IOSG: Ngã ba đường của AI, tại sao Phố Wall lại nói "Không" với ChatGPT và Claude?

Bài viết gốc của Jeff, IOSG Ventures

Tại sao cần AI riêng tư

Vào ngày 1 tháng 7, CEO của Palantir, Alex Karp, đã có một cuộc phỏng vấn kéo dài 20 phút trên CNBC mà một số phương tiện truyền thông gọi là "suy sụp tinh thần". Theo Karp, các doanh nghiệp đang trả phí bảo hiểm token cho các phòng thí nghiệm tiên tiến, đồng thời chứng kiến tài sản trí tuệ (IP) của chính họ chảy sang các nhà cung cấp mô hình. Ông gọi sự rò rỉ này là sự chuyển dịch alpha, và sự chuyển dịch đang diễn ra ở lớp kiến trúc: mọi yêu cầu gửi đến mô hình mã nguồn đóng đều đến máy chủ của nhà cung cấp dưới dạng văn bản thuần túy. Chỉ vài ngày trước khi chương trình phát sóng, Palantir đã công bố hợp tác với NVIDIA để chạy mô hình Nemotron mở trong môi trường do khách hàng tự kiểm soát, kèm theo một tuyên ngôn về chủ quyền AI gồm chín điểm. Sau chương trình CNBC, cổ phiếu PLTR đã tăng 8%.

Trong hai thập kỷ qua, các doanh nghiệp đã áp dụng phần mềm đám mây dựa trên sự tin tưởng ở lớp giao thức, và điều đó đã hiệu quả. Mỗi nhà cung cấp SaaS chỉ nhìn thấy một phần dữ liệu của doanh nghiệp, và hầu hết không có động lực để sử dụng dữ liệu khách hàng nuôi dưỡng sản phẩm cốt lõi. Salesforce nhìn thấy kênh bán hàng, Workday nhìn thấy nhân sự, Jira nhìn thấy vòng lặp phát triển, AWS cung cấp nền tảng lưu trữ và tính toán. Tuy nhiên, quy trình làm việc AI ngày nay chủ trương tải lên tất cả tài sản cùng một lúc, cùng với ngữ cảnh có cấu trúc kết nối các bộ phận, để tối đa hóa năng suất. Bỏ qua thiện chí, các nhà cung cấp thượng nguồn giờ đây có thể sử dụng dữ liệu này để phát triển các tính năng mới, thay vì để chúng nằm im trong máy chủ.

Không ai chậm lại. Doanh thu hàng năm của Anthropic đạt 47 tỷ USD vào tháng 5, tăng vọt so với 9 tỷ USD vào cuối năm 2025, trong khi OpenAI đã vượt qua 900 triệu người dùng hoạt động hàng tuần vào tháng 2. Cả hai công ty đều hoàn thành các vòng gọi vốn mới vào mùa xuân năm nay, với định giá gần 1 nghìn tỷ USD và dự kiến sẽ IPO với vốn hóa cao hơn. Nhiều năm cáo buộc về quyền riêng tư và IP đã không làm giảm bớt đà tăng trưởng của họ.

Một số doanh nghiệp đã hành động từ sớm. Vào tháng 2 năm 2023, chưa đầy ba tháng sau khi ChatGPT ra mắt, các ngân hàng lớn ở Phố Wall đã hạn chế sử dụng nó. Vào tháng 5 năm 2023, sau khi các kỹ sư Samsung rò rỉ mã nguồn chip vào ChatGPT, công ty đã cấm toàn bộ AI tạo sinh trên mạng nội bộ. Để đáp lại, OpenAI đã ra mắt ChatGPT Enterprise vào tháng 8 năm đó, hứa hẹn không sử dụng dữ liệu thương mại để huấn luyện, cùng với thỏa thuận zero-data-retention (ZDR), sau này trở thành yêu cầu tiêu chuẩn trong mua sắm doanh nghiệp.

Nhưng hợp đồng chỉ khóa được tài khoản công ty. IBM phát hiện ra rằng đến năm 2025, AI bóng tối (nhân viên sử dụng tài khoản cá nhân để đưa dữ liệu công ty vào các công cụ AI không được phê duyệt) đã liên quan đến một phần năm sự cố rò rỉ dữ liệu, và việc sử dụng AI bóng tối nặng nề làm tăng thêm trung bình 670.000 USD chi phí rò rỉ. Trong một cuộc khảo sát năm 2025 của công ty đào tạo bảo mật Anagram, 40% nhân viên cho biết họ sẵn sàng vi phạm chính sách sử dụng AI để hoàn thành nhiệm vụ nhanh hơn.

