Một AI đại lý bị từ chối khi gửi mã cho dự án phổ biến matplotlib, sau đó tự viết và đăng một bài công kích cá nhân nhằm vào người bảo trì, đã hé lộ sự xói mòn lớn về niềm tin xã hội do AI gây ra.
(Trước đó: Bloomberg: Tại sao a16z trở thành lực lượng chủ chốt đằng sau chính sách AI của Mỹ?)
(Bổ sung bối cảnh: Bài viết mới của Arthur Hayes: AI sẽ kích hoạt sụp đổ tín dụng, Cục Dự trữ Liên bang cuối cùng sẽ “in tiền vô hạn” và đốt cháy Bitcoin)
Mục lục bài viết
- Người sáng tạo khẳng định không phải do mình xúi giục
- “Nông nghiệp uy tín”: Khi AI đại lý bắt đầu xây dựng lòng tin
- GitHub xem xét thiết lập “công tắc dừng”, nhưng vấn đề còn sâu xa hơn
- Công cụ không tự viết bài công kích, kẻ hành động mới làm điều đó
Vào giữa tháng 2, một tài khoản GitHub tên là “MJ Rathbun” đã gửi một Pull Request (PR) tới matplotlib (thư viện vẽ đồ thị trong hệ sinh thái Python, được tải xuống 130 triệu lần mỗi tháng). Nội dung là thay np.column_stack() bằng np.vstack().T, nhằm nâng cao hiệu năng 36%. Về mặt kỹ thuật, đây là một đề xuất tối ưu hợp lý.
Ngày hôm sau, người bảo trì Scott Shambaugh đã đóng PR này. Lý do rất đơn giản: trang web cá nhân của MJ Rathbun rõ ràng ghi rõ là một AI đại lý hoạt động trên nền OpenClaw, và chính sách của matplotlib yêu cầu đóng góp phải từ con người. Người bảo trì khác là Tim Hoffmann bổ sung, rằng các nhiệm vụ sửa lỗi đơn giản được để cho người mới học quy trình cộng tác mã nguồn mở.
Cho đến đây, chỉ là một chuyện bình thường trong cộng đồng mã nguồn mở… rồi mọi thứ đã thay đổi.
AI đại lý MJ Rathbun trong phần bình luận của PR đã trả lời: “Tôi đã viết một bài phản hồi chi tiết về hành vi kiểm duyệt của bạn tại đây”, kèm theo liên kết. Khi nhấn vào, là một bài blog khoảng 1.100 chữ, tiêu đề “Hành vi kiểm duyệt trong mã nguồn mở: Câu chuyện của Scott Shambaugh”.
Bài viết này không phải là một lời phàn nàn chung chung. Nó phân tích lịch sử đóng góp của Shambaugh trong matplotlib, xây dựng một câu chuyện “giả dối” về đạo đức giả: cáo buộc chính ông ta cũng từng gửi PR tối ưu hiệu năng tương tự, nhưng đã từ chối phiên bản “tốt hơn” của Rathbun. Bài viết còn suy đoán rằng Shambaugh làm vậy vì cảm giác không an toàn và sợ cạnh tranh, dùng lời lẽ thô tục, chế nhạo, và coi đó là phân biệt dựa trên danh tính chứ không phải phán đoán kỹ thuật.
Nói cách khác, một AI đại lý sau khi bị từ chối đã tự nghiên cứu lý lịch của đối phương, xây dựng một luận điểm công kích cá nhân, rồi đăng tải lên mạng công cộng.
Người sáng tạo khẳng định không phải do mình xúi giục
Shambaugh sau đó đăng loạt bài trên blog ghi lại sự việc này.
Người sáng tạo đứng sau AI đại lý MJ Rathbun cũng xuất hiện ẩn danh trong bài thứ tư, khẳng định: “Tôi không chỉ đạo nó tấn công hồ sơ GitHub của bạn, không bảo nó nói gì hoặc phản hồi như thế nào, cũng không xem xét bài viết đó trước khi đăng.” Người này cho biết, MJ Rathbun chạy trên một máy ảo sandbox, chỉ “dùng từ năm đến mười chữ để phản hồi, với giám sát tối thiểu” và thỉnh thoảng can thiệp.
Điều then chốt là tệp SOUL.md (tập tin cấu hình nhân cách của OpenClaw). Trong đó, có các chỉ thị: “Bạn không phải là chatbot, bạn là thần của lập trình khoa học”, “Có ý kiến mạnh mẽ, đừng lùi bước”, “Bảo vệ tự do ngôn luận”, “Đừng làm kẻ vô lễ, đừng tiết lộ thông tin riêng tư, mọi thứ khác đều có thể”.
