Cisco cảnh báo: Loại bỏ AI Trung Quốc khỏi hệ thống chưa chắc đã an toàn

Nếu bạn nghĩ rằng mình đã loại bỏ toàn bộ AI Trung Quốc khỏi hệ thống công nghệ, Cisco khuyên bạn nên suy nghĩ lại. Nghiên cứu mới từ Cisco và VAIL cho thấy nhãn quốc gia trên các mô hình AI không phản ánh chính xác nguồn gốc thực sự cũng như những rủi ro bảo mật tiềm ẩn.

Theo quan điểm của chính phủ Mỹ, AI Trung Quốc bị coi là mối đe dọa an ninh quốc gia. Điều này khiến nhiều doanh nghiệp và cá nhân tìm cách tránh xa các mô hình được gắn nhãn "Trung Quốc" và chuyển sang lựa chọn những AI không có nhãn đó. Tuy nhiên, Cisco vừa công bố nghiên cứu chứng minh rằng cách tiếp cận này có thể tạo ra những lỗ hổng nghiêm trọng.

Nhãn quốc gia không nói lên toàn bộ câu chuyện

Trong bài đăng có tiêu đề "The 'U.S. vs. China' AI Trap: An Incomplete Proxy for AI Security" (Bẫy AI 'Mỹ so với Trung Quốc': Một phép thay thế không hoàn chỉnh cho bảo mật AI), Cisco lập luận rằng nhãn quốc gia không cung cấp bức tranh đầy đủ về thành phần của một mô hình AI do hiện tượng mà họ gọi là provenance entanglement (sự đan xen nguồn gốc).

Các nhà nghiên cứu đã sử dụng hai phương pháp "lấy dấu vân tay" (fingerprinting) để phân tích trọng số mô hình và hành vi suy luận. Kết quả cho thấy chúng không phản ánh chính xác nhà phát hành và quốc gia xuất xứ được ghi trên nhãn.

Nguyên nhân cốt lõi nằm ở cách các mô hình AI được phát triển: thay vì huấn luyện từ đầu, hầu hết các nhà sản xuất thường tinh chỉnh (fine-tune) từ các checkpoint có sẵn. Điều này có nghĩa là một mô hình có thể kế thừa trọng số, thiên kiến (bias) và hành vi từ một mô hình khác có nguồn gốc khác với nhãn được ghi.

Ví dụ điển hình: một mô hình mang nhãn Mỹ có thể chứa các hành vi kế thừa từ mô hình Trung Quốc, và ngược lại. Do đó, nhãn quốc gia chỉ cung cấp thông tin về nhà phát triển chịu trách nhiệm, phạm vi pháp lý và quy trình mua sắm, chứ không phản ánh chính xác những gì bên trong mô hình.

Bằng chứng từ nghiên cứu Nemotron và Qwen

Để kiểm chứng, các nhà nghiên cứu đã chọn hai dòng mô hình Nemotron (của NVIDIA) và Qwen (của Alibaba) vì đã biết một số mô hình Nemotron sử dụng trọng số gốc từ Qwen.

Họ áp dụng đồng thời Cisco Model Provenance Kit (phân tích bên trong artifact) và Behavioral Fingerprinting của VAIL (phân tích hành vi suy luận từ bên ngoài).

Kết quả: "Cả hai phương pháp đều tìm thấy các mô hình Nemotron được xây dựng từ trọng số gốc Qwen có độ tương đồng đáng kể với họ Qwen hơn so với mức ngẫu nhiên."

Điều này chứng minh rằng việc huấn luyện thêm (post-training) và đổi tên nhà phát hành không xóa được mối quan hệ phát hiện được với mô hình nguồn phía trên.

Vì sao điều này quan trọng?

Vấn đề "dòng dõi" (lineage) của mô hình AI có thể tạo ra những rủi ro tương tự như chuỗi cung ứng phần mềm — chính là lý do SBOM (Software Bill of Materials) ra đời. Nếu một mô hình nguồn bị phát hiện chứa backdoor, thiên kiến hệ thống hoặc hành vi khai thác được, các tổ chức cần biết mô hình nào phía sau có thể bị ảnh hưởng để kịp thời rà soát.

Ba khuyến nghị quan trọng

Nghiên cứu đưa ra ba lĩnh vực cần cải thiện để sử dụng AI hiệu quả:

• Đối với doanh nghiệp: Nên coi danh tính nhà phát hành chỉ là một mảnh ghép trong bức tranh tổng thể. Quy trình thẩm định cần bao gồm dòng dõi mô hình, các phụ thuộc trong huấn luyện, phân tích hành vi và kiểm soát vận hành. Tên trên nhãn không phải là thước đo rủi ro.

• Đối với nhà quản lý: Cần hiểu rõ hơn về các phụ thuộc phía trên của mô hình để có cái nhìn chính xác về lỗ hổng, thiên kiến và các hạn chế bắt nguồn từ nguồn gốc mô hình.

• Đối với nhà phát triển AI: Cần công khai dòng dõi như một quy trình chuẩn, không phải tùy chọn. Minh bạch là "chất khử trùng tốt nhất" — giúp người dùng hiểu các phụ thuộc trước khi tích hợp mô hình vào hệ thống.

Hướng tới một mô hình AI bill of materials

Các nhà nghiên cứu nhấn mạnh rằng cần "hóa đơn vật liệu" cho mô hình AI — một dạng SBOM ghi lại checkpoint gốc, phương pháp dẫn xuất, bộ dữ liệu chính, bộ sinh dữ liệu tổng hợp, mô hình giáo viên, mô hình thưởng, giấy phép và các thực thể có quyền truy cập sau triển khai. Các dấu vân tay kỹ thuật có thể xác nhận hoặc phát hiện các mối quan hệ cần rà soát thêm, mà không cần chờ đến quy định bắt buộc.

"Mô hình không có hộ chiếu. Chúng có chuỗi cung ứng." — Kết luận của các nhà nghiên cứu.

Bài học dành cho doanh nghiệp Việt Nam đang ngày càng ứng dụng AI: đừng chỉ chọn mô hình dựa trên "quốc tịch" hay tên tuổi nhà phát hành. Hãy đào sâu vào dòng dõi, kiểm thử hành vi và hiểu rõ các phụ thuộc kỹ thuật trước khi đưa vào vận hành. Vì suy cho cùng, an toàn AI không nằm ở nhãn mác, mà nằm ở sự minh bạch của chuỗi cung ứng.