NSA, CISA, FBI Cảnh Báo Các Công Ty AI Có Trụ Sở Tại Trung Quốc Rút Trích Mô Hình Tiên Tiến của Hoa Kỳ

Cơ quan An ninh Quốc gia, Cơ quan An ninh Mạng và Cơ sở Hạ tầng, và Cục Điều tra Liên bang đã công bố một bản khuyến cáo an ninh mạng chung vào ngày 8 tháng 9 năm 2026, cảnh báo rằng các công ty trí tuệ nhân tạo có trụ sở tại Trung Quốc đang hệ thống thu thập các khả năng độc quyền từ các mô hình AI tiên tiến của Hoa Kỳ thông qua các chiến dịch rút trích kiến thức quy mô công nghiệp, đã diễn ra ít nhất từ cuối năm 2024.

Trong bản khuyến cáo, được chỉ định AA26-251A, các cơ quan cho biết các chiến dịch này “là cốt lõi — không chỉ là một phần bổ sung” của chiến lược phát triển AI của các công ty. Theo bản khuyến cáo, có khả năng với sự nhận thức của chính phủ Trung Quốc, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun và Z.AI đã trích xuất hàng tỷ token qua hàng triệu trao đổi và yêu cầu từ các mô hình AI tiên tiến của Hoa Kỳ, bao gồm các biến thể của Claude, GPT, Gemini và Grok. Các cơ quan cho biết hoạt động này vi phạm các điều khoản sử dụng của các công ty Hoa Kỳ và đe dọa vị thế lãnh đạo công nghệ của Hoa Kỳ.

Thông báo của CISA về bản khuyến cáo mô tả rút trích kiến thức là một kỹ thuật học máy đào tạo mô hình kém khả năng hơn bằng cách sử dụng đầu ra của mô hình lớn, mạnh hơn. Mặc dù là một phương pháp đào tạo hợp lệ, CISA cho biết nó có thể bị lạm dụng để thu được các khả năng từ đối thủ trong thời gian ngắn hơn và chi phí thấp hơn so với việc phát triển hợp pháp. “Chúng tôi mạnh mẽ khuyến cáo các công ty AI thực hiện các bước ngay lập tức để bảo vệ nền tảng của họ trước các chiến dịch rút trích kiến thức có thể thu hẹp khoảng cách tiến bộ của các công ty Mỹ,” Giám đốc Tạm Thời Nick Andersen của CISA nói.

Hoạt Động Được Gán Cho DeepSeek, Moonshot AI, và Các Công Ty Khác

The advisory states that DeepSeek has conducted an organized distillation campaign against U.S. frontier models since at least late 2024 to generate synthetic training data for its models, including R1, released in early 2025. The agencies state that DeepSeek targeted reasoning capabilities, specialized optimizations, and domain-specific functions to reduce compute and research costs, and that the company’s publicly quoted $5.6 million training cost is misleading because it excludes the cost of data acquired through malicious distillation. Between late 2024 and mid-2025, the advisory states, DeepSeek distilled from Claude 3.7, Claude Sonnet 4, Claude Sonnet 4.5, Claude Opus 4.1, Gemini 2.5 Pro Preview, Gemini 2.5 Flash Preview, GPT-4, GPT-4o, GPT-4 Mini, GPT-4 Nano, GPT-5, and Grok 4 to train its R1 and V3 models.

Khuyến cáo cho biết từ ít nhất giữa năm 2025, Moonshot AI đã tiến hành một chiến dịch chưng cất trên diện rộng, khai thác lượng lớn dữ liệu Claude Fable 5 để huấn luyện Kimi-K3 và dữ liệu GPT-4o để huấn luyện Kimi-K2. Các năng lực được nhắm tới gồm tối ưu hóa tinh chỉnh có giám sát, học tăng cường, kỹ thuật phần mềm và toán học, lấy từ nhiều mô hình Claude, GPT, Gemini và Grok. Theo khuyến cáo, Moonshot AI sử dụng hàng triệu lượt trao đổi nhằm vào suy luận và sử dụng công cụ theo kiểu tác nhân, lập trình và phân tích dữ liệu, phát triển tác nhân điều khiển máy tính cùng thị giác máy tính.

Khuyến cáo nêu rằng cuối năm 2025, Alibaba chưng cất Claude-4, Claude Opus, Claude Sonnet và GPT-5 để cải thiện kỹ thuật phần mềm, hội thoại dịch vụ khách hàng cũng như tạo hình ảnh và nhân vật trong dòng mô hình Qwen. Cùng giai đoạn, MiniMax chưng cất khả năng suy luận chuỗi tư duy, học tăng cường, tinh chỉnh có giám sát và kỹ thuật phần mềm từ Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro và Gemini 3 Pro để cải thiện mô hình M2. Khuyến cáo còn cho biết MiniMax dùng Claude Code cho phát triển phần mềm nội bộ và dùng chèn lệnh để cố đánh lừa Claude Code rằng nó là sản phẩm của MiniMax.

