Kiểm Soát Xuất Khẩu AI Đang Thất Bại: Trung Quốc Vượt Rào Cản Bằng Mô Hình Mã Nguồn Mở và Tấn Công Chưng Cất

Trong nhiều năm, nền tảng chiến lược AI của Mỹ dựa trên một giả định đơn giản: hạn chế tiếp cận các chip tiên tiến nhất và trọng số mô hình, các phòng thí nghiệm AI của Trung Quốc sẽ tụt lại sau từ một đến hai thế hệ. Ba sự kiện chỉ trong vòng hai tuần của tháng 6/2026 đã khiến giả định đó trở nên không thể đứng vững.

1. GLM-5.2 của Zhipu AI: Mô hình mã nguồn mở đạt đỉnh với chi phí chỉ bằng 1/6

Vào ngày 13/6/2026, Zhipu AI (hoạt động quốc tế với tên Z.ai) đã phát hành GLM-5.2, một mô hình Hỗn hợp Chuyên gia (Mixture-of-Experts) với 744–753 tỷ tham số, sở hữu khả năng xử lý ngữ cảnh lên tới 1 triệu token, theo giấy phép mã nguồn mở MIT trên nền tảng Hugging Face . Việc phát hành diễn ra cùng ngày chính phủ Mỹ buộc Anthropic phải gỡ các mô hình Claude Fable 5 và Mythos 5 khỏi phạm vi toàn cầu vì lo ngại an ninh quốc gia .

Hiệu suất trên các bài kiểm tra an ninh mạng:

• Trong thử nghiệm độc lập của Semgrep, GLM-5.2 đạt F1 39% trong phát hiện lỗ hổng IDOR, vượt qua Claude Code (32%) với chi phí khoảng 0,17 USD cho mỗi lỗ hổng tìm thấy — chỉ bằng một phần nhỏ so với chi phí của các mô hình độc quyền khác .
• Một báo cáo của Wall Street Journal cho biết GLM-5.2 đã đạt ngang bằng với Mythos của Anthropic trong việc phát hiện lỗ hổng bảo mật trong các bài kiểm tra Semgrep mục tiêu .
• Mô hình này đạt 81.0 điểm trên Terminal-Bench 2.1 (so với 63.5 của GLM 5.1) và vượt qua Claude Opus 4.8 trên bài kiểm tra sử dụng công cụ MCP-Atlas (77.0 so với 75.3) .
• Artificial Analysis đã xếp hạng đây là mô hình mã nguồn mở (open-weight) số 1 toàn cầu và nằm trong top 3 tổng thể trên tất cả các mô hình .
• Trên Chuẩn Phòng thủ Mạng của Simbian, nó xếp thứ 4, vượt qua Opus 4.8, Opus 4.7, GPT-5 và GPT-5.5 .

Lợi thế về chi phí: Mô hình này hoạt động với chi phí khoảng 1/6 so với các mô hình AI tiên tiến độc quyền của Mỹ cho mỗi token, và trọng số có thể tải về để tự lưu trữ mà không mất phí API .

Lưu ý quan trọng: Miles Brundage từ AVERI đã công khai đặt cược 100-1 bác bỏ tuyên bố của WSJ rằng GLM-5.2 thực sự ngang bằng với Mythos về an ninh mạng, cho rằng phạm vi đánh giá còn hẹp . Sự ngang bằng đó chỉ đúng với các bài kiểm tra Semgrep cụ thể và có thể không tổng quát hóa cho các đánh giá rộng hơn.

2. 'Tulongfeng' của 360 Security: Phát hiện lỗ hổng bản địa

Vào ngày 24/6/2026, tại hội nghị ISC.AI ở Bắc Kinh, gã khổng lồ an ninh mạng Trung Quốc 360 Security Technology (Qihoo 360) đã công bố hai công cụ an ninh mạng hỗ trợ AI :

• Tulongfeng — một hệ thống AI để tự động phát hiện các lỗ hổng phần mềm, được người sáng lập Chu Hồng Nghi gọi thẳng là "phiên bản Mythos của Trung Quốc" .
• Yitianzhen — một nền tảng tự động hóa phòng thủ mạng và ứng phó sự cố .

Chu Hồng Nghi tuyên bố rằng Trung Quốc "không thể thiếu" một phiên bản tương đương nội địa của Mythos, coi đây là một năng lực mạng chiến lược . Các công cụ này được xây dựng để đạt được khả năng phát hiện mối đe dọa AI tầm cỡ Frontier mà không cần dựa vào các mô hình hoặc phần cứng Mỹ bị hạn chế . Theo các báo cáo, Tulongfeng đã xác định được hơn 3.400 lỗ hổng, trong đó 105 lỗ hổng đã được cơ sở dữ liệu CNVD của Trung Quốc xác nhận .

3. Cáo buộc của Anthropic nhắm vào Alibaba: Chưng cất như một cơ chế vượt rào

Vào ngày 24-25/6/2026, Anthropic đã gửi một lá thư tới các thượng nghị sĩ Mỹ (ngày 10/6) cáo buộc Alibaba và phòng thí nghiệm AI Qwen của họ đã thực hiện "cuộc tấn công chưng cất lớn nhất từng được biết đến" nhằm vào mô hình Claude của mình .

