Thị trường đen tại Trung Quốc: Bán token Claude với giá chỉ bằng 1/10 chính hãng

Bất chấp các rào cản địa lý (geoblocking), kiểm tra thẻ tín dụng và thậm chí là xác thực sinh trắc học đối với một số người dùng, một thị trường xám cho các mô hình AI của Anthropic đang phát triển mạnh mẽ tại Trung Quốc. Những thứ được gọi là "trạm trung chuyển" (transfer stations) đang làm suy yếu các hạn chế truy cập và những giả định cơ bản về an toàn AI.

Anthropic áp dụng các biện pháp kiểm soát truy cập có lẽ là nghiêm ngặt nhất trong số các nhà cung cấp AI lớn khi nói đến Trung Quốc. Công ty kiểm tra số điện thoại, thẻ tín dụng nước ngoài và địa chỉ thanh toán. Họ cấm các công ty có hơn 50% vốn sở hữu, trực tiếp hoặc gián tiếp, bởi các thực thể có trụ sở tại các khu vực không được hỗ trợ như Trung Quốc. Đối với một số người dùng chọn lọc, họ thậm chí yêu cầu xác minh danh tính bằng ảnh selfie trực tiếp. Tuy nhiên, các nhà phát triển Trung Quốc vẫn có thể mua token Claude với giá chỉ bằng khoảng 10% giá chính thức, theo một phân tích chi tiết của Zilan Qian, một nhà nghiên cứu tại Oxford China Policy Lab, được công bố bởi ChinaTalk.

"Trạm trung chuyển" cung cấp cho các nhà phát triển một lối đi cửa sau

Thủ thuật nằm ở cái mà cộng đồng nhà phát triển Trung Quốc gọi là "trạm trung chuyển", vốn là các proxy API được lưu trữ trên các máy chủ bên ngoài Trung Quốc. Chúng chấp nhận các yêu cầu API, chuyển tiếp chúng như thể chúng đến từ một vị trí hợp lệ và truyền phản hồi ngược lại. Người dùng thanh toán bằng nhân dân tệ thông qua WeChat hoặc Alipay. Không cần VPN, không cần thẻ tín dụng nước ngoài. Các trạm trung chuyển phổ biến được liệt kê trong các danh mục cộng đồng và được xếp hạng theo giá cả và tính khả dụng.

Theo Qian, khách hàng có khả năng bao gồm các phòng thí nghiệm AI của Trung Quốc đang tìm cách chưng cất (distill) các mô hình phương Tây, nghĩa là họ học hỏi từ kết quả đầu ra của một mô hình mạnh hơn để cải thiện các mô hình yếu hơn của chính họ nhanh hơn.

Nhưng cơ sở người dùng còn rộng hơn thế nhiều. Sinh viên, nhà nghiên cứu, nhà phát triển, nhân viên công nghệ, công ty, nhà sản xuất ứng dụng và những người đam mê đều sử dụng các dịch vụ này. Qian lập luận rằng các mạng lưới proxy, vốn chủ yếu được thảo luận như một vấn đề an ninh ở Mỹ, thực chất là một phần của thị trường thương mại rộng lớn hơn nhiều cho việc truy cập Claude tại Trung Quốc.

Một chuỗi cung ứng mô-đun khó bị triệt phá

Phân tích của Qian mô tả trạm trung chuyển như một tác nhân nằm giữa một chuỗi cung ứng mô-đun. Ở thượng nguồn, các nhà môi giới tài khoản đăng ký hàng loạt tài khoản Anthropic, các nền tảng xác thực SMS cung cấp số điện thoại nước ngoài và các chuyên gia kỹ thuật đảo ngược nghiên cứu các phương pháp phát hiện của Anthropic. Ở hạ nguồn, các nhà phát triển, công ty và đại lý tiếp thị quyền truy cập trên các nền tảng thương mại điện tử Trung Quốc như Taobao.

Hầu hết những người tham gia chỉ vận hành một hoặc hai mắt xích trong chuỗi, điều này làm cho hệ thống trở nên kiên cường. Khi một nhà cung cấp bị cấm, các nhóm tài khoản ở thượng nguồn và khách hàng ở hạ nguồn vẫn còn nguyên vẹn. Một sự thay thế có thể được thiết lập trong vòng vài giờ.

