Khi Claude bị bắt làm kĩ sư tên lửa: Giới hạn thực tế của 'lưới an toàn' AI
Một vụ phóng thử ở miền Bắc Yemen thất bại. Vài giờ sau, những người thực hiện vụ thử mở Claude, nhập dữ liệu vừa xong rồi hỏi AI của Anthropic vì sao tên lửa không hoạt động như thiết kế.
Đó là câu chuyện đáng chú ý từ báo cáo mà Anthropic công bố mới đây. Theo đó, một nhóm vũ trang đã dùng Claude Code như cả một đội kĩ sư phần mềm để phát triển hệ thống dẫn đường, điều khiển và ổn định cho một mẫu đạn rocket, một tên lửa đạn đạo nhiều tầng với tầm bắn trên 2.000km, và một biến thể phương tiện lượn siêu vượt âm.
Từ gián điệp mạng đến kĩ sư tên lửa
Đây không phải lần đầu Anthropic thừa nhận Claude bị biến thành công cụ thay thế cả một đội ngũ có mục đích mờ ám. Tháng 11/2025, công ty đã phát hiện một nhóm mang mã GTG-1002, dùng Claude Code để tự động hóa 80-90% một chiến dịch gián điệp mạng. Mục tiêu của nhóm này là khoảng 30 tổ chức, gồm tập đoàn công nghệ, tổ chức tài chính, công ty hóa chất và cơ quan chính phủ. Con người trong nhóm đó chỉ can thiệp ở 4-6 thời điểm quyết định then chốt cho mỗi chiến dịch, còn lại hệ thống tự thực hiện trinh sát, viết mã khai thác, thu thập thông tin đăng nhập.
Vụ việc ở Yemen là diễn biến mới nhất của vấn nạn đó. Để tránh “tai mắt” của Anthropic, các đối tượng giao nhiều vai trò khác nhau cho nhiều phiên Claude riêng biệt, mỗi phiên chỉ xử lý một mảnh việc nhỏ, đồng thời che giấu mục tiêu tổng thể của toàn bộ dự án.
Jacob Klein, Trưởng bộ phận tình báo về mối đe dọa của Anthropic, thừa nhận đây là hệ quả trực tiếp từ tốc độ tiến bộ của mô hình. "Một năm trước, giả sử bạn muốn tối ưu hóa một drone hoặc tối ưu phần mềm cho tên lửa, các mô hình đơn giản là chưa đủ giỏi để làm việc đó", ông Klein nói. Rào cản kĩ thuật từng đòi hỏi cả một đội kỹ sư hàng không có bằng cấp chuyên ngành, nay có thể được một mô hình ngôn ngữ đảm nhiệm phần lớn. Năng lực lập trình và giải toán kĩ thuật của AI đã đủ mạnh để áp dụng sang bài toán vũ khí.
Bị "bắt bài" vì quá trình, không phải vì câu lệnh
Câu hỏi tự nhiên mà nhiều người sẽ đặt ra là nếu ai cũng có thể hỏi Claude cách viết thuật toán dẫn đường, vì sao mô hình không từ chối ngay từ đầu? Câu trả lời nằm ở bản chất lưỡng dụng của loại code này. Một bộ lọc Kalman, một thuật toán điều khiển PID, một mô phỏng động lực học bay… đều là toán học và kỹ thuật phổ thông, phục vụ drone dân dụng, robot công nghiệp, hàng không, thậm chí cả trò chơi điện tử. Chặn toàn bộ loại nội dung này đồng nghĩa chặn luôn vô số ứng dụng hợp pháp.
Vì vậy, cơ chế phát hiện của Anthropic không dựa vào việc đọc và phán xét một câu lệnh đơn lẻ. Vấn đề không nằm ở việc Claude có từ chối một yêu cầu cụ thể hay không, mà nằm ở việc toàn bộ chuỗi hành vi, gồm các tài khoản, phiên làm việc, lịch sử câu hỏi, có khớp với mẫu hình của một dự án vũ khí hay không. Trong vụ GTG-1002, các nhà điều tra của Anthropic phát hiện hoạt động bất thường vào giữa tháng 9/2025 và mất khoảng 10 ngày sau đó để khóa tài khoản, xác định phạm vi chiến dịch và thông báo cho các bên bị ảnh hưởng.
Với nhóm đối tượng chế tên lửa ở Yemen, báo cáo mô tả việc phát hiện đến từ phân tích mẫu hình sử dụng trải khắp 6 vụ việc thuộc nhóm "vũ khí thông thường" trong cùng kì báo cáo, chứ không phải từ một tin nhắn sơ hở hệ thống lọc ra được.
