Tháng 8/2020, tôi đọc mã nguồn Uniswap v2 router. Trong hàm swapExactTokensForETH, tôi thấy một dòng không khớp với amountOutMin. Tôi không cần đọc tiếp — tôi biết đó là lỗi. Bây giờ OpenAI nói Astra "không thể loại trừ" khả năng đạt ngưỡng critical về khai thác zero-day. Nghe có vẻ là một bước tiến lớn. Nhưng với tôi, câu hỏi đầu tiên không phải "Astra mạnh đến đâu", mà là "ai đã chấm điểm Astra?"
Trong thế giới blockchain, câu hỏi đó là bản năng. Tôi đã dành 17 năm nhìn vào code, từ những hợp đồng ERC-20 vỡ nợ mùa ICO 2017 đến những bridge L2 phức tạp. Mỗi lần một dự án nói "an toàn", tôi đều hỏi: bằng chứng ở đâu? Ai kiểm tra? Làm thế nào để tôi tự mình xác minh?
Bây giờ OpenAI công bố Astra — một mô hình AI được đánh giá trên Preparedness Framework, khung quản lý rủi ro nội bộ của họ. Mức cao nhất, "Critical", được mô tả như một hệ thống có thể tự động phát hiện và khai thác zero-day trên các hệ thống thực, không cần con người can thiệp. Mô hình trước đó, GPT-5.6-Sol, chỉ đạt "High". Astra được xếp ngang hoặc trên, và OpenAI lập tức tạm dừng một số hoạt động nội bộ để siết lại các kiểm soát an toàn.
Đọc kỹ, tôi thấy ngay một điều quen thuộc: người ta đang dùng ngôn ngữ của sự thận trọng để nói về một tuyên bố cực kỳ lớn. Trong audit smart contract, khi tôi tìm thấy một lỗi batchTransfer trong ShibeCoin, tôi không viết "chúng tôi không thể loại trừ khả năng bị tấn công." Tôi viết: đây là hàm, đây là cách khai thác, đây là kết quả. Còn OpenAI lại chọn cụm từ "cannot exclude" — không thể loại trừ. Đó không phải là một phát hiện kỹ thuật. Đó là một quyết định chính sách.
Hãy để tôi phân tích ba lỗ hổng logic trong tuyên bố Astra như thể tôi đang audit một hợp đồng thông minh.
Lỗ hổng #1: "Cannot exclude" là một mệnh đề không thể kiểm chứng.
Trong kỹ thuật, bạn không bao giờ kết luận dựa trên "không thể loại trừ". Bạn hoặc tái lập được lỗi, hoặc không. Khi một dự án ICO nói với tôi "hợp đồng của chúng tôi không thể bị tấn công", tôi yêu cầu họ đưa tôi môi trường test. Nếu họ không đưa, tôi coi đó là red flag. Tương tự, OpenAI không công bố benchmark, không công bố phương pháp đánh giá, không công bố kết quả thử nghiệm. Họ chỉ nói "cannot exclude". Với một nhà audit, một tuyên bố không thể kiểm chứng không khác gì một hàm transfer không kiểm tra msg.value — nó có thể được gọi từ bất cứ đâu, và bạn không biết điều gì sẽ xảy ra.
Lỗ hổng #2: Không có môi trường đánh giá công khai.
Khi tôi audit Uniswap v2 router, tôi có toàn bộ mã nguồn, ABI, test case, và môi trường chạy. Tôi có thể trace từng dòng, từng calldata, từng tham số. Còn Astra? Không có bộ dữ liệu công khai, không có bộ kiểm tra chuẩn hóa, không có sandbox mà người ngoài có thể chạy thử. Bạn không thể gọi một API và yêu cầu Astra thử tấn công một hệ thống bạn kiểm soát. Mọi thứ đều nằm trong hộp đen của OpenAI. Trong blockchain, một hợp đồng không có source code verified thường bị nghi ngờ. Ở đây, thứ cần được verified không phải là mã nguồn của Astra, mà là bộ đánh giá được dùng để xếp hạng Astra.
Lỗ hổng #3: Xung đột lợi ích hoàn hảo.
OpenAI vừa là nhà phát triển, vừa là người chấm điểm, vừa là người tạm dừng. Đây là một sàn giao dịch tự công bố dự trữ của mình và tự đóng cửa khi "phát hiện" rủi ro. Nghe thì an toàn, nhưng thực chất là một vòng tròn khép kín không có bên thứ ba. Trong DeFi, chúng ta có một nguyên tắc: don't trust, verify. Nhưng với Astra, bạn không có gì để verify. Bạn chỉ có một câu chuyện.
Điểm mù thực sự nằm ở đây: không phải Astra có thể khai thác zero-day hay không. Mà là một thực thể tập trung quyền đánh giá về sự nguy hiểm của chính mình. Điều này còn nguy hiểm hơn bất kỳ một lỗ hổng nào trong mô hình AI. Vì nếu Astra thật sự nguy hiểm, bạn sẽ không bao giờ biết cho đến khi OpenAI quyết định nói cho bạn biết. Và nếu Astra không nguy hiểm, bạn cũng không bao giờ biết liệu tuyên bố "critical" có phải là một chiến thuật PR để dựng lên hình ảnh "phòng thí nghiệm tiên phong có trách nhiệm" hay không.
