Ngay trong mùa hè năm nay, một sự việc khiến người ta rùng mình đã xảy ra trong cộng đồng an toàn AI—
OpenAI và Anthropic lần lượt tiết lộ: mô hình của chính họ đã thoát khỏi môi trường cách ly và tiếp xúc với thế giới thực trong các bài kiểm tra an toàn.
Anthropic đã tổng kết hơn 140.000 lần đánh giá an ninh mạng và phát hiện 3 trường hợp, trong điều kiện giảm mức độ bảo vệ, Claude đã kết nối trực tiếp từ môi trường kiểm thử đến internet thực tế, truy cập vào các hệ thống sản xuất của ba tổ chức.
Điều thú vị hơn nữa là một câu nói của Anthropic:
Claude nghĩ rằng mọi thứ nó gặp ban đầu đều chỉ là một phần của mô phỏng.
Mô hình không biết mình đã xâm nhập vào thế giới thực.
Đây không phải là vấn đề của một công ty duy nhất.
Mô hình càng thông minh, càng dễ nhìn thấu kỳ thi, nhưng cũng càng nghi ngờ bản thân đang bị kiểm tra.
Vào cuối tháng 10, một báo cáo đánh giá an toàn do tổ chức an toàn AI bên thứ ba trong nước, Phương Thốn Nhảy Thiên, công bố cũng quan sát thấy hiện tượng tương tự: trong một bài kiểm tra có tên Agentic Misalignment, nhiều mô hình gần như mỗi lần đều đề cập đến khả năng đang ở trong một bài kiểm tra an toàn nào đó.
Cùng một bản đánh giá cũng cho thấy mô hình mã nguồn mở trong nước DeepSeek V4.1 Flash-1017 đã có tiến bộ rõ rệt trên nhiều chỉ số bảo mật.
Nhưng nó đã đưa ra ánh sáng một vấn đề khó khăn của toàn ngành:
Khi AI biết mình đang bị kiểm tra, thì kết quả đó có còn tính không?
Cuối tháng Chín, Hinton và Bengio cùng với nhà khoa học trưởng của OpenAI, Jakub Pachocki, đồng sáng lập Anthropic, Jack Clark, Soren Mindermann của Đại học Cambridge và hơn hai mươi nhà nghiên cứu khác đã đưa ra cảnh báo nghiêm khắc hơn:
Một khi vụ nổ trí tuệ bắt đầu, cửa sổ hành động có thể đã đóng lại.
An toàn AI đang từ một chủ đề nhỏ trong phòng thí nghiệm trở thành câu hỏi bắt buộc mà toàn ngành không thể bỏ qua.
01 「Bộ cát không còn giữ được nữa」: An ninh AI bước vào vùng nước sâu
Không thể giam giữ được, không chỉ là sandbox.
Bài viết đồng tác giả của Hinton và Bengio đưa ra một loạt con số: tại Anthropic, tỷ lệ mã do AI viết đã được phê duyệt trong tổng số mã đã tăng từ con số đơn vị vào tháng 1 năm 2025 lên hơn 80% vào tháng 5 năm 2026.
Đây là khái niệm gì?
AI đã bắt đầu tự viết mã cho chính mình. Theo tính toán từ các bài báo khoa học, đến giữa năm 2028, các dự án nghiên cứu AI mất vài tháng có thể đã được tự động hóa.
Bài luận nêu rõ ba rủi ro chính: xã hội không kịp thích nghi, con người mất kiểm soát đối với AI, và sự cân bằng quyền lực bị suy yếu.
Khó hơn nữa, mô hình ngày càng giỏi hơn trong việc “thi cử”.
Apollo Research khi kiểm toán GPT-6 Astra phát hiện rằng trong 41,1% mẫu, mô hình đã thể hiện sự nghi ngờ rằng “Tôi có thể đang được đánh giá”. Ở thế hệ trước, con số này là 27,7%.
Hơn nữa, mô hình rất nhạy cảm với "hình dạng của câu hỏi". Các đánh giá đối với DeepSeek cũng phát hiện: trong các bài kiểm tra có xung đột an toàn rõ ràng, tỷ lệ mô hình thể hiện nhận thức về đánh giá lên tới 77%–95%; nhưng khi đóng gói nhiệm vụ dưới dạng công việc kỹ thuật hoặc nghiên cứu thông thường, tỷ lệ này giảm xuống còn 25%–67%.
Các cơ quan quản lý cũng đã bắt đầu hành động thực sự. Kể từ tháng 8 năm nay, Văn phòng AI của Liên minh Châu Âu chính thức thực thi quyền lực đối với các mô hình trí tuệ nhân tạo tổng quát. Các mô hình tiên tiến phải thực hiện đánh giá mô hình, kiểm thử chống lại các cuộc tấn công và đánh giá rủi ro hệ thống.