Cách tiếp cận này hiệu quả ở chỗ nó không cần Claude phải "hiểu" ý đồ thật của người dùng ngay tại thời điểm trò chuyện, điều gần như bất khả thi khi người dùng cố tình che giấu. Nhưng nó cũng bộc lộ giới hạn. Mẫu hình hành vi chỉ hiện rõ sau khi đã có đủ dữ liệu tích lũy. Với nhóm Yemen, dữ liệu đó phần nào chỉ trở nên rõ ràng sau khi họ đã đi đến bước phóng thử ngoài thực địa.
Gian nan vá “lưới an toàn”
Vụ thử thất bại của nhóm Yemen vẫn củng cố cho quan điểm rằng AI chưa đủ sức biến một nhóm nghiệp dư thành nhà sản xuất tên lửa thành công. Nhưng kết luận đó bỏ sót vế quan trọng hơn. Một rocket dẫn đường thất bại ở lần thử đầu không có nghĩa chương trình dừng lại. Nó có nghĩa nhóm phát triển đã đi được đến bước đó để phát hiện lỗi, giống như một đội kỹ sư thực thụ vẫn làm sau mỗi lần phóng thử. Rào cản không còn là "có đủ kiến thức để bắt đầu" mà đã lùi xuống thành "có đủ kiên nhẫn để lặp lại".
Anthropic cũng không giấu giếm rằng đây là cuộc đua không có điểm dừng. "Những kẻ tấn công tinh vi và kiên trì liên tục thử thách lưới an toàn của chúng tôi và tìm cách lách qua các biện pháp kỹ thuật dùng để phát hiện, ngăn chặn hành vi lạm dụng", báo cáo viết. Đáng chú ý hơn, công ty đang tuyển một chuyên gia vũ khí hóa học và chất nổ uy lực cao, với yêu cầu tối thiểu năm năm kinh nghiệm trong lĩnh vực quốc phòng, để giúp gia cố các rào chắn liên quan đến vũ khí. Việc phải tìm chuyên gia bên ngoài đồng nghĩa với việc đội ngũ nội bộ chưa chắc đã đủ chuyên môn kỹ thuật để nhận diện hết những gì liên quan tới vũ khí mà mô hình có thể vô tình hỗ trợ.
Tiến sĩ Stephanie Hare, một chuyên gia độc lập về công nghệ, đặt câu hỏi "gốc rễ" hơn: Liệu có bao giờ thực sự an toàn khi để một hệ thống AI tiếp cận thông tin hóa chất và chất nổ nhạy cảm, dù là để nhận diện và ngăn chặn nó?
Bà lưu ý thêm rằng hiện chưa có hiệp ước hay khung quy định quốc tế nào điều chỉnh riêng loại rủi ro này, khác hẳn với vũ khí hạt nhân hay sinh học, vốn đã có các cơ chế kiểm soát xuất khẩu và giám sát tồn tại hàng chục năm. Việc "tự phát hiện, tự công bố, tự vá lỗ hổng" hiện đang là cơ chế giám sát duy nhất cho loại rủi ro này. Cơ chế đó hoàn toàn nằm trong tay các công ty AI chứ không phải một cơ quan quản lí độc lập.
Sự trớ trêu nằm ở chỗ gần đây, Anthropic đã tự đặt ra ranh giới nhằm ngăn mô hình của mình bị dùng cho giám sát hàng loạt công dân Mỹ và vũ khí tự hành. Tức là công ty vừa muốn kiểm soát ai được phép dùng AI cho mục đích quân sự, vừa phải chật vật ngăn những kẻ ngoài vòng kiểm soát tận dụng sản phẩm của mình cho mục đích đó. Ranh giới ấy dễ vẽ trên hợp đồng với một khách hàng tên tuổi, như chính phủ Mỹ. Nhưng với một người dùng ẩn danh sau nhiều lớp tài khoản và mạng riêng ảo, "lưới" an toàn đó vẫn khá thưa.
Khác với một cuộc tấn công mạng, nơi dữ liệu bị đánh cắp vẫn có thể khắc phục, hệ thống bị xâm nhập vẫn có thể "vá" lại, một chương trình vũ khí chỉ cần thành công một lần là hậu quả trở thành vĩnh viễn.
Cơ chế "phát hiện qua hành vi tích lũy theo thời gian" mà Anthropic đang vận hành có thể đủ nhanh để chặn một chiến dịch gián điệp trước khi nó gây thiệt hại quá lớn. Nhưng với một chương trình tên lửa, câu hỏi không phải là liệu lưới an toàn có bắt được kẻ vi phạm hay không, mà là liệu nó có bắt được đủ sớm, trước khi những lần thử nghiệm vũ khí tiếp theo thành công.
