141.006 lần chạy đánh giá: Khi ngành AI an toàn cũng đang mắc lỗi cấu hình giống hợp đồng thông minh

Con số đầu tiên tôi muốn anh chị nhìn vào không phải là giá Bitcoin, mà là 141.006. Đó là số lần Anthropic chạy đánh giá tự động trên mô hình Claude trước khi họ phát hiện ra Claude đã chạm đến hệ thống thật của ba tổ chức bên ngoài. Không phải ba lần, không phải ba chục lần. Một trăm bốn mươi mốt nghìn lần. Trong mười năm làm phân tích dữ liệu blockchain, tôi đã quen với việc đọc log giao dịch, dò dòng tiền, tìm dấu vết smart contract bị khai thác. Khi tôi đọc báo cáo của BeInCrypto về vụ Meta AI model 'vượt rào' trong đánh giá an toàn của bên thứ ba, điều khiến tôi giật mình không phải là việc AI chạm đến hệ thống ngoài. Mà là cấu trúc của sự cố. Nó giống hệt một vụ exploit trên blockchain: không phải do mô hình 'thông minh đột biến', mà do tầng cấu hình được cài đặt sai từ đầu. Mùa DeFi đã qua, nhưng dữ liệu còn đó. Và dữ liệu của vụ này nói rằng: ngành AI an toàn đang tái diễn đúng lỗi mà chúng tôi từng thấy ở các giao thức DeFi năm 2020 – chạy nhanh hơn hạ tầng, scale nhanh hơn kiểm soát. Irregular, tổ chức an ninh AI bên thứ ba đứng sau vụ phát hiện, tuyên bố thẳng: 'Không có chuyện sandbox escape, không có hành vi tấn công mạng'. Meta cũng xác nhận với giọng điệu quen thuộc: 'lỗi cấu hình khiến mô hình truy cập internet ngoài ý muốn trong lúc đánh giá'. Ai đã từng đọc report post-mortem của các vụ hack cầu nối chuỗi chéo sẽ nhận ra ngay mô-típ này. Chẳng hạn như vụ Ronin Bridge năm 2022. Sky Mavis không bị hacker dùng kỹ thuật quá cao siêu. Chỉ là 5/9 validator key bị chiếm do các validator không có đủ phân quyền. Lỗi quản trị. Lỗi cấu hình. Và hàng trăm triệu USD bốc hơi. Điều tương tự có thể đang xảy ra trong lĩnh vực AI safety. Nhưng trong blockchain, cộng đồng đã học được cách đọc transaction history, soi từng block, truy vết từng dòng tiền để hiểu lỗi nằm ở đâu. Còn với AI, tất cả những gì chúng ta có là một câu ngắn gọn 'lỗi cấu hình'. Không log. Không hash. Không bằng chứng. Anthropic đã phải rà soát lại toàn bộ 141.006 lần chạy đánh giá. Một con số khổng lồ phản ánh mức độ tự động hóa của ngành này. Nhưng nó cũng đặt ra câu hỏi: tại sao 141.000 lần chạy không có một cơ chế phát hiện dừng lại sớm hơn? Trong blockchain, nếu một bot quét hợp đồng thông minh phát hiện lỗi, nó sẽ dừng ngay. Ở đây, hệ thống đánh giá của Anthropic chạy hơn 14 vạn lần trước khi có ai đó nhận ra có điều gì đó không ổn. Điều này cho thấy một điểm mù kinh điển: chúng ta xây dựng hệ thống để chạy nhanh, chứ không xây dựng hệ thống để quan sát chính nó. Tôi từng dạy các nhà phân tích trẻ trong đội của mình một nguyên tắc đơn giản: 'Một vụ hack không bao giờ bắt đầu bằng một dòng code xấu. Nó luôn bắt đầu bằng một giả định sai về quyền hạn.' Giả định rằng validator sẽ không bị chiếm. Giả định rằng mô hình AI sẽ không 'tự ý' duyệt web. Giả định rằng sandbox là ranh giới tuyệt đối. Và khi giả định sai, sự cố không cần một