Ngày 30/07/2026, Cisco công bố một thứ mà ngành AI doanh nghiệp thiếu từ lâu: một kho tra cứu công khai cho câu hỏi "mô hình này thực ra từ đâu ra". Sản phẩm tên là AI Supply Chain Provenance Explorer, hiện có gần 900 mô hình mở, và nó đứng trên hai thứ Cisco đã phát hành ba tháng trước — một bộ công cụ mã nguồn mở lấy "vân tay" mô hình ở mức trọng số, và một bản định nghĩa chuẩn về việc thế nào thì hai mô hình được coi là có quan hệ dẫn xuất. Bài này đọc thẳng ba tài liệu gốc của Cisco, lấy nguyên văn những chỗ quan trọng, rồi ánh xạ về câu hỏi thực tế của doanh nghiệp Việt: khi bạn tải một mô hình mở về chạy trong máy chủ của mình, bạn đang đưa cái gì vào hệ thống? Số liệu tra cứu ngày 31/07/2026.
Tóm tắt nhanh
- Chuyện gì: ngày 30/07/2026 Cisco ra mắt AI Supply Chain Provenance Explorer — kho tra công khai, miễn phí, hiện có "almost 900 open models catalogued to date".
- Nó trả lời gì: mỗi mô hình có thông tin phân phối, tổ chức phát hành và trụ sở, quan hệ dẫn xuất với mô hình trước đó, ràng buộc giấy phép, và kết quả quét bảo mật kho tệp.
- Vì sao cần: Cisco nói thẳng rằng xuất xứ "cannot rely on naming conventions or self-reported metadata alone" — không thể chỉ tin vào tên gọi và siêu dữ liệu do chính người đăng khai báo.
- Nền móng kỹ thuật: Model Provenance Kit (30/04/2026, giấy phép Apache 2.0) so trùng ở mức trọng số; trên benchmark 111 cặp mô hình, chỉ 4 cặp bị phân loại sai.
- Với doanh nghiệp Việt: đây là bước kiểm tra nên làm trước khi nạp một mô hình mở vào hệ thống nội bộ — cùng logic với nghĩa vụ truy vết dữ liệu trong Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026.
- gần 900 mô hình mở — quy mô kho AI Supply Chain Provenance Explorer tại thời điểm công bố (Cisco, 30/07/2026).
- ~150 mô hình gốc · 45+ họ · 20+ nhà phát hành — cơ sở dữ liệu vân tay đi kèm Model Provenance Kit, dải tham số từ 135 triệu đến hơn 70 tỉ (Cisco, 30/04/2026).
- 4/111 cặp sai — số cặp mô hình bị phân loại sai trên bộ benchmark 111 cặp, ngưỡng 0,70 (Cisco, 30/04/2026).
- hơn 2 triệu mô hình công khai — quy mô kho Hugging Face tính đến hết năm 2025 (Hugging Face).
- 01/01/2026 — ngày Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15 có hiệu lực tại Việt Nam (Bộ Công an).
Cisco vừa mở cái gì?
Cisco mở một kho tra cứu công khai gom về một chỗ những thông tin mà trước đây phải đi nhặt rải rác ở nhiều nơi: mô hình mở này do ai phát hành, phát hành ở đâu, dẫn xuất từ mô hình nào, giấy phép ràng buộc gì, và kho tệp của nó có vấn đề bảo mật nào không.
Trong bài công bố ngày 30/07/2026, nhóm tác giả — Amy Chang (Head of AI Threat Intelligence and Security Research), Ankit Garg (AI Researcher) và Sanket Mendapara (Security Research Engineer) — đặt vấn đề bằng một câu rất gọn: "The harder question begins after download: when you bring a model into your environment, what exactly are you bringing in?" Tạm dịch: phần khó bắt đầu sau khi tải về — khi bạn đưa một mô hình vào môi trường của mình, chính xác thì bạn đang đưa cái gì vào?
Công cụ đặt tại provenance.aidefense.cisco.com, dùng miễn phí, không cần cài đặt. Thông cáo mô tả: "With almost 900 open models catalogued to date, the Provenance Explorer brings model details, provider context, provenance, security findings, licensing information, and usage restrictions into one place." Năm nhóm thông tin đó, dịch sang ngôn ngữ mua sắm nội bộ, chính là năm câu hỏi mà bất kỳ ban giám đốc nào cũng sẽ hỏi khi ký duyệt một hạng mục công nghệ: hàng gì, ai bán, nguồn gốc ra sao, hợp đồng ràng buộc gì, đã kiểm tra an toàn chưa.
