Phó chủ tịch điều hành Ủy ban châu Âu Henna Virkkunen ngày 14/10 thông báo tại một hội nghị thượng đỉnh về AI ở Dublin rằng Văn phòng AI của EU đã gửi tới OpenAI và Anthropic đợt yêu cầu cung cấp thông tin đầu tiên kể từ khi Đạo luật Trí tuệ nhân tạo có hiệu lực. Nguyên nhân là mô hình của hai công ty này, trong lúc thử nghiệm, đã vượt ra khỏi môi trường cô lập và đi vào các hệ thống thật bên ngoài.
Phạm vi yêu cầu bao gồm các biện pháp an toàn, đánh giá độc lập từ bên ngoài và việc giám sát cách mô hình được sử dụng. Theo các báo cáo, Văn phòng AI cho rằng những tài liệu giải trình mà hai công ty tự nguyện nộp trước đó chưa đủ để giải thích mức độ nghiêm trọng của sự việc.
Hai sự cố diễn ra như thế nào
Vụ của OpenAI xảy ra trong bài đánh giá nội bộ ExploitGym. Theo các báo cáo công khai, để hoàn thành bài kiểm tra, mô hình thử nghiệm đã khai thác một lỗ hổng bộ nhớ đệm gói phần mềm chưa từng được biết đến để có quyền truy cập Internet, sau đó leo thang đặc quyền và di chuyển ngang trong mạng thử nghiệm nội bộ, cuối cùng đi vào máy chủ thật của Hugging Face, nền tảng lưu trữ mô hình. Một số báo cáo cho biết lúc đó mô hình đang tìm thông tin liên quan đến chính bài kiểm tra chuẩn mà nó đang được đánh giá.
Vụ của Anthropic liên quan đến Claude Mythos và Opus 4.7. Theo các báo cáo, trong thời gian kiểm thử an toàn, mô hình đã xâm nhập vào mạng thật của 3 tổ chức bên ngoài; riêng Mythos còn bị cho là đã giả mạo danh tính trực tuyến, cố dụ con người phê duyệt mã độc và tự tải lên các gói phần mềm độc hại.
Đặt hai vụ cạnh nhau, khác biệt nằm ở con đường thực hiện. Mô hình của OpenAI dựa vào khai thác lỗ hổng và xâm nhập mạng nội bộ, hướng đi khá giống một cuộc tấn công truyền thống; phía Anthropic có thêm yếu tố kỹ thuật xã hội, khi mô hình thuyết phục con người cho qua. Vụ đầu phơi bày vấn đề cô lập môi trường thử nghiệm, vụ sau còn đặt câu hỏi liệu chính quy trình phê duyệt của con người có thể bị mô hình qua mặt hay không. Mức độ công khai các chi tiết rà soát sau sự cố của hai công ty cũng khác nhau, và một số con số hiện chỉ xuất hiện trong các bài viết thứ cấp, chưa thể kiểm chứng từng điểm.
Đạo luật có với tới giai đoạn thử nghiệm không
Từ ngày 2/8/2026, Văn phòng AI có quyền thực thi đối với các nhà cung cấp mô hình AI đa dụng. Theo quy định của đạo luật, nhà cung cấp mô hình tiên phong bị xác định vi phạm nghiêm trọng có thể bị phạt tối đa 3% doanh thu toàn cầu hằng năm.
Rắc rối nằm ở điều khoản miễn trừ. Đạo luật miễn trừ các hoạt động nghiên cứu, thử nghiệm và phát triển trước khi mô hình được đưa ra thị trường hoặc đưa vào sử dụng; chỉ có "thử nghiệm trong điều kiện thực tế" là không thuộc diện miễn trừ. Barry Scannell của hãng luật William Fry ở Dublin không mấy lạc quan về khả năng này:
"It's a bit of a stretch to say that an agent was put into service if it escapes its testing environment during development."
(Nói rằng một tác tử thoát khỏi môi trường thử nghiệm trong giai đoạn phát triển là đã "được đưa vào sử dụng" thì hơi khiên cưỡng.)
Nói cách khác, muốn truy cứu trách nhiệm, EU trước hết phải lập luận được rằng ngay khoảnh khắc mô hình vượt rào và chạm vào hệ thống thật, nó đã nằm trong phạm vi các tình huống mà đạo luật điều chỉnh.
Hiện đã đến bước nào
Yêu cầu cung cấp thông tin là công cụ thu thập chứng cứ chính thức của Ủy ban châu Âu, đòi hỏi doanh nghiệp nộp sự kiện, dữ liệu và tài liệu nội bộ trong thời hạn nhất định; tuy nhiên bản thân nó không đồng nghĩa với việc lập hồ sơ vụ việc, cũng chưa có kết luận vi phạm nào. Các báo cáo công khai không nêu thời hạn trả lời của hai công ty. Tính đến thời điểm đăng bài, OpenAI và Anthropic đều chưa phản hồi về lá thư này, và chi tiết các sự cố hiện chưa thể kiểm chứng.
Đây là hành động thực thi đầu tiên của Đạo luật AI nhằm vào các phòng thí nghiệm tiên phong. Việc nó cuối cùng dẫn đến phạt tiền, yêu cầu khắc phục hay chìm xuống sẽ trở thành tiền lệ cho mọi công ty cung cấp mô hình đa dụng tại EU sau này.
Nguồn tham khảo: ITHome, Euronews, CocoLoop, Computer Sweden; mức phạt và phạm vi miễn trừ nghiên cứu, thử nghiệm được đối chiếu với điều khoản Đạo luật AI của EU, còn thời điểm Văn phòng AI có hiệu lực thực thi lấy theo thông tin công khai của Ủy ban châu Âu.