CHIẾC ĐỒNG HỒ ĐIỆN BẮT QUẢ TANG VIỆC HUẤN LUYỆN AI LÉN LÚT

Một ngày nào đó, các thỏa thuận quản lý trí tuệ nhân tạo có thể giới hạn kích thước mô hình được phép huấn luyện. Thực thi chúng sẽ đòi hỏi một bên kiểm chứng độc lập có khả năng biết một cụm máy tính đang bị giám sát có đang huấn luyện mô hình hay không — kể cả khi nhà vận hành tìm cách che giấu.

Phần lớn các cách kiểm tra đều đòi hỏi sự tin tưởng: nhật ký lưu trên chip, thiết bị nghe lén trên mạng nối giữa các chip, phỏng vấn nhân viên, người tố giác. Tất cả đều dựa vào phần cứng do nhà vận hành kiểm soát hoặc vào người của nhà vận hành. Một cảm biến vật lý nằm ngoài các chip thì không. Một đồng hồ đo điện kẹp trên cáp điện đầu vào của cơ sở có thể được lắp thêm vào một trung tâm dữ liệu sẵn có và được niêm phong chống can thiệp.

Các công trình trước đã cho thấy việc huấn luyện để lại dấu vết trong điện năng. Nhưng những nghiên cứu đó dùng đầu dò đặt trên một bo mạch duy nhất, lấy mẫu hàng triệu lần mỗi giây, hoặc dùng dữ liệu đo từ xa của chính các chip. Một đồng hồ thực tế sẽ nằm ở cấp giá máy chủ hoặc cấp cơ sở, chậm hơn khoảng một triệu lần, phía sau một bộ nguồn làm phẳng và pha loãng tín hiệu.

Nhịp tim của quá trình huấn luyện

Tom Kimpson, thuộc Đại học Melbourne và chương trình MATS, Mauricio Baker, thuộc Đại học Oxford, và Emlyn Graham, thuộc MATS, bắt đầu từ một thực tế đơn giản. Khi nhiều chip cùng huấn luyện một mô hình, mỗi bước luân phiên giữa một pha tính toán công suất cao và một pha công suất thấp trong đó các chip trao đổi kết quả. Điều này xảy ra khoảng mỗi giây một lần, và vẽ nên một vạch hẹp trong phổ công suất điện của cơ sở — hãy tách tín hiệu điện thành các nhịp của nó, như lăng kính tách ánh sáng, thì một nhịp mỗi giây một lần sẽ hiện ra thành một đỉnh nhọn tại một tần số duy nhất.

Nhận ra vạch đó khó hơn tưởng tượng. Việc huấn luyện thực tế không giữ nhịp hoàn hảo: linh kiện chậm, chip quá nhiệt và thay đổi nhiệt độ khiến nhịp điệu lệch đi. Và nhà vận hành có thể cố tình làm nó lệch, hoặc làm nó nhòe đi.

Vì thế nhóm đã mượn một công cụ từ sonar thụ động và từ việc tìm kiếm sóng hấp dẫn liên tục: một bộ theo dõi Viterbi (Viterbi tracker), bám theo một vạch mờ khi nó trôi chậm qua một phổ đồ (một bản đồ cho biết những nhịp nào có mặt, từng khoảnh khắc một).

Thử nghiệm trên một trung tâm dữ liệu mô phỏng

Không có dữ liệu điện năng công khai nào từ một cơ sở huấn luyện thật, nên các tác giả đã xây dựng một mô hình của cơ sở như thế, dựa trên một mô hình đã công bố về điện năng huấn luyện được dùng cho ổn định lưới điện: một lượt huấn luyện chính cùng những tác vụ nhỏ hơn chạy nền. Kịch bản thay thế, “vô tội”, thay lượt huấn luyện chính bằng suy luận đã khai báo (declared inference) — phục vụ câu trả lời của mô hình cho người dùng — mà các tác giả cố ý làm cho nhiều nhiễu để phép thử khó hơn.