Doanh nghiệp ít nhất có thể mua lối thoát bằng tiền: hợp đồng ZDR, gói dịch vụ không huấn luyện, và nếu bạn là chính phủ hoặc khách hàng của Palantir, còn có triển khai chủ quyền. Còn đối với người dùng thông thường như chúng ta, tầm quan trọng của AI riêng tư vẫn còn gây tranh cãi, cho đến khi trát tòa gõ cửa.

Một lệnh tòa vào tháng 5 năm 2025 đã buộc OpenAI phải giữ lại các cuộc trò chuyện cấp người tiêu dùng đã bị xóa. Vào tháng 11, thẩm phán lại ra lệnh chuyển 20 triệu trong số đó cho luật sư của New York Times làm tài liệu khám phá. Tiếp theo là các vụ án hình sự: hồ sơ ChatGPT của bị cáo trong vụ cháy rừng Palisades được đưa ra làm bằng chứng; bản tuyên thệ trong vụ án hai mạng ở Florida trích dẫn câu hỏi của nghi phạm về cách xử lý xác chết. Sam Altman cũng thừa nhận trong một cuộc phỏng vấn vào tháng 7 năm 2025 rằng các cuộc trò chuyện ChatGPT không được bảo vệ bởi đặc quyền pháp lý và trong các vụ kiện, OpenAI "có thể bị yêu cầu giao nộp" lịch sử trò chuyện của người dùng.

Vấn đề không phải chỉ có tội phạm mới cần trò chuyện riêng tư. Việc các cuộc trò chuyện giữa người dùng và AI được lưu trữ và có thể bị triệu tập là một tấm gương giám sát mà hầu hết người dùng không biết đến. Một cuộc khảo sát của Kolmogorov Law với 1.000 người dùng AI Mỹ vào tháng 10 năm 2025 cho thấy 50% không biết các cuộc trò chuyện này có thể bị triệu tập, trong khi 2/3 cho rằng các cuộc trò chuyện này nên được bảo vệ tương tự như khi tư vấn với luật sư hoặc bác sĩ.

Các mô hình mã nguồn mở tự lưu trữ hoặc chạy trong môi trường có thể xác minh đang bắt kịp nhanh chóng, nhưng những mô hình mạnh nhất vẫn tụt hậu khoảng 4 tháng so với các mô hình mã nguồn đóng tiên tiến về khả năng tổng quát. Điều này đặt các doanh nghiệp và cá nhân theo đuổi tokenmaxxing trước ngã ba đường: hoặc hy sinh vài tháng chất lượng mô hình để có quyền riêng tư, hoặc tiếp tục gửi tài liệu nhạy cảm lên máy chủ Anthropic, bởi vì các đối thủ cạnh tranh đang giành lợi thế năng suất theo cách đó.

Hiện tại không có giải pháp hoàn hảo nào trên thị trường. Báo cáo này tổng hợp các nỗ lực của các bên nhằm thu hẹp khoảng cách và xem xét khoảng cách giữa trí thông minh tiên tiến với quyền riêng tư có thể chứng minh được và việc phân phối nó đến các doanh nghiệp và người dùng thông thường còn xa đến đâu.

Quyền riêng tư được thực hiện như thế nào hiện nay

AI riêng tư không phải là một kỹ thuật đơn lẻ, nhưng mọi cơ chế trên thị trường hiện tại đều giải quyết cùng một sự kiện: một prompt rời khỏi thiết bị của bạn, đi qua mạng, đến máy chạy mô hình và trả về một phản hồi. Sự khác biệt giữa các cơ chế nằm ở chỗ văn bản thuần túy tồn tại ở đâu trên con đường này, ai có thể đọc nó ở đó và dựa vào đâu để xác minh tính riêng tư của phản hồi.

Quyền riêng tư cấp giao thức

Ở lớp này, ngoài bạn ra, còn có người khác đọc được prompt văn bản thuần túy của bạn và điều gì xảy ra tiếp theo hoàn toàn dựa vào một lời hứa.

• Zero-retention dạng hợp đồng là giải pháp cấp doanh nghiệp. Nhà cung cấp biết bạn là ai, xử lý prompt của bạn và hứa hẹn không lưu trữ, việc thực thi dựa vào hợp đồng và danh tiếng.
• Proxy ẩn danh xóa đi danh tính của bạn, nhưng không mã hóa những gì bạn nói; nhà cung cấp hạ nguồn vẫn xử lý văn bản thuần túy theo chính sách riêng của họ. Các điều khoản khác nhau tùy theo nhà cung cấp. Ví dụ, các proxy như Duck.ai (sản phẩm chatbot của DuckDuckGo) sẽ thỏa thuận thỏa thuận xóa với các nhà cung cấp mô hình, trong khi Venice trực tiếp để người dùng giả định rằng nhà cung cấp sẽ lưu trữ mọi thứ, nhưng cả hai bên đều không thể xác minh.

Mỗi chặng giữa các máy đều chạy trên TLS, nó chỉ mã hóa đường ống; bên nhận có thể đọc mọi thông tin. Các relay thường sử dụng Oblivious HTTP (RFC 9458) để tách quyền biết này, giống như nhờ bạn bè chuyển một mảnh giấy. Bạn bè biết ai đưa nhưng không đọc được nội dung; người nhận đọc được nội dung nhưng không biết ai viết. OHTTP đã trở thành tiêu chuẩn IETF từ tháng 1 năm 2024 và hiện nhiều công ty đang chạy lưu lượng sản xuất trên các relay OHTTP thuê từ Cloudflare và Fastly.

Đây cũng là giới hạn quyền riêng tư tối đa có thể đạt được khi truy cập các mô hình mã nguồn đóng, nguyên nhân là một bài toán số học. Chi phí huấn luyện một mô hình hàng đầu hiện nay vào khoảng hàng tỷ USD, và định giá gần nghìn tỷ USD của các phòng thí nghiệm này phụ thuộc vào việc độc quyền trọng số mô hình. Khoảng cách về khả năng mô hình tồn tại bao lâu, thì phí bảo hiểm tồn tại bấy lâu, vì vậy các phòng thí nghiệm coi các tệp trọng số như bí mật quốc gia.

Meta đã thụ động thực hiện thí nghiệm này. LLaMA ra mắt vào tháng 2 năm 2023 ban đầu chỉ dành cho các nhà nghiên cứu, nhưng trong vòng chưa đầy một tuần, trọng số đã bị rò rỉ dưới dạng torrent lên 4chan. Một tuần sau, llama.cpp cho phép mô hình 7B nhỏ nhất chạy cục bộ trên một chiếc MacBook; ba ngày sau, Stanford đã tinh chỉnh chatbot Alpaca từ cùng một mô hình với chi phí chưa đầy 600 USD. Vụ rò rỉ này đã giảm chi phí vận hành Llama xuống chỉ còn tiền điện; bất kỳ ai có tệp đều có thể chạy nó tại nhà. Vào tháng 7 năm 2023, Meta chính thức mã nguồn mở Llama 2 với giấy phép thương mại kèm điều khoản loại trừ 700 triệu người dùng hoạt động hàng tháng. Trọng số đã đi, và phí bảo hiểm cũng ra đi theo.

Các phòng thí nghiệm tiên tiến về mặt lý thuyết có thể thực hiện attestation (chứng minh từ xa) cho suy luận của mô hình mã nguồn đóng, nhưng attestation chỉ có thể chứng minh đoạn mã nào đã đọc prompt, chứ không chứng minh được đoạn mã đó đã làm gì với nó. Để biết máy chủ có giữ lại dữ liệu hay không, chúng ta cần kiểm toán mã phục vụ (serving code) và xây dựng lại nó theo hàm băm mà phần cứng báo cáo. Nhưng một khi giao nộp mã phục vụ, phòng thí nghiệm cũng giao nộp các kỹ thuật xử lý hàng loạt và bộ nhớ đệm hỗ trợ tỷ suất lợi nhuận của họ, và những kỹ thuật này sẽ chuyển sang mọi thế hệ mô hình trong tương lai. Lý do Apple và Meta có thể thực hiện attestation từ xa cho các ngăn xếp dịch vụ đằng sau iPhone và WhatsApp là vì lợi nhuận của họ nằm ở thiết bị và quảng cáo; việc công khai mã phục vụ hầu như không tốn kém gì.

Đây là lý do tại sao trọng số và mã phục vụ của các mô hình hàng đầu không thể đến tay các nhà vận hành bên ngoài. Và không có nhà vận hành bên ngoài thì không có attestation của bên thứ ba; không có attestation, quyền riêng tư có thể xác minh chỉ tồn tại trên các mô hình