25.000 tài khoản giả, một cú đòn kinh tế: Vụ Anthropic tố Alibaba chưng cất AI đang phơi bày điểm mù của cả ngành

Khi câu chuyện còn là hạt giống, tôi đã đào móng. Lần này, hạt giống không nằm trong một hợp đồng thông minh, mà nằm trong 25.000 tài khoản giả mà Anthropic cáo buộc Alibaba đã dùng để hút dữ liệu từ Claude, theo báo cáo từ Crypto Briefing. Nếu anh đang xem đây là một vụ tranh chấp bản quyền AI, anh đã nhìn nhầm tầng. Tôi nhìn thấy một tín hiệu hạ tầng: năng lực của mô hình tốt nhất thế giới có thể bị dịch chuyển bằng một mớ tài khoản rác và một lượng lớn lời gọi API. Model distillation, hay chưng cất mô hình, là kỹ thuật dùng output của một mô hình lớn – teacher model – để huấn luyện một mô hình nhỏ hơn – student model. Trong phòng thí nghiệm, đây là cách nén năng lực, giảm chi phí suy luận. Nhưng khi đưa ra cổng API, nó thành vùng xám: mỗi lần gọi đều được trả tiền, nhưng kết quả học được lại trở thành tài sản của một mô hình khác. OpenAI từng công khai chặn các tài khoản có dấu hiệu hành vi tương tự. Anthropic bây giờ đưa ra con số 25.000, đủ để hiểu họ đã để chiến dịch đi bao xa trước khi siết lại. Theo tôi, việc Anthropic chọn cách công khai thay vì lặng lẽ khóa tài khoản có chủ đích. Họ không chỉ muốn ngăn chặn hành vi; họ muốn thiết lập một câu chuyện. Trong ngành công nghệ, một khi câu chuyện được đóng khung thành “kẻ xâm nhập đến từ một quốc gia thù địch”, thì mọi biện pháp hạn chế tiếp theo đều dễ dàng hơn. Tôi không nói điều đó là sai, nhưng cần nhìn rõ đây là một đòn truyền thông, không chỉ là một thông báo bảo mật. Alibaba không phải một công ty nhỏ. Họ sở hữu Qwen, một trong những dòng mô hình nguồn mở có ảnh hưởng nhất tại Trung Quốc. Nếu cáo buộc là đúng, nó hé lộ một điều khó chịu: ngay cả một tập đoàn có đội ngũ AI riêng vẫn thấy việc hút output từ Claude là đáng giá. Điều đó nói lên khoảng cách giữa một mô hình mở và một mô hình hàng đầu. Nhưng đừng vội quy chụp. Có một khả năng khác: Alibaba có thể dùng Claude để tạo synthetic data cho việc đánh giá hoặc căn chỉnh, chứ không nhất thiết để đào tạo Qwen. Vùng xám này còn nguy hiểm hơn một vụ trộm trắng trợn, bởi nó khó chứng minh, nhưng dư luận thì đã kịp hình thành. Tôi làm trong blockchain đủ lâu để biết rằng rủi ro thật sự không bao giờ nằm trên bề mặt giao diện. Nó nằm ở lớp điều phối. Với AI, lớp điều phối đó là hạ tầng API. 25.000 tài khoản giả không phải là 25.000 con bot chạy cùng một kịch bản. Để chưng cất thành công một mô hình như Claude, anh cần gửi hàng triệu prompt có chọn lọc, nhận output, đối chiếu với câu trả lời của mô hình anh đang xây, rồi lặp lại. Từng tài khoản phải có hành vi giống người dùng thật: độ dài prompt, số token, giờ hoạt động, tỉ lệ bị từ chối. Nếu toàn bộ đều gửi 10.000 token một cách đều đặn, hệ thống phát hiện bất thường sẽ bật đèn đỏ rất nhanh. Nếu nhìn vào cấu trúc hạ tầng, 