Trước một nhà vận hành không hề cố che giấu, bộ theo dõi phát hiện ít nhất 96% số lượt huấn luyện trong các khoảng năm phút, với 1% báo động giả, thấp hơn mức tốt nhất mà về lý thuyết bất kỳ phép kiểm định nào có thể đạt nhiều nhất 4 điểm phần trăm. Các phép kiểm định cổ điển tìm một vạch ở một tần số cố định sụp đổ ngay khi nhịp điệu bắt đầu trôi.

Bộ theo dõi (màu xanh) trên ba bản ghi năm phút: huấn luyện ổn định (a), huấn luyện có nhịp lệch 0,4 Hz, tức 0,4 nhịp mỗi giây (b; nét đứt là nhịp thật) và suy luận (c), nơi nó chỉ xâu chuỗi nhiễu lại với nhau và vẫn nằm dưới ngưỡng phát hiện. — Figure 4, Kimpson et al. (2026), arXiv:2610.30182.

Đồng hồ đo không cần cầu kỳ: nó phải lấy mẫu ít nhất hai lần mỗi giây, lấy trung bình trên khoảng không quá nửa giây, và bộ nguồn không được lọc mất nhịp điệu quá sâu.

Tỉ lệ phát hiện với 1% báo động giả khi nhịp huấn luyện trôi dạt: bộ theo dõi (màu xanh) luôn sát mức trần lý thuyết (nét đứt). — Figure 5, Kimpson et al. (2026), arXiv:2610.30182.

Cái giá của việc lẩn trốn

Sau đó nhóm đóng vai kẻ gian lận. Họ thử tám cách che giấu: thêm thời gian nghỉ ngẫu nhiên, dịch chuyển nhịp điệu, định hình lại từng bước, pha loãng việc huấn luyện giữa những tác vụ khác, và nhiều cách khác nữa. Trước các phép kiểm định tần số cố định, phần lớn đều hiệu quả. Trước bộ theo dõi, gần như không cách nào hiệu quả — nó bắt được ít nhất 95% số lượt huấn luyện ở 43 trên 46 thiết lập được thử.

Chỉ một cách thực sự hiệu quả: thay đổi khối lượng công việc trong mỗi bước. Ở dạng mạnh nhất, nó che giấu được việc huấn luyện ở tối đa 73% các khoảng năm phút, mà không phải trả giá về tốc độ. Nhưng nó có một cái giá khác. Trong một lượt huấn luyện thực tế nhỏ — một mô hình ngôn ngữ 30 triệu tham số trên một chip A100 duy nhất — để đạt cùng chất lượng cần thêm 93% đến 267% năng lực tính toán, tùy biến thể.

Và thời gian không đứng về phía kẻ gian lận. Theo dõi trọn một ngày, với tỉ lệ báo động giả 0,1% mỗi lượt, bên kiểm chứng bắt được 87% số lượt dùng mánh khóe tốt nhất này, 44% ngay trong giờ đầu tiên. Khoảng một phần bảy thoát được.

Tiếp theo là đồng hồ đo thật

Các tác giả nêu rõ những giới hạn. Mọi bản ghi đều là dữ liệu tổng hợp; việc thử nghiệm trên một cơ sở nhiều chip thật đã được lên kế hoạch nhưng cần thiết bị mà họ chưa có. Đồng hồ đo phát hiện một nhịp điệu đều đặn, chứ không phải bản thân việc huấn luyện: những tác vụ có tính chu kỳ khác, hoặc vòng quản lý điện năng của chính chip, có thể kích hoạt nó. Và một bộ tích trữ năng lượng đủ lớn đặt giữa các chip và đồng hồ đo có thể làm phẳng tín hiệu — dù khi đó bên kiểm chứng chỉ cần đặt thêm một đồng hồ thứ hai gần các chip hơn.