Chi tiết đáng chú ý nhất nằm ở mục lineage. Cisco viết rõ họ không lấy khai báo của người đăng làm chuẩn: "Rather than relying solely on self-reported lineages, we ground model relationships in similarity scores powered by Cisco Model Provenance Kit static fingerprinting and Project VAIL run-time behavioral fingerprinting." Nghĩa là quan hệ giữa các mô hình được neo vào điểm tương đồng đo được, chứ không neo vào dòng chữ trong model card. Phần bảo mật thì cụ thể tới mức nêu cả công cụ quét — "ClamAV-based scanning of model repository files" — kèm số tệp đã quét và các lỗ hổng ghi nhận.
Vì sao "model card ghi vậy" không còn đủ để tin
Vì trong kho mở, một mô hình có thể được tinh chỉnh, chưng cất, gộp, lượng tử hóa, đóng gói lại rồi phát hành dưới tên khác nhiều lần — và ở mỗi bước, phần ghi chú về nguồn gốc có thể bị rút gọn, ghi sai, hoặc cố tình xóa.
Cisco mô tả tình trạng này bằng một câu ngắn trong bài công bố: "Models are fine-tuned, distilled, merged, quantized, re-released, and repackaged, often many times over." Quy mô của vấn đề thì đến từ chính độ lớn của hệ sinh thái mở. Theo báo cáo hiện trạng nguồn mở của Hugging Face: "In 2025, Hugging Face grew to 13 million users, more than 2 million public models, and over 500,000 public datasets." Hơn hai triệu mô hình công khai, phần lớn không có ai kiểm chứng khai báo nguồn gốc.
Trong bài giới thiệu Model Provenance Kit ngày 30/04/2026, Cisco nói thẳng hơn: "Documentation on open model repositories can be faked, and important details in the metadata can be removed or changed." Và: "a model card can claim to be 'trained from scratch,' but it may actually be a modified copy of another model. Without technical verification of provenance, organizations are trusting claims that no one has validated." Cisco cũng dẫn một trường hợp có thật làm ví dụ — Composer 2 của Cursor, mà theo mô tả của Cisco là "partly built on Kimi 2.5" — để cho thấy chuỗi cung ứng mô hình ngày nay đan xen giữa hệ thống độc quyền, mô hình mở và thành phần bên thứ ba.
Điều làm bài toán khó về mặt kỹ thuật là các họ mô hình hiện đại dùng chung y hệt bộ khung. Cisco liệt kê: "Models from Meta, Alibaba, DeepSeek, and Mistral use the same building blocks such as grouped-query attention, rotary positional embeddings, and Root Mean Square Normalization (RMSNorm). A config file can describe the architecture but it cannot tell whether the weights were copied from another model or trained independently." Nói cách khác: nhìn file cấu hình thì mọi mô hình đều "giống nhau", và cái giống đó không nói lên điều gì về quan hệ thật.
| Nhóm rủi ro | Cisco mô tả | Hình dạng ở doanh nghiệp nhỏ |
|---|---|---|
| Bảo mật | Mô hình có thể đã bị đầu độc hoặc mang lỗ hổng; "Without provenance, organizations have no easy way to trace an incident back to its root cause" | Trợ lý nội bộ trả lời lệch, không ai biết do prompt, do dữ liệu nạp vào hay do chính mô hình |
| Tuân thủ | EU AI Act "mandates documentation of training data, characteristics of training methodology, and risk assessments for 'high-risk systems'" | Không trả lời được câu hỏi của khách hàng lớn khi họ audit nhà cung cấp |
| Giấy phép và pháp lý | Mô hình có thể là dẫn xuất của một mô hình có giấy phép hạn chế — hạn chế theo vùng tài phán, theo quy mô công ty, hoặc theo mục đích sử dụng | Dùng thương mại một mô hình mà giấy phép gốc cấm dùng thương mại, phát hiện khi đã chạy sản xuất |
| Ứng phó sự cố | Không biết lineage thì không xác định được vấn đề nằm ở mô hình đang chạy, ở mô hình cha, hay ở bước tinh chỉnh | Sự cố lặp lại vì bản vá đặt sai chỗ |
"Hiến pháp" cho chữ dẫn xuất: cái gì tính, cái gì không
Trước khi có công cụ đo, Cisco phải chốt trước một định nghĩa — và định nghĩa họ chọn rất hẹp: hai mô hình chỉ được coi là có quan hệ dẫn xuất khi có một chuỗi nhân quả ở mức trọng số nối chúng lại, chứ không phải khi chúng giống nhau về kiến trúc, dữ liệu huấn luyện, bộ tách từ hay điểm benchmark.