25.000 tài khoản giả cũng giống như một mạng lưới validator được dựng lên chỉ để bỏ phiếu cho một đề xuất. Sức mạnh không nằm ở một tài khoản đơn lẻ, mà nằm ở việc phối hợp chúng. Điều khó nhất không phải là tạo tài khoản, mà là giữ cho toàn bộ mạng lưới đó không bị phát hiện trong thời gian đủ dài để thu thập dữ liệu có giá trị. Để làm được điều đó, bên vận hành phải có một hệ thống điều phối tập trung hoặc bán tập trung, nơi các nhóm IP, thói quen sử dụng và lịch sử thanh toán được quản lý như một danh mục đầu tư. Thứ đáng chú ý là chi phí bất đối xứng. Bên trích xuất trả phí API; bên bị trích xuất trả chi phí GPU cho mỗi token sinh ra. Càng chưng cất, nhà cung cấp càng phải đốt tiền vào một mô hình mà người khác sắp tái tạo. Với quy mô 25.000 tài khoản, đây trở thành một đòn kinh tế: không cần hack, không cần tấn công trực tiếp, chỉ cần đều đặn cày qua cổng API. Giống như một kẻ dùng hàng nghìn ví rác để hút thanh khoản từ một pool, giao thức vẫn chạy, nhưng dòng tiền thực đã bị bào mòn. Tôi từng audit những hợp đồng vay mà mô hình lãi suất chỉ là một biến số cố định, không liên quan đến cung cầu thực tế. Ngành AI cũng có một kiểu tùy tiện tương tự: nhà cung cấp API định giá cao để bảo vệ tài sản trí tuệ, còn kẻ trích xuất chỉ trả một phần nhỏ. Giá trị của một mô hình không nằm ở số tham số, mà nằm ở những gì người khác có thể học từ output của nó. Khi câu chuyện còn là hạt giống, tôi đã đào móng – và cái móng của vụ này nằm ở chi phí biên của một lần gọi API. Câu chuyện lãi suất của Compound từng khiến tôi tin rằng thị trường tiền tệ có thể được mô hình hóa; nhưng thực tế, các biến số chỉ phản ánh một phần nhỏ. Cũng như vậy, một model card công bố điểm benchmark không cho biết mô hình đó được xây từ đâu. Nếu output từ Claude xuất hiện trong tập huấn luyện của một mô hình khác, benchmark sẽ cải thiện, nhưng không ai thấy được thứ đã được lượm lặt. Đây là lý do vì sao dấu vân tay mô hình sẽ trở thành một thị trường mới lớn hơn chính thị trường AI hiện tại. Góc nhìn phản trực giác là: cho dù cáo buộc có được chứng minh hay không, nó đã phơi bày một điểm mù của toàn ngành. Chúng ta thích kể chuyện “mô hình tốt nhờ dữ liệu tốt và nghiên cứu sâu”. Nhưng một mô hình mạnh có thể bị kéo xuống mức trung bình khá chỉ bằng một chiến dịch API bài bản. Vậy lợi thế thật nằm ở đâu? Tôi không quan tâm Alibaba có đạo văn hay không. Tôi quan tâm đến làn sóng tiếp theo: nếu chi phí để sao chép năng lực thấp hơn chi phí nghiên cứu, thì cuộc chơi sẽ chuyển từ “tạo ra mô hình hay” sang “chứng minh mô hình này là gốc”. Kiểu động lực này tôi đã thấy trong vài năm DeFi. Hàng chục Layer2 ra đời, cùng một kiểu cơ chế bảo mật, cùng một lượng người dùng cơ sở. Đó không phải scaling, mà là cắt nhỏ thanh khoản vốn đã khan hiếm. Ngành AI đang đi vào vết xe đó. Nếu mọi kẻ lớn đều có thể lấy output từ cùng một teacher model