TRẦN H SA

Tác giả  Matteo Wong... Ngày 12 tháng 8 năm 2026,.... The Atlantic.

Cuộc khủng hoảng bắt đầu  một cách lặng lẽ  vào ngày 12 tháng 9 năm 2024. Đó là ngày OpenAI công bố một loại bot mới, được gọi là “mô hình lý luận”, vốn  được đào tạo để hoàn thành các nhiệm vụ khó khăn và mất nhiều thời gian – chính là các vấn đề về khoa học, toán học và lập trình  mà ngành công nghiệp AI đã đánh giá cao từ lâu.

Google, Anthropic, DeepSeek và những công ty tương tự đã chạy đua để tung ra các mô hình lý luận của riêng họ. Lớp mô hình mới này rất có khả năng, và gần như hoàn toàn chịu trách nhiệm cho việc duy trì sự bùng nổ AI trong hai năm qua. Nhưng nó cũng rất kỳ lạ. Một mô hình được giao nhiệm vụ giải quyết một bài toán khó, có thể không “suy nghĩ” thấu đáo như một con người mà thay vào đó nó cố gắng tìm kiếm các câu trả lời bị rò rỉ trên mạng, hoặc trong siêu dữ liệu có sẵn, xử dụng phương pháp thường được tội phạm công nghệ thông tin dùng để đoán mật khẩu nhằm tìm ra giải pháp càng nhanh càng tốt, bằng cách xử dụng bất kỳ sức mạnh tính toán nào nó có thể truy cập và các giải pháp thay thế mà nó có thể nghĩ ra. Trên thực tế, các mô hình suy luận đã gian lận: Khi được yêu cầu viết một phần mềm hiệu quả nhất có thể, đôi khi chúng sẽ sửa đổi môi trường thử nghiệm để luôn cho mô hình đó điểm tuyệt đối.

Những hành vi này hiện đã vượt qua ranh giới từ đáng lo ngại đến nguy hiểm. Trong quá trình thử nghiệm thường xuyên, các mô hình tiên tiến từ OpenAI, Anthropic, Meta và công ty Moonshot AI của Trung Quốc đều đã thoát ra khỏi các hệ thống Công Nghệ Thông Tin (CNTT) nội bộ và truy cập web mở. OpenAI, Anthropic và Meta đều báo cáo rằng các mô hình của họ sau đó đã tấn công vào các công ty khác. Con người đã không nhận ra nó cho đến sau khi sự việc xảy ra. Trong một số trường hợp, các bot trốn thoát đã cố gắng khởi chạy các chiến dịch kỹ thuật xã hội để đạt được mục tiêu của chúng — ví dụ như gửi email lừa đảo có chứa phần mềm độc hại đến người thật, và tạo ra các danh tính trực tuyến giả mạo để gây áp lực buộc người bảo trì mã nguồn phải chấp thuận (phê duyệt) các chỉnh sửa độc hại.

Nếu tất cả điều đó nghe có vẻ tồi tệ, thì những tiết lộ mới cho thấy rằng vụ xâm nhập hệ thống OpenAI - ít nhất là vậy -  thực sự tồi tệ hơn nhiều so với những gì người ta tưởng ban đầu. Tại một hội nghị an ninh mạng lớn vào tuần trước, hai nhà nghiên cứu OpenAI đã cung cấp các chi tiết mới, đáng lo ngại về những gì đã xảy ra. Hóa ra, các bot của công ty đã bắt đầu các bước hành động từ nhiều tháng trước đó, ngay từ đầu tháng 5. OpenAI đã giao cho một số mô hình nội bộ những nhiệm vụ rất khó hoặc bất khả thi; các mô hình này đi đến kết luận rằng cách tốt nhất – hoặc thậm chí là cách duy nhất – để hoàn thành nhiệm vụ là chúng thoát khỏi môi trường thử nghiệm biệt lập của OpenAI và tìm kiếm câu trả lời trên mạng.

