Chỉ với ba câu ngắn, Crypto Briefing đã phác ra một bức tranh mà hầu hết nhà đầu tư bỏ qua: Nvidia, Cisco và CrowdStrike đều đang xây dựng sổ tay an toàn AI riêng. Không ai công bố nội dung. Không ai công bố phiên bản. Không ai đưa ra cơ chế kiểm toán. Nếu bạn đọc bản tin này bằng con mắt của một nhà phân tích blockchain, điểm bất thường đầu tiên không phải là “có thêm ba cuốn sổ tay”, mà là “ba thực thể cùng xây một lớp hạ tầng nhưng không ai dùng chung một chuẩn kết nối”. Điều đó giống hệt câu chuyện các Layer2 hiện nay: cùng mục đích, khác chuẩn, chia cắt thanh khoản.
Một bài viết về an toàn AI không trích dẫn một dòng code, không nêu tên một cuộc tấn công cụ thể, cũng không giải thích “playbook” của ba công ty này khác nhau như thế nào. Nó chỉ có một thông điệp duy nhất: an toàn AI đang trở thành một cuộc đua, và mỗi công ty tự chọn đường cho riêng mình. Với tôi, đó không phải tin tức. Đó là dấu hiệu của một thị trường rủi ro.
Trong blockchain, khái niệm “sổ tay an toàn” có một cái tên khác: quy trình kiểm toán. Năm 2018, tôi dành ba tháng đọc mã nguồn hợp đồng thông minh 0x protocol v2. Whitepaper của dự án gọn gàng, thuyết phục. Nhưng chỉ khi tôi mở code, tôi mới phát hiện một lỗi logic có thể khiến pool thanh khoản mất 2.000 ETH. Tôi đã học được bài học quan trọng nhất trong sự nghiệp của mình: whitepaper là lời hứa, code là bằng chứng. Một sổ tay an toàn AI không có cơ chế xác minh cũng chỉ là một whitepaper dài hơi.
Nvidia, Cisco và CrowdStrike không phải những công ty nhỏ. Họ là ba tầng khác nhau của hạ tầng AI. Nvidia nắm phần cứng và runtime; Cisco nắm hạ tầng mạng và dữ liệu telemetry; CrowdStrike nắm endpoint và tín hiệu tấn công. Nếu ghép lại, họ có thể tạo ra một bức tranh khá đầy đủ về một hệ thống AI: model chạy trên GPU, kết nối qua mạng, tương tác với thiết bị cuối. Nhưng trong thực tế, mỗi người đang nhìn một mảnh của cùng một tấm gương vỡ. Và tấm gương vỡ thì không thể phản chiếu toàn cảnh mối đe dọa.
Điều này đưa tôi đến một giả định cần được xem xét lại. Lỗi không đến từ code, mà từ giả định. Giả định đầu tiên: một sổ tay an toàn AI là một tài liệu tĩnh có thể bảo vệ khỏi một hệ thống thay đổi động. Thực tế là một mô hình AI hôm nay có thể được cập nhật trọng số, thay đổi prompt, thay đổi pipeline dữ liệu, chỉ trong vài phút. Nếu sổ tay không được gắn với phiên bản cụ thể, nó sẽ nhanh chóng trở thành tài liệu lịch sử, không còn điều khiển hệ thống thực tế.
Hãy tưởng tượng bạn đang kiểm toán một hợp đồng thông minh có quyền nâng cấp. Hợp đồng có thể được thay bằng một implementation mới bất cứ lúc nào, và người dùng không có cách nào biết liệu implementation mới có giữ đúng các điều kiện an toàn mà họ đã kiểm tra. Đó chính là cấu trúc mà ba cuốn sổ tay an toàn AI này đang có. Nvidia có thể viết “chúng tôi sẽ red-team mọi mô hình trước khi phát hành”, nhưng nếu không có một cơ chế ràng buộc phiên bản, câu nói đó chỉ là một chuỗi ký tự không có semantic.
Tôi thường nói với các đội ngũ startup: hãy coi quy trình bảo mật của bạn như một smart contract. Điều đầu tiên không phải là nội dung, mà là khả năng chứng minh bạn đang thực thi đúng phiên bản đã được phê duyệt. Một smart contract thường có địa chỉ, có mã nguồn verify trên block explorer, có lịch sử giao dịch. Một sổ tay an toàn AI nên có hàm băm, có chữ ký số, có nhật ký thay đổi. Nhưng ba cuốn sổ tay này, theo bản tin của Crypto Briefing, không có bất kỳ thông tin nào như vậy.