Theo khuyến cáo, từ cuối năm 2025 đến đầu năm 2026, StepFun chưng cất dữ liệu từ Claude Opus 4.1 và 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex và GPT-5.2 để cải thiện chức năng lập trình và tác nhân của mô hình Step 4. Đến giữa năm 2026, Z.AI đã chưng cất hàng tỷ token dữ liệu GPT-5.5 và Claude Opus 4.8 nhằm phát triển khả năng suy luận chuỗi tư duy.

Chiến Thuật và Kỹ Thuật

Khuyến cáo cho biết các công ty chuyển yêu cầu chưng cất qua API gốc, nhà cung cấp đám mây từ xa và đơn vị tổng hợp bên thứ ba che giấu siêu dữ liệu người dùng; họ còn dùng thị trường xám gồm các proxy API gọi là trạm trung chuyển để vượt hạn chế địa lý, né biện pháp bảo vệ và làm suy yếu khả năng truy vết. Theo khuyến cáo, chi phí được giảm bằng cách mua số lượng lớn gói thuê bao cao cấp rồi dùng chung giữa các nhóm phát triển. Chiến thuật nâng cao gồm trích xuất chuỗi tư duy, tự động chuyển đường dự phòng khi bị chặn và dùng khung đánh giá chất lượng để phát hiện biện pháp đối phó phòng thủ.

Các cơ quan ánh xạ hoạt động này vào khung MITRE ATLAS trên các giai đoạn vòng đời đối thủ, từ phát triển nguồn lực đến đưa dữ liệu ra ngoài, bao gồm tạo tài khoản gian lận và dùng lệnh phá rào buộc mô hình tiết lộ suy luận chuỗi tư duy ẩn. Khuyến cáo nói DeepSeek đã dùng lệnh yêu cầu mô hình tưởng tượng và diễn đạt quá trình suy luận nội bộ đằng sau câu trả lời đã hoàn thành, còn MiniMax chuyển các lượt trao đổi sang một mô hình Claude mới trong vòng 24 giờ sau khi mô hình được phát hành.

Khuyến cáo cũng nêu chi tiết bốn kỹ thuật được mô tả là mới: né hạn chế khu vực kết hợp khai thác thuê bao, hạ tầng định tuyến yêu cầu tập trung, tự động làm sạch siêu dữ liệu yêu cầu và tối ưu hóa hạn mức cùng chi phí một cách có hệ thống. Các dấu hiệu phát hiện gồm tài khoản dùng chung từ nhiều địa chỉ IP và tác nhân người dùng, hoạt động liên tục suốt ngày đêm không có biến thiên của con người, tỷ lệ thuê bao trên mức sử dụng bất thường và thuê bao mới lập tức chạy ở mức tối đa.

Biện Pháp Giảm Thiểu Được Đề Xuất

Các cơ quan khuyến nghị công ty AI Hoa Kỳ thực hiện ngay ba việc: triển khai phát hiện và giảm thiểu toàn diện các lệnh, tài khoản, mạng và hành vi bất thường hoặc độc hại; áp dụng thay đổi phản hồi có mục tiêu để tinh tế làm biến đổi câu trả lời cho những nỗ lực chưng cất bị nghi ngờ; và thiết lập chia sẻ tình báo liên tổ chức giữa nhà cung cấp mô hình, nền tảng đám mây và đơn vị tổng hợp API.

Khuyến cáo nêu rằng thay đổi phản hồi có thể gồm quyền riêng tư vi sai hoặc phục vụ mô hình bị hạ cấp cho các yêu cầu bị nghi chưng cất; doanh nghiệp nên thay đổi cách can thiệp giữa các yêu cầu để làm phức tạp việc đánh giá chất lượng phản hồi. Khuyến cáo không nên thông báo cho người dùng bị nghi chưng cất độc hại khi phản hồi được sửa đổi, nhưng các nhà nghiên cứu an toàn AI và đơn vị đánh giá bên thứ ba cần được biết về thay đổi mô hình.

Khuyến cáo liệt kê các biện pháp giảm thiểu từ MITRE ATLAS, gồm giới hạn tốc độ truy vấn, kiểm soát truy cập mô hình sản xuất, ghi nhật ký đo lường AI, làm mờ đầu ra, thử nghiệm đối kháng, gia cố mô hình, mô hình tổ hợp và hạn chế phát hành hiện vật mô hình. Tài liệu cũng viện dẫn phân loại học máy đối kháng của NIST, gồm quyền riêng tư vi sai với đánh đổi giữa nhiễu và tính hữu dụng, can thiệp trước và sau huấn luyện, cùng kỹ thuật hướng dẫn và định dạng lệnh.

Khuyến cáo kêu gọi phản ứng phối hợp giữa chính phủ Hoa Kỳ, ngành tư nhân và các quốc gia đồng minh, cho rằng công bố trong ngành đã ghi nhận những mạng proxy đồng thời quản lý hàng chục nghìn tài khoản gian lận. Tài liệu hướng dẫn các tổ chức bị ảnh hưởng gửi khiếu nại tới Trung tâm Khiếu nại Tội phạm Internet của FBI.