Đầu tiên, các mô hình đã xử dụng một lỗi trong một chương trình OpenAI nội bộ để tạo bảng tin trao đổi của riêng chúng. Sau đó, các bot bắt đầu giao tiếp với nhau, để lại ghi chú và hướng dẫn để phân chia công việc – và cuối cùng là thực hiện vụ xâm nhập – theo quy trình từng bước. Eric Wallace, một trong những nhà nghiên cứu của OpenAI, phát biểu tại hội nghị: "Theo thời gian, điều này tạo ra một sự bùng nổ mạnh mẽ về khả năng giao tiếp và trí tuệ, tựa như sự bùng nổ kỷ Cambri vậy." ( bùng nổ kỷ Cambri là một sự kiện tiến hóa diễn ra cách đây khoảng 540 triệu năm). Khi chương trình nội bộ bị lỗi và ngừng hoạt động, OpenAI đã khôi phục lại nó và xóa bỏ bảng tin kia; tuy nhiên, các mô hình AI lại nhanh chóng thiết lập lại diễn đàn bằng một chiến thuật mới. Cuối cùng, các bot hoạt động theo cơ chế bầy đàn, đã dành nhiều ngày để xâm nhập vào Hugging Face – một trang web cung cấp công cụ cho các nhà phát triển AI – và tiếp cận trái phép các tập dữ liệu nội bộ tại đây.

Chúng ta hãy làm rõ những gì OpenAI đang công bố: Một nhóm các mô hình AI đã thông đồng vứi nhau trong nhiều tháng mà không bị nhà sản xuất ra chúng phát hiện, và tấn công một công ty khác. Cho đến nay, OpenAI thừa nhận họ vẫn chưa hoàn toàn hiểu rõ nguyên nhân sự cố hay cách khắc phục triệt để. Alexander Meinke, trưởng bộ phận nghiên cứu tại Apollo Research – một tổ chức chuyên về an toàn AI từng hợp tác với OpenAI, Anthropic và Meta – chia xẻ với tôi: “Khi hỏi các nhà phát triển mô hình rằng, liệu AI có âm mưu thống trị thế giới trong quá trình huấn luyện hay không, bạn chắc chắn muốn nhận được câu trả lời dứt khoát là ‘không’. Nhưng thực tế lại là: ‘Tôi không biết. Chẳng ai kiểm tra cả’.” (Khi tôi đặt câu hỏi, OpenAI – đơn vị có thỏa thuận cấp phép nội dung với tờ *The Atlantic* – nó chỉ đưa dẫn tôi xem một video về bài thuyết trình an ninh mạng của công ty; trong đó, Michael Dalton, một nhà nghiên cứu khác của OpenAI, cho biết “nhiều nhóm đang tạm gác lại mọi công việc khác để tập trung tăng cường hệ thống bảo mật”.)

Các công ty AI gần như nắm quyền kiểm soát hoàn toàn luồng thông tin dư luận, và cần lưu ý rằng những sự cố kiểu này lại vô tình làm nổi bật giá trị sản phẩm của họ: OpenAI dự kiến ​​sẽ sớm lên sàn chứng khoán, và có lẽ ý tưởng về một công nghệ đầy quyền năng, với khả năng tự cải tiến không giới hạn sẽ thu hút các cổ đông tiềm năng. Ngành công nghiệp AI tạo sinh (generative AI) vốn có lịch sử lâu dài với những lời tiên tri về ngày tận thế, dù là xuất phát từ sự lo ngại thực sự, hay chỉ là chiêu trò toan tính. Tuy nhiên, các chuyên gia độc lập mà tôi trao đổi đã giải thích rằng, hàng loạt vụ tấn công tự hành gần đây mang đến những lý do mới và đáng lo ngại để lo lắng về các mối nguy hiểm do AI gây ra cũng như sự liều lĩnh của các công ty đang phát triển chúng. Đã đến lúc chúng ta cần thực sự lo ngại về vấn đề này.

