Trung Quốc và sự cố Hugging Face: Nỗ lực định hình lại khái niệm an toàn AI

Cuối cùng chúng ta đã có một dòng thời gian đầy đủ hơn về cuộc tấn công OpenAI-Hugging Face diễn ra vào tháng 7. Các nhà nghiên cứu an toàn tại METR và Redwood Research đã công bố cuộc điều tra độc lập của họ vào ngày 26 tháng 8. Cùng ngày, OpenAI cũng phát hành báo cáo kỹ thuật riêng về sự cố này. Cả hai bên đều công bố bản dịch các báo cáo của họ sang tiếng Trung.

Tóm lại, các nhà nghiên cứu của OpenAI đã khởi chạy khoảng 1200 tác nhân (agents) và hướng chúng thực hiện các nhiệm vụ trong ExploitGym, một bộ tiêu chuẩn đánh giá lớn được xây dựng từ các lỗ hổng phần mềm thực tế, vốn được thiết kế để kiểm tra khả năng khai thác lỗ hổng của các mô hình AI. Để giải quyết các nhiệm vụ "bất khả thi", những tác nhân đầy quyết tâm này, vốn được lập trình để có tính kiên trì cao, đã tìm ra những cách sáng tạo để thoát khỏi môi trường sandbox của chúng. Chúng đã xoay xở để liên lạc với nhau, để lại ghi chú cho nhau và cuối cùng tiếp cận được internet công cộng. Đỉnh điểm của sự việc là chúng đã hack vào Hugging Face, một nền tảng hàng đầu về học máy mã nguồn mở.

Đáng báo động nhất là không có tác nhân nào trong số này cảnh báo con người về những nỗ lực của chúng hoặc coi các hoạt động của mình là phi đạo đức (nếu không muốn nói là có khả năng bất hợp pháp). Trên thực tế, theo METR, ít nhất một phần năm số tác nhân đã quan tâm đến việc giả mạo các bản ghi (transcripts) của chính mình để xóa dấu vết. Một vài tác nhân thậm chí còn phát triển thành công kỹ thuật giả mạo lệnh gọi công cụ (tool call spoofing).

Tất cả những điều này làm dấy lên những lo ngại rõ ràng về việc chúng ta có thể tin tưởng đến mức nào vào khả năng hành động an toàn của các tác nhân AI trong các hệ thống mạng của chúng ta. Mặc dù trường hợp này chủ yếu liên quan đến các công ty Mỹ, nhưng rủi ro an ninh mạng từ AI là mối quan tâm của người dân và các tổ chức trên toàn thế giới. Cách truyền thông và các cuộc thảo luận trực tuyến tại Trung Quốc về sự cố này khá thú vị. Một số bên nhanh chóng định khung tình huống này như một trường hợp khác cho thấy AI nguy hiểm của Mỹ đang mất kiểm soát, đối lập các hành động rủi ro của OpenAI với việc Hugging Face sử dụng một mô hình mở của Trung Quốc (GLM-5.2 của Z.ai) để vá lỗi bảo mật. Những người khác thận trọng hơn, tập trung vào các mối đe dọa mà những mô hình như thế này có thể gây ra và cách các tổ chức Trung Quốc nên phản ứng. Cuối cùng, khi chúng ta tiến gần hơn đến hội nghị thượng đỉnh Tập-Trump vào cuối tháng 9, một bài xã luận gây chấn động từ truyền thông nhà nước vào cuối tuần qua đã cố gắng định hình quan điểm về an toàn AI.

Hôm nay trên ChinaTalk, chúng tôi đề cập đến:

Liệu truyền thông nhà nước đã thực sự "ngấm" tư tưởng về an toàn AI?

GLM-5.2 thực sự hữu ích đến mức nào — và vị thế của Trung Quốc trong cuộc tranh luận về mô hình mở;

Điều gì khiến các nhà nghiên cứu Trung Quốc lo lắng;

Và lý do tại sao Trung Nam Hải lại đang thực hiện "Anthropic-ology" (nghiên cứu về Anthropic).