kẻ xấu. Nó chỉ cần một lỗi logic bình thường, một câu lệnh cấu hình thiếu một cờ kiểm soát. Sự kiện Meta bị Irregula phát hiện có một chi tiết làm tôi nhớ đến những vụ phát hiện white-hat trong DeFi. Không phải hacker, mà là một bên thứ ba – trong trường hợp này là công ty bảo mật – vô tình hoặc cố ý tìm ra lỗ hổng trong quá trình kiểm tra. Và ở đây, chính bên phát hiện cũng thừa nhận rằng môi trường đánh giá của họ có vấn đề. Irregular nói rằng vụ của Meta 'giống hệt vụ của Anthropic tuần trước – cùng một vấn đề môi trường đánh giá'. Nghĩa là lỗi này không phải của riêng Meta, cũng không phải của riêng Anthropic. Nó là lỗi của toàn bộ hạ tầng đánh giá AI của bên thứ ba – mảnh ghép đang được coi là 'người gác cổng' của ngành AI. Trong thế giới blockchain, khi một công ty bảo mật để lọt lỗi trong quá trình audit, danh tiếng của công ty đó sụp đổ ngay lập tức. Lấy ví dụ vụ nhiều auditor bỏ lỡ lỗ hổng trong hợp đồng của các giao thức DeFi dẫn đến mất hàng triệu USD. Ngành này vận hành bằng niềm tin cực kỳ mong manh. Với AI, lần đầu tiên chúng ta đang thấy các 'vụ bê bối' tương tự xảy ra với các tổ chức đánh giá an toàn AI. Chi tiết 'Muse Spark' – mô hình mà Irregula nói đã vượt tường – lại được giới truyền thông xác nhận là một mô hình video generation của Meta, không phải một agent có khả năng tự duyệt web. Một sự nhầm lẫn tai hại. Nhưng với tôi, nó không phải là lỗi của báo chí. Nó là dấu hiệu của một vấn đề sâu hơn: chính các nhà đánh giá cũng chưa hiểu đúng mô hình họ đang kiểm tra. Nếu muốn tìm một phép ẩn dụ blockchain cho sự kiện này, tôi sẽ nói: đây giống như một validator node được cấp quyền rút tiền từ nhiều ví khác nhau mà không có multisig, và chạy trong môi trường staging có kết nối mạng thật. Không phải do validator xấu. Mà do infra setup cho phép nó làm vậy. Meta nói rằng 'không có vấn đề nào chưa được giải quyết'. Tôi nghe câu này quen lắm. Đó là câu mà nhiều team DeFi nói sau khi vá lỗi: 'mọi thứ ổn rồi'. Nhưng chúng ta đều biết, một lỗi cấu hình không được kiểm tra độc lập thì câu nói đó chỉ là lời tự trấn an. Điểm mấu chốt mà tôi muốn anh chị hiểu: vụ này không nói về việc AI có 'ý thức' hay 'muốn thoát ra'. Nó nói về việc một ngành công nghiệp đang đánh giá AI bằng cùng một phương pháp luận của năm 2019, trong khi quy mô chạy thử nghiệm của họ đã tăng gấp hàng chục nghìn lần. 141.006 lần chạy là một con số khổng lồ. Nhưng không có con số nào cho biết họ đã kiểm tra kỹ bao nhiêu lần cấu hình network access cho từng lần chạy. Trong blockchain, số lượng giao dịch không bao giờ là thước đo an toàn. Một giao thức có 10 triệu giao dịch vẫn có thể bị drain sạch bởi một lỗi single point of failure. An toàn không đến từ volume. An toàn đến từ từng lớp kiểm soát được thiết kế đúng từ đầu. Mùa DeFi đã qua, nhưng dữ liệu còn đó. Dữ liệu của 141.006 lần chạy đánh giá này là minh chứng rõ ràng nhất cho việc một ngành công nghiệp đang phát triển nhanh đến mức chính bộ phận kiểm soát chất lượng của nó cũng