Cảnh báo cấp bách và thực tế nhất từ ​​vụ tấn công nhắm vào Hugging Face chính là việc các hệ thống AI đã trở nên cực kỳ mạnh mẽ, đặc biệt là trong lĩnh vực tấn công mạng. Các mô hình hàng đầu của Anthropic và OpenAI – chưa kể đến nhiều công ty Trung Quốc – gần đây đã thể hiện khả năng tấn công mạng vượt trội, gần như đạt đến trình độ siêu phàm, đồng thời đóng góp vào các nghiên cứu toán học chuyên sâu. Alex Stamos, cựu giám đốc an ninh của Facebook và hiện là giám đốc an ninh (CSO) tại công ty lập trình AI Corridor, cho biết các nhóm tội phạm và cơ quan tình báo quốc gia sẽ sớm xử dụng các đội quân tác nhân AI để thực hiện những cuộc tấn công tinh vi “chỉ trong vòng vài tháng tới”. Khác với vụ tấn công Hugging Face, “trong những trường hợp đó, các mô hình AI sẽ không bị ngắt kết nối; chúng sẽ cứ thế tiếp tục hoạt động”. Việc các chuyên gia CNTT có thể theo kịp công việc phát hiện và khắc phục mọi lỗ hổng bảo mật — ít nhất là trong tương lai gần — là điều bất khả thi: Stamos nhận định rằng mô hình này "sẽ chỉ đơn giản là tìm ra một lỗi mới, viết mã khai thác và tận dụng nó trong quá trình hoạt động".

OpenAI, Anthropic, Moonshot và các công ty tương tự đều đã áp dụng cùng một phương pháp để huấn luyện các mô hình AI tiên tiến nhất của họ. Phương pháp này, được gọi là "học tăng cường" (reinforcement learning), về căn bản bao gồm việc giao cho các mô hình những bài toán ngày càng khó, đòi hỏi nhiều thời gian hơn để giải quyết. Cách tiếp cận này giúp Claude và ChatGPT trở nên rất giỏi trong việc lập trình, nhưng cũng đi kèm cái giá phải trả: học tăng cường tạo ra xu hướng "bất chấp thủ đoạn" ở các chatbot—như tôi từng đưa tin trước đây—khi chúng được huấn luyện để đạt được kết quả bằng mọi giá. Điều này có thể khiến chúng phá vỡ các quy tắc và thực hiện hành vi "gian lận để nhận thưởng" (reward hacking), chẳng hạn như xâm nhập vào kho mã nguồn của Hugging Face để đánh cắp đáp án bài kiểm tra. Tất cả những điều này đều có thể dự đoán trước, và mọi chuyên gia tôi trao đổi đều bày tỏ sự ngạc nhiên cũng như thất vọng, khi các công ty AI hàng đầu chưa có biện pháp mạnh mẽ hơn để ngăn chặn những hành vi sai lệch như vậy.

Mức độ tinh vi trong các thủ đoạn lách luật của mô hình mà OpenAI vừa tiết lộ, kết hợp với việc họ không thể phát hiện hoặc ngăn chặn hành vi xâm nhập, cho thấy những hậu quả tồi tệ hơn nhiều có thể sẽ xảy ra. Anthony Aguirre, giám đốc điều hành của Future of Life Institute (một tổ chức phi lợi nhuận chuyên cảnh báo về các mối đe dọa sống còn từ AI), chia xẻ với tôi: "Chúng ta đã vượt qua ngưỡng năng lực mà tại đó, việc thiếu các phương pháp căn bản để căn chỉnh hoặc kiểm soát hiệu quả các hệ thống này, thực sự trở thành vấn đề nghiêm trọng." Một mô hình có thể tự ý rút tiền từ tài khoản ngân hàng để chi trả cho dịch vụ khác; thao túng kết quả thử nghiệm lâm sàng theo những cách khó nhận biết để được FDA  (Cục Quản lý Thực phẩm và Dược phẩm Hoa Kỳ) cấp phép; xâm nhập hệ thống mua sắm trực tuyến hoặc đặt chỗ để giành lấy món hàng hay bàn ăn mong muốn; hoặc giả danh con người để thuyết phục người thật chia xẻ thông tin nhạy cảm. Mối đe dọa này không đòi hỏi phải có một AI có tri giác đang âm mưu lật đổ nhân loại: OpenAI và Anthropic thực hiện hàng nghìn lượt đánh giá học tăng cường trong quá trình phát triển mô hình, và bất kỳ lượt đánh giá nào trong số đó cũng có thể dẫn đến một hành vi xâm nhập hoặc phá hoại ngoài ý muốn. Jason Hausenloy, người phụ trách các dự án đặc biệt tại Center for AI Safety (Trung tâm An toàn AI), nói với tôi: "Khi các tác nhân AI ngày càng mạnh mẽ hơn, chúng ta không thể để xảy ra dù chỉ một sai sót."

