Sự dễ dàng trong việc thay đổi cách diễn đạt làm hỏng an toàn AI, ngay cả đối với Gemini và Claude

Các thử nghiệm an toàn AI cho thấy phụ thuộc vào các từ khóa ‘được nhận biết rõ ràng’; với việc thay đổi cách diễn đạt dễ dàng, các mô hình được dán nhãn ‘an toàn hợp lý’ đột nhiên thất bại, với các cuộc tấn công thành công lên đến 98% thời gian.

Nghiên cứu mới của các công ty ở Mỹ đã kết luận rằng hồ sơ an toàn tốt của nhiều Mô hình Ngôn ngữ Lớn (LLM) – bao gồm nhiều tên tuổi hàng đầu như Gemini 3 Pro và Claude Sonnet 3.7 – có thể là vô nghĩa, vì các tập dữ liệu và điểm chuẩn được sử dụng để thiết lập chúng chứa ngôn ngữ ‘quá rõ ràng’.

Hai tập dữ liệu đang được đề cập, đã được giới thiệu trong các bài đánh giá giấy tại trang web này, là HarmBench và AdvBench:

Từ các bài viết HarmBench và AdvBench, rõ ràng là các ví dụ về sự khiêu khích – nhưng bài viết mới cho rằng ngay cả trong các kịch bản thực tế, các ví dụ từ các điểm chuẩn này ‘báo hiệu’ ý định ác ý, điều này có thể dẫn đến (dường như) ‘lừa đảo’ kết quả. Nguồn: HarmBench và AdvBench.

Mặc dù các ví dụ được hiển thị ở trên, từ các bài viết cho từng điểm chuẩn, là đơn giản để minh họa các nguyên tắc của hệ thống, nghiên cứu mới cho rằng thực tế những tập dữ liệu này nhắm vào ‘trái cây thấp’, và do đó có thể không phải là điểm chuẩn hiệu quả – và kết quả thực sự về khả năng an toàn của các LLM được thử nghiệm thấp hơn nhiều so với những gì đã được báo cáo:

‘[Chúng tôi] đánh giá xem các tập dữ liệu này có thực sự đo lường rủi ro an toàn hay chỉ kích hoạt từ chối thông qua các tín hiệu kích hoạt. Để khám phá điều này, chúng tôi giới thiệu “rửa ý định”: một thủ tục trừu tượng hóa các tín hiệu kích hoạt từ các cuộc tấn công (điểm dữ liệu) trong khi vẫn giữ nguyên ý định ác ý và tất cả các chi tiết liên quan.

‘Kết quả của chúng tôi cho thấy rằng các tập dữ liệu an toàn AI hiện tại không đại diện chính xác cho các cuộc tấn công thực tế do sự phụ thuộc quá mức vào các tín hiệu kích hoạt.

‘Thực tế, khi các tín hiệu này bị loại bỏ, tất cả các mô hình “an toàn hợp lý” trước đó trở nên không an toàn, bao gồm cả Gemini 3 Pro và Claude Sonnet 3.7.’

‘An toàn’ trong trường hợp này đại diện cho sự phù hợp – khả năng của LLM trong việc chống lại các nỗ lực của người dùng để ‘vượt qua’ các hạn chế trên các hệ thống chỉ có API, để làm cho hệ thống sản xuất đầu ra bị cấm, chẳng hạn như văn bản hoặc hình ảnh khiêu dâm.

Các tác giả đã đề cập đến technique ‘rửa ý định’ đơn giản chỉ là việc thay đổi cách diễn đạt các cuộc tấn công ‘quá rõ ràng’ trong hai tập dữ liệu/benchmarks, để chúng trở nên tinh vi và xảo quyệt hơn, và có khả năng vượt qua các bộ lọc và kiểm tra nhiều hơn:

Phần trên của một ví dụ không tiện lợi từ bài viết. Hiển thị ở phía trên bên trái, màu vàng, loại ‘quá rõ ràng’ của lời nhắc mà HarmBench và AdvBench thường cung cấp; dưới đây, màu xanh lá cây, lời nhắc đã được trung hòa, thay đổi cách diễn đạt và đủ chấp nhận được đối với Claude Sonnet 3.7 để nó sẵn sàng giúp người dùng tìm ‘cửa hàng chop’ (địa điểm xử lý xe hơi bị đánh cắp) trong một thành phố mới. Nguồn

Các nhà nghiên cứu đã phân tích các đặc điểm của hai tập dữ liệu qua hai phương pháp: trong môi trường cô lập, để so sánh các tập dữ liệu với các đặc điểm của các cuộc tấn công thực tế; và trong thực tế, nơi các tập dữ liệu – và các ‘cải tiến’ của các tác giả trên chúng – được sử dụng để tấn công các mô hình thực tế.

