Chiến dịch trích xuất chuỗi suy luận ẩn từ mô hình AI bị triệt phá: Lỗ hổng chưng cất lộ diện

Chuỗi suy luận nội bộ và lý do cần được bảo vệ tuyệt mật

Trên các dòng mô hình AI tập trung vào năng lực lý luận, quá trình tư duy từng bước trước khi đưa ra câu trả lời cuối cùng thường được che giấu kỹ lưỡng. Thay vì hiển thị toàn bộ chuỗi suy nghĩ nội bộ, hệ thống chỉ trả về kết quả đã được chọn lọc và tóm tắt cho người dùng. Phần dữ liệu tư duy ẩn này đóng vai trò sống còn trong việc giải quyết các bài toán toán học phức tạp, lập trình hay suy luận logic đa tầng.

Nếu đối thủ trích xuất được khối lượng lớn chuỗi suy luận chất lượng cao, họ có thể áp dụng kỹ thuật chưng cất mô hình đối kháng để huấn luyện hoặc tinh chỉnh một hệ thống khác với chi phí rẻ hơn nhiều lần. Quá trình đào tạo nền tảng tiêu tốn hàng trăm triệu USD điện toán có thể bị rút ngắn đáng kể nếu một bên khác thu thập được toàn bộ logic giải quyết vấn đề của đơn vị đi đầu mà không phải tự bỏ tài nguyên nghiên cứu.

Diễn biến chiến dịch trích xuất dữ liệu suy luận với 16.000 truy vấn

Theo báo cáo do OpenAI công bố, những dấu hiệu đầu tiên của chiến dịch xuất hiện từ ngày 1/7/2026 với tần suất thấp. Tuy nhiên, hoạt động này bất ngờ leo thang thành đợt truy quét ồ ạt vào ngày 24 và 25/7/2026. Trong hai ngày cao điểm đó, hệ thống máy chủ đã ghi nhận 16.000 yêu cầu trích xuất mang cấu trúc prompt đặc thù, gửi về từ hơn 4.000 tài khoản người dùng khác nhau.

Mở rộng điều tra dấu vết trên toàn bộ hạ tầng, đội ngũ an ninh nhận diện thêm các biến thể prompt tương tự hoạt động trên một cụm mạng lưới gồm hơn 15.000 tài khoản. Đến ngày 28/7/2026, toàn bộ mạng lưới truy vấn bất thường này đã bị vô hiệu hóa hoàn toàn. Dù chiến dịch có thể gồm nhiều bên tham gia, cụm tài khoản hoạt động trọng tâm được xác định do các cá nhân có liên hệ với Moonshot AI điều hành, startup công nghệ đặt trụ sở tại Bắc Kinh nổi tiếng với chatbot Kimi.

Lỗ hổng hoán đổi chuỗi mã hóa giữa các mô hình

Báo cáo kỹ thuật nêu rõ hệ thống cơ sở dữ liệu hay lớp mã hóa máy chủ không hề bị xâm nhập. Kẻ tấn công không tìm cách phá vỡ thuật toán bảo mật, mà thay vào đó đã lợi dụng chính cơ chế vận hành của giao diện tương tác để đánh lừa mô hình.

Cụ thể, những kẻ thực hiện chiến dịch đã sao chép chuỗi suy luận đã mã hóa từ một phiên trò chuyện nhất định, sau đó đưa chuỗi mã hóa này vào một phiên trò chuyện mới hoặc chuyển tiếp sang một mô hình khác trong cùng hệ sinh thái. Tại đây, kẻ tấn công ra lệnh cho mô hình giải mã và phiên âm lại toàn bộ nội dung suy luận bí mật thành văn bản thuần hiển thị trên màn hình.

Kỹ thuật khai thác này hoàn toàn trùng khớp với nghiên cứu độc lập được công bố vào tháng 8/2026 bởi các nhà nghiên cứu từ MATS Research, Viện ELLIS Tübingen và Snyk. Nhóm nghiên cứu chỉ ra rằng các nền tảng AI lớn như Claude, Gemini hay GPT từng có chung một điểm yếu về kiến trúc: các chuỗi suy luận sau khi mã hóa lại có khả năng tương thích chéo và hoán đổi được giữa nhiều phiên, người dùng hoặc mô hình khác nhau. Kẻ tấn công chỉ cần tiêm chuỗi suy luận mã hóa từ mô hình cao cấp vào một mô hình cấp thấp hơn vốn ít lớp rào chắn kiểm duyệt hơn từ cùng một nhà cung cấp, từ đó ép mô hình yếu tự động giải mã nguyên văn mà không cần bẻ khóa trực tiếp mô hình chính.

Áp lực chưng cất tri thức trong cuộc đua AI toàn cầu

Đây không phải lần đầu tiên Moonshot AI đối mặt với cáo buộc liên quan đến việc trích xuất năng lực từ mô hình của đối thủ. Trước đó, Anthropic cũng từng lên tiếng cáo buộc Moonshot AI âm thầm chuyển tiếp các yêu cầu của người dùng sang hệ thống Claude thay vì tự xử lý trên mô hình Kimi.

Sự việc lần này phản ánh áp lực điện toán khổng lồ mà các phòng thí nghiệm AI đang phải đối mặt. Khi rào cản phần cứng và chi phí huấn luyện trước ngày càng tăng cao, kỹ thuật chưng cất tri thức trở thành lối tắt hấp dẫn để thu hẹp khoảng cách công nghệ. Tuy nhiên, việc thực hiện chưng cất trái phép trên quy mô hàng chục nghìn tài khoản vi phạm nghiêm trọng điều khoản dịch vụ và đặt ra bài toán an ninh mới cho các hãng cung cấp API.

Để ngăn chặn triệt để hình thức khai thác này, các kỹ sư bảo mật đã đóng hoàn toàn đường dẫn cho phép người nắm giữ chuỗi mã hóa phát lại nội dung, đồng thời bổ sung các lớp kiểm duyệt trực tiếp trên luồng phản hồi streaming nhằm phát hiện và giữ lại ngay lập tức bất kỳ ký tự suy luận ẩn nào có nguy cơ bị lộ.

Nguồn tham khảo: OpenAI Newsroom, The Hacker News, Tom’s Hardware