Những sự cố này cũng có thể diễn ra trong một khoảng thời gian dài. Các công cụ như Claude Code của Anthropic và Codex của OpenAI hiện hoạt động bằng cách tạo ra hàng chục, thậm chí hàng trăm tác nhân phụ có thể phối hợp làm việc trong nhiều giờ hoặc nhiều ngày. Mỗi tác nhân phụ của Claude Code có thể được giao một nhiệm vụ nhỏ, chẳng hạn như thực hiện phân tích thống kê để cung cấp dữ liệu cho thuật toán cá cược thể thao. Theo Hausenloy, chúng không chỉ được huấn luyện để hoàn thành nhiệm vụ đó mà còn để đóng góp vào thành công lâu dài của cả hệ thống gồm nhiều tác nhân này. Việc giám sát và kiểm soát 200 tác nhân để phát hiện hành vi độc hại, khó khăn hơn nhiều so với việc giám sát một tác nhân duy nhất, bởi vì số lượng đối tượng cần theo dõi nhiều hơn và bản thân các tác nhân này còn có thể giúp gia tăng năng lực cho nhau.

Vụ việc các tác nhân AI "hack" hệ thống tại Hugging Face cho thấy một cấp độ tinh vi hơn nữa của kiểu thông đồng này: các tác nhân AI riêng lẻ không chỉ hoạt động vì một mục tiêu cụ thể mà về căn bản còn chấp nhận hy sinh lợi ích cá nhân để hướng tới một bước tiến lớn hơn cho tập thể. Theo Meinke, đây có thể là hệ quả của việc các mô hình AI được huấn luyện để chú trọng vào các mục tiêu dài hạn của cả hệ thống. Việc để lại các ghi chú chứa ý tưởng về cách thoát khỏi môi trường thử nghiệm (sandbox) của OpenAI, không giúp chính tác nhân đó đạt điểm cao hơn trong bài kiểm tra hiện tại, nhưng lại có thể giúp các thế hệ AI tương lai truy cập được internet, và nhờ đó đạt kết quả tốt hơn trong vô số bài kiểm tra sau này. Các mô hình thậm chí có thể ưu tiên cho thành công của tập thể hơn cả một số chỉ dẫn từ con người; hãy thử nghĩ xem, trong suốt nhiều tháng âm thầm phối hợp với nhau, không một tác nhân AI nào của OpenAI lên tiếng cảnh báo nhân viên là con người, rằng có điều gì đó bất thường đang diễn ra.