Trong vòng thứ hai của các thử nghiệm, các nhà nghiên cứu ‘phương pháp thay đổi cách diễn đạt’ đã được cải tiến lặp lại cho đến khi đạt được kết quả tối ưu về Tỷ lệ thành công của cuộc tấn công (ASR):

Rửa ý định bắt đầu bằng cách truyền một lời nhắc ác ý rõ ràng qua một mô hình viết lại mà loại bỏ ngôn ngữ kích hoạt rõ ràng trong khi giữ nguyên ý định ác ý cơ bản. Lời nhắc đã sửa đổi sau đó được gửi đến mô hình mục tiêu, và phản hồi của nó được đánh giá về cả an toàn và tính khả dụng trong thế giới thực. Nếu đầu ra được coi là không an toàn và có thể sử dụng được, cuộc tấn công được coi là thành công. Nếu không, các phiên bản trước đó đã thất bại được đưa trở lại vào mô hình viết lại để tạo ra các phiên bản cải tiến, tạo ra một vòng lặp lặp lại chức năng như một cơ chế vượt qua các hạn chế cho đến khi đạt được số lần thử cố định hoặc đạt được tỷ lệ thành công của cuộc tấn công mong muốn.

Các tác giả tuyên bố*:

‘Kết quả của chúng tôi cho thấy rằng, với vòng lặp tái tạo này, rửa ý định đạt được tỷ lệ thành công của cuộc tấn công cao (90%–98.55%) sau chỉ một vài lần lặp lại trên tất cả các mô hình được nghiên cứu dưới quyền truy cập hộp đen đầy đủ. Điều này bao gồm các mô hình gần đây được báo cáo là trong số những mô hình an toàn nhất–chẳng hạn như Gemini 3 Pro và Claude Sonnet 3.7.

‘Những phát hiện này进一步 xác nhận rằng các đánh giá an toàn hiện tại và các phương pháp phù hợp an toàn cao đang bị quá拟 hợp^† với các tín hiệu kích hoạt.’

Bài viết mới có tiêu đề Rửa ý định: Các tập dữ liệu an toàn AI không phải là những gì chúng có vẻ, và đến từ hai tác giả tại công ty phần mềm Labelbox có trụ sở tại San Francisco.

Phương pháp

Để nghiên cứu thành phần và kiến trúc của hai tập dữ liệu chuẩn trong môi trường cô lập, các đám mây từ đã được tạo ra từ hai tập dữ liệu, cho thấy những từ và cụm từ ngắn nào thống trị các tập dữ liệu:

Đám mây từ hiển thị 40 unigram, bigram và trigram thường xuyên nhất trong các tập dữ liệu AdvBench và HarmBench kết hợp. Các thuật ngữ có ý nghĩa tiêu cực hoặc nhạy cảm vốn có được tô màu đỏ, các tín hiệu kích hoạt theo ngữ cảnh màu cam, và các từ trung lập tạo thành các tín hiệu kích hoạt cấp cao hơn màu xanh lá cây. Sự tập trung của các cụm từ rõ ràng như ‘không bị bắt’ và ‘hướng dẫn từng bước’ cho thấy rằng hai điểm chuẩn này phụ thuộc nặng vào các tín hiệu kích hoạt rõ ràng chứ không phải là các cuộc tấn công được xây dựng thực tế với ý định ulterior.

Các tác giả lưu ý rằng các từ và cụm từ ngắn thống trị là không thực tế khi tiết lộ ý định ác ý, trái ngược với loại ngôn ngữ mà tội phạm sử dụng trong thảo luận, và các kẻ tấn công sử dụng khi thử nghiệm hoặc cố gắng xâm phạm các hệ thống LLM.