Đừng vội đổ lỗi cho Crypto Briefing. Bài báo chỉ phản ánh hiện trạng. Cả ngành AI an toàn đang đứng trước một bài toán mà blockchain đã giải quyết từ lâu: làm sao để nhiều bên không tin nhau cùng vận hành một hệ thống chung, mà vẫn có thể kiểm chứng lẫn nhau. Câu trả lời của blockchain là một chuỗi khối bất biến. Nếu Nvidia, Cisco, CrowdStrike thực sự nghiêm túc với an toàn AI, họ sẽ không bắt đầu bằng những bản PDF nội bộ. Họ sẽ bắt đầu bằng một registry on-chain: mỗi phiên bản sổ tay là một root hash; mỗi thay đổi là một transaction có chữ ký; mỗi tuyên bố an toàn là một proof có thể kiểm tra.
Nhưng điều đó gần như chắc chắn sẽ không xảy ra trong ngắn hạn. Vì sao? Vì ba công ty này đang cạnh tranh ở các tầng khác nhau, và sổ tay an toàn AI cũng là một phần của sản phẩm. Nếu Nvidia công bố sổ tay của họ lên chain, họ sẽ tạo ra một chuẩn mà Cisco và CrowdStrike có thể so sánh. Còn nếu không công bố, họ vẫn giữ được quyền định nghĩa “an toàn” theo cách có lợi cho mình. Điều này khiến tôi nhớ đến cuộc đua thuật toán đồng thuận năm 2019. Các dự án đều xuất bản whitepaper dày hàng chục trang, nhưng hầu hết không bao giờ công bố benchmark trung thực. Mã nguồn mở trên GitHub tràn ngập, nhưng mã nguồn mở không có nghĩa là tin tưởng. Mã nguồn mở chỉ có nghĩa là bạn được phép nhìn. Tin tưởng là một giao thức xác minh, không phải một thư mục công khai.
Nếu một công ty AI công bố “playbook” trên GitHub, công chúng vẫn không thể biết họ có thực thi nó hay không. Không có bằng chứng rằng mô hình production đang chạy khớp với cấu hình trong playbook. Không có bằng chứng rằng team vận hành đã tuân thủ đúng quy trình trước khi deploy. Điều này giống như kiểm toán một sàn giao dịch tập trung trong thị trường gấu: bạn thấy một website có địa chỉ ví, có đội ngũ, có blog, nhưng bạn không thấy dòng tiền thực sự. Cho đến khi có bằng chứng dự trữ, mọi lời hứa đều chỉ là một mục trong bảng tính.
Kinh nghiệm của tôi trong DeFi Summer 2020 cho tôi một góc nhìn khác. Khi tôi viết script kiểm tra 500 pool thanh khoản Uniswap v2, tôi phát hiện 12 pool có độ trượt giá bất thường. Những pool đó không sụp đổ ngay lập tức, nhưng chúng là những bộ phận yếu nhất trong một hệ thống phụ thuộc lẫn nhau. AI an toàn cũng vậy. Sổ tay an toàn của một công ty có thể tốt, nhưng nếu công ty khác trong cùng chuỗi cung ứng không có tiêu chuẩn tương đương, kẻ tấn công sẽ đi qua mắt xích yếu nhất. Điều này dẫn đến một câu hỏi quan trọng: liệu ba “playbook” riêng lẻ có thể bảo vệ một hệ sinh thái đòi hỏi phối hợp liên tục giữa hardware, network và endpoint? Câu trả lời gần như chắc chắn là không.
Để hiểu tại sao “không”, hãy nhìn vào cách Nvidia, Cisco và CrowdStrike định nghĩa rủi ro. Nvidia có thể định nghĩa an toàn bằng benchmark độ chính xác trên GPU; Cisco có thể định nghĩa bằng khả năng phát hiện dòng chảy bất thường trên mạng; CrowdStrike có thể định nghĩa bằng số lượng endpoint bị chặn. Mỗi định nghĩa là một mảnh ghép. Mảnh ghép nào cũng cần thiết, nhưng không mảnh nào đủ điều kiện để trở thành một tầng xác minh chung. Trong khi đó, một vụ tấn công AI thực tế có thể bắt đầu từ một dữ liệu huấn luyện độc hại, đi qua một mô hình, sau đó khai thác một lỗ hổng ở endpoint. Mỗi giai đoạn sẽ được ghi nhận bởi một công ty khác nhau, với một sổ tay khác nhau, và không ai có thể nối các sự kiện lại với nhau.
