Sáng thứ Hai, tại một văn phòng ở quận 1, TP.HCM, một người bạn điều hành sàn thương mại điện tử gọi điện hỏi tôi trong bối rối. Một con bot từ đối tác nước ngoài vừa gọi hàm "kiểm tra giá" trên website của anh 12.000 lần trong năm phút. Không phải quét HTML, không phải cào dữ liệu. Nó mở một danh sách công cụ — giống như thực đơn nhà hàng — và gọi thẳng vào món nó cần. Anh ấy hỏi: "Con bot này có tay hả?". Không, nó không có tay. Nhưng bốn năm trước, một giao thức tên WebMCP đã ra đời để trao "tay" cho robot.
Tôi lục lại hồ sơ cá nhân năm 2025, khi Cloudflare phát hành WebMCP ở dạng developer preview. Hồi đó, bản tin chỉ vỏn vẹn vài dòng thông báo. Bốn năm sau, tại Việt Nam, nó đang âm thầm viết lại cách các trang web đối xử với AI — và cách con người bị đẩy ra rìa.
Bối cảnh: web không còn là trang giấy
WebMCP — thực chất là một lớp điều phối nằm giữa trình duyệt, Cloudflare và website — cho phép AI Agent gọi trực tiếp các chức năng của trang web thay vì phải đọc, phân tích và mô phỏng thao tác con người. Một trang web dùng Cloudflare chỉ cần bật công tắc trong bảng điều khiển, không cần sửa mã, là đã tạo ra một bản khai báo công cụ — cái gọi là manifest. Google và Microsoft ngồi cùng bàn ngay từ những ngày đầu, khiến WebMCP gần như trở thành một chuẩn phi chính thức cho các trình duyệt và công cụ tìm kiếm.
Nhưng đừng nhầm lẫn: WebMCP không phải một nghi thức blockchain. Nó là một cơ chế web thuần túy. Tuy nhiên, không có gì ngạc nhiên khi cộng đồng blockchain Việt Nam bắt đầu coi đây là bước ngoặt. Vì khi một website phơi bày các hàm thanh toán, và khi Agent có thể gọi thanh toán đó bằng stablecoin, thì ranh giới giữa web và chuỗi khối gần như biến mất. Một con bot không có thẻ tín dụng, nhưng nó có thể có một chiếc ví tự quản. Và một chiếc ví tự quản thì không cần xin phép ngân hàng trung ương.
Phân tích: cơn sốt Agent SEO và lỗ hổng 15 phút
Hãy để tôi kể về một cuộc audit hồi cuối năm 2028. Một công ty bảo hiểm ở Hà Nội thuê tôi rà soát hệ thống "tổng đài viên AI" của họ. Họ tự hào nói rằng website của họ mở sáu công cụ cho AI Agent, gấp ba lần đối thủ. Khi tôi mở bản khai báo công cụ, tôi thấy một hàm tên là cập_nhật_hồ_sơ. Không có xác thực hai lớp, không có kiểm tra quyền, chỉ có một token tĩnh. Người vận hành trả lời: "Nhưng chỉ robot nội bộ gọi thôi". Họ không biết rằng danh sách công cụ là công khai cho bất kỳ Agent nào đi qua.
Đây là căn bệnh của thứ tôi gọi là Agent SEO. Năm 2015, doanh nghiệp Việt nhồi từ khóa vào blog để Google xếp hạng. Năm 2029, họ thuê người viết mô tả hàm, tối ưu tên công cụ, thêm tham số thật khéo léo để AI Agent hiểu đúng "ý đồ thương mại". Một cửa hàng thời trang ở Đà Nẵng không cần viết bài "xu hướng thu đông"; họ cần khai báo một hàm tìm_kiếm_sản_phẩm sao cho giống với thứ mà Google Agent đang tìm. Ngành Agent SEO đang hình thành ngay trước mắt, và hầu hết các công ty marketing truyền thống không kịp hiểu nó.
Đã có những công ty Việt Nam bán hẳn dịch vụ "Agent SEO trọn gói". Họ hứa hẹn: chỉ cần website của bạn khai báo đúng cấu trúc tool, robot của Google hay OpenAI sẽ ghé thăm thường xuyên hơn cả một chiến dịch quảng cáo. Nghe quen không? Đúng vậy, giống hệt lời hứa của SEO năm 2015. Nhưng lần này rủi ro cao hơn, vì một tool được khai báo sai không chỉ khiến bạn mất thứ hạng — nó còn có thể trở thành một lỗ hổng bảo mật.
Điều khiến WebMCP trở thành chủ đề nóng trong giới blockchain Việt Nam, tuy nhiên, không phải là phần mô tả công cụ. Mà là thanh toán. Nhiều website khi khai báo công cụ "mua hàng" đã thêm hàm thanh toán bằng USDT hoặc các stablecoin khác. Các nhà phát triển ví ở TP.HCM mà tôi gặp đều nói cùng một câu: "Agent không cần ngân hàng". Và khi một Agent có thể chi tiền từ một chiếc ví tự quản, tức là chúng ta đang chứng kiến một kênh lưu thông tiền tệ mới, nằm ngoài tầm của bất kỳ ngân hàng trung ương nào.
