khóa trong DeFi đã giảm khoảng 15%, theo DefiLlama. Nhiều thanh khoản rút khỏi các pool vừa và nhỏ. Nhưng ngay cả trong cảnh khó khăn này, các quỹ đầu tư vẫn chi hàng trăm triệu USD cho an ninh mạng AI. Rõ ràng, họ đang đặt cược vào một tương lai nơi tài sản số và hạ tầng blockchain sẽ cần được bảo vệ bởi AI. Chạy nhanh không quan trọng bằng chạy đúng hướng. Nhưng có một góc tối mà tôi muốn nhấn mạnh. Một công cụ pentest AI tự động hóa, nếu rơi vào tay kẻ xấu hoặc bị sửa đổi, có thể trở thành vũ khí tấn công cực kỳ hiệu quả. Thử tưởng tượng: hacker sử dụng một bản sao NodeZero để quét toàn bộ mạng lưới blockchain, tìm ra smart contract dễ tổn thương và khai thác hàng loạt trong vài giờ. Trước đây, việc này cần cả một đội ngũ chuyên gia và nhiều tuần chuẩn bị. AI phá bỏ rào cản đó. Đây chính là con dao hai lưỡi của ngành an ninh mạng AI. Hơn nữa, tôi nhận thấy một xu hướng đáng lo ngại trong việc lạm dụng cụm từ 'AI'. Nhiều dự án blockchain tự gọi mình là 'bảo mật AI' trong khi thực chất chỉ sử dụng các quy tắc đơn giản và danh sách đen có sẵn. Chúng tạo ra cảm giác an toàn giả tạo. Nhìn vào số liệu kiểm toán thực tế, tôi đã gặp nhiều hợp đồng được 'AI quét' nhưng vẫn chứa các lỗi logic kinh điển mà một lập trình viên dày dạn có thể nhìn ra trong 10 phút. AI không phải thần thánh. Nó chỉ tốt khi được huấn luyện trên dữ liệu đầy đủ và được kiểm chứng liên tục bằng các tình huống thực tế. Chạy nhanh không quan trọng bằng chạy đúng hướng. Một điểm mù nữa nằm ở định giá. Khi một quỹ đầu tư lớn trả 2 tỷ USD cho một công ty pentest AI, họ đang đặt cược rằng thị trường này sẽ tăng trưởng bùng nổ trong 3-5 năm tới. Nhưng nếu nền kinh tế toàn cầu rơi vào suy thoái, các doanh nghiệp sẽ cắt giảm chi tiêu bảo mật trước tiên. Khi đó, ngay cả AI bảo mật cũng khó thoát khỏi làn sóng cắt giảm. Không có gì đảm bảo rằng kỷ nguyên lãi suất cao sẽ tha thứ cho những định giá phình to. Horizon3.ai vừa gửi đi một tín hiệu rõ ràng: bảo mật không còn là chi phí vận hành, mà là trọng tâm đầu tư. Đối với các dự án blockchain, thông điệp đơn giản hơn – bạn có thể rẻ mạt trong khâu bảo mật, nhưng cái giá phải trả khi bị hack là mất trắng cả uy tín lẫn thanh khoản. Sự thật nằm ở số liệu. Vậy, hệ thống của bạn có thể tự chống đỡ một cuộc tấn công kéo dài 48 giờ mà không cần con người can thiệp không? Câu trả lời sẽ quyết định bạn còn ở lại cuộc chơi hay biến mất trong mùa đông crypto này.