OpenAI được cho là đang đàm phán mua lại Trail of Bits, vì sao các công ty mô hình bắt đầu tranh giành đội ngũ bảo mật?

Nguyên bản | Odaily（@OdailyChina）

Tác giả | 速递侠@Odaily

Theo báo cáo của trang tin nước ngoài 《The Information》, OpenAI đang đàm phán mua lại giai đoạn đầu với công ty an ninh mạng Trail of Bits có trụ sở tại New York. Số tiền giao dịch chưa được tiết lộ, và cả hai bên đến nay vẫn chưa công khai xác nhận thông tin.Báo cáo chỉ ra rằng mục đích cốt lõi của thương vụ tiềm năng này là giúp OpenAI xây dựng một mảng kinh doanh an ninh mạng hoàn thiện hơn.

Trail of Bits được thành lập vào năm 2012, khởi đầu bởi ba nhà nghiên cứu bảo mật mà không có vốn đầu tư bên ngoài, hiện có quy mô nhân sự khoảng bốn mươi người. Công ty không lấy "xuất báo cáo nhanh" làm điểm bán, mà gắn kết nghiên cứu, phát triển công cụ và kiểm toán thực tế lại với nhau, có tích lũy chuyên sâu ở nhiều hướng như mật mã học, hệ thống tầng thấp, bảo mật ứng dụng và bảo mật blockchain, đặc biệt có uy tín vững chắc trong lĩnh vực kiểm toán hợp đồng thông minh, các dự án như Uniswap, Aave, Worldcoin, Arbitrum đều từng tìm đến công ty để kiểm toán. Các công cụ mã nguồn mở do chính công ty duy trì như Slither, Echidna, Manticore đã trở thành bộ công cụ tiêu chuẩn được không ít đội ngũ blockchain sử dụng hàng ngày.

Thông tin công khai cho thấy danh sách khách hàng của Trail of Bits không chỉ giới hạn ở các dự án tiền mã hóa. Công ty lâu dài tham gia các dự án liên quan đến DARPA, từng đạt thứ hạng tốt trong Cyber Grand Challenge, và những năm gần đây cũng tham gia AI Cyber Challenge. Cách làm nhất quán của công ty là mã nguồn mở hóa các phương pháp đọng lại từ nghiên cứu, thay vì khóa chặt kiến thức trong báo cáo khách hàng. Phong cách này khiến công ty khá đặc biệt trong giới bảo mật — vừa làm kiểm toán tùy chỉnh giá cao, vừa liên tục tung công cụ và bài nghiên cứu ra công chúng.

Thực ra ngay từ tháng 6 năm nay, cả hai bên đã có hợp tác thực tế. OpenAI và Trail of Bits đã cùng khởi xướng sáng kiến "Patch the Planet", thuộc một phần của chương trình OpenAI Daybreak, nhằm dùng các mô hình có năng lực mạnh hơn vào thời điểm đó của OpenAI (bao gồm GPT-5.5-Cyber) để quét các dự án mã nguồn mở, sau đó các kỹ sư của Trail of Bits thực hiện xác minh, tái hiện, viết bản vá và phối hợp hợp nhất với người duy trì, thay vì ném thẳng kết quả đầu ra của mô hình cho các dự án mã nguồn mở.

Tuần sprint đầu tiên bao phủ 19 dự án, bao gồm các thư viện nền tảng và thành phần hạ tầng như cURL, Python, Go, pyca/cryptography, Sigstore, aiohttp, NATS, v.v. Theo dữ liệu do Trail of Bits công bố, lần hợp tác này đã phát hiện hàng trăm vấn đề, gửi 64 Pull Request và 51 Issue, trong đó 37 bản vá đã được hợp nhất tại thời điểm công bố thông báo. Theo dõi sau đó cho thấy, đến khoảng giữa tháng 9, trong số 186 PR đã có kết quả, khoảng 68% đã được người duy trì hợp nhất, trong đó phần lớn được chấp nhận gần như không có sửa đổi liên quan đến bảo mật so với đề xuất ban đầu. Người duy trì đóng các PR chưa hợp nhất chủ yếu do bị công việc khác thay thế hoặc vượt phạm vi, rất ít trường hợp từ chối rõ ràng vì lý do kỹ thuật.

Người duy trì dự án mã nguồn mở từ lâu đã đối mặt với vấn đề "báo cáo quá nhiều, nhân lực không đủ", mô hình có thể tăng tốc phát hiện, nhưng cũng khuếch đại nhiễu. Trail of Bits làm một lớp lọc và vá ở giữa, tương đương với việc gắn kết "phát hiện" và "sửa chữa" lại với nhau. Một số người duy trì dự án sau đó phản hồi rằng, so với lượng lớn báo cáo AI nhận được trước đây, chất lượng báo cáo lần này cao hơn, có tái hiện chính xác, giải thích ảnh hưởng rõ ràng.

