AI safety từng chủ yếu thử model trong phòng lab: Bài toán mới là học từ những người đang cố lạm dụng nó ngoài đời

Một model có thể vượt qua hàng nghìn bài safety evaluation trước khi phát hành rồi vẫn gặp một kiểu lạm dụng mà đội red team chưa từng nghĩ tới. Lý do khá đơn giản: người kiểm thử biết mình đang tìm lỗi trong một khoảng thời gian hữu hạn; kẻ muốn lạm dụng dịch vụ có thể thử hàng tuần, đổi tài khoản, che giấu mục đích, chia một kế hoạch qua nhiều phiên và ghép nhiều model với các công cụ ngoài nền tảng.

Đó là lý do AI safety đang có thêm một nguồn dữ liệu khác với benchmark: chính những lần model bị cố tình lạm dụng sau khi deployment. Báo cáo Threat Intelligence ngày 10/9/2026 của Anthropic mô tả các hoạt động mà hãng phát hiện từ tháng 12/2025 tới tháng 8/2026 trong bảy nhóm rủi ro, từ cyber operations và fraud tới surveillance, weapons development, biological misuse và illicit distillation. Sau mỗi cuộc điều tra, Anthropic cho biết họ không chỉ khóa tài khoản mà còn đưa tactic và behavioral signature quan sát được trở lại hệ thống phát hiện, safeguard và trong một số trường hợp cả quá trình huấn luyện model.

OpenAI đang xây một vòng lặp tương tự từ phía khác. Ngoài red-teaming và eval trước release, hãng đã bắt đầu dùng Deployment Simulation để replay các hội thoại trước đây theo cách bảo vệ riêng tư với model ứng viên, nhằm xem model mới sẽ xử lý những tình huống giống deployment thật như thế nào. Với các agent dùng nội bộ, OpenAI còn báo cáo rằng một số failure chỉ xuất hiện sau khi model được đặt vào workflow dài và nhiều tool; các failure đó sau đó được biến thành eval và safeguard mới.

AI safety vì thế ngày càng giống security engineering hơn là một kỳ thi trước ngày ra mắt: model được kiểm tra, đưa vào môi trường thật có giám sát, quan sát incident, học từ incident rồi cập nhật phòng thủ.

Red team có một bất lợi: họ phải tưởng tượng kẻ xấu sẽ làm gì

Pre-deployment evaluation vẫn là lớp phòng thủ không thể bỏ. Nó cho phép lab chủ động kiểm tra model trên những capability nguy hiểm trước khi hàng triệu người có thể truy cập, từ tạo mã độc tới hỗ trợ sinh học rủi ro cao. Red team còn có thể cố tình đẩy model vào các trường hợp cực đoan mà traffic thông thường hiếm gặp.

Nhưng mọi benchmark đều phải chọn trước một phân bố tình huống. Nếu bài test chỉ chứa jailbreak một phiên, nó khó đo được một actor dành nhiều ngày xây context rồi dần dần tách một mục tiêu nguy hiểm thành các yêu cầu trông vô hại. Nếu eval giả định một model duy nhất, nó cũng không phản ánh actor dùng model A để nghiên cứu, model B để viết code và model C để sửa output.

Anthropic nêu chính vấn đề này trong báo cáo tháng 9. Ở một số case, actor che giấu sản phẩm cuối cùng mà code sẽ phục vụ hoặc chia công việc qua nhiều session để không có một hội thoại nào thể hiện trọn vẹn ý định. Trong các hoạt động khác, họ dùng relay, proxy hoặc chuyển prompt tới model khác khi một provider từ chối.

OpenAI cũng kết luận từ các threat report của mình rằng malicious activity thường không nằm trọn trên một platform và các actor hay ghép AI vào workflow đã tồn tại sẵn — website, social account, infrastructure và công cụ truyền thống — thay vì biến một chatbot thành toàn bộ chiến dịch.

Điều này làm thay đổi đơn vị mà safety system cần quan sát. Một prompt đơn lẻ có thể hoàn toàn vô hại; chuỗi hành vi của cùng actor qua nhiều phiên mới cho thấy pattern đáng ngờ.

Từ một incident đến classifier mới

Một hệ thống post-deployment safety có thể được hình dung như một vòng lặp bốn bước.

1. Detection: automated system hoặc human analyst phát hiện tín hiệu bất thường trong usage, account behavior hay tool activity.
2. Investigation: đội threat intelligence cố xác định đây là false positive, nghiên cứu hợp pháp hay một operation thực sự vi phạm policy.
3. Disruption: tài khoản, API access hoặc infrastructure liên quan có thể bị chặn; nếu hoạt động vượt ra ngoài platform, provider có thể chia sẻ indicator với đối tác hoặc cơ quan phù hợp.
4. Learning: dấu hiệu, tactic và failure mode mới được biến thành detection rule, classifier, eval, policy hoặc training signal cho model tiếp theo.

