Salesforce giành chứng chỉ IL5 của Lầu Năm Góc nhưng phải loại bỏ Anthropic: Bài học từ DeFi về lớp xác minh tin cậy

Lầu Năm Góc không trả tiền cho thứ thông minh nhất. Họ trả tiền cho thứ có thể chứng minh mình an toàn. Và tình huống vừa xảy ra tuần này khiến cả giới AI lẫn crypto phải đọc lại những giả định cơ bản của mình. Bộ Quốc phòng Mỹ vừa trao chứng chỉ IL5 cho Salesforce Agentforce 360 — nền tảng agent AI được phép hoạt động trong môi trường dữ liệu quốc phòng nhạy cảm. Kèm theo đó là hợp đồng IDIQ với Lục quân Mỹ, trần giá trị 5,6 tỷ USD trong 10 năm. Khi triển khai đầy đủ, hệ thống sẽ xử lý hơn 55 triệu lượt hội thoại mỗi tháng cho Tư lệnh Nhân sự Lục quân. Mỗi lỗi nhỏ ở quy mô đó đều có thể trở thành sự cố quân sự. Nhưng nghịch lý nằm ở điều khoản đi kèm. Tháng 2/2026, Anthropic — công ty sở hữu một trong những mô hình AI mạnh nhất thế giới — bị Bộ Quốc phòng xếp vào danh sách rủi ro chuỗi cung ứng. Để nhận được IL5, Salesforce phải chứng minh rằng mô hình Anthropic đã bị vô hiệu hóa hoàn toàn trong nền tảng của mình. Một công ty AI hàng đầu bị loại, trong khi một công ty phần mềm chưa từng nổi tiếng về AI lại giành được giấy thông hành đắt giá nhất. Nếu anh đang tự hỏi điều này có ý nghĩa gì với blockchain, hãy kiên nhẫn thêm vài phút. Chứng chỉ IL5 không phải là giấy chứng nhận chất lượng mô hình. Nó là giấy chứng nhận đường biên tin cậy. Để đạt IL5, hệ thống phải đáp ứng chuẩn FedRAMP High, cộng thêm hơn 450 yêu cầu kiểm soát an ninh riêng của Bộ Quốc phòng. Dữ liệu phải được phân tách vật lý, chỉ nhân sự Mỹ được truy cập, và toàn bộ hạ tầng phải chạy trên AWS GovCloud. Nói cách khác, Lầu Năm Góc không hỏi "mô hình này có thông minh không". Họ hỏi "liệu tôi có tin được nó đến mức nào". Bối cảnh tài chính phía sau cũng rất đáng chú ý. Thị trường AI quốc phòng Mỹ hiện ở mức khoảng 4 tỷ USD mỗi năm, dự kiến đạt 10,9 tỷ USD vào năm 2031 — tăng trưởng kép 22,1% hàng năm. Ngân sách AI mà Bộ Quốc phòng xin cho năm tài chính 2026 là 14,2 tỷ USD. Trong một thị trường lớn như vậy, Salesforce tuyên bố họ là "công ty phần mềm thương mại đầu tiên đưa nền tảng agentic đã được kiểm chứng vào môi trường an ninh quốc gia". Palantir — công ty gắn bó với hệ thống an ninh quốc gia Mỹ hơn hai thập kỷ — cũng có Maven Smart System trở thành chương trình chính thức từ tháng 3. Cuộc đua đã thực sự bắt đầu. Điều tôi muốn phân tích không phải là ai thắng ai thua trên báo chí. Mà là kiến trúc mà Salesforce đang dùng để giành hợp đồng này — và nó giống đến mức nào với kiến trúc mà chúng tôi, những người làm DeFi, đã xây dựng gần một thập kỷ qua. Hãy nhìn vào Agentforce 360 một cách kỹ thuật. Điểm cốt lõi không phải là model này thông minh hơn model kia. Kiến trúc trung tâm của nó là một lớp trừu tượng không phụ thuộc vào mô hình — một tầng phần mềm cho phép bật, tắt, thay thế model chỉ bằng một chính sách quản trị. Anthropic bị cấm, họ chỉ cần đảo công tắc. Nếu Bộ Quốc phòng gỡ lệnh cấm, họ bật lại. Hệ thống vận hành