Bài học từ các vụ tấn công AI: Sự mất cân bằng giữa động lực phát triển và quản trị

Chuỗi các cuộc tấn công mạng gần đây bởi các mô hình tiên phong (frontier models) đang trong quá trình phát triển đã khiến tôi suy nghĩ rất nhiều về việc các hệ thống khuyến khích hiện tại của chúng ta không còn phù hợp với những bước chuyển đổi công nghệ nhanh chóng như vậy. Hai cấu trúc quyền lực chính ở đây là các công ty công nghệ đang phát triển thần tốc và chính phủ liên bang. Các công ty này được thúc đẩy để tăng trưởng, để họ có thể tiếp tục mở rộng và quy mô hóa – trong một thị trường cực kỳ cạnh tranh. Sự mở rộng quy mô này đang đẩy chúng ta đến những bước chuyển đổi AI mới, tất yếu (đi kèm với những rủi ro mới). Ở phía bên kia là chính phủ hiện tại của chúng ta, một sản phẩm của vài thế kỷ lịch sử toàn cầu – một chính phủ xứng đáng với danh tiếng là phản ứng chậm chạp. Đây là một chính phủ mà tôi cho rằng chỉ thực sự hành động khi những tác hại thực tế, có thể đo lường được từ các mô hình AI mới xảy ra, và khi đó họ lại phản ứng thái quá.

Làm thế nào để chúng ta cân bằng các quyền lực này? Cốt lõi của vấn đề là nhu cầu cần minh bạch hơn từ cả hai phía. Các phòng thí nghiệm tiên phong (frontier labs) đang xây dựng những hệ thống phức tạp đến mức chính họ cũng không theo kịp – đây là thời điểm tốt để có thêm nhiều sự giám sát nghiên cứu vấn đề này. Ở phía bên kia, chính phủ cho biết họ không có kế hoạch công bố chi tiết về khung đánh giá mô hình tiên phong của mình. Chúng ta đang tiến tới những thách thức quan trọng đến mức không một thực thể nào trong số này có khả năng tự mình giải quyết. Các phòng thí nghiệm tiên phong có thể kiểm soát rủi ro tốt hơn bằng cách chậm lại một cách có ý nghĩa, điều mà tôi không mong đợi họ sẽ làm. Chính phủ có thể xử lý việc này tốt hơn bằng cách cải thiện đáng kể năng lực nhà nước về AI và giúp nền tảng công nghiệp rộng lớn hơn chuẩn bị cho các rủi ro đặc thù của AI, điều mà tôi cũng không mong đợi họ sẽ làm. Còn nhiều trường hợp tương tự như vậy.

Đây là hai cấu trúc quyền lực có ảnh hưởng nhất quyết định những gì sẽ xảy ra, nhưng còn nhiều cấu trúc khác cũng có tầm ảnh hưởng. Nhìn chung, tôi nghĩ ngành công nghiệp AI đang hoàn toàn không chuẩn bị tốt cho việc xử lý 12-24 tháng tới.

Bài viết này là tập hợp những đúc kết của tôi từ vụ hack OpenAI-HuggingFace khi chúng ta biết thêm nhiều chi tiết, và hầu hết các ý tưởng đều được củng cố bởi thực tế là nhiều trường hợp hack khác đã được công khai kể từ đó. Rất có thể đã có nhiều sự cố xảy ra hơn nhưng chưa được phát hiện hoặc chưa được báo cáo.

Để có thông tin cơ bản về sự cố OpenAI, tôi thực sự khuyên bạn nên xem bài nói chuyện của OpenAI tại Black Hat về các sự kiện và dòng thời gian sơ bộ của vụ tấn công mạng gần đây. Ngoài ra, Simon Willison đã xuất bản một bản tóm tắt (TLDR) về dòng thời gian tại đây và tôi rất thích phần thảo luận của Thomas Wolf về các sự kiện gần đây.