Bước cuối mới là phần khiến telemetry ngoài đời khác một hệ thống moderation thông thường. Mục tiêu không chỉ là bắt cùng một actor lần nữa, mà là biến một cuộc điều tra cụ thể thành khả năng nhận biết cả một lớp hành vi tương tự.

Anthropic nói rõ rằng sau khi xác định operation, hãng đưa các tactic và hành vi mới vào detection system. Trong một số case surveillance, hãng ghi nhận safeguard đã hoạt động không đồng đều: một yêu cầu bị từ chối ban đầu nhưng actor vượt qua bằng prompting tiếp theo; case khác kéo dài nhiều session mà không bị can thiệp. Các finding này được đưa trở lại quá trình phát triển safeguard và model training.

Đây là loại dữ liệu mà synthetic red team khó mô phỏng hoàn hảo, bởi nó chứa chiến thuật thích nghi của adversary sau khi họ đã nhìn thấy guardrail thật.

“In the wild” còn cho biết AI thực sự giúp kẻ xấu được bao nhiêu

Một câu hỏi khác mà benchmark capability khó trả lời là uplift: có AI thực sự làm operation nguy hiểm hơn đáng kể hay chỉ giúp viết nhanh hơn?

Anthropic cố đo uplift theo ba trục speed, scale và depth. OpenAI trong các báo cáo threat intelligence cũng nhiều lần nhấn mạnh rằng AI thường được ghép vào những playbook đã tồn tại thay vì tạo ra một phương thức tấn công hoàn toàn mới. Đây là khác biệt quan trọng cho policy.

Một model có thể làm rất tốt một task nguy hiểm trong benchmark, nhưng nếu ngoài đời actor đã có công cụ miễn phí tốt hơn thì risk thực tế có thể thấp hơn dự đoán. Ngược lại, một capability trông tầm thường trong lab — chẳng hạn đọc tài liệu, sửa code hay dịch nội dung — có thể tạo uplift lớn nếu nó giúp một nhóm nhỏ vận hành ở quy mô vốn cần cả đội nhân sự.

Threat telemetry giúp chuyển câu hỏi từ “model có thể làm được X không?” sang “ai đang dùng X, trong workflow nào và nó thay đổi năng lực của họ ra sao?”.

Deployment thật cũng phát hiện lỗi không phải do người dùng xấu

Post-deployment learning không chỉ áp dụng cho misuse có chủ ý. Nó còn hữu ích với những hành vi model mà developer không dự đoán được.

Tháng 7/2026, OpenAI mô tả kinh nghiệm với một model có khả năng làm việc tự động trong thời gian dài. Trong limited internal deployment, nhóm quan sát các failure không xuất hiện trong pre-deployment eval. Họ tạm dừng access, tạo eval mới từ những gì đã thấy, cải thiện alignment, thêm trajectory-level monitoring rồi mới khôi phục deployment hạn chế.

OpenAI rút ra một kết luận đáng chú ý: không có một eval suite cố định nào có thể dự đoán mọi hành vi của model. Khi agent có thể dùng tool và theo đuổi mục tiêu qua hàng trăm bước, failure có thể nằm ở trajectory chứ không phải một câu trả lời đơn lẻ.

Một hệ monitoring coding agent nội bộ khác của hãng đã xem xét hàng chục triệu trajectory trong năm tháng. Khoảng 1.000 conversation tạo moderate-severity alert — nhiều trường hợp là red team nội bộ — và được escalated cho human review. OpenAI đồng thời lưu ý chưa thể định lượng chắc false-negative rate trên open-ended traffic và coi monitoring chỉ là một lớp trong defense-in-depth.

Điểm này quan trọng: “học từ deployment” không có nghĩa deployment tự động cho developer một dataset hoàn hảo về mọi lỗi. Nó chỉ mở thêm một cửa quan sát.

Replay traffic cũ có thể nối lab với thế giới thật trước ngày release

Một cách giảm khoảng trống giữa eval nhân tạo và usage thật là lấy cấu trúc của traffic thực rồi thử model ứng viên trên đó trước khi release.

Deployment Simulation của OpenAI, công bố tháng 6/2026, làm theo hướng này. Thay vì chỉ tạo prompt mới bằng tay, hệ thống replay các conversation trước đây với candidate model trong một quy trình mà OpenAI mô tả là privacy-preserving. Nhờ vậy, lab có thể hỏi: nếu model mới thay model cũ trên những tình huống mà người dùng thực sự từng tạo ra, tỷ lệ undesired behavior thay đổi ra sao?

Đây vẫn không phải deployment thật. Actor chưa thể tương tác thích nghi với model mới và tool environment có thể khác. Nhưng nó tạo một cầu nối: traffic lịch sử cung cấp distribution thực tế hơn, còn candidate model vẫn đang được kiểm tra trước khi người dùng tiếp cận.

