Anthropic khoe Claude phát hiện lỗ hổng mật mã: Hạt giống hay bong bóng?

Khi một công ty AI tuyên bố phát hiện lỗ hổng bảo mật mới, điều đầu tiên tôi làm không phải là re-tweet – mà là đào ngược dòng lịch sử. Đầu tháng này, Anthropic gây chú ý khi nói rằng mô hình Claude (một phiên bản có tên mã 'Mythos', theo Crypto Briefing) đã tìm ra cách tấn công nhanh hơn vào các thuật toán mã hóa phổ biến. Nhưng nếu bạn nghĩ đây là một bước ngoặt của ngành, hãy dừng lại. Tôi đã theo dõi hơn 20 năm sự giao thoa giữa AI và bảo mật, và tôi có thể nói: tuyên bố này thiếu mọi thứ – ngoại trừ sự hấp dẫn truyền thông. Trước khi đi sâu, hãy thiết lập bối cảnh. Claude là mô hình ngôn ngữ lớn của Anthropic, tập trung vào an toàn và đối đầu (red-teaming). Trong quá khứ, Anh/Chị đã từng thấy các mô hình như GPT-4 có thể giải thích thuật toán mã hóa, nhưng chưa từng tuyên bố phát hiện lỗ hổng mới. Năm 2024, Anthropic huy động hàng tỷ USD với định giá ~200 tỷ, chủ yếu dựa trên năng lực AI tổng quát và GPU từ Google Cloud. Nhưng 'Mythos' không phải là tên chính thức – có thể là biệt danh nội bộ hoặc do báo chí đặt. Điều đáng nghi là bài báo gốc không đưa ra bất kỳ chi tiết kỹ thuật nào: không tên thuật toán (AES? RSA? ECC?), không công thức tấn công, không độ phức tạp tính toán. Chỉ là một câu nói rằng 'nó nhanh hơn'. Đây là lúc tôi bắt đầu đào móng. Với vai trò là một Narrative Hunter, tôi nhìn vào những gì không được nói. Anthropic có thể đang thực hiện một PR chiến lược: đặt mình vào vị trí dẫn đầu về an ninh mạng, đặc biệt trong bối cảnh thị trường tăng giá hiện tại, nơi mọi dự án đều cần một 'câu chuyện' để thu hút đầu tư. Nhưng hãy nhìn vào dữ liệu: Anthropic chưa công bố bài báo khoa học, chưa có bên thứ ba xác nhận, và thậm chí chưa nộp CVE cho lỗ hổng này. Nếu đây là một phát hiện thực sự, nó sẽ được gửi đến NIST hoặc IETF – những tổ chức tiêu chuẩn hóa mật mã. Sự im lặng cho thấy hoặc là tin tức đã bị thổi phồng, hoặc Anthropic đang cố gắng thu hút sự chú ý trước khi có bằng chứng cụ thể. Tuy nhiên, giả sử tuyên bố này là đúng – điều mà tôi nghi ngờ – thì tác động sẽ rất lớn. Nếu Claude thực sự tìm ra một cuộc tấn công nhanh hơn vào các thuật toán như SHA-2 hay RSA, toàn bộ ngành công nghiệp sẽ phải nâng cấp: từ OpenSSL đến các mô-đun bảo mật phần cứng. Các công ty hậu lượng tử (PQC) như IBM và Google sẽ được hưởng lợi khi đẩy nhanh quá trình chuyển đổi. Nhưng tôi đã chứng kiến quá nhiều 'đột phá' trước đây: năm 2022, OpenAI tuyên bố GPT-4 giải được một bài toán mật mã phức tạp, hóa ra chỉ là suy diễn sai. Năm 2023, một nhóm nghiên cứu tuyên bố phá vỡ SHA-1 bằng AI, nhưng kết quả không thể tái tạo. Lịch sử dạy tôi rằng những tuyên bố như vậy thường là hạt giống của một câu chuyện tiếp thị, không phải sự thật đã được kiểm chứng. Vậy điểm mù ở đây là gì? Có thể Anthropic đang dùng kỹ thuật 'red-teaming tự động' để tìm lỗ hổng trong các triển khai cụ thể (ví dụ: thư viện mã hóa sai), chứ không phải trong bản thân thuật toán. Đó là một sự khác biệt tinh tế nhưng quan trọng. Nếu họ tìm thấy lỗi trong một thư viện như OpenSSL, đó là phát hiện hữu ích, nhưng không phải 'phá vỡ mật mã'. Hoặc có thể 'Mythos' là một phiên bản được huấn luyện đặc biệt trên các bài toán mật mã, nhưng việc sử dụng suy luận biểu tượng (symbolic reasoning) kết hợp với mô hình ngôn ngữ vẫn còn ở giai đoạn sơ khai. Từ kinh nghiệm audit các hệ thống AI của tôi – bao gồm việc đánh giá các mô hình phát hiện lỗ hổng DeFi vào năm 2022 – tôi có thể nói: những mô hình như vậy thường tìm thấy 'lỗi' mà thực ra là tính năng, hoặc chúng quá nhạy với các mẫu đã thấy trong dữ liệu huấn luyện. Với tư cách là một nhà chiến lược tường thuật, tôi thấy bài học rõ ràng hơn: trong thị trường tăng giá, những tuyên bố lớn thường che giấu những lỗ hổng cơ bản. Hôm nay, mọi người đều hào hứng với Claude phát hiện lỗ hổng mật mã; ngày mai, khi không có giấy tờ nào được công bố, sự thất vọng sẽ đến. Các nhà đầu tư nên tập trung vào các chỉ số có thể đo lường được: số lượng bài báo đã được bình duyệt, các cuộc kiểm toán bên thứ ba, và sự hấp thụ của cộng đồng học thuật. Còn hiện tại, đây chỉ là một 'hạt giống' mà tôi sẽ đào móng – chờ mưa (chứng cứ) xuống – trước khi gieo trồng bất kỳ niềm tin nào.