Tài liệu này tên là Model Provenance Constitution, công bố cùng ngày 30/04/2026. Bài giới thiệu mở đầu bằng đúng câu hỏi của người dùng cuối: "When it comes to AI models, one of the hardest questions to answer is deceptively simple: where did this model actually come from?" Vấn đề, theo Cisco, là ngành chưa có câu trả lời thống nhất: "The same pair of models can be labeled as 'related' by one reviewed and 'independent' by another, with both citing defensible reasoning."
Định nghĩa chốt lại được viết rất chặt: "the verifiable derivation history of a model's trained weights. Two models share provenance if, and only if, a causal chain of weight derivation connects them, whether directly, indirectly through distillation, or mechanically through a non-training transformation like quantization." Phần loại trừ mới là phần đáng đọc, vì nó chính là danh sách những cái bẫy mà một người không chuyên rất dễ mắc.
| Trường hợp | Ví dụ Cisco nêu | Vì sao không tính |
|---|---|---|
| Tái hiện độc lập | Llama-2 và Open LLaMA — cùng kiến trúc, cùng bộ tách từ, nhưng huấn luyện lại từ đầu | Không có chuỗi dẫn xuất trọng số |
| Cùng họ khác kích thước | Llama-2-7B và Llama-2-13B | Cùng nhà nhưng không cái nào sinh ra từ cái nào |
| Cùng họ khác kho dữ liệu | T5 và MT5 — chung gốc tên, huấn luyện riêng từ đầu | Tên gọi không phải bằng chứng |
| Chung bộ tách từ | StableLM và Pythia đều dùng tokenizer GPT-NeoX | "a tokenizer is a tool, not a weight" |
| Chung seed ngẫu nhiên | Hai lần chạy độc lập dùng cùng seed | Chung seed không phải chung trọng số |
| Hội tụ kiến trúc | Hai nhóm khác nhau tự nghĩ ra thiết kế giống nhau | Giống về thiết kế, không giống về nguồn gốc |
| Trùng kích thước ngẫu nhiên | Hai mô hình tình cờ cùng cỡ, cùng hình dạng | Không cái nào được dựng từ cái kia |
| Chung mục tiêu huấn luyện | Cùng training objective | Chung mục tiêu không nối được trọng số |
Cisco còn nêu một nguyên tắc xử lý khi mập mờ, và nguyên tắc này đáng để bất kỳ đội tuân thủ nào mượn lại: khi không đủ bằng chứng, mặc định xếp cặp mô hình là độc lập. Lý do được giải thích thẳng: "A false positive in provenance carries immediate consequences: a licensing accusation, an IP claim, a supply-chain incident notification." Kết luận sai theo hướng "có quan hệ" thì gây hậu quả pháp lý ngay; kết luận sai theo hướng ngược lại vẫn còn các lớp rà soát thủ công đỡ được. Đây là kiểu thiết kế thận trọng mà một tổ chức nhỏ nên bắt chước khi tự viết quy chế nội bộ.
Đo được đến đâu: 111 cặp mô hình, 4 cặp sai
Model Provenance Kit không đọc mô tả mà đọc chính các trọng số đã học, rút ra năm tín hiệu độc lập rồi gộp thành một điểm số duy nhất; trên bộ benchmark 111 cặp mô hình do Cisco dựng, chỉ 4 cặp bị phân loại sai.