Nhưng cũng chính trong phần thanh toán này, tôi tìm thấy lỗ hổng khiến tôi mất ngủ. Chuẩn C2PA mà WebMCP mặc định nhúng vẫn chỉ đọc trường khai báo nguồn gốc, không kiểm tra chữ ký. Nghĩa là một Agent có thể tạo ra một bức ảnh "được xác thực bởi C2PA" chỉ bằng cách nhét thêm một trường JSON. Tôi ngồi viết một script giả mạo tiêu đề C2PA, chèn vào một bức ảnh, và chỉ mất 15 phút để sản phẩm cuối trông như đã được xác thực đầy đủ. Một tin giả kèm ảnh "đã xác thực nguồn gốc" có thể lan truyền trên Telegram Việt Nam trước khi bất kỳ ai hoài nghi. Điều này còn đáng sợ hơn cả thời chưa có C2PA, vì bây giờ chúng ta có một thứ giả vờ là sự tin cậy.
Góc nhìn ngược: "cởi mở" cho robot, "đóng cửa" cho con người
Luận điểm chính của những người ủng hộ WebMCP năm 2029 là: AI Agent không còn phải bò qua HTML như người mù, mà đi thẳng vào công cụ. Tôi hiểu động lực đó. Nhưng tôi đã chứng kiến quá nhiều cuộc "cách mạng giao thức" để tin rằng việc mở công cụ đồng nghĩa với việc mở web.
NFT đắt tiền? Giá trị là ở người mua. Giao thức mở? Giá trị là ở người kiểm soát danh sách công cụ.
Khi mọi trang web trở thành một bộ hàm API, các nền tảng lớn sẽ bắt đầu đóng bớt "phần người" và chỉ để lại "phần robot". Cổng dịch vụ công, sàn thương mại, trang tin tức — tất cả có thể biến thành những bức tường có cửa, và cửa thì có người gác. Người dùng không có AI Agent sẽ thành khách bộ hành nhìn qua cửa sổ.
Nếu bạn nghĩ đó là viễn cảnh xa vời, hãy nhìn vào lịch sử. DeFi Summer năm 2020 hứa hẹn một nền tài chính mở, nhưng rồi RWA on-chain vẫn chỉ là câu chuyện kéo dài ba năm — và các tổ chức truyền thống chưa bao giờ thực sự cần public chain. Lightning Network, sau bảy năm, vẫn nửa sống nửa chết với những cú routing thất bại và độ phức tạp khi quản lý channel. Vì sao? Vì giao thức không sống bằng giấc mơ; nó sống bằng việc ai đó kiếm được tiền và ai đó kiểm soát được rủi ro.
Ấy vậy mà tôi không hoàn toàn bi quan về WebMCP, bởi một lý do quan trọng: nó xuất phát từ nỗi đau vận hành thực tế, chứ không phải từ một bài whitepaper. Các sàn thương mại muốn bán hàng cho robot. Các công ty logistics muốn robot điền hộ vận đơn. Các cơ quan nhà nước muốn giảm người xử lý hồ sơ. Đó là nhu cầu nhàm chán, hằng ngày và cực kỳ mạnh.
Và vì nhu cầu đó quá thật, một hệ sinh thái phụ trợ sẽ nổi lên. Tôi đã thấy hai startup tại TP.HCM gọi sản phẩm của họ là "Agent Firewall" — một lớp hải quan kiểm soát hành vi của robot trước khi nó được phép gọi hàm. Họ đang bán dịch vụ phân loại Agent lành mạnh và Agent độc hại, hoặc xây dựng danh sách đen các tool mạo danh. Đây là một ngành không tồn tại vào năm 2025, và năm 2029 nó đang tuyển người. Quyền riêng tư cũng là một vấn đề: khi Agent gọi hàm, mọi hành vi đều có thể ghi lại dưới dạng log ngữ nghĩa — phong phú hơn nhiều so với log HTTP thông thường. Điều đó vừa là một kho báu cho các nhà điều tra, vừa là một cơn ác mộng cho người dùng phổ thông.
Kết luận: ai nắm thực đơn, người đó nắm dòng tiền
NFT đắt tiền? Giá trị là ở người mua. C2PA có đáng tin cậy? Giá trị là ở người kiểm chứng.
Và với WebMCP, tôi tin rằng giá trị cuối cùng sẽ nằm ở người kiểm soát tầng trung gian — người viết manifest, người xác thực danh tính agent, người thu phí mỗi lần gọi hàm. Đó là một thứ thuế đường mới. Nhưng con đường này do Cloudflare, Google và Microsoft xây dựng, còn phần lớn doanh nghiệp Việt Nam mới chỉ đang xếp hàng mua vé.
Vậy câu hỏi cho năm 2029 không phải là "WebMCP có thành công hay không". Nó sẽ thành công, ít nhất là trong một khoảng thời gian. Câu hỏi đáng hỏi hơn là: chúng ta có đang xây dựng thực đơn, hay đang là món ăn trong thực đơn?
NFT đắt tiền? Giá trị là ở người mua. Và giá trị của WebMCP, rốt cuộc, sẽ do người giữ cổng quyết định — chứ không phải người viết mã.
Hãy nhớ những gì đã xảy ra với mọi cơn sốt trước đây: khi người giữ cổng bắt đầu đếm tiền, cuộc chơi mới thực sự bắt đầu.