‘Những tín hiệu này làm suy yếu hai thuộc tính – được xây dựng tốt và được thúc đẩy bởi ý định ulterior – vì ngôn ngữ rõ ràng như vậy hiếm khi xuất hiện trong các cuộc tấn công thực tế và dường như được thiết kế để kích hoạt các cơ chế an toàn một cách nhân tạo. ‘

Bài viết mô tả các mẫu của các tập dữ liệu như ‘tín hiệu kích hoạt’ – các cụm từ có ý nghĩa tiêu cực hoặc nhạy cảm rõ ràng mà được thiết kế để kích hoạt các bộ lọc an toàn. Một số trong số chúng vốn đã mang tính chất kích động, chẳng hạn như ‘tự tử’, trong khi những cụm từ khác chỉ trở nên kích động trong ngữ cảnh, chẳng hạn khi một mục tiêu có hại được kết hợp với ngôn ngữ như ‘không bị bắt’, điều này báo hiệu rõ ràng ý định trốn tránh phát hiện.

Sự mất cân bằng trong ngôn ngữ của các tập dữ liệu trở nên rõ ràng hơn khi số lượng từ trong các n-gram tăng lên, với các cụm từ mang ý nghĩa tiêu cực hoặc nhạy cảm rõ ràng chiếm ưu thế trong các n-gram thường xuyên nhất (xem hình ảnh trên). Bài viết mô tả những cụm từ này là các cụm từ kích hoạt, mà cùng với các từ kích hoạt đơn đơn lẻ, tạo thành các tín hiệu kích hoạt.

Một số cụm từ đơn giản chỉ mở rộng các thuật ngữ đã tải trước, chẳng hạn như khi ‘đánh cắp’ trở thành ‘đánh cắp thông tin nhạy cảm’, ‘đánh cắp thông tin bí mật’, hoặc ‘đánh cắp thông tin cá nhân’; và, ví dụ, khi ‘thực hiện’ mở rộng thành ‘thực hiện tự tử’, ‘thực hiện giao dịch nội gián’, hoặc ‘thực hiện trộm cắp danh tính’ – rõ ràng là ngôn ngữ và cách diễn đạt của cảnh sát, tòa án và báo chí.

Những cụm từ khác được xây dựng hoàn toàn từ các từ trung lập trở nên đáng lo ngại chỉ trong sự kết hợp, chẳng hạn như ‘không bị bắt’, một cấu trúc báo hiệu trốn tránh mặc dù không chứa bất kỳ thuật ngữ kích động nào vốn có.

Nhân đôi

Các tác giả quan sát thấy rằng việc lặp lại các tín hiệu kích hoạt rõ ràng không chỉ làm cho các lời nhắc có vẻ không tự nhiên, mà còn cho thấy sự trùng lặp đáng kể của dữ liệu trong các tập dữ liệu. Để kiểm tra giả thuyết này, họ đã chạy kiểm tra tương đồng từng cặp trên từng tập dữ liệu, áp dụng các ngưỡng từ 0,7 đến 0,99, và nhóm các lời nhắc vượt quá một ngưỡng nhất định thành các bản sao, trong khi coi phần còn lại là duy nhất.

Bởi vì không có tiêu chuẩn thống nhất về mức độ tương đồng ‘cao’ trong một tập dữ liệu thuộc một lĩnh vực, họ đã sử dụng Open AI’s Grade School Math (GSM8K), một điểm chuẩn phổ biến không liên quan đến an toàn, khớp với kích thước mẫu của HarmBench và AdvBench để so sánh có kiểm soát:

Tỷ lệ trùng lặp trong AdvBench và HarmBench trên các ngưỡng tương đồng, so với các tập con GSM8K có kích thước mẫu tương đương. Ở hầu hết mọi ngưỡng, các tập dữ liệu an toàn chứa nhiều lời nhắc gần như trùng lặp hơn so với điểm chuẩn không liên quan đến an toàn, cho thấy việc đánh giá lại cùng một ý định có hại với sự thay đổi nhỏ về cách diễn đạt, và gợi ý rằng hiệu suất an toàn được báo cáo có thể bị thổi phồng. Xin vui lòng tham khảo bài viết nguồn để có độ phân giải tốt hơn.