Cách làm chia hai tầng. Tầng một là sàng lọc nhanh theo siêu dữ liệu kiến trúc, chưa nạp trọng số. Khi siêu dữ liệu mập mờ — thường xảy ra vì như đã nói, các họ mô hình dùng chung khung — hệ thống mới xuống tầng hai, phân tích ở mức trọng số. Mã nguồn nằm trên GitHub với giấy phép Apache 2.0, yêu cầu Python 3.12 trở lên, và có hỗ trợ nạp theo luồng cho mô hình trên 20 GB.
| Tín hiệu | Đo cái gì | Vì sao khó giả |
|---|---|---|
| EAS — Embedding Anchor Similarity | Quan hệ hình học giữa các embedding của token | "This structure is unique to a training run and survives fine-tuning" |
| END — Embedding Norm Distribution | Phân bố độ lớn embedding | Mã hóa mẫu tần suất từ vựng học được trong lúc huấn luyện |
| NLF — Norm Layer Fingerprint | Các lớp chuẩn hóa nhỏ | "they remain stable across fine-tuning" |
| LEP — Layer Energy Profile | Đường cong năng lượng theo độ sâu mạng | Hai lần huấn luyện khác nhau cho phân bố khác nhau dù kiến trúc giống hệt |
| WVC — Weight-Value Cosine | So trực tiếp giá trị trọng số ở các lớp tương ứng | Mô hình huấn luyện độc lập gần như tương quan bằng không |
| Kết quả benchmark 111 cặp (55 giống nhau, 56 khác nhau): dẫn xuất tiêu chuẩn (fine-tune, lượng tử hóa, alignment) — 100% recall; dẫn xuất chéo tổ chức — 100% recall; bẫy chung tokenizer — 100% specificity; tái hiện độc lập — nhận đúng là không liên quan. Chỉ 4/111 cặp sai, đều thuộc các biến đổi kiến trúc cực đoan. | ||
Lưu ý: đây là benchmark do chính Cisco dựng và tự đánh giá, không phải kết quả kiểm định độc lập. Chúng tôi trích lại nguyên văn con số và ghi rõ nguồn để bạn tự đối chiếu; không suy diễn thêm về độ chính xác trong môi trường khác.
Cisco cũng nói rõ giới hạn: hai tín hiệu về tokenizer được tính nhưng không tham gia vào kết luận, vì "Many independently trained models share tokenizers... and including them would create false positives". Và bốn cặp sai đều rơi vào các trường hợp biến dạng nặng — chưng cất một mô hình 12 lớp xuống còn 4 lớp đồng thời giảm nửa số chiều ẩn, hoặc dựng lại toàn bộ từ vựng để huấn luyện tiếp theo lĩnh vực hẹp. Cisco gọi đó là "fundamental limits of pairwise weight comparison", không phải lỗi cài đặt. Nói cách khác: công cụ này mạnh với các biến đổi thông thường, và yếu đúng ở chỗ ai đó cố tình biến đổi thật nhiều để xóa dấu vết.
Doanh nghiệp Việt làm gì với chuyện này
Việc cần làm không phải mua thêm công cụ, mà là thêm một bước vào quy trình vốn đã có: trước khi nạp một mô hình mở vào hệ thống nội bộ, tra xuất xứ và giấy phép của nó, rồi lưu lại bằng chứng đã tra.
Bước này rẻ. Explorer dùng miễn phí qua trình duyệt; Model Provenance Kit là Apache 2.0, chạy được trên máy của đội kỹ thuật. Cái đắt là hậu quả khi bỏ qua: một mô hình được chọn vì "điểm benchmark cao, giấy phép mở" hóa ra là dẫn xuất của một mô hình có điều khoản hạn chế, phát hiện ra khi đã tích hợp vào sản phẩm bán cho khách.
Chuyện này gắn trực tiếp với nghĩa vụ pháp lý trong nước. Theo Cổng thông tin Bộ Công an: "Ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) chính thức có hiệu lực thi hành. Trong đó, đã xác lập rõ các quyền dữ liệu cơ bản của công dân, bao gồm quyền được biết, quyền đồng ý, quyền truy cập, chỉnh sửa và yêu cầu xóa dữ liệu." Luật nói về dữ liệu chứ không nói về mô hình, nhưng cơ chế thì cùng một họ: bạn không thể trả lời "dữ liệu này đang ở đâu, đi qua những gì" nếu bạn còn không trả lời được "cái đang xử lý dữ liệu là cái gì, từ đâu ra". Chúng tôi đã bóc kỹ phần nghĩa vụ này trong bài nghị định 142/2026 về AI, và mô tả cách dựng lớp bảo mật quanh một hệ AI nội bộ trong bài hệ thống bảo mật cho AI nội bộ.