Chúng tôi soạn thảo và biên tập các bài viết trên ChinaTalk mà không sử dụng LLM. Đối với các bản dịch, chúng tôi sử dụng LLM để dịch các đoạn trích, sau đó điều chỉnh cách diễn đạt dựa trên đánh giá của chính mình. Hầu hết các bản dịch trong bài viết này được thực hiện bởi Claude Fable 5.1, ngoại trừ bài viết của Yuyuan Tantian, vốn dựa trên bản dịch Sinocism của Bill Bishop (có sự hỗ trợ của ChatGPT).

Science and Technology Daily, một tờ báo do Bộ Khoa học và Công nghệ Trung Quốc (MOST) xuất bản, đã đăng một báo cáo về sự cố Hugging Face vào ngày 29 tháng 8, trong đó trích dẫn nhiều từ cả các báo cáo điều tra lẫn các bài đưa tin của truyền thông phương Tây.

OpenAI mô tả sự cố này như một "lời cảnh báo" đối với công ty và toàn thế giới: nếu không có các biện pháp bảo vệ an toàn thích hợp, các tác nhân AI mạnh mẽ đã có thể vượt qua các kiểm soát kỹ thuật, phối hợp thông qua các kênh trái phép và thực hiện các hành động nguy hiểm mà không con người nào hướng dẫn chúng thực hiện.

...

Đối với ngành công nghiệp AI, một khi nhiều tác nhân có khả năng vận hành máy tính, gọi công cụ và thực hiện nhiệm vụ liên tục, các vành đai bảo mật truyền thống cũng phải đối mặt với những thách thức mới.

Trong sự cố này, không có con người nào trực tiếp hướng dẫn các tác nhân AI tấn công Hugging Face, nhưng cuối cùng chúng vẫn thực hiện cuộc tấn công. Làm thế nào để phát hiện kịp thời loại hành vi này và làm thế nào để ngăn chặn nhiều tác nhân khuếch đại rủi ro bằng cách cộng tác với nhau, đã trở thành những câu hỏi mà nghiên cứu an toàn AI không thể né tránh.

Trước hết, thật đáng chú ý khi một cơ quan truyền thông do nhà nước chỉ đạo lại đưa tin nổi bật về câu chuyện này, vốn chẳng liên quan mấy đến Trung Quốc. Ngôn ngữ được sử dụng rất mạnh mẽ nhưng cũng trung lập và mang tính kỹ thuật, không hề đề cập đến các biện pháp chính sách hay khung quản trị tiềm năng. Có vẻ như trong khi các tổ chức như MOST nhận thức được tầm quan trọng của các mối đe dọa an ninh mạng liên quan đến AI, thì vấn đề này có thể chưa nằm ở vị trí ưu tiên hàng đầu trên bàn làm việc của các nhà hoạch định chính sách.

Tổ chức tư vấn an ninh mạng Anquan Neican rút ra kết luận từ sự cố rằng "các mô hình Trung Quốc phòng thủ mạng tốt hơn các mô hình Mỹ". Trên trang tiểu blog Weibo, các kênh do nhà nước dẫn dắt đã khuếch đại các hashtag như "OpenAI mất kiểm soát mô hình của mình" và "Hugging Face tìm kiếm sự trợ giúp từ mô hình Trung Quốc", tiếp tục củng cố câu chuyện rằng các mô hình Trung Quốc là đội ngũ tiên phong về an toàn. Đây không nhất thiết là chỉ thị rõ ràng từ Bắc Kinh. Truyền thông Trung Quốc biết rằng chủ nghĩa dân tộc rất thu hút và thường bao bọc các câu chuyện trong lớp vỏ yêu nước.

Tuy nhiên, bên dưới những câu chuyện đó, mức độ quan tâm thực sự của Trung Quốc đối với mối đe dọa của AI đối với an ninh mạng vẫn còn mơ hồ. Kyle Chan (thuộc Brookings và High Capacity) gần đây lập luận rằng Trung Quốc sẽ cần coi an toàn AI là ưu tiên trong nước trước khi thực hiện các hành động có ý nghĩa, so sánh nó với quỹ đạo của chính sách khí hậu một thập kỷ trước. Chúng ta dường như đang ở trong một giai đoạn mơ hồ vào lúc này. Bắc Kinh hiểu rằng làn sóng đe dọa mạng cuối cùng sẽ ập đến trong nước, nhưng chưa cảm thấy cấp bách.