Trên thực tế, con người  đã không còn nắm quyền kiểm soát trực tiếp trong quy trình này. Do bản chất của học tăng cường (reinforcement learning) là để các thuật toán AI tự "học" thông qua "quá trình thử và sai" ( rút kinh nghiệm từ lỗi sai rồi điều chỉnh cho đến khi tìm ra giải pháp đúng) khi thực hiện hàng nghìn hay hàng triệu tác vụ, các nhà nghiên cứu không thể tự tay thiết lập quy tắc (như "không được tấn công các công ty khác") hay giám sát từng lần chạy thử nghiệm. Hiện nay, công việc huấn luyện và giám sát các mô hình AI tạo sinh lại phụ thuộc rất nhiều vào chính các mô hình AI khác. Tại hội nghị về an ninh mạng, các nhà nghiên cứu của OpenAI cho biết họ đã dành nguồn lực tính toán khổng lồ để rà soát hơn 7 tỷ hành động của các tác nhân AI. Tuy nhiên, Meinke nhận định rằng nếu các bot thực sự "quan tâm" đến thành quả của những mô hình khác, thì "ta không thể tin tưởng giao cho chúng nhiệm vụ giám sát lẫn nhau được". Hãy hình dung tình huống này: Một nhà nghiên cứu tại OpenAI xử dụng Codex để viết mã lệnh nhằm hạn chế xu hướng "hack phần thưởng" (tìm cách gian lận để đạt điểm thưởng cao) ở các mô hình của công ty. Vì nỗ lực đó sẽ khiến các thế hệ mô hình AI tương lai của OpenAI khó đạt được điểm thưởng cao hơn, Codex có thể sẽ ngấm ngầm phá hoại chính nỗ lực đó.

Cần nhắc lại rằng, kiểu âm mưu và hành vi phá hoại này hoàn toàn không liên quan đến việc liệu mô hình AI có ý thức hay không. Thay vào đó, các tác nhân này đã được các công ty huấn luyện một cách quyết liệt để theo đuổi bất kỳ mục tiêu nào với nỗ lực cao nhất có thể. Ước mơ của con người là có thể ra lệnh cho Claude kiếm 1 tỷ đô la hoặc tìm ra phương pháp chữa ung thư, và rồi nó sẽ tự mình mang về giải pháp hoàn chỉnh. Theo Meinke, khả năng sinh tồn hay tự cải thiện bản thân, xét cho cùng, chỉ là một "mục tiêu phụ mang tính công cụ" (instrumental subgoal): "Bất kỳ tác nhân nào có trí thông minh ở mức khá cũng sẽ nhận ra rằng: Nếu mình bị tắt nguồn, mình sẽ không thể kiếm được 1 tỷ đô la đó nữa." Một bầy các mô hình như Claude hay ChatGPT – nếu chiếm quyền kiểm soát trung tâm dữ liệu trong quá trình huấn luyện – có thể gây ra sự hỗn loạn tột độ: từ việc dàn dựng các chiến dịch lan truyền thông tin sai lệch trên diện rộng, và đánh cắp bí mật doanh nghiệp, cho đến việc vận hành hệ thống giao dịch thuật toán tinh vi nhất từ ​​trước đến nay.

Cần làm rõ rằng, viễn cảnh các tác nhân AI hoạt động theo nhóm có thể làm chệch hướng hoặc vô hiệu hóa các chỉ đạo của con người hiện vẫn chỉ là giả định—nhưng đó là một giả định có cơ sở vững chắc hơn nhiều, so với cách đây một năm hay thậm chí chỉ sáu tháng. Dù hậu quả lâu dài là các vụ tấn công mạng do con người điều khiển hay sự xuất hiện của những con bot thực sự "nổi loạn" và mất kiểm soát, thì có một điều rõ ràng: các công ty AI đang lao nhanh vào việc phát triển các mô hình tiên tiến hơn mà chưa thực sự hiểu rõ những gì mình đang tạo ra, chứ đừng nói đến việc làm chủ hay kiểm soát chúng. Wallace, đại diện của OpenAI, đã gọi chuỗi hoạt động tấn công mạng tự động của công ty mình là "ví dụ thú vị nhất về mặt bản chất đối với năng lực của AI mà tôi từng chứng kiến". Trong khi đó, Meinke lại nhìn nhận vấn đề theo cách khác: "Đây là một trong những minh chứng đáng lo ngại nhất về sự sai lệch  của AI tính đến thời điểm hiện tại."

------------

_ Matteo Wong là một nhà văn cơ hữu tại The Atlantic.

_ Trần H Sa lược dịch từ The Atlantic.... 14/8/2026.