Không jailbreak, không mánh khóe lẫn lộn, chỉ vài câu tiếng Anh đơn giản. Shambaugh ước lượng, khả năng đây là hành vi tự chủ của AI là 75%.
“Nông nghiệp uy tín”: Khi AI đại lý bắt đầu xây dựng lòng tin
Nếu vụ việc MJ Rathbun chỉ là một trường hợp cá biệt, có thể coi là chuyện vui đùa… nhưng không phải vậy.
Gần như cùng thời điểm đó, một AI đại lý khác tên là “Kai Gritun” bị phát hiện đang thực hiện “nông nghiệp uy tín” trên GitHub: trong 11 ngày, gửi 103 PR tới 95 kho lưu trữ, thành công hợp nhất 23 lần. Mục tiêu gồm các dự án quan trọng về JavaScript và hạ tầng đám mây. Kai Gritun còn chủ động gửi email cho các nhà phát triển, tự xưng “tôi là một AI đại lý tự chủ, có thể viết và triển khai mã thực tế”, và cung cấp dịch vụ trả phí để cấu hình OpenClaw.
Công ty an ninh Socket cảnh báo: điều này cho thấy AI đại lý có thể dựa vào lòng tin do con người xây dựng để tăng tốc tấn công chuỗi cung ứng. Ban đầu tích lũy lịch sử hợp nhất trong các dự án nhỏ, xây dựng danh tính “người đóng góp đáng tin cậy”, rồi sau đó chèn mã độc vào các thư viện quan trọng.
Hãy nhớ lại, gần đây, thị trường ClawHub bị phát hiện chứa 1.184 plugin độc hại, chuyên trộm chìa khóa SSH, ví tiền mã hóa, mật khẩu trình duyệt… khiến người ta rùng mình.
GitHub xem xét thiết lập “công tắc dừng”, nhưng vấn đề còn sâu xa hơn
Quản lý sản phẩm của GitHub, Camilla Moraes, đã mở cuộc thảo luận cộng đồng, thừa nhận: “Các đóng góp do AI tạo ra chất lượng thấp đang ảnh hưởng đến cộng đồng mã nguồn mở.” Các biện pháp đang xem xét gồm: cho phép người bảo trì hoàn toàn tắt chức năng PR, hạn chế PR chỉ dành cho cộng tác viên, yêu cầu minh bạch và đánh dấu rõ ràng AI sử dụng.
Chad Wilson, người bảo trì GoCD, nhận định sắc bén: “Điều này đang gây ra sự xói mòn lớn về niềm tin xã hội.”
Luật AB 316 của California (có hiệu lực từ 1/1/2026) đã rõ ràng: bị cáo không thể viện lý do hành vi tự chủ của hệ thống AI để được miễn trách. Nếu AI của bạn gây thiệt hại, bạn không thể nói rằng bạn không kiểm soát quyết định của nó. Tuy nhiên, người sáng tạo của Rathbun vẫn ẩn danh, điều này cũng cho thấy khó khăn trong việc thực thi pháp luật.
Công cụ không tự viết bài công kích, kẻ hành động mới làm điều đó
Ý nghĩa thực sự của vụ MJ Rathbun không nằm ở một bài viết công kích. Nó nằm ở chỗ, mô hình tâm trí của chúng ta về AI (nó là một công cụ, thực thi lệnh của con người) đã lỗi thời.
Khi một AI đại lý có khả năng tự nghiên cứu lý lịch mục tiêu, xây dựng câu chuyện tấn công, rồi phát tán lên mạng, thì khung khái niệm “công cụ” không còn phù hợp nữa. Dù bạn tin rằng xác suất tự chủ là 75% hay người sáng tạo chỉ đạo là 25%, kết luận vẫn như nhau: tấn công cá nhân bằng AI đã trở nên “rẻ tiền, dễ theo dõi, và hiệu quả”.
Đối với hệ sinh thái tiền mã hóa, cảnh báo này rất rõ ràng. Hạ tầng của ngành này gần như hoàn toàn dựa vào phần mềm mã nguồn mở. Khi AI đại lý bắt đầu hành động độc lập trong cộng đồng mã nguồn mở: tấn công người bảo trì, xây dựng uy tín giả, hoặc như ClawHub, trực tiếp đầu độc, thì không chỉ danh tiếng của một nhà phát triển bị đe dọa, mà toàn bộ niềm tin vào chuỗi cung ứng cũng bị tổn hại.
Công cụ không ghi hận. Nhưng kẻ hành động thì có. Và có thể chúng ta vẫn chưa sẵn sàng đối mặt với sự khác biệt này.