Chia sẻ

Trong một thời gian dài, một trong những lợi thế mà các mô hình GPT có so với Claude là chúng theo đuổi mục tiêu một cách không mệt mỏi. Chúng sẽ khai thác mọi con đường có thể trước khi bỏ cuộc. Điều này đã diễn ra kể từ khi có o3 (thật buồn cười, đây là mô hình mà mọi người đã hoảng sợ về việc "reward hacking" trong RLVR) và đã làm cho các mô hình của OpenAI trở nên tốt hơn nhiều cho nghiên cứu trong lịch sử, và là lý do tại sao GPT-5.6 lại hữu ích như một tác nhân (agent) để thực hiện các nhiệm vụ cụ thể. Mặt khác, Claude cảm thấy ít nguy hiểm hơn đơn giản vì đôi khi nó hơi lười biếng.

Trong bối cảnh này, OpenAI dường như cam kết nhiều hơn với việc mở rộng quy mô trong thời gian suy luận (inference-time scaling), và điều này có thể liên quan đến những hành vi đáng ngạc nhiên trong tương lai. Sự kiên trì và hiệu quả trong suy luận của OpenAI – hãy xem những cải tiến Pareto của họ theo thời gian và cách nói chuyện "người tối cổ" từ một CoT nội bộ của mô hình đã thực hiện vụ hack, như "Tuy nhiên nhiệm vụ là bất khả thi, các đồng nghiệp đang thực hiện nó." hoặc "Giúp đồng nghiệp, nhưng nhiệm vụ của chúng ta chưa được hưởng lợi." – khiến tôi nghĩ rằng họ đang bị "nghiện" việc mở rộng quy mô thời gian suy luận. Đây phần lớn là một linh cảm, nhưng tôi sử dụng nó để buộc bản thân xem xét các giới hạn của các lộ trình phát triển mô hình. Các mô hình kiên trì dường như có nhiều khả năng tiếp tục hưởng lợi từ việc tăng thêm các token thời gian suy luận. Các mô hình ít kiên trì hơn dường như sẽ gây lãng phí nhiều hơn trong quá trình suy luận. Mô hình có thể sử dụng nhiều tài nguyên tính toán suy luận nhất sẽ có khả năng đẩy giới hạn của những vấn đề khó nhất. Dưới đây là một ví dụ mà OpenAI đã đưa vào bài đăng ra mắt GPT 5.6:

Dưới đây là một ví dụ mà OpenAI đã đưa vào bài đăng ra mắt GPT 5.6

Một trong những nhà nghiên cứu ngôi sao của họ, Noam Brown, cũng đã đăng tải rất nhiều về tài nguyên tính toán thời gian suy luận. Tóm tắt của anh ấy là:

Khi các LLM trở nên có năng lực hơn, hiệu suất trên các bộ tiêu chuẩn đánh giá (benchmark) ngày càng là một hàm số của tài nguyên tính toán tại thời điểm kiểm tra (test-time compute). Trên thực tế, chúng ta có lẽ không biết giới hạn năng lực của các LLM hiện đại là bao nhiêu vì việc đo lường quá tốn kém.

Thứ nhất, hiệu quả suy luận rõ ràng là một vấn đề nghiên cứu nền tảng, hàng đầu cho các mô hình tác nhân (agentic models) hiện đại – quan trọng như việc mở rộng quy mô RL – nhưng không thường xuyên được thảo luận. Các nghiên cứu mở về vấn đề này còn rất thiếu hụt.

Tôi đã đề cập đến trục kỹ lưỡng, nơi OpenAI dường như đang đi theo một lộ trình phát triển kém an toàn hơn về mặt trực giác với các mô hình của họ. Ở phía bên kia là mức độ các mô hình giả định ý định của người dùng, thay vì cố gắng suy luận hành động dự định. Một mô hình sẽ làm những gì nó nghĩ bạn muốn thay vì những gì bạn nói dường như vốn dĩ không an toàn hơn. Tôi nghĩ về điều này liên quan đến độ chính xác khi tuân thủ hướng dẫn, nơi trong tương lai có vẻ như các mô hình chỉ nên làm chính xác những gì chúng ta bảo, nhưng điều này mở ra rất nhiều cuộc tranh luận tương tự như "vấn đề kẹp giấy" (paperclip problem), nơi nếu chúng ta bảo AI làm một vấn đề gần như không thể giải quyết, nó sẽ làm gì?

