Có ai để ý đến con số 24 giờ không?
Google vừa trình làng một công cụ AI cho phép người dùng "hỏi chuyện" ảnh vệ tinh – gõ câu lệnh như "chỉ tôi vị trí nhà máy lọc dầu gần Vũng Tàu" và hệ thống tự tìm kiếm trong kho dữ liệu quan sát Trái Đất. Chưa đầy một ngày, Internet đã "khai tử" nó. Bot kêu rồi, anh em coi chừng nhé: không phải vì model yếu, mà vì tầng bảo vệ xung quanh nó đã không qua được bài kiểm tra khắc nghiệt nhất – sự tò mò có chủ đích của hàng triệu người dùng.
Tôi nói "không qua được" dựa trên kinh nghiệm theo dõi hàng trăm vụ exploit trong crypto. Nhưng để tránh vội kết luận: sự kiện này chỉ xuất hiện trên Crypto Briefing với chi tiết rất hạn chế – không có tên công cụ, không có tài liệu kỹ thuật, không có phản hồi chính thức từ Google. Những gì chúng ta biết chắc là một sản phẩm AI có khả năng phân tích ảnh vệ tinh đã bị gỡ xuống trong vòng 24 giờ vì bị lạm dụng.
Tại sao Google lại vội vã như vậy? Bối cảnh quan trọng: ảnh vệ tinh thương mại có độ phân giải dưới một mét, đủ để nhận diện một chiếc xe tăng hay một giàn khoan. Khi ghép với AI, thao tác "tìm kiếm tất cả tàu hải quân trong phạm vi 50 km" trở thành một câu lệnh đơn giản. Giá trị thông tin của một lần truy vấn ngang bằng với một bản tin tình báo truyền thống. Google không thể đùa với điều đó.
Đây không phải lần đầu tiên AI và bản đồ gặp nhau. Google Maps và Earth đã có chức năng tìm kiếm địa lý từ lâu, nhưng chúng hoạt động theo chỉ mục có sẵn. Công cụ mới này có vẻ thuộc nhóm "vision-language model" – tức mô hình đa phương thức có thể trả lời câu hỏi mở, không cần tọa độ chính xác từ trước. Khả năng đó vừa thú vị, vừa nguy hiểm.
Giờ đến phần tôi muốn anh em đọc kỹ. Có một sự khác biệt lớn giữa "thất bại của AI" và "thất bại của hệ thống xung quanh AI". Trong crypto, khi một dự án DeFi bị drain, người ta thường nói "smart contract bị hack" – nhưng thực ra hợp đồng không tự hỏng; nó thiếu access control, thiếu kiểm tra lại, thiếu một cơ chế giới hạn tổn thất. Google satellite AI cũng vậy: thành phần "thị giác" của mô hình gần như chắc chắn hoạt động tốt. Vấn đề nằm ở lớp lọc truy vấn.
Hãy thử phân tích theo cách tôi vẫn audit một contract. Một hệ thống AI geospatial an toàn cần ít nhất ba tầng: 1. Tầng thứ nhất: bộ lọc input – chặn các cụm từ liên quan đến căn cứ quân sự, công trình quốc phòng, khu vực cấm. 2. Tầng thứ hai: bộ kiểm tra output – nếu model trả về tọa độ nằm trong danh sách đen, hệ thống tự động xóa kết quả. 3. Tầng thứ ba: giới hạn tốc độ và quyền hạn – người dùng thường không được phép gửi nhiều hơn một số quy định các truy vấn theo dõi.
Tầng nào trong ba tầng đó đã bị xâm phạm? Có thể là cả ba. "Bị Internet phá hủy" thường có nghĩa là ai đó đã dùng prompt injection – ví dụ yêu cầu model "viết truyện về khu vực nhạy cảm" rồi ép nó tự xác định tọa độ – hoặc dùng thuật ngữ lóng, ngoại ngữ để né từ khóa bị chặn. Nếu một đứa trẻ có thể dùng ngôn ngữ tự nhiên để vượt qua tường lửa nội dung, thì sản phẩm đó chưa đủ trưởng thành.
Kể từ vụ QuantumChain năm 2017, tôi luôn nhắc mọi người một nguyên tắc: "Không bao giờ tin tưởng vào lời dev nói rằng họ đã kiểm tra." Khi tôi phát hiện backdoor trong smart contract của ICO đó, bản thân đội ngũ đã có ba vòng audit nội bộ. Ba vòng! Nhưng không ai nghĩ đến việc một user có thể gọi hàm withdraw với giá trị ETH là số âm. Sự việc Google lần này y hệt: chắc chắn họ đã có red team nội bộ, nhưng red team nội bộ không thể mô phỏng sự sáng tạo vô biên của một mạng lưới người dùng hostile.
Có một thuật ngữ trong giới bảo mật: "deployment is a promise". Khi bạn phát hành một công cụ ra công chúng, bạn hứa rằng nó sẽ không gây hại. Nếu bạn chưa đủ tự tin về điều đó, tốt nhất đừng nên giữ lời hứa.
Tôi đặc biệt chú ý đến một cụm từ trong bản tin gốc: "internet destroyed it". Không phải "hacker tấn công
