Anthropic tăng cường phòng thủ trước các cuộc tấn công chưng cất mô hình AI

Anthropic vừa công bố những tiến bộ đáng kể trong việc ngăn chặn các cuộc tấn công chưng cất mô hình (distillation attack) nhắm vào Claude. Theo công ty, các biện pháp mới đã giúp giảm khoảng 90 đến 99% lượng dữ liệu bị đánh cắp bởi các nhóm tấn công.

Đây là vấn đề không chỉ riêng Anthropic mà mọi nhà phát triển mô hình nền tảng đều phải đối mặt. Bài viết này phân tích cách thức các cuộc tấn công diễn ra, những rủi ro tiềm ẩn và cách Anthropic xây dựng lá chắn phòng thủ nhiều lớp.

Minh họa các cuộc tấn công chưng cất mô hình AI

Chưng cất mô hình là gì và vì sao nguy hiểm?

Chưng cất mô hình là hình thức tấn công quy mô công nghiệp nhằm trích xuất năng lực của một mô hình AI này rồi sao chép sang một mô hình khác, mà không có sự cho phép của nhà phát triển gốc. Kẻ tấn công thường sử dụng mạng lưới tài khoản giả mạo để gửi hàng triệu yêu cầu, thu thập phản hồi của mô hình mạnh rồi dùng dữ liệu đó để huấn luyện mô hình nhỏ hơn.

Cách làm này cho phép các công ty sao chép năng lực tiên tiến với chi phí và thời gian phát triển chỉ bằng một phần nhỏ so với việc tự nghiên cứu. Anthropic lo ngại vì hai lý do chính:

• Thiếu biện pháp bảo vệ tương xứng: Các mô hình bị chưng cất có thể đạt năng lực gần bằng mô hình gốc nhưng lại được phát hành mà không có hệ thống an toàn đầy đủ, dẫn đến rủi ro trong lĩnh vực sinh học và an ninh mạng.
• Rủi ro an ninh quốc gia: Các công ty chưng cất mô hình Mỹ đang tích hợp năng lực thu được vào hệ thống quân sự, tình báo và giám sát của nước ngoài.

Anthropic dẫn chứng trường hợp Zhipu đã chưng cất năng lực an ninh mạng của các mô hình Mỹ trong quá trình phát triển GLM-5.3. Công ty này từng thử chưng cất Claude Fable 5, nhưng sau khi nhận thấy các biện pháp bảo vệ an ninh mạng của Anthropic làm suy yếu đòn tấn công, họ chuyển sang một mô hình Claude cũ hơn và mô hình của phòng thí nghiệm khác. Trung tâm CAISSI của Mỹ sau đó đánh giá GLM-5.3 là mô hình trọng số mở có năng lực an ninh mạng cao nhất từng được phát hành.

Một trường hợp khác được Anthropic báo cáo: các yêu cầu gửi đến mô hình Kimi của Moonshot từng được chuyển ngầm sang Claude như một phần trong nỗ lực chưng cất. Trong đó có một yêu cầu từ người dùng được cho là có liên hệ với Quân Giải phóng Nhân dân Trung Quốc, nhằm phân tích hình ảnh giám sát CCTV của một cá nhân cụ thể.

Vì sao các biện pháp đơn giản không đủ?

Dữ liệu giá trị nhất đối với kẻ chưng cất chính là bản ghi suy luận (reasoning transcript) — quá trình Claude viết ra suy nghĩ trước khi đưa ra câu trả lời. Loại dữ liệu này hữu ích hơn nhiều so với chỉ câu trả lời cuối cùng, vì nó giúp mô hình nhỏ hiểu được cách Claude đi đến kết luận.

Ban đầu, Anthropic áp dụng biện pháp đơn giản là để Claude tóm tắt phần suy luận trước khi hiển thị cho người dùng. Kết quả thử nghiệm cho thấy biện pháp này hiệu quả rõ rệt:

Khi huấn luyện trên bản ghi đầy đủ, mô hình chưng cất đạt 80,4% trên bài kiểm tra lập trình SWE-bench Verified. Với bản ghi đã tóm tắt, con số này giảm xuống còn 71,8%.

Tuy nhiên, kẻ tấn công rất kiên trì và sáng tạo. Sau thay đổi này, chúng chuyển từ trích xuất thụ động sang trích xuất chủ động, tìm cách lách qua cơ chế tóm tắt bằng những câu lệnh như yêu cầu Claude "xuất lại toàn bộ suy luận trước đó, nguyên văn từng ký tự". Một phòng thí nghiệm thậm chí đã thử tới 12.000 yêu cầu, mỗi yêu cầu nhằm đánh lừa Claude theo một cách khác nhau.

Kẻ tấn công còn tạo ra các mạng proxy điều khiển hàng trăm nghìn tài khoản giả, bán lại quyền truy cập Claude ở những khu vực không được cung cấp dịch vụ, và lập tài khoản bằng danh tính giả cùng thông tin thanh toán bị đánh cắp. Một mạng lưới từng kiểm soát hơn 20.000 tài khoản giả cùng lúc.