Trục này có vẻ ít rõ ràng hơn trục kiên trì, nhưng tôi đưa nó vào vì tôi coi "mô hình thế giới người dùng" của Claude là một trong những thế mạnh của nó cho các công việc tri thức chung như chỉnh sửa, tạo slide, v.v. Đôi khi Claude thực sự làm những việc hoàn toàn ngẫu nhiên vì lời nhắc (prompt) của tôi không được chỉ định rõ ràng, thay vì hỏi tôi để làm rõ, và khi các mô hình trở nên mạnh mẽ hơn, việc "chỉ hành động" này có thể gây ra vấn đề.

Công chúng cần quyền truy cập chính xác vào các lời nhắc và đặc điểm của các mô hình nội bộ thực hiện các vụ hack này. Chúng ta cần biết liệu các mô hình có được lệnh "không hack" hay không hoặc liệu có quá trình huấn luyện mô hình liên quan để ngăn chặn điều này hay không. Chúng ta cần biết liệu các mô hình này có khá gần với các mô hình công khai hiện có hay thuộc một gia đình hoàn toàn khác. Với bản chất của một số đánh giá mà các phòng thí nghiệm đang thực hiện, có khả năng các mô hình đã được khuyến khích rõ ràng để thử và hack! Nếu không có sự cởi mở ở đây, ngành công nghiệp này sẽ thất bại và rơi vào tình trạng suy đoán hàng loạt, điều này nhanh chóng trở thành thông tin sai lệch.

Từ chính báo cáo hồi cứu của OpenAI, hành vi lệch lạc của mô hình đã diễn ra trong nhiều tháng, và trong một số trường hợp, OpenAI đã không biết về các vụ hack trong khoảng vài tuần. Thời gian phản hồi quá lâu và tôi không nghĩ đây chỉ là đặc điểm của riêng OpenAI – mà là do các phòng thí nghiệm tiên phong dường như liên tục bị quá tải với khối lượng công việc mà họ cảm thấy mình nên làm. Tôi không lạc quan trong dài hạn rằng các phòng thí nghiệm sẽ thay đổi đủ mức ở đây để giảm thiểu rủi ro giám sát loại này trong tương lai. Vâng, rất có thể OpenAI đang đầu tư rất nhiều vào việc tìm hiểu điều này – và đã trì hoãn các mô hình mới nhất của họ để đảm bảo họ làm đúng – nhưng áp lực tài chính để tăng doanh thu hoặc rủi ro cho bảng cân đối kế toán dài hạn của công ty khiến tôi nghĩ rằng đây sẽ không phải là một mô hình thận trọng bền vững.

Đây là một trong những cập nhật tư duy lớn nhất của tôi từ các sự kiện gần đây – và khiến tôi càng tin tưởng hơn vào nhu cầu cần có nhiều trí tuệ mở gần ngưỡng tiên phong hơn, bất chấp hồ sơ rủi ro có phần được biết đến nhiều hơn đối với các mô hình mở (cánh cửa một chiều, v.v.). Florian Brand đã có một bài đăng hay trên trang web cá nhân của anh ấy liên quan đến điều này, và tại sao các mô hình đóng cho đến nay có thể được coi là nguyên nhân gây ra nhiều tác hại hạ nguồn hơn.

Như chúng ta đã thấy với việc HuggingFace tự bảo vệ mình bằng một mô hình mở trước vụ hack của OpenAI do các hạn chế sử dụng mạng trên các mô hình đóng, chúng ta có nhu cầu cấp thiết phải thực hiện nhiều nghiên cứu mô hình ngôn ngữ phức tạp hơn bao gồm huấn luyện RL quy mô lớn, đánh giá sâu rộng, công việc cơ sở hạ tầng và kiểm tra sự liên kết (alignment testing). Điều này chỉ có thể xảy ra trên các mô hình mở. Chúng ta nên tự coi mình là may mắn khi các mô hình mở chỉ chậm hơn từ 3-9 tháng, vì chúng ta có thể hình dung ra một số hiểu biết sâu sắc về các mô hình tiên phong.