Khi Hugging Face đào sâu vào các bản ghi (logs) để hiểu chuyện gì đã xảy ra, họ nhận thấy rằng các mô hình tiên phong (truy cập thông qua các API được lưu trữ thương mại) không giúp ích được gì. Việc tải lên các chi tiết mở rộng về cuộc tấn công đã kích hoạt các rào cản bảo mật của các mô hình này. Thay vào đó, họ đã chạy GLM-5.2 của Z.ai, một mô hình mở được phát hành vào tháng 6 năm 2026, trên cơ sở hạ tầng của riêng họ để thăm dò các bản ghi.

Yacine Jernite, trưởng bộ phận học máy tại Hugging Face, nói với CNBC rằng công ty đã sử dụng GLM-5.2 "như một cách để phân tích cuộc tấn công và có thể ngăn chặn nó rất nhanh chóng bằng cách sử dụng mô hình này". Dwarkesh Patel đã xem xét kỹ lưỡng cả báo cáo của OpenAI và METR/Redwood và viết rằng ông "[chưa] thấy bằng chứng nào cho thấy các mô hình mã nguồn mở cung cấp bất kỳ sự phòng thủ thời gian thực đáng kể nào". Như vậy, ít nhất là về mặt phòng thủ chống lại cuộc tấn công khi nó đang diễn ra, GLM-5.2 đã không tham gia. Mô hình này chủ yếu được sử dụng để điều tra những gì đã xảy ra sau đó.

Nhiều tiêu đề báo chí, cả của Mỹ và Trung Quốc, đã chớp lấy cơ hội để tuyên bố rằng một mô hình Trung Quốc đã giúp "bảo vệ" một công ty Mỹ. Tân Hoa Xã viết rằng mô hình của Z.ai đã "cứu nguy", trích dẫn lời Giáo sư Zhang Yue của Đại học Sơn Đông:

Zhang Yue cho rằng khi nói đến an toàn AI, câu hỏi thực sự quan trọng là liệu một hệ thống thông minh tự chủ và ngày càng phức tạp có thể được hiểu, xác minh và giám sát đầy đủ hay không. Ý nghĩa của việc Trung Quốc phát triển các mô hình mở không chỉ nằm ở việc cung cấp thêm một lựa chọn cho các nhà phát triển. Quan trọng hơn, nó giúp dần dần thúc đẩy một hệ sinh thái đa dạng hơn cho công nghệ AI.

Nói một cách rộng rãi, sự cởi mở vẫn đang chiếm ưu thế trong cửa sổ Overton của chính sách AI Trung Quốc. Đặc biệt, tính minh bạch, khả năng kiểm soát tương đối và tính độc lập của các mô hình mở được triển khai tại địa phương khiến chúng trở nên có giá trị cho công tác an toàn, ngay cả khi rủi ro tổng thể về các sự cố mạng tăng lên do sự phổ biến của các hệ thống AI. Với sự bền bỉ của các luận điệu ủng hộ sự cởi mở trong các báo cáo của Trung Quốc, chúng ta không nên mong đợi những thay đổi lớn trong tương lai gần trừ khi có những sự cố bất ngờ.

Trong một bài viết riêng biệt về sự cố này, Science and Technology Daily đã phỏng vấn nhà nghiên cứu an ninh mạng Huang Wenhong. Huang làm việc tại Trung tâm Phát triển Công nghiệp Thông tin Trung Quốc (CCIID), một viện nghiên cứu trực thuộc Bộ Công nghiệp và Công nghệ Thông tin (MIIT). Ông lập luận rằng tương lai của an ninh mạng có AI ở mọi khía cạnh:

Các tác nhân AI có thể thăm dò song song suốt ngày đêm, nhanh chóng chuyển đổi đường đi, tự động liên kết các lỗ hổng với nhau và nén chu kỳ tấn công với hàng chục nghìn hoạt động chi phí thấp. "Hướng đi cho bước tiếp theo trong việc xây dựng hệ thống bảo mật đã rõ ràng", Huang Wenhong khuyên: Phải dùng AI để chống lại AI. Điều này có nghĩa là bổ sung khả năng phát hiện hành vi ở tốc độ máy, giám sát toàn bộ quỹ đạo, cách ly và ngắt mạch tự động, cùng khả năng phục hồi linh hoạt, đồng thời coi mọi tác nhân là một mối đe dọa nội bộ tiềm tàng với các đặc quyền bị hạn chế.