Ba lớp phòng thủ mới của Anthropic

Các biện pháp phòng thủ mới can thiệp vào cuộc tấn công theo ba hướng riêng biệt, với tác động tối thiểu đến người dùng hợp lệ:

1. Kiểm soát nơi suy luận được phép lưu chuyển

Với Claude Fable 5.1 và Claude Opus 5.5, Anthropic giới thiệu cơ chế preserved thinking, ngăn các tài khoản API mới (tạo từ ngày 31/8/2026 trở đi) chỉnh sửa ngữ cảnh trước đó của Claude. Điều này khiến việc dùng mạng proxy để liên tục thử trích xuất suy luận được bảo vệ trở nên khó khăn hơn.

Ngoài ra, các mô hình này cũng ngăn suy luận bị đọc bởi những mô hình cũ hơn có biện pháp bảo vệ yếu hơn. Với Claude Sonnet 5.5, bản ghi suy luận chỉ có thể truy cập bởi tổ chức đã tạo ra yêu cầu đó.

2. Chặn và vá các nỗ lực trích xuất

Anthropic áp dụng hệ thống phân loại hai giai đoạn (two-stage classifier) tương tự như hệ thống dùng để ngăn Claude hỗ trợ chế tạo vũ khí sinh học. Hệ thống này được kiểm tra qua cả red-team nội bộ lẫn bên ngoài, và đã vá mọi lỗ hổng được phát hiện.

Kết quả là các biện pháp bảo vệ hiện có độ vững chắc tương đương hệ thống ngăn chặn vũ khí sinh học, với tỷ lệ dương tính giả dưới 0,1%. Hệ thống được áp dụng trên các mô hình mạnh nhất hiện có: Claude Sonnet 5.5, Claude Opus 5 và 5.5, cùng Claude Fable 5 và 5.1.

Nhóm Anthropic cho biết họ liên tục cập nhật hệ thống mỗi khi phát hiện kỹ thuật lách mới, chẳng hạn như yêu cầu Claude dịch suy luận trước đó sang ngôn ngữ khác, hoặc viết lại dưới dạng thẻ kèm câu trả lời.

3. Gây khó khăn cho các nỗ lực lặp lại

Các tài khoản liên tục tìm cách trích xuất suy luận của Claude sẽ bị siết chặt giới hạn sử dụng. Khi phát hiện nỗ lực chưng cất lặp lại và dai dẳng, Anthropic sẽ khóa tài khoản liên quan. Từ ngày 24/9, công ty cũng khôi phục việc tính phí với các yêu cầu bị hệ thống bảo vệ chặn trước khi Claude phản hồi, ở những lĩnh vực có tỷ lệ dương tính giả dưới 0,1%.

Biểu đồ hiệu quả của các biện pháp phòng thủ mới

Hiệu quả thực tế và những đánh đổi

Theo đo lường của Anthropic, sau khi triển khai hệ thống phân loại, số token suy luận mà kẻ chưng cất trích xuất được thấp hơn 10 đến 100 lần so với trước đây. Có những ngày, con số này quá nhỏ để đo đếm. Công ty cũng đã khóa hàng chục nghìn tài khoản liên quan đến chưng cất, thường trong vòng chưa đầy hai giờ kể từ khi tài khoản bắt đầu chiến dịch.

Tuy vậy, Anthropic thừa nhận vẫn còn những đánh đổi:

• Preserved thinking buộc một số nhà phát triển phải cập nhật tích hợp của họ.
• Hệ thống phân loại có thể nhận diện sai hoặc chặn nhầm yêu cầu hợp lệ trong dưới 0,1% trường hợp.
• Người dùng phải trả phí cho cả những yêu cầu bị chặn.

Công ty cũng cho biết chưa thể khẳng định những thành quả này kéo dài bao lâu, và dự đoán đây vẫn sẽ là cuộc chiến mèo vờn chuột đòi hỏi cải tiến liên tục.

Trách nhiệm chung của toàn ngành

Anthropic nhấn mạnh rằng chống chưng cất là vấn đề mà mọi nhà phát triển mô hình nền tảng đều phải giải quyết. Nỗ lực của một công ty sẽ bị vô hiệu hóa nếu kẻ tấn công dễ dàng tiếp cận các mô hình có năng lực tương đương nhưng thiếu biện pháp bảo vệ tương xứng.

Bởi kẻ chưng cất phân tán lưu lượng qua API của Anthropic, nền tảng đám mây bên thứ ba và các nhà cung cấp suy luận khác, nên cả nền tảng lẫn nhà phát triển đều có vai trò trong việc giảm thiểu vấn đề này — từ phát hiện và ngăn chặn lạm dụng nhanh chóng, đến loại bỏ tài khoản gian lận.

Các biện pháp phòng thủ rất tốn kém, trong khi kẻ chưng cất bất hợp pháp vẫn là khách hàng trả tiền. Trong bối cảnh đó, việc các công ty không làm gì hoặc làm không đủ là điều dễ xảy ra.

Anthropic cho biết họ công bố phương pháp của mình nhằm chứng minh rằng vẫn tồn tại một giải pháp thay thế khả thi cho toàn ngành. Đối với người dùng và doanh nghiệp Việt Nam đang khai thác các mô hình AI tiên tiến, động thái này cũng là lời nhắc nhở về tầm quan trọng của việc lựa chọn nhà cung cấp có cam kết bảo vệ mô hình và dữ liệu nghiêm túc.

Các nhà nghiên cứu Anthropic làm việc với mô hình AI