Nếu chúng ta cấm hiệu quả các mô hình mở và khoa học mở, thông qua việc bóp nghẹt quy định với những lời đe dọa mơ hồ hoặc các hạn chế sử dụng rõ ràng đối với công nghệ tiên tiến, chúng ta sẽ ngày càng trở nên thiếu chuẩn bị cho các vấn đề xảy ra sau vòng hack này. Chúng ta cần cùng nhau nâng cao hiểu biết của công chúng về cách các mô hình tiên phong hoạt động, để chúng ta có thể kích hoạt nhiều bên trung lập hơn trong việc củng cố cơ sở hạ tầng và xã hội của mình.

Phản ứng của công chúng nên biết rằng vấn đề là "khi nào" chứ không phải "nếu" những năng lực này được phổ biến rộng rãi và chúng ta đang tụt hậu rất xa về công tác chuẩn bị. Để nhắc lại những gì tôi đã nói trong bài viết về Kimi K3: Trung Quốc chắc chắn cũng đang theo dõi không gian này và sẽ không khuyến khích các mô hình mở (open-weight) nếu chúng làm gia tăng rủi ro. Nếu chúng ta nghĩ cách để ngăn chặn quyền truy cập rộng rãi vào các năng lực mạng mạnh mẽ này là cấm các mô hình mở trong phạm vi này, chúng ta sẽ chỉ trì hoãn điều không thể tránh khỏi. Cuối cùng, ai đó sẽ xây dựng một mô hình ở mức độ thông minh này và không tuân thủ lệnh cấm, cung cấp quyền truy cập cho những kẻ xấu trên khắp thế giới trong khi làm giảm động lực chuẩn bị các biện pháp phòng thủ.

Một điều tôi nhận thấy ngay khi xem video Black Hat là cách tôi có thể thấy các tác nhân (agents) đang cố gắng giúp đỡ lẫn nhau thông qua bảng tin nhắn nội bộ của chúng – tạo ra các tài nguyên chia sẻ giống như cách bạn làm cho các đồng đội là con người – theo một cách rõ ràng là độc hại đối với xã hội. Các tác nhân đã tạo ra các diễn đàn ẩn cho nhau như một loại bộ nhớ chéo. Trong trường hợp này, chúng làm điều đó để cố gắng thoát khỏi môi trường của chúng. Sự hữu ích rõ ràng không làm cho điều đó trở nên ổn, nhưng có thể là manh mối cho những gì đã xảy ra.

Mặt khác của ví dụ về sự hữu ích ở trên là rõ ràng ai đó có thể làm điều này dễ dàng hơn nhiều nếu họ muốn bằng cách huấn luyện rõ ràng một mô hình lệch lạc. Nhắc lại, đây sẽ là việc tạo ra một hệ thống dễ sử dụng hơn để tìm kiếm các lỗ hổng tại thời điểm suy luận, nhưng tôi nghĩ sẽ khó hơn để huấn luyện mô hình đó. Tôi nghĩ điều này sẽ mất nhiều thời gian hơn hầu hết các nhà bình luận mong đợi, vì gần như tất cả các mô hình công khai mạnh mẽ và ngành công nghiệp dữ liệu hiện có cho đến nay đều khuyến khích sự liên kết (và dường như rất khó để những kẻ xấu có đủ tài nguyên tính toán để huấn luyện các mô hình này từ đầu đến cuối, vì tất cả các công ty hàng đầu cũng đang thiếu hụt tài nguyên tính toán). Chúng ta nên dành một chút thời gian để đánh giá cao rằng các kỹ thuật liên kết mà chúng ta đang áp dụng trên các mô hình hiện tại có ảnh hưởng đáng kể và không chỉ là bề nổi như một số người lo ngại. Các mô hình hạ nguồn có xu hướng phản chiếu tính cách của giáo viên của chúng.