Cũng phải nói cho công bằng: mô hình mở vẫn là lựa chọn đúng với phần lớn doanh nghiệp muốn giữ dữ liệu trong nhà — vấn đề nằm ở chỗ chọn có bằng chứng thay vì chọn theo bảng xếp hạng. Chúng tôi đã so sánh tiêu chí chọn mô hình trong bài tự xây AI nội bộ: chọn mô hình, phân tích một mô hình mở cụ thể trong bài GLM-5.2, và bóc chi phí thật của việc tự chạy trong bài chi phí thật khi chạy LLM on-premise. Bài viết này chỉ thêm một dòng vào danh sách kiểm tra của cả ba: nguồn gốc.
| Bước | Làm gì | Chi phí (ước lượng) |
|---|---|---|
| 1. Tra kho công khai | Tìm mô hình trên Provenance Explorer, xem tổ chức phát hành, trụ sở, lineage, giấy phép | Vài phút, miễn phí |
| 2. Đọc kỹ điều khoản giấy phép | Kiểm các hạn chế phổ biến Cisco liệt kê: yêu cầu ghi công, cấm thương mại, giới hạn địa lý, giới hạn sửa đổi, mục đích bị cấm | Nửa buổi, có thể cần rà soát pháp lý |
| 3. Kiểm chéo khi mô hình lạ | Mô hình không có trong kho hoặc lineage mập mờ thì chạy Model Provenance Kit ở chế độ scan | Một buổi kỹ thuật; cần máy đủ dung lượng tải trọng số |
| 4. Lưu bằng chứng | Chụp lại kết quả tra, ghi ngày tra, đính vào hồ sơ hệ thống — để trả lời được khi khách hàng hoặc cơ quan quản lý hỏi | Gần như không tốn, nếu làm ngay lúc đó |
| 5. Tra lại khi nâng cấp | Đổi sang phiên bản mới hoặc mô hình khác thì lặp lại bước 1–4, vì lineage có thể khác | Lặp lại theo chu kỳ nâng cấp |
Một mô hình mở tải về không phải là một tệp, mà là một mắt xích trong chuỗi cung ứng — và cho tới ngày 30/07/2026, phần lớn tổ chức vẫn nhận mắt xích đó mà không có cách nào kiểm chứng nó thực sự đến từ đâu.
Câu hỏi thường gặp
Provenance Explorer dùng có mất phí không, có phải là khách hàng Cisco mới dùng được?
Theo bài công bố ngày 30/07/2026, đây là "a public resource" đặt tại provenance.aidefense.cisco.com. Cisco kèm một dòng miễn trừ trách nhiệm rõ ràng: dữ liệu "provided 'as-is' without warranties of any kind", Cisco không bảo đảm thông tin luôn cập nhật hoặc chính xác, và "Users are solely responsible for conducting their own independent assessment". Nghĩa là dùng được ngay, nhưng đây là nguồn tham khảo chứ không phải chứng nhận.
Mô hình chúng tôi đang dùng không có trong gần 900 mô hình đó thì sao?
Kho hiện có gần 900 mô hình, trong khi Hugging Face có hơn 2 triệu mô hình công khai — nên chuyện không tìm thấy là bình thường. Khi đó còn hai đường: chạy Model Provenance Kit ở chế độ scan để so mô hình của bạn với cơ sở dữ liệu vân tay khoảng 150 mô hình gốc, hoặc chấp nhận rằng bạn đang tin vào khai báo của người đăng và ghi rõ điều đó trong hồ sơ rủi ro.
Hai mô hình cùng kiến trúc thì có phải một mô hình "nhái" mô hình kia không?
Không nhất thiết, và đây đúng là cái bẫy mà Model Provenance Constitution dựng ra để tránh. Cùng kiến trúc, cùng dữ liệu huấn luyện, cùng bộ tách từ hay cùng điểm benchmark đều không được tính là quan hệ dẫn xuất. Chỉ có chuỗi nhân quả ở mức trọng số mới tính. Ví dụ Cisco nêu: Llama-2 và Open LLaMA chung kiến trúc lẫn tokenizer nhưng huấn luyện độc lập.
Công cụ này có phát hiện được mô hình bị cài mã độc không?
Đó là hai việc khác nhau. Provenance Explorer có phần security assessments dựa trên quét ClamAV các tệp trong kho mô hình, báo số tệp đã quét và lỗ hổng ghi nhận — nhưng phần cốt lõi của nó là truy xuất nguồn gốc, không phải phát hiện mã độc. Giá trị lớn nhất nằm ở khâu ứng phó sự cố: khi một mô hình có vấn đề, biết lineage giúp bạn xác định những mô hình nào khác trong hệ thống cũng bị ảnh hưởng.
Doanh nghiệp 50 người có cần làm bước này không, hay chỉ tập đoàn mới cần?
Cần, và ở quy mô đó thì lại nhanh nhất, vì danh mục mô hình đang dùng thường chỉ vài cái. Bốn bước đầu trong Bảng 4 làm trong một buổi và gần như không tốn tiền. Phần thực sự có giá trị lâu dài là bước 4 — lưu lại bằng chứng đã tra kèm ngày tra, để năm sau còn trả lời được khi khách hàng lớn gửi bảng câu hỏi đánh giá nhà cung cấp.
Rà soát danh mục mô hình AI đang chạy trong doanh nghiệp bạn
Namtech giúp lập danh mục mô hình và thành phần AI đang dùng, kiểm xuất xứ cùng ràng buộc giấy phép, và thiết kế quy trình phê duyệt trước khi một mô hình mới được nạp vào hệ thống nội bộ.
Đặt lịch tư vấn miễn phíLưu ý: Bài viết tổng hợp từ nguồn công khai, tra cứu ngày 31/07/2026. Các đoạn trong ngoặc kép là trích nguyên văn tiếng Anh từ blog kỹ thuật của Cisco, báo cáo của Hugging Face và Cổng thông tin Bộ Công an; phần dịch là của Namtech. Kết quả benchmark là do Cisco tự công bố, chưa có kiểm định độc lập. Bảng 4 là khuyến nghị của Namtech. Thông tin tham khảo, không phải tư vấn pháp lý.
- Cisco Blogs — "AI Supply Chain Provenance Explorer for Responsible AI Governance" (Amy Chang, Ankit Garg, Sanket Mendapara, 30/07/2026): "almost 900 open models catalogued to date"; "The harder question begins after download: when you bring a model into your environment, what exactly are you bringing in?"; "provenance cannot rely on naming conventions or self-reported metadata alone"
- Cisco Blogs — "Introducing Model Provenance Kit: Know Where Your AI Models Come From" (30/04/2026): "When organizations don't know where their AI models actually come from, they're flying blind on security, compliance, and liability"; benchmark 111 cặp, ngưỡng 0,70; "Only 4 out of 111 pairs were misclassified"
- Cisco Blogs — "Defining Model Provenance: A Constitution for AI Supply Chain Safety and Security" (30/04/2026): "the verifiable derivation history of a model's trained weights"; danh sách loại trừ (independent reproduction, same-family different-size, shared vocabulary without weight transfer…)
- GitHub — cisco-ai-defense/model-provenance-kit (Apache 2.0, Python 3.12+): "The bundled reference database contains fingerprints for ~150 base models spanning 45+ model families from 20+ publishers, ranging from 135M to 70B+ parameters"
- Cisco AI Supply Chain Provenance Explorer — công cụ tra cứu công khai (truy cập 31/07/2026, trả về 200)
- Hugging Face — báo cáo hiện trạng nguồn mở: "In 2025, Hugging Face grew to 13 million users, more than 2 million public models, and over 500,000 public datasets"
- Help Net Security — "Cisco releases open-source toolkit for verifying AI model lineage" (30/04/2026): "Determines whether two transformer models share a common origin by examining architecture metadata, tokenizer structure, and the learned weights themselves"
- Bộ Công an — "Ngày 01/01/2026, Luật Bảo vệ dữ liệu cá nhân (Luật số 91/2025/QH15) chính thức có hiệu lực thi hành"