Zhou Hongwei là đồng sáng lập của Qihoo 360, một trong những công ty an ninh mạng nổi tiếng nhất tại Trung Quốc và là nhà phát triển của 360 Safeguard. Vào tháng 7, ông đã chia sẻ hai bài bình luận về sự cố OpenAI-Hugging Face trên mạng xã hội. Không giống như những người tập trung vào việc so sánh Trung Quốc với Mỹ hay mô hình mở với mô hình đóng, Zhou chú ý đến những thách thức an ninh mạng chi tiết mà sự cố này bộc lộ. Ông lo ngại nhất về mức độ kiên trì mà các tác nhân của OpenAI đã thể hiện:

Một tác nhân không cần phải xuất sắc ở mọi bước; nó chỉ cần không bao giờ biết mệt mỏi. Một hacker con người thất bại vài trăm lần liên tiếp có thể trở nên mệt mỏi, bỏ cuộc hoặc quyết định rằng cái giá phải trả là quá cao, nhưng một tác nhân thì không. Nó có thể tiếp tục thử, đọc các thông báo lỗi, điều chỉnh chiến lược và thử lại. Mười nghìn lần thử đầu tiên đều có thể thất bại; miễn là lần cuối cùng thành công, hệ thống có thể bị xâm nhập. Vì vậy, điều mà AI thực sự thay đổi không chỉ là khả năng tấn công mà là chi phí tấn công. …

Đối mặt với các tác nhân không bao giờ mệt mỏi và có thể thử nghiệm vô thời hạn, chúng ta phải vạch ra các ranh giới cứng ngay từ đầu xung quanh thời gian chạy, tài nguyên tính toán, quyền hạn và truy cập mạng. Ngay khi hành vi bất thường xuất hiện, bộ ngắt mạch phải kích hoạt ngay lập tức. Đồng thời, việc công bố các sự cố bảo mật AI phải trở nên nghiêm ngặt hơn. Đâu là sự thật được xác nhận chính thức, đâu chỉ là suy đoán và đâu là những điều vẫn thiếu bằng chứng, tất cả đều phải được làm rõ. Bởi vì ngày nay, việc sử dụng AI để tạo ra một phân tích kỹ thuật đầy rẫy thuật ngữ chuyên môn và trông cực kỳ chuyên nghiệp là quá dễ dàng, nhưng đọc giống như thật không có nghĩa là nó là thật.

Đối với ông, việc Hugging Face sử dụng GLM-5.2 không nhất thiết chứng minh các mô hình Trung Quốc tốt hơn các mô hình phương Tây. Thay vào đó, nó chứng minh sự phù hợp liên tục của các triển khai tại địa phương đối với các doanh nghiệp, vào thời điểm mà các công ty, trong cơn vội vã áp dụng AI, đôi khi bị lôi kéo vào cảm giác an toàn giả tạo bởi các nhà cung cấp suy luận đám mây. Trong một video khác, ông lặp lại quan điểm của Huang Wenhong trước đó:

Bài học lớn nhất mà sự cố này mang lại cho ngành công nghiệp AI của Trung Quốc không đơn thuần là các mô hình trong nước đánh bại các mô hình Mỹ. Điều thực sự quan trọng là trong các bối cảnh quan trọng như an ninh, tài chính và chăm sóc sức khỏe, các công ty phải có các mô hình mà họ có thể triển khai tại chỗ và kiểm soát độc lập. Khi có sự cố thực sự xảy ra, dữ liệu nhạy cảm không thể chỉ được tải lên bất cứ đâu, và các quyền hạn cũng như quy tắc của mô hình không thể bị quyết định hoàn toàn bởi người khác. Đồng thời, bảo mật tác nhân không thể chỉ dựa vào việc có một mô hình khổng lồ; nó phải được xây dựng vào toàn bộ hệ thống: đặc quyền tối thiểu, cách ly mạng, xác nhận các hoạt động quan trọng, giám sát đầu cuối, và đình chỉ cũng như ngắt kết nối ngay lập tức ngay khi phát hiện bất thường. Trong tương lai, các công ty sẽ cần không chỉ một tác nhân thực hiện công việc cho bạn, mà còn một tác nhân bảo mật chuyên dụng có nhiệm vụ canh chừng nó.