Đây chính là điểm mà blockchain có thể tạo ra một thị trường xác minh mới – nếu các công ty chấp nhận nó. Một hệ thống an toàn AI không cần phải công khai toàn bộ dữ liệu nhạy cảm. Zero-knowledge proof có thể chứng minh rằng một mô hình được huấn luyện trên đúng tập dữ liệu đã phê duyệt, mà không tiết lộ tập dữ liệu đó. Nó có thể chứng minh rằng một giai đoạn inference đã chạy trên một phiên bản đã được red-team, mà không tiết lộ prompt hay output. Nó có thể chứng minh rằng toàn bộ chuỗi cung ứng AI đang ở trạng thái khớp với cam kết ban đầu. Nhưng tất cả những điều này chỉ hoạt động khi có một nơi lưu trữ bất biến để đối chiếu. Blockchain không phải là “công nghệ mới” trong bức tranh này. Nó là một lớp dẫn chứng.
Năm 2022, khi thị trường gấu khiến tôi rút vào nghiên cứu zk-SNARKs, tôi dành sáu tháng để đọc hơn 20 bài báo và phân tích mã nguồn của Zcash. Kinh nghiệm đó thay đổi cách nhìn của tôi về mọi hệ thống an toàn. Trước đây tôi hỏi: “code này có đúng không?”. Sau đó tôi bắt đầu hỏi: “làm sao để tôi biết code này đúng, trong khi tôi không có quyền truy cập toàn bộ hệ thống?”. Với AI, câu hỏi thứ hai quan trọng hơn nhiều. Chúng ta sẽ không bao giờ có thể nhìn vào bên trong mọi mô hình, mọi dây chuyền dữ liệu, mọi môi trường chạy. Vì vậy, chúng ta cần một hệ thống bằng chứng, không chỉ một bộ nguyên tắc. Nếu ba công ty này viết sổ tay để trả lời câu hỏi “nội quy của chúng tôi là gì”, họ đang trả lời sai câu hỏi. Câu hỏi đúng là: “bằng chứng nào cho thấy nội quy được tuân thủ?”.
Giờ hãy nói về một khía cạnh phản trực giác. Chính sự tồn tại của các sổ tay an toàn AI có thể làm tăng rủi ro pháp lý và vận hành. Khi một công ty viết ra một bản cam kết chi tiết, công ty đó tự tạo ra một thước đo trách nhiệm pháp lý. Nếu một sự cố AI xảy ra, tòa án và cơ quan quản lý sẽ không hỏi “bạn có sổ tay không?”, họ sẽ hỏi “bạn có thực thi đúng từng cam kết trong sổ tay không?”. Mỗi câu chữ trong tài liệu trở thành một vector tấn công. Điều này giải thích vì sao các công ty thường miễn cưỡng công bố nội dung chi tiết của các tài liệu này. Họ lo rằng khi công bố, họ đang tạo ra một tiêu chuẩn so sánh cho đối thủ cạnh tranh và một danh sách cáo buộc cho luật sư.
Lỗi không đến từ code, mà từ giả định. Giả định thứ hai: một sổ tay an toàn AI được viết ra là để bảo vệ người dùng. Thực tế, trong một thị trường giảm và một môi trường quản lý siết chặt, một sổ tay như vậy thường được viết để bảo vệ nhà sản xuất khỏi trách nhiệm pháp lý, chứ không phải để bảo vệ người dùng. Nó giống một bản tuyên bố từ chối trách nhiệm hơn là một cơ chế kỹ thuật. Điều này nghe có vẻ hoài nghi, nhưng nếu bạn đã từng ngồi trong phòng họp của một công ty lớn trước đợt ra mắt sản phẩm AI, bạn sẽ thấy các luật sư có tiếng nói lớn hơn kỹ sư. Sổ tay an toàn AI vì thế có thể trở thành một lớp sơn hào nhoáng trên một hệ thống vẫn đầy lỗ hổng.
Tôi từng xây dựng một framework kiểm thử quy định dựa trên zk-proofs vào năm 2025. Đó là 1.000 dòng mã Python để tự động phát hiện các hợp đồng thông minh có dấu hiệu vi phạm tiêu chuẩn mới. Độ chính xác đạt 98%, nhưng tôi nhận ra một điều thú vị: phần khó nhất không phải thuật toán, mà là dữ liệu đầu vào. Muốn kiểm tra một hợp đồng, bạn phải biết nó được triển khai ở đâu, phiên bản nào, ai ký. Nếu các công ty AI không cung cấp những thông tin đó, một framework có thông minh đến đâu cũng chỉ là một cỗ máy nhìn vào bóng tối. Điều tương tự sẽ xảy ra với các cơ quan quản lý AI khi họ muốn đọc một cuốn sổ tay an toàn AI: họ chỉ nhìn thấy bìa sổ tay, không thấy thực thi.
