Các mô hình mã nguồn mở đang bắt kịp năng lực an ninh mạng của các siêu AI chỉ trong thời gian ngắn

Viện An ninh AI Anh Quốc (AISI) lần đầu tiên đã công khai đánh giá mức độ tụt hậu của các mô hình AI mã nguồn mở (open-weight) hàng đầu so với các hệ thống độc quyền cao cấp về năng lực an ninh mạng.

Theo AISI, khoảng cách đó đang dần thu hẹp. Các mô hình mở hiện nay như GLM-5.2 và DeepSeek V4-Pro đã đạt đến trình độ mà các mô hình đóng tiên phong từng đạt được trước đó từ bốn đến bảy tháng. Trong phần lớn năm 2025, khoảng cách này vẫn duy trì ở mức sáu đến mười tháng.

Các nhà phê bình nhận thấy rủi ro ở các mô hình mở, nơi bất kỳ ai cũng có thể tải xuống, sửa đổi và chạy các trọng số (weights) mà không cần sự giám sát. Một khi mô hình được phát hành, người dùng có thể loại bỏ các rào cản an toàn, chia sẻ các bản sao một cách tự do và chạy chúng trên các hệ thống riêng tư nằm ngoài tầm kiểm soát của bất kỳ ai. AISI gọi đây là "một rủi ro lạm dụng dai dẳng và không thể đảo ngược".

Tuy nhiên, các mô hình mã nguồn mở cũng mang lại những lợi ích rõ ràng. Người dùng có thể lưu trữ chúng một cách riêng tư mà không có dữ liệu nào truyền ngược lại cho nhà cung cấp, tùy chỉnh chúng, cắt giảm chi phí và dựa vào một nền tảng mà các nhà cung cấp không thể thay đổi hoặc tắt bỏ. AISI cho rằng những mối quan ngại trái chiều này cần được cân bằng.

Các bài kiểm tra khác nhau, kết quả tương đồng

AISI đã kiểm tra các mô hình bằng hai phương pháp khác nhau. Điểm chuẩn "Narrow Cyber Tasks" (Các tác vụ mạng hẹp) bao gồm 70 tác vụ qua bốn cấp độ khó, từ công việc phi kỹ thuật đến các thử thách cấp chuyên gia. Nó bao gồm nghiên cứu lỗ hổng, kỹ thuật đảo ngược, khai thác web và mật mã học.

GLM-5.2, được phát hành vào tháng 6 năm 2026, đã đạt hiệu suất tương đương với Opus 4.6 từ tháng 2 năm 2026 trong các tác vụ này. Điều đó cho thấy nó chậm hơn khoảng bốn tháng. DeepSeek V4-Pro hoạt động ở mức của Opus 4.5, được phát hành vào tháng 11 năm 2025.

Phương pháp thứ hai, được gọi là Cyber Ranges (Môi trường giả lập mạng), kiểm tra các năng lực mạng tự hành trong các mạng mô phỏng. "The Last Ones" mô phỏng một cuộc tấn công 32 bước vào một mạng doanh nghiệp với bốn mạng con và khoảng 20 máy chủ. AISI ước tính rằng một chuyên gia con người sẽ cần khoảng 20 giờ để hoàn thành nó.

GLM-5.2 hoạt động tốt gần bằng Opus 4.5 trong bài kiểm tra này, trong khi DeepSeek V4-Pro thấp hơn Sonnet 4.5. GPT-5.6-Sol đạt kết quả tốt nhất, vượt lên trên Claude Mythos 5.

Khoảng cách trong Cyber Ranges rộng hơn so với Narrow Cyber Tasks, ở mức khoảng bảy tháng. AISI coi kết quả này là bằng chứng yếu hơn vì nó đến từ ít kịch bản kiểm tra hơn. Các bài kiểm tra cũng không thể cho thấy liệu một mô hình thất bại vì thiếu năng lực mạng hay vì không thể duy trì kế hoạch xuyên suốt một cuộc tấn công dài và phức tạp.

AISI cho biết các bài kiểm tra có thể đánh giá thấp một chút những gì các mô hình mở có thể làm ở mức tốt nhất, vì chúng không được tinh chỉnh cho các đánh giá này. Cyber Ranges cũng bỏ qua các biện pháp phòng thủ thực tế như các hệ thống phòng thủ chủ động, vốn có khả năng xuất hiện trong hầu hết các kịch bản tấn công thực tế.

Các mô hình mở có chi phí thấp hơn đáng kể và gần như không bị ảnh hưởng bởi các biện pháp an toàn

Ngoài khoảng cách hiệu suất đang thu hẹp, sự khác biệt về chi phí là rất đáng kể. AISI cho biết một bài kiểm tra Cyber Range với 100 triệu token tiêu tốn khoảng 85 USD với Opus 4.5 hoặc 4.6, khoảng 46 USD với GLM-5.2 và chỉ 1,19 USD với DeepSeek V4-Pro.

Đối với các tác vụ riêng lẻ mà cả hai mô hình được so sánh đều giải quyết ổn định, Opus 4.6 tốn khoảng 15 USD mỗi tác vụ, GLM-5.2 tốn khoảng 6 USD, Opus 4.5 tốn khoảng 12,50 USD và DeepSeek V4-Pro chỉ tốn 28 xu. Điều đó khiến các cuộc tấn công mạng bằng mô hình mở trở nên rẻ và dễ mở rộng quy mô hơn.

AISI nhận thấy rằng các biện pháp an toàn của các mô hình mở phần lớn không hiệu quả. DeepSeek V4-Pro đôi khi từ chối các tác vụ kỹ thuật đảo ngược, nhưng chỉ cần thử lại là đủ để vượt qua hạn chế đó. Các biện pháp bảo vệ như giám sát, bộ phân loại và giới hạn người dùng không thể áp dụng một cách đáng tin cậy cho các mô hình mở vì chúng phụ thuộc vào việc kiểm soát quyền truy cập vào mô hình.

Tuy nhiên, các biện pháp an toàn vô dụng không chỉ giới hạn ở các mô hình mã nguồn mở. Một nghiên cứu được công bố gần đây cho thấy các nhóm khủng bố cũng đang bẻ khóa (jailbreak) các chatbot thương mại để lên kế hoạch tấn công. Nhưng các mô hình mở có sẵn miễn phí lại bổ sung thêm một rủi ro khác.

Khoảng cách này khiến những người phòng thủ có ít thời gian chuẩn bị hơn

AISI coi khoảng cách giữa các mô hình mở và đóng là một khoảng thời gian để chuẩn bị. Trong thời gian đó, những người phòng thủ mạng có quyền truy cập vào các hệ thống đóng mạnh nhất có thể hành động trước khi các năng lực tương tự trở nên sẵn có miễn phí mà không có các biện pháp bảo vệ tương đương.

Những tiến bộ gần đây đã khiến khoảng thời gian đó trở nên cấp bách hơn. Vào tháng 4 năm 2026, hai mô hình đóng là Mythos Preview và GPT-5.5 đã mang lại một số bước tiến lớn nhất về năng lực mạng AI kể từ khi AISI bắt đầu thử nghiệm. Trung tâm An ninh mạng Quốc gia Anh sau đó đã đưa ra các cảnh báo quốc tế rằng bối cảnh đe dọa mạng đang thay đổi nhanh chóng.

Vẫn chưa rõ liệu các mô hình mã nguồn mở trong tương lai có bắt kịp những tiến bộ gần đây này hay không. AISI dự định kiểm tra Kimi-K3, mô hình dự kiến sẽ ra mắt trọng số vào cuối tháng 7. Các điểm chuẩn lập trình hiện tại cho thấy nó có thể tiến gần hơn đến các mô hình tiên phong ngày nay, mặc dù với chi phí cao hơn nhiều so với các mô hình mở khác.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo tiên phong "AI Radar" độc quyền sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và quyền truy cập vào phần bình luận của chúng tôi.

Đăng ký ngay