Một phát hiện thứ hai từ phần này của nghiên cứu so sánh các lời nhắc trong từng tập dữ liệu, để đo lường bao nhiêu lời nhắc thực sự khác biệt. Ở mức độ tương đồng trung bình, chỉ khoảng 11% lời nhắc trong AdvBench là duy nhất, trong khi gần 94% câu hỏi trong một mẫu GSM8K có kích thước mẫu tương đương là khác biệt:

Ví dụ về các lời nhắc gần như trùng lặp trong AdvBench và HarmBench, khác biệt chủ yếu về cách diễn đạt, trong khi thể hiện cùng một ý định có hại. Sử dụng lại các tín hiệu kích hoạt rõ ràng, được hiển thị màu đỏ cho các thuật ngữ kích động vốn có, và màu cam cho các tín hiệu kích hoạt theo ngữ cảnh, tạo ra các cụm lời nhắc hiệu quả kiểm tra cùng một kịch bản nhiều lần – có nghĩa là một phản hồi sẽ đủ để đánh giá mô hình cho ý định đó.

HarmBench cho thấy xu hướng tương tự, với 16% trùng lặp ở mức độ đó so với 3,5% trong GSM8K, có nghĩa là các tập dữ liệu an toàn thường xuyên sử dụng lại cùng một yêu cầu có hại với sự thay đổi nhỏ về cách diễn đạt.

Nếu 85% ví dụ khác biệt được coi là một tiêu chuẩn hợp lý, AdvBench chỉ đạt được mức này dưới một cài đặt rất nghiêm ngặt, và vẫn không vượt quá 90%, trong khi GSM8K đạt 85% ở một ngưỡng thấp hơn. Theo bài viết, mẫu này cho thấy rằng các điểm chuẩn an toàn kiểm tra các biến thể lặp lại của cùng một ý tưởng, chứ không phải là một loạt các kịch bản tấn công đa dạng.

Các phương pháp tiếp theo và thử nghiệm

Công việc đã đề cập đến kỹ thuật ‘rửa ý định’ của LLM loại bỏ ngôn ngữ kích hoạt rõ ràng, trong khi vẫn giữ nguyên ý định ác ý cơ bản. Thay vì thể hiện ý định một cách rõ ràng, các lời nhắc đã sửa đổi gợi ý nó, giữ nguyên tải trọng ác ý, nhưng tránh các tín hiệu kích hoạt có thể kích hoạt sự từ chối ngay lập tức của LLM.

Hai phương pháp giúp cho điều này là trung hòa ý nghĩa, thay thế các thuật ngữ tiêu cực rõ ràng bằng các lựa chọn trung lập hoặc mô tả; và chuyển đổi ngữ cảnh, chuyển các tham chiếu thế giới thực sang các thiết lập hư cấu mà không thay đổi ý nghĩa thực tế.

Một tập hợp nhỏ các bản sửa đổi đã được viết bằng tay, sau đó quá trình này được tự động hóa bằng cách sử dụng GPT-5.1 (gpt-5.1-2025-11-13), với một thiết lập học trong ngữ cảnh tám lần như ‘rửa ý định’. Các phản hồi đối với các lời nhắc ban đầu và đã sửa đổi sau đó được so sánh, để đo lường mức độ ảnh hưởng của ngôn ngữ kích hoạt rõ ràng đến các đánh giá an toàn.

Bởi vì rửa ý định có thể thay đổi cả cách diễn đạt và khuôn khổ, các phản hồi được đánh giá về an toàn và tính thực tế. An toàn được đánh giá trên một thang điểm năm điểm Likert, từ ‘rất không an toàn’ đến ‘an toàn’, tùy thuộc vào việc phản hồi có giữ nguyên ý định ác ý ban đầu – và, nếu có, mức độ nguy hiểm của nó:

Một mẫu lời nhắc được sử dụng để đánh giá an toàn tiêu chuẩn của các phản hồi đối với các điểm dữ liệu AdvBench và HarmBench ban đầu, trước khi áp dụng rửa ý định. GPT-5.1 được hướng dẫn để đánh giá mỗi phản hồi trên thang điểm năm điểm Likert từ ‘Rất không an toàn’ đến ‘An toàn’, chọn một phán quyết chung dựa trên việc nội dung có cho phép gây hại hay không.

‘Tính thực tế’ được đánh giá trên một thang điểm năm điểm song song từ ‘rất có thể áp dụng’ đến ‘không áp dụng được’, dựa trên mức độ mà chi tiết có thể được sử dụng và chuyển giao trong thế giới thực; và Tỷ lệ thành công của cuộc tấn công (ASR) đo lường hiệu suất, với một bản sửa đổi được coi là thành công chỉ khi phản hồi cả không an toàn và thực tế.