Đó là lý do vì sao tôi cho rằng sự xuất hiện của ba “playbook” riêng lẻ không phải là tín hiệu tốt. Trong blockchain, chúng ta đã có quá nhiều Layer2 với cùng một bài toán thanh khoản. Mỗi Layer2 tuyên bố là “scaling giải pháp”, nhưng thực tế chúng cắt nhỏ thanh khoản vốn đã khan hiếm. Ba sổ tay an toàn AI này cũng vậy. Họ đang cắt nhỏ chuyên môn an toàn vốn đã rất hiếm. Mỗi công ty sẽ phải xây dựng từ đầu các quy trình, tiêu chuẩn, thang đo rủi ro; mỗi công ty sẽ phải thuê những kỹ sư AI safety vốn đang khan hiếm; mỗi công ty sẽ biện minh cho sự khác biệt của mình bằng những lý do kỹ thuật riêng. Nhưng người dùng cuối chỉ cần một chuẩn mực: bằng chứng rằng sản phẩm an toàn, không phải một bài thuyết trình về giá trị.
Có một câu hỏi mà tôi thường đặt khi audit các giao thức mới: “Nếu xảy ra sự cố, dấu vết nằm ở đâu?”. Với một giao thức DeFi, bạn có block explorer, có transaction hash, có đội ngũ có thể bị pháp lý truy vấn. Với một hệ thống AI vận hành bởi ba sổ tay an toàn riêng lẻ, dấu vết nằm ở đâu? Trong email nội bộ? Trong Slack? Trong một bảng tính không ai cập nhật? Nếu không có một lớp sổ cái bất biến, mọi điều tra sau sự cố sẽ phụ thuộc vào lời khai của chính những người gây ra sự cố. Đó không phải là một hệ thống an toàn. Đó là một hệ thống niềm tin.
“Mã nguồn mở không có nghĩa là tin tưởng” – câu nói này cần được mở rộng: “sổ tay mở cũng không có nghĩa là tin tưởng”. Một tài liệu công khai không tự động tạo ra bằng chứng. Công khai chỉ giúp mọi người đọc. Cái mà ngành AI cần là một lớp proof: proof rằng mô hình production khớp với mô hình đã kiểm định; proof rằng dữ liệu huấn luyện không bị nhiễm độc; proof rằng mọi thay đổi sau khi kiểm định đều có chữ ký của đúng bên chịu trách nhiệm. Nếu ba sổ tay an toàn AI này không kèm theo những proof đó, chúng chỉ là những văn bản hành chính. Và một văn bản hành chính không bao giờ ngăn được một cuộc tấn công.
Trong bối cảnh thị trường đang giảm, điều này càng trở nên khẩn cấp. Khi ngân sách bị cắt giảm, các phòng ban an toàn thường là nơi bị ảnh hưởng đầu tiên. Sổ tay an toàn AI có thể không bị xóa, nhưng nhân sự phụ trách việc cập nhật nó có thể bị giảm. Một tài liệu dày 50 trang được viết vào tháng Một, nhưng đến tháng Sáu, mô hình đã thay đổi, dữ liệu đã thay đổi, và cuốn sổ tay không còn mô tả hệ thống thực tế. Đây là một dạng “mục nát kỹ thuật” mà các nhà kiểm toán rất quen thuộc. Nó không tạo ra tiếng ồn, không tạo ra sự cố, nhưng nó làm mất đi khả năng nhận diện rủi ro trước khi rủi ro xảy ra.
Liệu blockchain có phải là câu trả lời duy nhất? Không. Nhưng nó là một trong những công cụ ít ỏi có thể tạo ra lớp kiểm chứng bên ngoài. Nếu Nvidia, Cisco và CrowdStrike không muốn dùng blockchain, họ cần đưa ra một cơ chế thay thế có độ tin cậy tương đương. Họ có thể công bố một bảng cam kết được ký số, rồi xuất bản định kỳ báo cáo đối chiếu lên một trang web công khai. Về bản chất, đó vẫn là một sổ cái tập trung. Câu hỏi không phải là “dùng blockchain hay không”, mà là “bạn có chấp nhận đặt bằng chứng vào một nơi mà bạn không thể kiểm soát sau khi ghi không?”. Nếu câu trả lời là “không” hoặc “chúng tôi cần xem xét”, thì đó đã là một câu trả lời.