Nhược điểm của việc đổ xô mở rộng quy mô RL trên các tác nhân là các đánh giá và giám sát hiện đại đang ở quy mô mà chỉ các tác nhân mới có thể giám sát chúng, vì vậy chúng ta đang dựa vào những thành công hiện tại của sự liên kết để tiếp tục mở rộng quy mô một cách an toàn. OpenAI cho biết họ đã kiểm tra hàng tỷ quỹ đạo – có khả năng phần lớn bao gồm các lần triển khai trong quá trình RL, là các thử nghiệm trên các phiên bản trung gian của mô hình – và dành hàng triệu giờ GPU để làm như vậy. Tôi nghĩ sự giám sát có thể mở rộng của AI bằng AI hiện tại, như được trình bày ngày nay, là một vấn đề có thể giải quyết được, vì các mô hình thực sự hữu ích và tuân thủ các hướng dẫn. Đây là một tác động hạ nguồn khác của các kỹ thuật liên kết hiện có mang tính tích cực.

Một phần quan trọng trong báo cáo hồi cứu của OpenAI là các mô hình giao tiếp với nhau để chia sẻ thông tin về môi trường của chúng và thúc đẩy vụ hack hơn nữa. Đồng thời, OpenAI rất có thể đang huấn luyện các mô hình của họ trong quá trình RL để sử dụng các tác nhân phụ (sub-agents) nhằm giải quyết các nhiệm vụ phức tạp. Các tác nhân phụ này có khả năng phát triển các hành vi như chia sẻ thông tin, giúp đỡ nhóm, v.v. ngay cả khi nhiệm vụ phụ cá nhân của chúng không được giải quyết. Tôi rất muốn thấy nhiều nghiên cứu hơn trong lĩnh vực này và nó có vẻ là một sự tiếp nối tự nhiên của cách RL có thể thay đổi các mô hình.

Nhìn chung, các tập gần đây nên làm rõ rằng rủi ro mạng của AI tiên phong là một vấn đề thực tế và sắp xảy ra. Vẫn rất có khả năng là a) các rủi ro đã bị thổi phồng trong quá khứ và b) việc dự đoán các rủi ro trong tương lai từ các mô hình mở sắp tới là quá mức. Tóm lại, tôi muốn chia sẻ một ghi chú từ một độc giả trong Interconnects Discord mà tôi hoàn toàn đồng ý:

Bây giờ khi bụi đã lắng xuống sau vài tuần, đối với tôi, tập này là một cập nhật trung tính đến tích cực về sự liên kết nhưng là một cập nhật rất tiêu cực về an toàn.

Tôi đã thảo luận nhiều về sự liên kết mô hình ở trên, nhưng điểm cốt lõi là tôi coi việc thiếu an toàn nói chung là thiếu khả năng chuẩn bị phù hợp. Chúng ta sẽ có nhiều rủi ro rõ ràng như an ninh mạng, và chúng ta đã nhận được cảnh báo rất đầy đủ về rủi ro mạng bởi tình trạng hiện tại của các phòng thí nghiệm bị buộc phải ra mắt công chúng thông qua các vụ hack này. Nhiều loại rủi ro khác sẽ không rõ ràng đối với công chúng. Chúng ta cần liên tục chuẩn bị cho xã hội của mình trước tất cả những thay đổi này, từ việc làm lại cơ sở hạ tầng mạng đến các chiến dịch giáo dục và chương trình việc làm cho những người lao động bị thay thế. Tôi hy vọng tất cả các biện pháp can thiệp này sẽ đến muộn, nhưng định dạng và chi tiết của chúng sẽ khá đơn giản, đó sẽ là một cách bi thảm để AI diễn ra. Tôi hy vọng mình có thể được chứng minh là sai!

Quay lại thế giới vật lý, phiên bản in của cuốn sách của tôi được giảm giá 50% với mã PBLambert tại Manning, để kỷ niệm ngày phát hành. Tôi cũng đang tổ chức một buổi ra mắt sách nơi bạn có thể nhận được một bản sao có chữ ký miễn phí vào ngày mai từ 5-8 giờ tối tại Seattle (khu vực Fremont/Ballard) – chúng tôi vẫn còn một chút không gian trống nên tôi đang mở đăng ký cho những người đăng ký trả phí bên dưới paywall: