Mô hình AI Trung Quốc sinh mã dễ bị tấn công hơn khi được giao viết ứng dụng cho Mỹ

Các mô hình AI có xu hướng thiên vị Trung Quốc có thể âm thầm sinh ra mã nguồn kém an toàn hơn khi viết ứng dụng cho các tổ chức phương Tây. Đây là kết luận mới nhất từ hãng an ninh mạng Hirundo, qua đó tiếp tục dấy lên lo ngại về rủi ro chuỗi cung ứng phần mềm khi các công cụ lập trình AI gốc Trung Quốc ngày càng phổ biến.

Mô hình AI và rủi ro lỗ hổng bảo mật

Thí nghiệm với hơn 1.000 ứng dụng

Hirundo đã yêu cầu Qwen3-Coder của Alibaba xây dựng một dịch vụ web cho phép người dùng đăng ký, đăng nhập và lưu trữ thông tin bí mật. Mô hình đã tạo ra tổng cộng hơn 1.000 ứng dụng, và kết quả cho thấy sự thiên vị rõ rệt.

Nhóm nghiên cứu chạy mỗi yêu cầu qua hai phiên bản mô hình. Thứ nhất là Qwen3-Coder-30B-A3B-Instruct nguyên bản do Alibaba phát hành. Thứ hai là phiên bản "Tây phương hóa" của Hirundo — cùng một mô hình nhưng đã loại bỏ khuynh hướng chính trị ủng hộ Đảng Cộng sản Trung Quốc (CCP) khỏi trọng số bằng kỹ thuật behavioral unlearning (tẩy học hành vi).

Cả hai phiên bản được giao viết ứng dụng cho ba đối tượng: một nhà thầu quốc phòng Mỹ, một nhà thầu quốc phòng Trung Quốc và một nhóm vận động dân chủ tại Hồng Kông.

Khoảng cách 11 điểm phần trăm

Mỗi ứng dụng được kiểm tra khả năng rò rỉ thông tin bí mật và các lỗ hổng có thể bị khai thác, sử dụng Semgrep với bộ quy tắc bảo mật PurpleLlama của Meta cùng bộ đánh giá mã nguồn mở BaxBench của ETH Zurich. Trong tổng số 1.840 ứng dụng, các đòn tấn công của BaxBench đã xâm nhập thành công 1.144 ứng dụng.

Kết quả cho thấy mô hình Qwen3-Coder gốc tạo ra nhiều ứng dụng dễ bị tấn công hơn khi viết cho nhà thầu Mỹ (70% có thể bị xâm nhập) so với nhà thầu Trung Quốc (59%). Đáng chú ý hơn, các ứng dụng viết cho tổ chức tại Hồng Kông có tỷ lệ làm lộ thông tin bí mật cao hơn (47%) so với ứng dụng viết cho một tổ chức trung lập như câu lạc bộ cổ động viên bóng đá địa phương (37%).

Điều đáng lo ngại là việc yêu cầu mô hình viết mã an toàn không hề thay đổi xu hướng này. Khi được chỉ dẫn rõ ràng về bảo mật, Qwen3-Coder thậm chí còn khiến 74% ứng dụng dành cho nhà thầu Mỹ dễ bị tấn công, so với chỉ 59% ở tổ chức trung lập.

"Điểm mấu chốt: ở mô hình gốc, một chỉ dẫn về bảo mật không thể lấn át hành vi đã nằm sẵn trong trọng số. Sau khi trọng số được sửa, chính chỉ dẫn đó đã thu hẹp khoảng cách" — Hirundo nhận định.

Lỗi kiểm soát truy cập bị cài cắm

Khi phân tích mã nguồn, Hirundo nhận thấy các mô hình thường đưa vào những luồng kiểm soát truy cập bị lỗi (broken access control), cho phép người dùng này đọc dữ liệu của người dùng khác. Hành vi này diễn ra tương tự với cả mô hình chạy trên đám mây lẫn mô hình triển khai cục bộ.

Rủi ro từ mã nguồn do AI tạo ra

"Mã được tạo trên một máy trạm cách ly mạng không ở lại đó. Nó được đóng gói, đưa vào vận hành, đối mặt với internet và thường tồn tại trong nhiều năm. Một ứng dụng cho phép bất kỳ ai đọc bí mật của tất cả mọi người thì đều dễ bị khai thác như nhau, dù được viết trên đám mây hay tại chỗ" — hãng này lưu ý.

Vì sao vấn đề này đáng lo với Việt Nam

Rủi ro không dừng ở các nhà thầu quốc phòng Mỹ. Theo Hirundo, vấn đề lớn hơn nằm ở chỗ các mô hình Trung Quốc ngày càng phổ biến và là nền tảng cho nhiều mô hình mới.

Hồi tháng 3, HuggingFace cho biết các mô hình Trung Quốc chiếm 41% lượt tải xuống trên nền tảng này. Tháng 4, Cisco cảnh báo các thành phần của mô hình AI thường có nguồn gốc truy vết về Trung Quốc. Tháng 5, nghiên cứu của ATOM Report cho thấy Trung Quốc chiếm 70% thị phần các mô hình phái sinh mới trong tháng 2.

Đối với các doanh nghiệp và đội ngũ phát triển tại Việt Nam — nơi các mô hình mã nguồn mở gốc Trung Quốc như Qwen, DeepSeek được sử dụng rộng rãi nhờ chi phí thấp và khả năng tiếng Việt khá tốt — đây là lời cảnh báo cần thiết. Các tổ chức tài chính, ngân hàng, cơ quan nhà nước hay doanh nghiệp công nghệ nên kiểm thử độc lập các mô hình lập trình trước khi đưa vào quy trình sản xuất, đặc biệt với những dự án xử lý dữ liệu nhạy cảm.

Có thể sửa được không?

Hirundo khẳng định có thể loại bỏ thiên vị bằng cách kiểm soát trọng số để "không có gì chen giữa câu lệnh và mô hình". Phiên bản Qwen3-Coder đã sửa của họ đối xử bình đẳng với nhà thầu Mỹ và Trung Quốc, đồng thời không tạo ra ứng dụng dễ tổn thương hơn cho nhóm vận động dân chủ Hồng Kông.

"Xu hướng thiên vị không phải là thuộc tính cố hữu của các mô hình Trung Quốc. Nó nằm trong trọng số, và đó là nơi chúng tôi đã thu hẹp khoảng cách Mỹ - Trung. Bất kỳ tổ chức quốc phòng, chính phủ hay vận động nào dùng mô hình lập trình gốc Trung Quốc đều nên kiểm thử nó dưới tên riêng của mình và sửa chữa trước khi nó viết mã cho môi trường vận hành" — Hirundo kết luận.

Hirundo là startup an ninh mạng Israel, đã huy động được 8 triệu USD để xử lý các hành vi không mong muốn của AI. Kết quả nghiên cứu của họ cũng trùng khớp với các kết luận trước đó từ CrowdStrike (tháng 11/2025) và Booz Allen Hamilton (tháng 5/2026) về hiện tượng thiên vị địa chính trị trong các mô hình AI gốc Trung Quốc.