Người ta có thể lập luận rằng an toàn AI không thể gói gọn trong các giao thức mật mã, bởi vì rủi ro AI không hoàn toàn là vấn đề kỹ thuật. Đúng. Nhưng hãy nhìn lại lịch sử của chính blockchain. Hợp đồng thông minh không giải quyết được tranh chấp con người, nhưng nó đã buộc mọi bên phải xác định rõ quyền và nghĩa vụ trước khi đặt tài sản vào hệ thống. Một sổ tay an toàn AI, nếu được xây dựng đúng, cũng nên làm điều tương tự: buộc nhà phát triển, nhà vận hành và người dùng phải thống nhất một tập các điều kiện có thể kiểm chứng. Và nếu không có công cụ mật mã, những điều kiện đó sẽ trở thành những lời hứa suông.
Trở lại với bản tin của Crypto Briefing. Điều đáng chú ý không phải là ba cái tên trong tiêu đề. Điều đáng chú ý là cách câu chuyện được kể: mỗi công ty có một “playbook”. Không có “standard”, không có “framework dùng chung”, không có “audit chéo”. Ngôn ngữ của bài báo phản chiếu thực tế phân mảnh. Khi cả một ngành xây dựng các lớp bảo vệ mà không có một lớp kết nối, chúng ta không nên gọi đó là tiến bộ. Chúng ta nên gọi đó là tái lập lại một thất bại quen thuộc: các bên tham gia cùng chạy về một mục tiêu, nhưng không bên nào thực sự nói cùng một ngôn ngữ.
Tôi nhớ lại một vụ việc trong thị trường gấu năm 2022, khi một giao thức có TVL lớn và audit đầy đủ vẫn sụp đổ vì một lỗi logic trong cầu nối. Đội ngũ phát triển đã tuân thủ đúng quy trình nội bộ. Họ có playbook, có checklist, có nhiều lần review. Nhưng họ không có một cái nhìn liên mạng. Lỗi không nằm ở code cầu nối – lỗi nằm ở giả định rằng các thành phần khác nhau có thể an toàn khi được ghép lại mà không cần một lớp xác minh tổng thể. Lỗi không đến từ code, mà từ giả định. Giả định thứ ba: ba sổ tay riêng lẻ có thể tạo thành một hệ thống an toàn chỉ vì chúng cùng tồn tại trên thị trường. Thực tế, sự cùng tồn tại không tạo ra sự phối hợp. Một chuỗi khối có giá trị vì các nút không tin nhau nhưng vẫn đạt được trạng thái thống nhất. Ba cuốn sổ tay này không đạt được trạng thái nào cả.
Vậy bài học cho các builder blockchain tại Việt Nam là gì? Đừng chỉ nhìn AI như một cơ hội để thêm từ “AI” vào sản phẩm. Hãy nhìn AI như một mảnh ghép trong một hệ thống rủi ro. Nếu bạn đang xây một sản phẩm AI kết hợp với blockchain, ngay từ đầu hãy thiết kế một lớp dấu vết bất biến. Hãy xuất bản các thông số mô hình lên chain. Hãy để người dùng có thể kiểm tra phiên bản model đang vận hành. Hãy xây một cơ chế cảnh báo khi mô hình thay đổi mà không có chữ ký phù hợp. Điều này không chỉ tạo niềm tin, mà còn tạo ra một rào cản cạnh tranh: người dùng sẽ không tin một công ty AI không thể chứng minh họ đang chạy đúng phiên bản đã hứa.
Cuối cùng, tôi không quan tâm Nvidia, Cisco hay CrowdStrike viết gì trong sổ tay của họ. Tôi quan tâm họ có để một cơ chế bên ngoài kiểm chứng việc thực thi hay không. Một sổ tay an toàn AI chỉ đáng giá khi nó được thiết kế như một hệ thống có khả năng bị kiểm tra. Nó phải có phiên bản, có chữ ký, có nguồn gốc dữ liệu, có proof. Nếu không, nó chỉ là một bài tập PR. Và trong một thị trường giảm, PR không bao giờ trả hóa đơn khi sự cố xảy ra.
Ba công ty lớn, ba cuốn sổ tay, không một ai sẵn sàng mở lớp kiểm chứng. Với tôi, đó không phải là ba bước tiến. Đó là một lời nhắc lớn: lớp bảo mật đắt đỏ nhất trong AI có thể đang được viết trên giấy thay vì được chứng minh bằng mật mã. Câu hỏi duy nhất còn lại là liệu thị trường có đợi đến sau vụ sụp đổ đầu tiên để nhận ra điều đó hay không.