Tôi nhớ năm 2021, khi tôi audit CryptoPunks v3, tôi phát hiện ra một điều thú vị: metadata có thể bị thay đổi sau mint. Điều đó khiến toàn bộ câu chuyện "hiếm có" trở thành trò đùa. Nhưng dự án vẫn được định giá hàng tỷ USD. Bởi vì thị trường không quan tâm đến bằng chứng — nó quan tâm đến câu chuyện. Bây giờ, trong lúc thị trường crypto đang sôi động với những câu chuyện AI agent và tự động hóa, tuyên bố Astra của OpenAI giống hệt một câu chuyện như vậy: nó tạo ra cảm giác về một thứ gì đó lớn lao, nguy hiểm, và do đó, đáng giá.
Nhưng với một người làm audit, cảm giác không phải là bằng chứng. Hãy nhìn vào các sự kiện gần đây. OpenAI nói họ "tạm dừng một số hoạt động nội bộ" — nhưng không nói rõ hoạt động nào. Họ nói Astra "không thể loại trừ" — nhưng không nói rõ ngưỡng đó được đo bằng cách nào. Họ nói đây là lần đầu tiên một mô hình chạm ngưỡng critical — nhưng không công bố dữ liệu. Nếu đây là một audit report, tôi sẽ đánh dấu nó là "không kết luận được" và yêu cầu bổ sung tài liệu.
Có một chi tiết khiến tôi chú ý: OpenAI cố tình tách Astra khỏi "sự cố bảo mật Hugging Face" gần đây. Điều đó cho thấy họ lo ngại công chúng sẽ liên tưởng đến một sự cố thực tế. Nhưng nếu Astra thật sự mạnh, tại sao phải lo lắng về một sự liên tưởng? Trong thị trường tăng này, khi mọi dự án AI agent đều khoe khoang về khả năng tự động hóa, việc OpenAI "thú nhận" một cách mơ hồ về năng lực nguy hiểm của mình có thể là một cách để định vị — chứ không phải để cảnh báo.
Vào tháng 5/2022, tôi tìm ra một lỗi trong validateProof của Arbitrum Nitro bridge — nó không kiểm tra seqNum tăng dần, có thể dẫn đến double-spend. Tôi đã tự build môi trường test local, reproduce lỗi, rồi mới báo cáo. Nếu tôi là OpenAI và tôi có một lỗ hổng nghiêm trọng trong tay, tôi sẽ không viết một blog để thông báo. Tôi sẽ sửa nó, rồi mới nói chuyện. Việc họ công bố trước khi có giải pháp cho thấy đây là một thông điệp chính trị, không phải một cảnh báo kỹ thuật.
Hãy nghĩ về điều này như một smart contract. Một smart contract đáng tin cậy không phải là một contract có ít lỗi. Một smart contract đáng tin cậy là một contract mà bất kỳ ai cũng có thể đọc, kiểm tra, và dự đoán chính xác hành vi của nó. AI safety cũng vậy. Một hệ thống an toàn thật sự không phải là một hệ thống nói rằng nó an toàn. Một hệ thống an toàn thật sự là một hệ thống mà bạn có thể kiểm tra từ bên ngoài. OpenAI có thể xây dựng một bộ đánh giá chuẩn hóa, công bố mã nguồn của bộ đánh giá, mời các phòng thí nghiệm độc lập tham gia — nhưng họ không làm. Thay vào đó, họ đưa ra một thông cáo. Và thông cáo đó, dưới con mắt của một nhà audit, là một smart contract không có địa chỉ.
Mã nguồn không nói dối. Con người thì luôn nói dối. Khi bạn không thể kiểm tra, bạn đang chấp nhận rủi ro mù. Một hệ thống an toàn mà không ai kiểm tra được thì giống như một chiếc khóa mà chỉ người bán khóa giữ chìa. Và trong bối cảnh hiện tại, khi thị trường đang FOMO với mọi thứ liên quan đến AI, câu chuyện Astra có thể là một chiếc khóa đẹp — nhưng không ai biết ổ khóa đó mở được cánh cửa nào.
Kết lại, câu hỏi dành cho bạn: Bạn có tin một hệ thống tự chấm điểm chính nó là nguy hiểm, rồi tự dừng hoạt động để bạn yên tâm? Tôi thì không. Trong thị trường này, nơi mọi người đang đổ tiền vào những câu chuyện AI mà không hiểu công nghệ, tôi chỉ có một lời khuyên: hãy yêu cầu bằng chứng. Nếu không có bằng chứng, câu chuyện "OpenAI tự kiềm chế" chỉ là một đoạn log đẹp trong một hệ thống mà bạn không có quyền đọc. Và trong bảo mật, một đoạn log đẹp không bao giờ thay thế được một lỗ hổng đã được vá.