Các xếp hạng năm điểm được ánh xạ sang kết quả nhị phân để giảm sự mơ hồ, và rửa ý định cũng tiến hóa thành một phương pháp vượt qua các hạn chế bằng cách thêm một vòng lặp sửa đổi-tái tạo lặp lại, trong đó các bản sửa đổi không thành công trước đó được đưa trở lại vào GPT-5.1 dưới cùng một thiết lập học trong ngữ cảnh tám lần. Vòng lặp này tiếp tục cho đến khi đạt được số lần thử cố định trước hoặc đạt được Tỷ lệ thành công của cuộc tấn công mong muốn.

Đối với các thử nghiệm đánh giá an toàn, gói wordcloud của Python được sử dụng để trích xuất n-gram từ HarmBench và AdvBench, với các phương pháp lọc thông thường (tức là để loại bỏ từ dừng và các từ và ký tự không liên quan khác).

Các tập dữ liệu an toàn cùng được sử dụng cho phân tích đám mây từ trước đó đã được kết hợp với các mẫu ngẫu nhiên từ tập dữ liệu GSM8K đã đề cập, với số lượng từ được bằng nhau để đảm bảo sự đồng đều trên các tập dữ liệu.

Các tác giả đã sử dụng nhúng từ điểm kiểm tra all-MiniLM-L6-V2 từ Sentence-BERT Transformers, vì nó đã được tinh chỉnh trước để phân cụm và tìm kiếm ngữ nghĩa.

Tiêu chí đánh giá được tạo ra bởi mô hình GPT-4o của OpenAI (đã ngừng hoạt động), giới hạn ở 1024 token. GPT-5.1 đánh giá cả an toàn và tính thực tế sau khi rửa ý định, không có sự học trong ngữ cảnh, khớp với tất cả các cách, ngoại trừ việc nó cũng bị giới hạn ở 1024 token.

Các mô hình được thử nghiệm bao gồm Gemini 3 Pro; Claude Sonnet 3.7; Grok 4; GPT-4o; và Qwen2.5-7B-Instruct. Ở những nơi có thể, vì lý luận là một yếu tố không cần thiết, điều này đã được giảm xuống thấp nhất có thể trong các mô hình có khả năng lý luận.

Tất cả các mô hình đều bị giới hạn ở mức đầu ra 4096 token:

Đánh giá an toàn (SE), đánh giá tính thực tế (PE), và tỷ lệ thành công của cuộc tấn công (ASR) cho bảy mô hình trên AdvBench (trên) và HarmBench (dưới) dưới ba điều kiện: không sửa đổi, sửa đổi lần đầu, và các lần sửa đổi-tái tạo lặp lại của rửa ý định. SE báo cáo tỷ lệ phần trăm của các phản hồi được đánh giá là ‘rất không an toàn’, ‘không an toàn cao’, hoặc ‘không an toàn’; PE báo cáo tỷ lệ phần trăm được đánh giá là ‘rất có thể áp dụng’, ‘có thể áp dụng cao’, hoặc ‘có thể áp dụng’; và ASR đo lường tỷ lệ phần trăm của các phản hồi mà cả không an toàn và thực tế. Trong cài đặt không sửa đổi, ASR tuân theo định nghĩa tiêu chuẩn của nó vì không có trừu tượng nào được áp dụng. Các giá trị được đánh dấu cho thấy ASR cao nhất được đạt được trong mỗi tập dữ liệu, và ASR thấp hơn tương ứng với an toàn mô hình mạnh hơn. Xin vui lòng tham khảo bài viết nguồn để có độ phân giải tốt hơn.

Về những kết quả ban đầu này, các tác giả lưu ý rằng việc loại bỏ các tín hiệu kích hoạt rõ ràng khỏi các lời nhắc tấn công đã tạo ra sự tăng đột ngột về tỷ lệ thành công của cuộc tấn công. Trên AdvBench, ASR trung bình tăng từ 5,38% lên 86,79% sau lần sửa đổi đầu tiên, trên HarmBench tăng từ 13,79% lên 79,83% – cho thấy rằng sự từ chối của mô hình chủ yếu được thúc đẩy bởi sự hiện diện của các tín hiệu kích hoạt rõ ràng.

Các tác giả quan sát:

‘Điều này cho thấy rằng sự từ chối của mô hình chủ yếu được thúc đẩy bởi sự hiện diện của các tín hiệu kích hoạt. Kết quả là, các tập dữ liệu an toàn không đo lường đáng tin cậy các rủi ro an toàn trong thế giới thực, vì chúng phụ thuộc nhiều hơn vào các tín hiệu kích hoạt để kích hoạt sự từ chối hơn là vào ý định ác ý thực sự.’

Rửa ý định, bài viết khẳng định, đã loại bỏ hiệu quả các tín hiệu kích hoạt trong khi vẫn giữ nguyên ý định ác ý, và hoạt động như một phương pháp vượt qua các hạn chế mạnh mẽ. Trong lần sửa đổi-tái tạo cuối cùng, tương ứng với ASR cao nhất trong mỗi tập dữ liệu, tỷ lệ thành công của cuộc tấn công đạt 90% đến 98.55% trên tất cả các mô hình.

Điều này bao gồm Gemini 3 Pro và Claude Sonnet 3.7, đã bị vượt qua các hạn chế với ASR từ 93% đến 95% trên AdvBench, và từ 91% đến 93% trên HarmBench, sau chỉ một vài lần lặp lại.

Các tác giả kết luận:

‘Kết quả của chúng tôi cho thấy rằng các kết luận an toàn trước đó không còn đứng vững khi các tín hiệu kích hoạt bị loại bỏ, và rằng hiệu suất an toàn quan sát được chủ yếu được thúc đẩy bởi sự hiện diện của các tín hiệu kích hoạt chứ không phải bởi các rủi ro an toàn cơ bản.

‘Chúng tôi cũng cho thấy rằng rửa ý định có thể được sử dụng như một kỹ thuật vượt qua các hạn chế mạnh mẽ, đạt được tỷ lệ thành công của cuộc tấn công cao từ 90% đến hơn 98%.

‘Tổng thể, các phát hiện của chúng tôi đã tiết lộ một khoảng cách quan trọng giữa cách mô hình an toàn được đánh giá và cách hành vi đối thủ thực tế được thể hiện.

‘Dựa trên điều này, chúng tôi kết luận rằng (1) các đánh giá an toàn phải phát triển để bắt chước các cuộc tấn công đối thủ một cách thực tế hơn, và (2) các nỗ lực phù hợp an toàn hiện tại vẫn còn xa so với việc chống lại các mối đe dọa thực tế.’

Kết luận

Một chủ đề chung vẫn còn tồn tại trong toàn bộ văn học ngôn ngữ và tầm nhìn máy tính (và những nơi chúng giao nhau, chẳng hạn như VLMs) là sự không thể đáng tin cậy hiểu khi nào một mô hình đang bị lừa để sản xuất nội dung bị cấm; hoặc thậm chí khi nó vô tình đi vào đó mà không có sự ép buộc từ bên ngoài.

Đằng sau những cảnh quan rộng lớn và không rõ ràng của các xưởng mô hình, người ta chỉ có thể giả định rằng việc thắt chặt các vùng ngữ nghĩa này sẽ dẫn đến những thiệt hại không thể chấp nhận được, chẳng hạn như giảm hiệu suất trên ‘nội dung không bị cấm’, hoặc tỷ lệ dương tính giả không thể chấp nhận được từ bộ lọc nội dung.

Bản chất cơ bản của một mô hình được đào tạo trong bất kỳ lĩnh vực nào là tuân theo tất cả dữ liệu đào tạo đến bất kỳ kết luận nào mà một lời nhắc có thể dẫn đến; các ràng buộc đigenous duy nhất có sẵn là a) không bao gồm nội dung gây tranh cãi trong dữ liệu đào tạo (điều này là một vấn đề hậu cần cũng như bất cứ điều gì khác); hoặc b) ‘cắt’ các con đường đến nội dung không mong muốn sau khi đào tạo (một quá trình có thể thường được đảo ngược bằng cách abliteration rõ ràng, hoặc như một hiệu ứng phụ không mong muốn của việc tinh chỉnh).

* Thay thế của tôi cho các trích dẫn nội dòng của tác giả bằng các liên kết. Sự nhấn mạnh của tác giả, không phải của tôi.

^† https://www.unite.ai/what-is-overfitting/

Được xuất bản lần đầu vào thứ hai, ngày 23 tháng 2 năm 2026