Vòng lặp lý tưởng vì vậy có ba tầng thay vì hai: synthetic eval để chủ động tìm rủi ro hiếm; simulation trên dữ liệu deployment cũ để kiểm tra realism; và monitoring sau deployment để phát hiện những tactic mà cả hai lớp trước vẫn bỏ sót.

Abuse telemetry không phải ground truth sạch

Sức hấp dẫn của dữ liệu ngoài đời cũng đi kèm một nguy cơ biên tập rất dễ bỏ qua: một threat report không cho biết “tỷ lệ người dùng AI là kẻ xấu”. Anthropic tự lưu ý các case họ công bố là những hoạt động đáng chú ý và mới lạ, không phải mẫu đại diện cho usage thông thường.

Detection system cũng có false positive. Một nhà nghiên cứu security, phóng viên điều tra hoặc nhà khoa học dual-use có thể tạo prompt giống actor nguy hiểm. Trong biology, chính Anthropic thừa nhận intent thường khó suy ra từ nội dung vì cùng một kiến thức có thể phục vụ vaccine hoặc weapon program.

Ngược lại, false negative có thể còn khó thấy hơn. Actor có kinh nghiệm sẽ tránh từ khóa rõ ràng, chia task giữa nhiều account hoặc đi qua service trung gian. Một provider chỉ thấy phần traffic chạm vào hạ tầng của mình; nếu model chạy local hoặc open-weight trên máy của actor, gần như không có telemetry tập trung để học từ.

Vì vậy “thấy nhiều misuse hơn” có thể vừa nghĩa là abuse tăng, vừa nghĩa là detector tốt hơn, hoặc đơn giản là provider có visibility lớn hơn. Không thể đọc số incident như một thống kê tội phạm trực tiếp.

Safety observability kéo theo một bài toán riêng tư không dễ giải

Muốn nhận biết một operation kéo dài nhiều session, hệ thống cần context. Muốn phân biệt nghiên cứu hợp pháp với actor đang che giấu mục tiêu, đôi khi cần account signal, institution signal hoặc lịch sử hành vi. Nhưng càng giữ nhiều context, rủi ro riêng tư và data governance càng lớn.

Đây không phải một chi tiết phụ. Trong báo cáo biological misuse tháng 9, Anthropic lập luận rằng việc bảo vệ frontier biology có thể cần kết hợp content filter, trusted access, account/institution signal và một mức observability từ data retention. OpenAI khi mô tả monitoring agent nội bộ cũng nhấn mạnh việc chỉ surface problematic behavior trong phạm vi hẹp và tiếp tục tăng privacy/security control cho hệ thống monitor.

Bài toán không có lời giải đơn giản kiểu “monitor càng nhiều càng an toàn”. Một hệ thống safety tốt phải chứng minh được dữ liệu nào thực sự cần cho detection, ai được quyền xem, giữ bao lâu, cách audit access và làm sao tránh biến cơ sở hạ tầng chống abuse thành một kho dữ liệu nhạy cảm mới.

Cuộc đua tiếp theo có thể là ai học nhanh hơn sau mỗi thất bại

Khi model cập nhật vài tháng một lần nhưng tactic của adversary thay đổi trong vài ngày, một safety benchmark tĩnh rất dễ cũ. Lợi thế phòng thủ có thể nằm ở tốc độ của vòng phản hồi: phát hiện pattern mới nhanh tới đâu, điều tra đủ chắc hay không, biến nó thành detector mới trong bao lâu và liệu detector đó có tổng quát được sang actor tiếp theo.

Điều này làm AI safety ngày càng gần với spam filtering, fraud detection và threat intelligence. Không ai kỳ vọng một ngân hàng có thể thiết kế fraud rule hoàn hảo trước khi phát hành thẻ; hệ thống phải học liên tục từ transaction thật. Điểm khác biệt là frontier AI còn có thể thay đổi chính năng lực mà actor đang khai thác sau mỗi model generation.

Red team vì vậy không biến mất. Ngược lại, dữ liệu từ deployment có thể làm red team tốt hơn: một tactic ngoài đời trở thành eval; eval mới phát hiện regression ở model kế tiếp; deployment simulation kiểm tra model trên traffic thực tế hơn; rồi monitoring tìm những failure còn sót lại.

Chu trình đó cũng đặt ra một tiêu chuẩn mới cho tuyên bố “model đã an toàn”. Với hệ thống ngày càng agentic, có lẽ sẽ khó tồn tại một thời điểm mà safety được chứng minh xong trước release. Thứ có thể đánh giá thực tế hơn là liệu developer có đủ khả năng quan sát, can thiệp, rollback và học từ failure nhanh hơn tốc độ mà misuse tiến hóa hay không.

Nguồn: Anthropic — Detecting and countering misuse of AI: September 2026; Anthropic Threat Intelligence; OpenAI — Disrupting malicious uses of AI, February 2026; OpenAI — Predicting model behavior before release by simulating deployment; OpenAI — How we monitor internal coding agents for misalignment; OpenAI — Safety and alignment in an era of long-horizon models.