để tinh chỉnh student model của mình, hệ sinh thái sẽ tràn ngập những mô hình có khuôn mặt giống nhau, chỉ khác nhãn hiệu. Khi đó, câu chuyện “model mở” mất dần ý nghĩa, giống như một chain không có ứng dụng riêng, chỉ có thanh khoản vay mượn từ một mớ token tổng hợp. Anthropic có thể biến cuộc tấn công này thành một minh chứng cho khẩu hiệu “an toàn, có trách nhiệm” của họ. Họ có thể xuất bản một báo cáo bảo mật, bán dịch vụ phát hiện lạm dụng API, và thu hút thêm khách doanh nghiệp. Nhưng về dài hạn, câu hỏi không phải họ bảo vệ được gì, mà là họ chứng minh được điều gì. Giống như một blockchain phải chứng minh tính cuối cùng của giao dịch, nhà cung cấp AI sẽ phải chứng minh nguồn gốc output. Model fingerprint, watermark, traceability – những khái niệm tôi từng thấy trong nhóm bảo mật smart contract – sẽ trở thành hạ tầng bắt buộc. Khi tôi bắt đầu đầu tư vào AI và crypto, tôi thường lọc dự án bằng một câu hỏi: nhóm này có chịu trách nhiệm với dữ liệu đầu ra không? Hầu hết đều không trả lời được. Vụ Anthropic – Alibaba sẽ buộc tất cả phải trả lời. Giống như DeFi đã phải trải qua nhiều vụ hack để nhận ra audit là chi phí bắt buộc, ngành AI sẽ trải qua những vụ “trích xuất mô hình” để nhận ra rằng bảo vệ API không còn là chuyện riêng của đội bảo mật. Nó là chuyện của ban điều hành. Còn một hệ quả nữa: cơ quan quản lý. Mỹ đã siết xuất khẩu chip; nếu “model distillation” bị xếp vào danh sách rủi ro an ninh quốc gia, các công ty Trung Quốc có thể bị cấm truy cập API từ các phòng thí nghiệm Mỹ một cách hợp pháp. Điều đó sẽ đẩy nhanh nỗ lực tự chủ, tạo ra hai hệ sinh thái AI tách rời. Trong kịch bản đó, blockchain lại xuất hiện: các giao thức xác thực nguồn gốc mô hình, lưu trữ bằng chứng trên sổ cái công khai, sẽ trở thành công cụ ngoại giao kỹ thuật. Alibaba, nếu khôn ngoan, sẽ không chọn đối đầu. Họ sẽ công bố quy trình tuân thủ, mở một cuộc điều tra nội bộ, rồi dùng đúng việc này để thúc đẩy câu chuyện “tự chủ AI”. Bởi lẽ, trên thị trường Trung Quốc, một cáo buộc từ phía Mỹ có thể trở thành chất xúc tác cho chính sách thay thế API nước ngoài. Tôi đã thấy kịch bản đó trong địa chính trị công nghệ: bị cấm thường không giết chết một công ty, mà ngược lại, biến họ thành trung tâm của một hệ sinh thái thay thế. Vấn đề là họ có kịp xây dựng niềm tin với khách quốc tế hay không. Khi câu chuyện còn là hạt giống, tôi đã đào móng. Kẻ săn narrative giỏi nhất sẽ không hỏi “Anthropic có đủ bằng chứng không?” hay “Alibaba có làm thật không?”. Câu hỏi bỏ ngỏ có giá trị hơn gấp nhiều lần: nếu một mô hình hàng đầu có thể bị trích xuất qua 25.000 tài khoản rác, vị thế của mọi mô hình đóng – kể cả những mô hình được định giá hàng chục tỷ USD – mong manh tới mức nào? Khi mọi thứ đều có thể được sao chép, thứ còn lại duy nhất là khả năng chứng minh sự khác biệt. Anh đã chuẩn bị công cụ cho cuộc chứng minh đó chưa?