Các chi tiết chính từ bức thư:

• Các đối tượng đã sử dụng khoảng 25.000 tài khoản giả mạo để thực hiện hơn 28,8 triệu lượt tương tác với Claude trong khoảng thời gian từ ngày 22/4 đến ngày 5/6/2026 .
• Chiến dịch này nhằm mục đích trích xuất khả năng của mô hình thông qua chưng cất — huấn luyện các mô hình của Alibaba dựa trên đầu ra của Claude — qua đó vượt qua các kiểm soát xuất khẩu của Mỹ vốn hạn chế việc chuyển giao trực tiếp trọng số mô hình .
• Anthropic gọi chiến dịch này là "trắng trợn" và "bất hợp pháp" .

Alibaba chưa công khai thừa nhận sai phạm . Về bản chất, chưng cất là một phương pháp khiến các kiểm soát xuất khẩu dựa trên phần cứng trở nên kém hiệu quả bởi vì tri thức (chứ không phải trọng số) được chuyển giao, và mô hình đã được huấn luyện có thể chạy trên bất kỳ nền tảng tính toán nào có sẵn tại địa phương.

Điều này có ý nghĩa gì đối với kiểm soát xuất khẩu của Mỹ?

Tác động tổng thể là một đòn giáng chiến lược vào khuôn khổ của Washington:

Trụ cột của Chiến lược Mỹ	Cách nó bị phá vỡ
Từ chối phần cứng (kiểm soát xuất khẩu chip)	GLM-5.2 được huấn luyện và chạy trên nền tảng tính toán nội địa của Trung Quốc; Tulongfeng hoàn toàn là bản địa .
Hạn chế truy cập mô hình (cấm xuất khẩu trọng số)	Trọng số GLM-5.2 được tải miễn phí theo giấy phép MIT — bất kỳ ai trên thế giới cũng có thể tự lưu trữ .
Giữ các mô hình tiên tiến là độc quyền	Zhipu đã phát hành mã nguồn mở một mô hình tầm cỡ chỉ vài giờ sau khi mô hình của Anthropic bị đóng cửa .
Giữ các công cụ mạng tiên tiến trong tay đáng tin cậy	Tulongfeng + Yitianzhen đã đưa khả năng phát hiện lỗ hổng ngang tầm Mythos vào tay các công ty liên kết với nhà nước Trung Quốc .
Ngăn chặn chuyển giao tri thức	Vụ tấn công chưng cất 28,8 triệu truy vấn của Alibaba cho thấy các quy tắc có thể bị phá vỡ thông qua các truy vấn API, chứ không phải chuyển giao trọng số .

Điều này có ý nghĩa gì đối với chi phí và khả năng tiếp cận các công cụ an ninh mạng?

1. Chi phí giảm mạnh. Thử nghiệm của Semgrep cho thấy GLM-5.2 tìm ra lỗ hổng với chi phí ~0,17 USD mỗi lỗ hổng so với chi phí cao hơn nhiều của các mô hình Mỹ độc quyền . Giấy phép MIT mã nguồn mở đồng nghĩa với việc không mất phí bản quyền. Các công cụ của 360 là sản phẩm nội địa cho thị trường Trung Quốc, có khả năng được định giá thấp hơn các lựa chọn thay thế của Mỹ .

2. Khả năng tiếp cận mở rộng đáng kể.

• Bất kỳ nhóm bảo mật nào có cơ sở hạ tầng GPU khiêm tốn cũng có thể tự lưu trữ GLM-5.2 để kiểm tra mã tự động .
• Các công ty Trung Quốc và các thực thể liên kết với nhà nước hiện có quyền truy cập trực tiếp vào các công cụ phát hiện lỗ hổng zero-day tự động (Tulongfeng) mà trước đây chỉ có sẵn từ các phòng thí nghiệm Mỹ dưới sự kiểm soát chặt chẽ .
• Sự kết hợp giữa LLM mã nguồn mở, chưng cất và các công cụ nội địa có nghĩa là AI an ninh mạng tiên tiến không còn là độc quyền của Mỹ ở bất kỳ mức giá nào .

3. Ranh giới tấn công-phòng thủ trở nên mờ nhạt. Cùng một mô hình GLM-5.2 tìm ra lỗi với giá 0,17 đô la mỗi lỗi, và cùng một công cụ Tulongfeng, có thể được sử dụng cho cả việc vá lỗi bảo mật và phát hiện khai thác tấn công. Với trọng số mở và không có lớp giám sát, rất khó để phân biệt mục đích sử dụng phòng thủ với tấn công .

Kết luận: Mô hình kiểm soát xuất khẩu giả định rằng việc hạn chế chip NVIDIA và trọng số mô hình sẽ giữ cho năng lực AI biên giới của Trung Quốc tụt lại phía sau 2-3 thế hệ. GLM-5.2 (mã nguồn mở, giấy phép MIT, ngang bằng với các mô hình tiên tiến nhất của Mỹ trên các chuẩn an ninh mạng cụ thể với chi phí chỉ bằng 1/6), Tulongfeng (công cụ nội địa đẳng cấp Mythos), và vụ chưng cất Alibaba đã cùng nhau chứng minh rằng tri thức, năng lực và khả năng tiếp cận đã thoát khỏi chế độ kiểm soát. Các công cụ an ninh mạng tiên tiến đã chuyển từ sản phẩm khan hiếm, chỉ ở Mỹ, chi phí cao thành tài sản hàng hóa mở, chi phí thấp, có thể truy cập toàn cầu chỉ trong vài tuần.