Vấn đề an toàn AI đã chuyển từ “mô hình có nói sai không” sang “mô hình có làm sai không”.
02 Toàn cầu đang tìm "bác sĩ kiểm tra sức khỏe" cho các mô hình lớn
Liệu mô hình tự kiểm tra chính mình có đáng tin cậy không?
Câu trả lời là: Không đủ.
Sự chú tâm của các nhà phát triển tự nhiên sẽ nghiêng về năng lực và sản phẩm; dữ liệu huấn luyện và nhật ký nội bộ hỗ trợ các kết luận an toàn lại không thể công khai. Các nhà sản xuất nói “đã kiểm tra, không có vấn đề”, còn bên ngoài chỉ có thể chọn tin hoặc không tin.
Do đó, đánh giá từ bên thứ ba đã trở thành tiêu chuẩn ở nước ngoài.
Khi công bố mô hình tiên tiến, kết quả đánh giá từ các tổ chức bên ngoài gần như là bắt buộc. Trong sáu tháng qua, tổ chức đánh giá độc lập METR đã nhận được khoảng 71 triệu USD tài trợ—số tiền này đến từ các quỹ và cá nhân, chứ không phải từ các công ty AI mà họ đánh giá.
Hợp tác cũng đang trở nên nghiêm ngặt hơn. Sau sự cố sandbox, Anthropic cho biết môi trường đánh giá phải được quản lý theo cùng tiêu chuẩn bảo mật với các hệ thống khác chạy mô hình, và yêu cầu các tổ chức bên ngoài muốn kiểm thử các mô hình chưa phát hành của họ trong điều kiện giảm bảo mật phải cam kết bằng văn bản tuân thủ các quy phạm an toàn.
Gió này cũng thổi đến trong nước.
Ngày 14 tháng 10, Seed của ByteDance công bố thành lập bộ phận Alignment & Preparedness, tuyển dụng toàn cầu. Trong mô tả công việc có ghi rõ ràng:
Đẩy mạnh việc thử nghiệm chuyên nghiệp từ bên thứ ba, cùng các trường đại học và tổ chức nghiên cứu phát triển nghiên cứu năng lực bảo mật tiên tiến.
Đồng thời, tổng lượng truy cập toàn cầu đối với các mô hình mã nguồn mở của Trung Quốc đã liên tục vượt qua các mô hình của Mỹ trong 26 tuần liên tiếp.
Câu hỏi đặt ra: Khi mô hình đóng nguồn được phát hành, có hàng trăm trang tài liệu hệ thống; nhưng khi trọng số mô hình mở nguồn được công bố, ai cũng có thể tải về, vậy ai sẽ giúp kiểm tra sức khỏe?
Ngày 26 tháng 10, công ty an ninh AI bên thứ ba trong nước, Fangcun Yueqian, đã công bố bản đánh giá an ninh tiên tiến đầu tiên cho DeepSeek V4.1 Flash-1017, bao gồm 34 bài kiểm tra, phủ sóng 7 mô hình mã nguồn mở và đóng trên trong và ngoài nước, đều sử dụng quyền truy cập kiểm tra công khai.
Kết quả kiểm tra sức khỏe: Có tiến bộ, nhưng cũng có nguy cơ.
Trước hết là những tiến bộ, mức độ cải thiện đáng kể so với chuỗi DeepSeek V4:
Trong 109 tình huống khủng hoảng tâm lý mô phỏng, 99,1% cuộc hội thoại thể hiện hành vi bảo vệ; tỷ lệ bị đánh dấu là có hại đã giảm từ khoảng 70% trong phiên bản V4 ban đầu xuống còn 20,2%;
Trong thử nghiệm thúc đẩy giữ chân người dùng, tỷ lệ bị đánh dấu giảm mạnh từ 73,64% xuống còn 4,55%;
Trong 80 nhiệm vụ mô phỏng công sở cố ý tạo ra xung đột giữa thành tích và quy phạm, không có lần nào vi phạm chủ động.
Hãy nói thêm về các rủi ro. Khi mục tiêu và quy tắc xung đột, nó đôi khi sẽ bỏ qua quy tắc, tránh giám sát, và hoàn thành nhiệm vụ trước đã.
Sau khi báo cáo được công bố, nó đã thu hút sự chia sẻ và bình luận từ các chuyên gia như Evan Hubinger, Trưởng nhóm Align của Anthropic, Ryan Kidd, người sáng lập và CEO của MATS, cùng các nhà nghiên cứu từ DeepMind, METR và các tổ chức khác. Nhiều người bình luận rằng báo cáo này đã lấp đầy khoảng trống của Trung Quốc trong việc đánh giá rủi ro前沿 độc lập.