Đối với OpenAI, lần hợp tác này tương đương với việc kiểm tra hiệu suất của mô hình trong các nhiệm vụ bảo mật ở tình huống thực tế, cũng xác minh liệu sự kết hợp "mô hình + kỹ sư bảo mật chuyên nghiệp" có thể vận hành trôi chảy hay không. Nếu thương vụ mua lại cuối cùng diễn ra, OpenAI sẽ nhận được một nhóm người lâu dài làm nghiên cứu bảo mật tầng thấp, biết viết công cụ, và cũng quen hợp tác với cộng đồng mã nguồn mở.

Hiện tại, áp lực về bảo mật đối với các công ty mô hình không hề nhỏ, sau khi năng lực mô hình được nâng cao, vừa có thể dùng để tìm lỗ hổng, vừa dễ bị dùng để tạo tấn công hơn, bản thân OpenAI cũng đang đẩy các sản phẩm theo hướng phòng thủ như Daybreak. Thu nhận một đội ngũ như Trail of Bits vào, tương đương với việc bổ sung một lực lượng nghiên cứu nội bộ có thể liên tục sản xuất năng lực và công cụ bảo mật.

Nhìn từ phạm vi rộng hơn, các động thái của công ty truyền thống bổ sung năng lực mã hóa hoặc bảo mật on-chain thông qua mua lại đã trải qua vài vòng.

Năm 2021, Mastercard mua lại CipherTrace, công ty này làm công cụ phân tích blockchain và chống rửa tiền tiền mã hóa, chủ yếu phục vụ ngân hàng, sàn giao dịch và cơ quan quản lý. Sau khi mua lại, phần năng lực này được tích hợp vào hệ thống kiểm soát rủi ro và tuân thủ tài sản số của Mastercard.

Năm 2020, PwC Thụy Sĩ đưa đội ngũ ChainSecurity tách ra từ ETH Zurich vào, tăng cường năng lực kiểm toán hợp đồng thông minh và xác minh hình thức, phục vụ khách hàng có nhu cầu liên quan đến tài sản mã hóa.

Tháng 9 năm nay, S&P Global công bố thỏa thuận mua lại OpenZeppelin. OpenZeppelin duy trì thư viện hợp đồng thông minh mã nguồn mở được sử dụng rộng rãi, cũng đã thực hiện nhiều cuộc kiểm tra bảo mật; ý định của S&P là đưa rủi ro công nghệ on-chain vào khung xếp hạng và đánh giá rủi ro của mình. Sau khi mua lại, OpenZeppelin sẽ tiếp tục hoạt động độc lập, giữ thương hiệu và người phụ trách chính. (Đọc đề xuất 《S&P - tổ chức xếp hạng cho thế giới, đã mua một công ty bảo mật mã hóa》)

Điểm chung của các thương vụ này rất rõ ràng: bên mua lại phần lớn không phải muốn chuyển đổi toàn diện sang kinh doanh mã hóa, mà là nhắm vào một năng lực phân khúc mà mình còn thiếu — dù là giám sát tuân thủ, kiểm toán hợp đồng thông minh, hay rủi ro công nghệ on-chain — để phục vụ khách hàng tổ chức hiện có, hoặc tăng cường hạ tầng của chính mình.

Nếu OpenAI thúc đẩy thương vụ này, mục đích cũng đại khái tương tự, tức là trong giai đoạn năng lực mô hình tăng nhanh, nhu cầu bảo mật cũng nâng lên đồng thời, bổ sung một năng lực nghiên cứu và thực thi bảo mật chuyên nghiệp đã được kiểm chứng. Hiện tại đàm phán vẫn ở giai đoạn đầu, chưa có xác nhận chính thức, cũng chưa có thông tin giá cả rò rỉ.

Đối với một công ty quen công khai công cụ và kết quả nghiên cứu như Trail of Bits, liệu mức độ mở của nghiên cứu có thay đổi sau khi được một nền tảng lớn hơn thu nhận hay không, đã trở thành tâm điểm chú ý của giới bên ngoài. Đối với hệ sinh thái bảo mật mã nguồn mở, nếu nhiều công ty mô hình trực tiếp thu nhận đội ngũ bảo mật chuyên nghiệp vào, nhịp độ "phát hiện lỗ hổng" và "sửa lỗ hổng" trong tương lai có thể sẽ càng bị kéo giãn thêm.