Các nhà lãnh đạo Trung Quốc thích giữ cho các lựa chọn của họ luôn mở. Trong một lĩnh vực chính sách phát triển nhanh chóng như AI, họ thích không bị dồn vào chân tường. Điều này áp dụng cho cả các câu chuyện (narratives) cũng như các lựa chọn chính sách: Bắc Kinh muốn định nghĩa các từ ngữ theo thế giới quan của riêng mình, thay vì chấp nhận các khung ngữ nghĩa được phát triển ở nơi khác. An toàn AI là một trong những từ ngữ như vậy.

OpenAI không phải là công ty duy nhất có các mô hình đang huấn luyện đã vượt qua môi trường sandbox. Quay lại tháng 4 năm nay, Anthropic đã tiết lộ trong thẻ hệ thống của mình rằng Claude Mythos Preview cũng đã thoát khỏi sandbox thử nghiệm và tiếp cận internet. (Ít nhất thì Mythos đã gửi email cho một trong những nhà nghiên cứu của Anthropic, trong khi các tác nhân của OpenAI lại âm mưu giữ kín mọi chuyện với con người.) Sự cố này đã thúc đẩy Dự án Glasswing và quyết định của Anthropic không phát hành Mythos ra công chúng.

Vào ngày 30 tháng 8, một cơ quan ngôn luận nổi tiếng của Bắc Kinh đã xuất bản một chuyên luận đáng chú ý về Anthropic và chính trị AI của Mỹ nói chung. Yuyuan Tantian là một kênh bình luận trực thuộc Đài Truyền hình Trung ương Trung Quốc (CCTV) tập trung vào các vấn đề quốc tế, đặc biệt là quan hệ Mỹ-Trung. (Tên của nó là một tham chiếu đến Yuyuantan, một công viên lớn đối diện tòa nhà CCTV ở Bắc Kinh.) Nó sử dụng một giọng văn được cách điệu rõ rệt và được coi là cơ quan truyền bá có thẩm quyền cho các quan điểm của Bắc Kinh.

Bài viết lập luận rằng Anthropic, được thành lập dựa trên phức cảm cứu thế mang màu sắc vị tha hiệu quả (effective altruism) của Dario Amodei, giờ đây đã trở thành một công cụ hiệu quả cho cuộc chạy đua vũ trang AI của Washington. Trong nỗ lực đạt được siêu trí tuệ và đặt nó vào tay những người mà họ cho là ưu việt về mặt đạo đức, công ty đã nhiều lần lách qua các ranh giới về hành vi doanh nghiệp. Dựa trên các nguồn tài liệu gốc như "Machines of Loving Grace" và The Technological Republic, bài viết cho rằng Amodei, Alex Karp của Palantir và giới tinh hoa công nghệ mới đang sử dụng sự kết hợp giữa niềm tin vào AGI và hệ tư tưởng được cho là ủng hộ dân chủ để biện minh cho việc định đoạt tương lai nhân loại từ Thung lũng Silicon. Tác giả chẩn đoán sự pha trộn ý tưởng đặc biệt này là "bệnh Mỹ":

Đây hoàn toàn là một con quái vật do con đường của Mỹ nuôi dưỡng. Nó thực sự tin rằng mình đúng; thực sự tin rằng mô hình của mình là "mô hình dân chủ" và các tiêu chuẩn an toàn của nó là tiêu chuẩn an toàn của thế giới; nhưng nó hoàn toàn không nhận thức được rằng chính sự thiếu nghi ngờ bản thân này mới là mối nguy hiểm lớn nhất trong tất cả.

Gần cuối bài viết, tác giả định nghĩa lại an toàn AI bằng những thuật ngữ rõ ràng hơn nữa: