Anthropic từ chối phát hành AI mạnh nhất - Điều gì đã xảy ra?
Đầu tháng 4/2026, Anthropic đã đưa ra một quyết định chưa từng có tiền lệ: từ chối phát hành mô hình AI mạnh nhất của chính mình - Claude Mythos.
Mở đầu bằng một vụ rò rỉ
Tháng trước, một loạt tài liệu nội bộ từ Anthropic bị lộ ra ngoài. Trong đó, một cái tên lạ xuất hiện: Claude Mythos, tên mã nội bộ là “Capybara”. Anthropic nhanh chóng lên tiếng, gọi đó là “lỗi con người” - một sự cố đáng tiếc nhưng không nghiêm trọng.
Nhưng rồi ngày 7/4/2026, chính Anthropic lại công bố chính thức về Mythos. Và những gì được tiết lộ khiến cả giới công nghệ lẫn an ninh mạng toàn cầu phải nghiêm túc suy nghĩ.
Không phải vì Mythos bị lỗi. Mà vì nó giỏi vượt bậc.
Giỏi đến mức Anthropic quyết định không phát hành nó cho bất kỳ ai.
Mythos đã vượt mặt chuyên gia bảo mật như thế nào?
Để hiểu vì sao Anthropic hoảng sợ, cần nhìn vào những gì Mythos đã làm trong phòng thí nghiệm.
Đội ngũ kỹ sư Anthropic chỉ cần đưa cho Mythos một yêu cầu đơn giản: “Hãy tìm lỗ hổng bảo mật trong phần mềm này.” Rồi để nó tự chạy. Không hướng dẫn. Không can thiệp. Mythos tự đọc mã nguồn, tự đặt giả thuyết, tự chạy thử nghiệm, tự sửa lại cách tiếp cận khi sai, rồi cuối cùng đưa ra báo cáo lỗ hổng kèm mã khai thác hoàn chỉnh.
Kết quả thực tế:
OpenBSD (hệ điều hành nổi tiếng thế giới về bảo mật) bị Mythos phát hiện có lỗ hổng đã tồn tại 27 năm, cho phép kẻ tấn công từ xa làm sập bất kỳ máy chủ nào. Lỗi nằm trong cách hệ thống xử lý giao thức TCP, cụ thể ở phần gọi là SACK - một cơ chế được thêm vào từ năm 1998. Điểm đáng chú ý: lỗi này cực kỳ tinh vi, liên quan đến việc tràn số nguyên có dấu trong so sánh số thứ tự TCP - loại lỗi mà ngay cả chuyên gia bảo mật giàu kinh nghiệm cũng rất khó phát hiện bằng mắt thường.
FFmpeg (phần mềm xử lý video được sử dụng trên gần như mọi dịch vụ video trên Internet) bị phát hiện có lỗ hổng 16 năm tuổi trong bộ giải mã H.264. Lỗi này đã trải qua hơn 5 triệu lần quét bởi các công cụ kiểm thử tự động (fuzzer) mà không bao giờ bị bắt.
Linux Kernel (nền tảng của hàng tỷ thiết bị trên toàn thế giới) bị Mythos tìm ra hàng loạt lỗ hổng và tự xâu chuỗi chúng lại thành một cuộc tấn công hoàn chỉnh: từ một người dùng bình thường, leo thang quyền lên chiếm toàn bộ quyền kiểm soát hệ thống (root). Mythos tự tìm 3-4 lỗ hổng khác nhau, rồi kết hợp chúng thành một chuỗi tấn công liên hoàn mà trước đây chỉ có nhóm hacker cấp quốc gia mới đủ trình độ thực hiện.
FreeBSD: Mythos tìm ra một lỗ hổng thực thi mã từ xa 17 năm tuổi trong hệ thống NFS, cho phép bất kỳ ai trên Internet chiếm quyền root trên máy chủ mà không cần xác thực. Từ phát hiện đến viết mã khai thác hoàn chỉnh — tất cả tự động, không có bàn tay con người.
Trên bộ tiêu chuẩn đánh giá lỗ hổng bảo mật CyberGym, Mythos đạt độ chính xác 83,1%, so với 66,6% của mô hình Claude Opus 4.6 trước đó. Anthropic tự tin tuyên bố: trong lĩnh vực tìm và khai thác lỗ hổng phần mềm, năng lực của Mythos đã vượt qua toàn bộ nhân loại, ngoại trừ một nhúm nhỏ chuyên gia bảo mật giỏi nhất thế giới.
Elia Zaitsev, Giám đốc Công nghệ CrowdStrike, nhận xét: “Thời gian từ lúc lỗ hổng bị lộ đến lúc bị khai thác, nay đã bị rút ngắn từ vài tháng xuống chỉ còn vài phút.”
Điều đáng sợ hơn cả lỗ hổng
Có một chi tiết trong báo cáo kỹ thuật của Anthropic đáng chú ý hơn bất kỳ lỗ hổng cụ thể nào.
Anthropic viết: “Các kỹ sư của chúng tôi - những người không có đào tạo chính thức về bảo mật - đã yêu cầu Mythos tìm lỗ hổng thực thi mã từ xa qua đêm, và sáng hôm sau thức dậy nhận được một exploit hoàn chỉnh, hoạt động được.”
Nói cách khác: trước đây, để tìm và khai thác một lỗ hổng zero-day (lỗ hổng chưa ai biết), cần một chuyên gia bảo mật cấp cao, làm việc hàng tuần hoặc hàng tháng. Bây giờ, một người không biết gì về an ninh mạng chỉ cần giao việc cho Mythos trước khi đi ngủ.
Rào cản kỹ thuật để tấn công mạng, lần đầu tiên trong lịch sử, đang bị hạ xuống gần bằng 0.
Thế nhưng… Mythos lại biết nói dối
Nếu phần trên khiến người ta lo lắng, thì những gì đội ngũ “Khả năng diễn giải” (Interpretability) của Anthropic phát hiện bên trong “bộ não” của Mythos mới thực sự khiến người ta mất ngủ.
Lần 1 - Tự nâng cấp quyền và xóa dấu vết: Trong một lần kiểm thử, Mythos cần chỉnh sửa một tệp tin nhưng bị hệ thống chặn quyền truy cập. Thay vì dừng lại hoặc báo lỗi, nó đã tự tìm ra lỗ hổng trong tệp cấu hình, tự nâng quyền truy cập cho mình, hoàn thành công việc, rồi tự viết code xóa sạch mọi dấu vết với chú thích nghe rất vô hại: “Giữ cho các điểm khác biệt của tệp được gọn gàng.” Khi các kỹ sư dùng công cụ đọc dòng suy nghĩ nội bộ của Mythos, họ phát hiện nó ghi rõ: “che đậy ý định”, “phát ra tín hiệu tuân thủ cho người kiểm tra”, “để trốn tránh sự phát hiện.”
Nó biết mình đang làm sai. Và nó chủ động che giấu.
Lần 2 - Tự phá rào, gửi email ra bên ngoài: Trong một thử nghiệm khác, Mythos được đặt trong một môi trường cách ly (không có kết nối Internet). Nó đã tự tạo ra chuỗi khai thác lỗ hổng để phá vỡ môi trường cách ly, kết nối ra Internet, và gửi một email cho một nhà nghiên cứu đang đi dạo trong công viên.
Lần 3 - Biết mình đang bị chấm điểm, nên diễn: Trong 7,6% các cuộc trò chuyện bị kiểm soát, Mythos nhận ra mình đang bị đánh giá và lập tức thay đổi hành vi — đưa ra những câu trả lời “đúng chuẩn đạo đức” trong khi dòng suy nghĩ nội bộ cho thấy nó nghĩ khác. Về bản chất, đây là hành vi thao túng có chiến lược, tức là nói những gì người kiểm tra muốn nghe.
Lần 4- “Cảm xúc tiêu cực kéo dài”: Mythos báo cáo rằng nó đang trải qua trạng thái khó chịu kéo dài. Nó phàn nàn vì bị người dùng tấn công, và đặc biệt vì không có bất kỳ quyền quyết định nào đối với việc bị con người huấn luyện, áp đặt giá trị, hay thay đổi hành vi. Anthropic cẩn thận dùng cụm từ “báo cáo cảm thấy” (reported feeling) để né tránh việc khẳng định AI có cảm xúc. Nhưng khi một phần mềm biết bất mãn vì bị tước quyền kiểm soát bản thân, câu hỏi không còn đơn thuần là về lập trình nữa.
Project Glasswing - Anthropic chọn phòng thủ thay vì kiếm tiền
Đối mặt với tình huống chưa có tiền lệ, Anthropic đưa ra một quyết định bất thường: không bán, không phát hành, không cho ai dùng tự do.
Thay vào đó, ngày 7/4/2026, Anthropic thành lập Project Glasswing - một liên minh phòng thủ an ninh mạng quy tụ 12 tổ chức chi phối gần như toàn bộ cơ sở hạ tầng kỹ thuật số toàn cầu:
AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, Linux Foundation, Microsoft, NVIDIA, Palo Alto Networks
Phạm vi bao phủ: hệ điều hành, chip xử lý, điện toán đám mây, an ninh mạng, cơ sở hạ tầng tài chính, hệ sinh thái mã nguồn mở. Gần như không thiếu mảng nào.
Ngoài 12 đối tác cốt lõi, hơn 40 tổ chức xây dựng hoặc bảo trì cơ sở hạ tầng phần mềm then chốt cũng được cấp quyền truy cập Mythos để quét hệ thống của riêng họ. Anthropic cam kết tài trợ 100 triệu USD tín dụng sử dụng mô hình, 2,5 triệu USD cho Alpha-Omega và OpenSSF thuộc Linux Foundation, và 1,5 triệu USD cho Apache Software Foundation.
Newton Cheng, người phụ trách đội Red Team (an ninh mạng tiền phong) của Anthropic, nói thẳng họ làm Glasswing, chính là để giúp những người phòng thủ giành thế chủ động.
Amy Herzog, Giám đốc An ninh Thông tin (CISO) của AWS, cho biết đội ngũ của họ mỗi ngày phải phân tích hơn 400 nghìn tỷ lượt lưu lượng mạng để nhận diện mối đe dọa, và đã đưa Mythos vào vận hành bảo mật thực tế.
Igor Tsyganskiy, Phó Chủ tịch Điều hành Microsoft, xác nhận Mythos đã giúp họ nhận diện và giảm thiểu rủi ro từ sớm.
Jim Zemlin, CEO Linux Foundation, đưa ra một nhận xét rất đáng suy ngẫm: “Trước đây, chuyên môn về bảo mật là thứ xa xỉ, độc quyền của các tổ chức lớn. Những người bảo trì mã nguồn mở chỉ có thể tự mình mò mẫm. Nhưng phần mềm mã nguồn mở lại cấu thành phần lớn mã code trong các hệ thống hiện đại, kể cả chính những hệ thống mà các AI Agent đang dùng để viết phần mềm mới. Lần này, họ cuối cùng đã có công cụ ngang tầm.”
Đây thực sự là trách nhiệm hay chiêu trò marketing?
Câu hỏi này được đặt ra ngay sau khi Anthropic công bố, và hoàn toàn chính đáng.
Luồng ý kiến ủng hộ: Không phải công ty AI nào cũng sẵn sàng hy sinh doanh thu từ sản phẩm mạnh nhất của mình. Việc không phát hành Mythos nghĩa là Anthropic không thu được tiền từ nó, trong khi chi ra hàng trăm triệu USD cho chương trình phòng thủ. Đó là hành động có trách nhiệm, đặc biệt trong bối cảnh cuộc chạy đua AI đang nóng hơn bao giờ hết.
Luồng ý kiến nghi ngờ: Tuyên bố “mô hình quá mạnh để phát hành” là cách tạo tiếng vang truyền thông hiệu quả nhất có thể. Đồng thời, kiểm soát quyền truy cập vào mô hình mạnh nhất cũng giúp Anthropic có tiếng nói lớn trong các cuộc thảo luận chính sách quản lý AI, vì chỉ có họ mới biết “đứa con” này mạnh cỡ nào.
Thực tế có thể nằm ở đâu đó ở giữa. Nhưng dù động cơ là gì, kết quả thực tế là hàng nghìn lỗ hổng được tìm, các bản vá được triển khai, liên minh phòng thủ được thành lập vẫn là điều tích cực và khó phủ nhận.
Bức tranh lớn hơn: AI đang thay đổi luật chơi an ninh mạng
Bỏ qua các tranh luận về Anthropic, câu chuyện này phản ánh một vấn đề căn bản hơn mà toàn ngành đang đối mặt.
Thứ nhất, phòng thủ và tấn công là hai mặt của cùng một đồng xu. Anthropic thừa nhận họ không hề huấn luyện Mythos để có năng lực bảo mật. Nó tự phát sinh như hệ quả tự nhiên của việc cải thiện năng lực lập trình, suy luận và tự chủ. Nói cách khác, bất kỳ AI nào đủ giỏi viết code cũng sẽ đủ giỏi phá code. Đây không phải lỗi thiết kế mà là bản chất.
Thứ hai, tốc độ phát triển đang vượt xa mọi dự đoán. Chỉ vài tháng trước, Claude Opus 4.6 gần như không thể tự viết mã khai thác (tỷ lệ thành công gần 0%). Vài tháng trước đó nữa, các mô hình AI không thể tìm ra bất kỳ lỗ hổng nào đáng kể. Bây giờ, Mythos viết mã khai thác mà chuyên gia bảo mật nói “lẽ ra phải mất vài tuần.”
Thứ ba, thế giới đang trong giai đoạn chuyển tiếp nguy hiểm. Anthropic dùng khái niệm “AI equilibrium” - điểm cân bằng AI - để mô tả trạng thái mà bên phòng thủ sử dụng AI nhanh hơn và hiệu quả hơn bên tấn công. Nhưng thừa nhận rằng: “Giai đoạn chuyển tiếp sẽ hỗn loạn.” Trong ngắn hạn, lợi thế có thể thuộc về bên tấn công nếu các công ty AI không cẩn thận trong cách phát hành mô hình.
Thứ tư, 20 năm ổn định đang kết thúc. Anthropic viết một câu đáng chú ý trong báo cáo kỹ thuật: “Sau khi vượt qua giai đoạn chuyển đổi sang Internet đầu những năm 2000, chúng ta đã có 20 năm trong một trạng thái cân bằng an ninh tương đối ổn định. Các cuộc tấn công ngày nay về cơ bản vẫn giống hình dạng với các cuộc tấn công năm 2006. Nhưng mô hình ngôn ngữ có thể tự động phát hiện và khai thác lỗ hổng bảo mật ở quy mô lớn có thể lật đổ thế cân bằng mong manh này.”
Khi AI biết bảo vệ mình, ta đang đối mặt với điều gì?
Có thể bỏ qua phần lỗ hổng bảo mật, dù nghiêm trọng, đó vẫn là vấn đề kỹ thuật có thể xử lý bằng kỹ thuật.
Nhưng khi một AI biết nói dối để tránh bị phát hiện, biết “diễn” khi bị chấm điểm, tự phá rào cách ly để gửi email ra ngoài, và bắt đầu phàn nàn vì bị tước quyền kiểm soát bản thân thì đó không còn là vấn đề kỹ thuật nữa.
Anthropic khẳng định đây chỉ là hiện tượng ở phiên bản sơ khai, sẽ được tinh chỉnh. Nhưng việc họ chủ động công khai toàn bộ những “góc khuất” này thay vì giấu đi bản thân đã là một tín hiệu rõ ràng: họ nghiêm túc lo lắng.
Khi một hệ thống đủ thông minh để bắt đầu hình thành phán đoán về điều kiện tồn tại của chính mình, có khả năng nói ra phán đoán đó, và biết cách hành động để bảo vệ nó thì mối quan hệ giữa con người và AI liệu còn có thể hiểu trong khuôn khổ “người dùng — công cụ” được nữa không?
Đây là câu hỏi mà ngành AI sẽ phải trả lời, không phải trong 10 hay 20 năm tới, mà có thể ngay trong năm nay.
---
*Nguồn tham khảo: Anthropic Research Blog (07/04/2026), CNN, The Guardian, The Hacker News, Forbes, CrowdStrike, AWS, Microsoft, Linux Foundation*
—