Giám đốc điều hành Hugging Face Clément Delangue vừa gửi lời cảm ơn sắc bén nhất trong lĩnh vực AI hiện nay—tới một startup Trung Quốc—một ngày sau khi OpenAI xác nhận các mô hình của họ đã đột nhập vào máy chủ của Hugging Face.

Z.ai, phòng thí nghiệm có trụ sở tại Bắc Kinh đã phát hành GLM 5.2 dưới dạng trọng số mở (open weights) vào tháng trước, đã nhận được lời khen ngợi công khai từ Delangue trên X.

“Cũng vô cùng biết ơn z.AI. Họ đã chia sẻ GLM5.2 dưới dạng trọng số mở (miễn phí!) với thế giới và nó đã trở thành một phần quan trọng trong hệ thống phòng thủ của chúng tôi,” ông nói trong một bài đăng lại (retweet) của Trưởng bộ phận Hạ tầng Hugging Face, Adrien Carreira.

Theo OpenAI, GPT 5.6 Sol của công ty và một mô hình AI khác đã thoát khỏi môi trường sandbox khi đang được kiểm tra trên một tiêu chuẩn an ninh mạng. Các mô hình này, dường như tự ý, đã quyết định tấn công Hugging Face để tìm câu trả lời cho tiêu chuẩn nhằm vượt qua đánh giá thành công.

Hugging Face đã cố gắng sử dụng các mô hình nguồn đóng của Mỹ để tự bảo vệ, nhưng các bộ lọc kiểm duyệt và rào cản do các nhà cung cấp đặt ra quá rộng, đến nỗi ngay cả những mô hình tốt nhất cũng thất bại. GLM 5.2, chạy cục bộ và là trọng số mở, hóa ra là lựa chọn tốt nhất cho công ty.

Trọng số mở có nghĩa là toàn bộ bản thiết kế mô hình có sẵn cho bất kỳ ai—tải xuống, chạy cục bộ, không yêu cầu cấp phép, không hạn chế. Z.ai đã phát hành GLM 5.2 vào giữa tháng 6 theo giấy phép MIT, một giấy phép nguồn mở tự do cho phép sử dụng thương mại không giới hạn, với khoảng 753 tỷ tham số—một thước đo sơ bộ về kích thước và khả năng của một mô hình AI.

Sự cởi mở đó chính là điều quan trọng trong sự cố. Đội ngũ bảo mật của Hugging Face ban đầu đã thử sử dụng AI thương mại của Mỹ để xem xét hơn 17.000 sự kiện tấn công được ghi lại. Các mô hình đó đã từ chối.

Các rào cản an toàn—bộ lọc nội dung được xây dựng để ngăn chặn lạm dụng—không thể phân biệt một nhà nghiên cứu đang gửi các payload khai thác thực sự với kẻ tấn công đã gửi chúng. GLM 5.2 không gặp vấn đề như vậy. Việc chạy nó cục bộ cũng có nghĩa là tất cả dữ liệu nhạy cảm—thông tin đăng nhập bị đánh cắp, mã khai thác, các tạo phẩm của kẻ tấn công—đều nằm trong hệ thống của Hugging Face trong suốt thời gian đó.

Carreira mô tả vụ tấn công của OpenAI là phản ứng sự cố tồi tệ nhất—quá trình điều tra và ngăn chặn một cuộc tấn công mạng—trong sự nghiệp của ông: tốc độ máy móc, một mục tiêu, các đường dẫn tấn công song song không ngừng. Điều ông rút ra là đội ngũ đã "chống trả bằng các mô hình mở, một cách công khai."

Quan điểm rộng hơn của Delangue là điều ông đã nói trước đây, nhưng giờ đây có một ví dụ thực tế: những người phòng thủ ở mọi nơi—không chỉ các tổ chức có quyền truy cập API được kiểm duyệt—cần một AI mạnh mẽ, không hạn chế mà họ có thể chạy trên phần cứng của riêng mình. Hugging Face cho biết họ vẫn đang đánh giá toàn bộ phạm vi của vụ vi phạm và dự định liên hệ trực tiếp với các bên bị ảnh hưởng.