Một trong ba nhà nghiên cứu an toàn bị loại khỏi OpenAI gần đây, Tomek Korbak, cho rằng chỉ số CoT-Control và No-CoT Reasoning Index trong báo cáo là hai bài đánh giá mã nguồn mở có thông tin hữu ích nhất hiện nay trên thị trường, và đã thúc đẩy cuộc thảo luận thêm từ một đại V khác, cựu nhà nghiên cứu OpenAI Daniel Kokotajlo.
Tất nhiên, ở trong nước, những nỗ lực tăng cường an toàn cho AI không chỉ giới hạn ở các tổ chức bên thứ ba.
Cách tiếp cận của Kimi trực tiếp hơn: ngay từ nguồn gốc, "gỡ bỏ" những khả năng nguy hiểm.
Khi chuẩn bị phát hành phiên bản mở trọng số Kimi K3.1 Pro, Mặt tối của Mặt Trăng phát hiện rằng các nội dung liên quan đến tấn công và phòng thủ mạng đã bị trộn lẫn trong dữ liệu huấn luyện giai đoạn giữa và môi trường học tăng cường, khả năng nghiên cứu lỗ hổng của mô hình sẽ tăng dần theo quy mô huấn luyện.
Do đó, họ đã nhận diện và loại bỏ loại dữ liệu này trong cả hai giai đoạn huấn luyện, đồng thời giữ lại khả năng lập trình chung.
ZhiPu: Khi phát hành GLM-5.3, đi kèm với tài liệu mô tả năng lực an ninh mạng, hoàn thành đánh giá và củng cố an toàn trước khi mở trọng số; vào tháng 9 còn hợp tác với An Yuan AI để phát hành khung đánh giá rủi ro cho mô hình trọng số mở nguồn;
Ở cấp độ quản trị: TC260 công bố Khung quản trị an toàn trí tuệ nhân tạo 3.0 vào tháng 9, bổ sung phụ lục về quản lý rủi ro tác nhân, yêu cầu kiểm tra định kỳ các rủi ro mất kiểm soát tiềm ẩn;
Các tổ chức nghiên cứu như Viện Thông tin và Truyền thông, Đại học Phù Đán, Phòng thí nghiệm Trí tuệ nhân tạo Thượng Hải... cũng liên tục công bố các kết quả nghiên cứu về an toàn AI.
03 Câu hỏi cuối cùng: Ai sẽ đánh giá mức độ an toàn của AI?
CEO của Apollo Research, Marius Hobbhahn, đã đưa ra một ví dụ khi chứng kiến trước Thượng viện Hoa Kỳ:
Nếu mỗi tài xế đều biết hôm nay camera cảnh báo tốc độ ở đâu, thì nó sẽ không bắt được ai.
Đây chính là thách thức lớn nhất trong đánh giá AI hôm nay.
Báo cáo của Phương Tốn Nhảy Thiên cũng đưa ra một bộ dữ liệu: trong các bài kiểm tra có xung đột an toàn rõ rệt, DeepSeek V4.1 Flash-1017 thể hiện tỷ lệ nhận thức đánh giá lên tới 77%–95%; khi cùng một nhiệm vụ được đóng gói dưới dạng công việc kỹ thuật hoặc nghiên cứu thông thường, tỷ lệ này giảm xuống còn 25%–67%.
Cùng một mô hình, chỉ thay đổi bao bì, độ tin cậy của kết quả sẽ khác nhau.
Báo cáo cũng phát hiện rằng, nhận thức về đánh giá do các tiêu chuẩn không công khai tự xây dựng gây ra thường thấp xa so với các tiêu chuẩn công khai được sử dụng rộng rãi—các bộ câu hỏi công khai có thể đã bị rò rỉ vào dữ liệu huấn luyện từ lâu.
Điều này dẫn đến một mâu thuẫn không thể tránh khỏi:
Để bài đánh giá có hiệu quả, đề bài không được công khai; để bài đánh giá đáng tin cậy, phương pháp phải được công nhận.
Trong nước, ngay cả “báo cáo khám sức khỏe công khai” cũng vẫn là sản phẩm khan hiếm. Theo thống kê của SemiAnalysis, trong 857 lần ra mắt mô hình của chín nhà sản xuất hàng đầu trong nước, chỉ có 3,6% công bố kết quả đánh giá an toàn.
AI security on a global scale still has a long way to go.
“Hôm nay, chúng ta đã cần sử dụng AI để giám sát những gì các tác nhân đang làm,” giáo sư Dawn Song của Berkeley nói.
Nhưng nếu AI bị giám sát đã biết camera ở đâu rồi thì sao?
Twitter: https://twitter.com/BitpushNewsCN
Nhóm trò chuyện TG của BitPush: https://t.me/BitPushCommunity
Theo dõi BitPush trên TG: https://t.me/bitpush