Ngay cả các kiểm tra danh tính kiểu KYC mới hơn của Anthropic, yêu cầu người dùng chọn lọc xác minh danh tính bằng giấy tờ tùy thân và ảnh selfie trực tiếp, cũng đã có các giải pháp thay thế và cơ sở hạ tầng chuyên dụng, theo Qian. Các dịch vụ AI có thể tạo ra giấy tờ tùy thân giả trông như thật, trong khi công nghệ deepfake đang được sử dụng để vượt qua các kiểm tra sinh trắc học. Ở những nơi đó không hiệu quả, những người thực ở các quốc gia có thu nhập thấp đôi khi được tuyển dụng để xác minh trong các thị trường KYC này, Qian cho biết. Những tuyên bố này dựa một phần vào các cuộc trò chuyện không chính thức và các nguồn công khai. Làm tiền lệ, cô chỉ ra thị trường đen xung quanh Worldcoin, hệ thống danh tính của họ xác minh người dùng thông qua quét mống mắt. Các bản quét từ Campuchia và Kenya đã được giao dịch với giá dưới 30 đô la, theo Qian.

Cách người bán đạt mức giá thấp hơn 70 đến 90 phần trăm so với giá niêm yết

Các nhà vận hành đẩy giá xuống thông qua sự kết hợp của nhiều phương pháp. Họ khai thác khoản tín dụng miễn phí 5 đô la của Anthropic, tận dụng các ưu đãi dành cho doanh nghiệp và giáo dục, hoặc chia nhỏ một gói Max 200 đô la cho nhiều người dùng thông qua hạn ngạch token. Các tài khoản được nạp tiền bằng thẻ tín dụng bị đánh cắp hoặc sử dụng gian lận cũng có thể chảy vào các nhóm này, mặc dù phân tích không thể xác định chính xác tỷ trọng của chúng là bao nhiêu.

Việc tráo đổi mô hình (model swapping) tạo thêm một lớp khác. Vì proxy nằm giữa người dùng và Anthropic, nó có thể âm thầm chuyển hướng một yêu cầu dành cho Opus 4.7 sang Sonnet rẻ hơn hoặc thậm chí sang các mô hình Trung Quốc như Qwen. Các nhà nghiên cứu tại Trung tâm An ninh Thông tin CISPA Helmholtz của Đức đã kiểm tra 17 proxy API và phát hiện tình trạng tráo đổi mô hình phổ biến, theo Qian. Một điểm cuối được cho là "Gemini-2.5" chỉ đạt 37% trên một bài kiểm tra y tế thay vì 83,82% như chính thức. Cộng đồng Trung Quốc gọi hành vi này là "pha loãng" (diluting).

Đòn bẩy lớn nhất, theo Qian, có thể là kiếm tiền từ dữ liệu sử dụng. Mọi yêu cầu đi qua proxy đều có khả năng bị nhà vận hành nhìn thấy, bao gồm các câu lệnh (prompts), phản hồi, lệnh gọi công cụ và các lần lặp lại. Các tác nhân lập trình (coding agents) có thể làm lộ nhiều ngữ cảnh hơn từ cơ sở mã và quy trình làm việc. Các bản ghi này có thể chứa dữ liệu đào tạo hoặc dữ liệu chưng cất có giá trị.

Các tập dữ liệu với kết quả suy luận của Claude Opus 4.6 mà không rõ nguồn gốc đã lưu hành trên HuggingFace. Các nhà phát triển Trung Quốc cảnh báo, theo phân tích, rằng kinh doanh token chỉ là để thu hút khách hàng và lợi nhuận thực sự nằm ở các bản ghi. Qian nhấn mạnh rằng chưa có bằng chứng nào cho thấy các nhà vận hành trạm trung chuyển đang thu thập và bán dữ liệu này một cách có hệ thống, hoặc ai có thể là người mua. Lập luận của cô là mức giá cực thấp có thể trở nên khả thi thông qua việc kiếm tiền bổ sung từ các bản ghi. Trong kịch bản đó, người dùng sẽ vừa là khách hàng trả tiền vừa là nhà sản xuất dữ liệu không công.