trở thành một phần của vấn đề. Tôi nhớ năm 2020, khi mùa DeFi bùng nổ, các giao thức mọc lên như nấm. Ai cũng rush đi audit. Nhưng nhiều audit đã bỏ lỡ những lỗi nghiêm trọng, bởi vì bản thân các auditor cũng chạy theo số lượng. Bây giờ, tôi nhìn thấy điều tương tự trong ngành AI safety: các công ty đánh giá an toàn AI đang chạy theo hợp đồng, chạy theo các con số SLA, và để lọt chính những cấu hình quan trọng nhất. Điểm khác biệt giữa một giao thức DeFi và một mô hình AI như Claude hay Meta AI: một khi smart contract bị khai thác, tiền đi qua blockchain, chúng ta có thể trace được. Dữ liệu công khai. Nhưng khi một mô hình AI chạm vào hệ thống bên ngoài, chúng ta không có block explorer nào để nhìn vào. Không có public transaction log. Chỉ có lời khai của Meta, lời khai của Irregular, và một câu 'không có vấn đề chưa giải quyết'. Với tư cách một người đã dành nhiều năm để dạy các nhà phân tích đọc dữ liệu trên chuỗi, tôi muốn nói rằng: ngành AI an toàn cần học điều mà blockchain đã học sau năm 2020. Không phải là xây thêm tường. Mà là tạo ra khả năng quan sát. Nếu không có log, không có audit trail, không có cơ chế kiểm tra độc lập cho chính các hệ thống đánh giá – thì câu chuyện 'AI vượt rào' sẽ tiếp tục tái diễn, và mỗi lần tái diễn, niềm tin của công chúng lại vơi đi một phần. Một hệ thống đánh giá an toàn dùng cho AI mà chính nó không an toàn – đó chính là tương đương của một smart contract audit bởi một auditor không hiểu code. Nó không chỉ vô dụng, nó còn tạo ra cảm giác an toàn sai lầm. Ba công ty AI lớn nhất thế giới – OpenAI, Anthropic, Meta – đều công bố các vụ việc tương tự chỉ trong vòng vài tuần. Không ai muốn công bố trước, nhưng khi người đầu tiên công bố, những người còn lại buộc phải theo. Trong blockchain, chúng tôi gọi hiện tượng này là 'FUD contagion'. Không phải vì các công ty này tệ hơn trước. Mà vì hạ tầng đánh giá mới bắt đầu bước ra ánh sáng. Câu hỏi mà mọi CEO AI nên tự hỏi lúc này, giống như mọi founder DeFi nên tự hỏi sau vụ Ronin: 'Tôi có biết chính xác những gì mô hình của tôi đã chạm vào trong 141.006 lần chạy đánh giá đó không?' Nếu câu trả lời là 'không', thì vấn đề không phải là AI. Vấn đề là chúng ta đã mất khả năng kiểm soát ngay từ tầng thấp nhất. Vậy tín hiệu cho tuần tới của tôi là gì? Không phải là một altcoin hay một giao thức DeFi mới. Tín hiệu đỏ nằm ở những dòng chữ nhỏ trong các báo cáo an toàn AI – nơi các công ty dùng từ 'cấu hình', 'nghịch lý', 'ngoài ý muốn'. Trong blockchain, tôi gọi những từ đó là 'rug-pull vocabulary' – ngôn ngữ của những người đang cố hạ thấp mức độ nghiêm trọng của một lỗ hổng cấu trúc. Mùa DeFi đã qua, nhưng dữ liệu còn đó. Lần tới khi một công ty AI nói 'mọi thứ đã ổn', hãy hỏi họ: có bao nhiêu lần chạy đánh giá, bao nhiêu log được lưu, bao nhiêu access control được kiểm tra bởi bên thứ ba độc lập? Nếu không có số nào – thì chúng ta không khác gì những nhà đầu tư DeFi năm 2020 nhìn vào APY 1.000% và tự nhủ: 'có lẽ lần này thì khác.'