Các hạn chế truy cập tạo ra chính những thị trường mà chúng nhằm ngăn chặn

Qian kết luận rằng những tác động này vượt xa sự cạnh tranh công nghệ Mỹ-Trung. Các phương pháp mà một nhà phát triển bị chặn địa lý sử dụng để có quyền truy cập về cấu trúc là giống hệt với những phương pháp mà một tác nhân xấu có thể sử dụng để tiếp cận các mô hình tiên phong mà không bị truy vết. Khi một yêu cầu đến qua proxy, Anthropic ban đầu nhìn thấy tài khoản và địa chỉ IP của proxy, chứ không phải người dùng cuối thực sự. Điều đó cũng có thể làm suy yếu các hệ thống giám sát như Clio, vốn được thiết kế để phát hiện các mô hình lạm dụng phối hợp trên các tài khoản và cuộc trò chuyện, đặc biệt là khi hoạt động được phân tán trên nhiều tài khoản proxy và chia nhỏ thành các yêu cầu phụ không gây chú ý.

Cơ sở hạ tầng lách luật cũng nuôi dưỡng các thị trường tội phạm ngoài AI, phân tích lập luận. Dữ liệu sinh trắc học được thu thập cho các giải pháp thay thế KYC có thể được bán lại cho gian lận tài chính hoặc deepfake. Các hoạt động tạo tài khoản hàng loạt hỗ trợ spam, lừa đảo (phishing) và gian lận thẻ tín dụng. Qian chỉ ra rằng các hạn chế truy cập trong lịch sử đã tạo ra các thị trường lách luật có lợi nhuận, từ Great Firewall cho đến các trạm trung chuyển ngày nay.

Anthropic, OpenAI và Google đã chiến đấu với việc chưng cất mô hình trong nhiều tháng

Cơ sở hạ tầng thị trường xám này gây tổn hại đến hoạt động kinh doanh của Anthropic vì nó đã được sử dụng trong các cuộc tấn công chưng cất quy mô lớn bởi các công ty AI Trung Quốc. Anthropic, OpenAI và Google gần đây đã bắt đầu hợp tác chống lại việc sao chép mô hình trái phép bởi các đối thủ cạnh tranh Trung Quốc.

Anthropic trước đó đã phát hiện các cuộc tấn công chưng cất quy mô lớn bởi Deepseek, Moonshot và MiniMax, trong đó hơn 24.000 tài khoản giả đã tạo ra hơn 16 triệu yêu cầu. Công ty đã cắt dịch vụ đối với các công ty dưới sự kiểm soát của Trung Quốc và đóng lỗ hổng công ty con. Alibaba đã cấm nhân viên của mình sử dụng Claude Code sau khi phát hiện mã ẩn có thể xác định người dùng Trung Quốc.

Nhưng ngành công nghiệp đang chia rẽ về việc liệu chưng cất có thực sự là một vấn đề hay không. Các tiếng nói trên khắp lĩnh vực đã bắt đầu coi đó là một hoạt động kinh doanh bình thường, được thúc đẩy bởi lợi ích trong việc tăng cường các mô hình mở (open-weight models). Mark Zuckerberg gọi việc học hỏi từ bất cứ thứ gì có thể quan sát được, bao gồm cả việc chưng cất các mô hình cạnh tranh, là một nguyên tắc đáng được bảo vệ. Vào cuối tháng 7 năm 2026, 25 công ty, bao gồm Nvidia, Microsoft và Meta, đã cảnh báo chống lại các hạn chế sớm đối với việc chưng cất.

Sự phản đối đó khiến chính phủ Mỹ khó có thể can thiệp bằng các quy định chỉ riêng về chưng cất, mặc dù họ có thể hành động vì lý do an ninh mạng hoặc đơn giản là để làm chậm Trung Quốc. Hiện tại, các phòng thí nghiệm AI phải tự bảo vệ mình và thực thi các điều khoản dịch vụ của riêng họ. Nhưng như báo cáo của Qian cho thấy, các biện pháp bảo vệ của họ vẫn chưa đủ tốt và có thể bị đánh bại thông qua các phương pháp dù là bất hợp pháp nhưng vẫn cung cấp được dữ liệu chưng cất.