không đổi, logic xử lý không đổi, chỉ có "bộ não" phía sau được hoán đổi. Trong thế giới DeFi, đây gọi là kiến trúc adapter. Giao thức cho vay không gắn cứng với một oracle duy nhất; họ dùng một lớp kết nối trung gian để chuyển từ Chainlink sang Band, hoặc từ mô hình thanh khoản này sang mô hình khác, mà không đụng đến phần nghiệp vụ cốt lõi. Tôi từng tham gia một cuộc audit giao thức cho vay năm 2020 — thời điểm mà ai cũng sốt sắng chạy theo TVL cao. Chúng tôi phát hiện ra rằng các lỗ hổng chí mạng nằm ở lớp adapter, nơi kết nối giao thức với thế giới bên ngoài, chứ không nằm ở logic cho vay. Khi lớp này lỗi, toàn bộ hệ thống sụp đổ mà không cần một ai đụng vào smart contract chính. Agentforce 360 đang cho Lầu Năm Góc thấy điều tương tự: mô hình là thứ có thể thay thế, nhưng lớp kiểm soát và khả năng cắm rút chính là thứ mang lại sự sống còn. Đó là một tư duy kiến trúc rất giống với những gì blockchain đã dạy chúng ta về khả năng tương tác và khả năng thay thế thành phần. Vậy, vấn đề nằm ở đâu? Phán quyết mới nhất của Tòa Phúc thẩm Liên bang Khu vực thứ Chín nói rằng người dùng — chứ không phải nhà sản xuất agent — chịu trách nhiệm về hành vi của agent AI. Xét về mặt pháp lý, điều này để lại một khoảng trống trách nhiệm khổng lồ. Người dùng ở đây không phải một kỹ sư phần mềm có thể đọc mã. Họ là nhân viên quân đội, là người xử lý hồ sơ, là người vận hành các quy trình nhân sự được giao cho một hệ thống tự động. Khi agent đưa ra một quyết định sai lầm, họ có biết tại sao không? Họ có thể truy lại nhật ký hoạt động để chứng minh lỗi nằm ở đâu không? Đây là câu hỏi mà DeFi từng đối mặt vào năm 2016, khi một lỗ hổng trong hợp đồng thông minh của DAO khiến 60 triệu USD bị rút sạch. Câu hỏi "code is law — vậy khi code lỗi, ai là người chịu trách nhiệm?" đã dẫn toàn bộ ngành đến thiết kế về khả năng kiểm tra, về dấu vết bất biến, về cơ chế phân tán rủi ro. DeFi cần một sổ cái không thể chỉnh sửa để trả lời câu hỏi "ai đã làm gì". Lầu Năm Góc giờ đây sẽ cần một thứ gì đó tương tự: hệ thống ghi nhận hành vi của agent theo cách không thể giả mạo, có thể truy xuất đến từng quyết định. Chưa hết, tại hội nghị Black Hat, các nhà nghiên cứu đã trình diễn một cuộc tấn công "remote prompt execution" vào một nền tảng agent khác — kẻ tấn công có thể chèn lệnh ẩn vào dữ liệu mà agent xử lý mà không ai nhận ra. Khi một hệ thống tự động hóa 55 triệu cuộc hội thoại mỗi tháng, nếu tỷ lệ lỗi chỉ là 0,1%, đó là 55.000 sai sót mỗi tháng. Không ai có thể ngồi kiểm tra từng trường hợp theo cách thủ công. Và đó là lúc "lớp tin cậy" trở thành nhu cầu hạ tầng, không chỉ là một tính năng phụ. Bây giờ, hãy để tôi đưa ra một góc nhìn đi ngược lại với những gì các nhà phân tích công nghệ đang viết. Phần lớn các bài báo về vụ này sẽ tập trung vào cạnh tranh — Salesforce đánh bại Palantir, Anthropic bị loại, Microsoft còn bao lâu nữa mới theo kịp. Nhưng cái đang diễn ra thú vị hơn nhiều. Lầu Năm Góc không mua "trí thông minh" cho hệ thống của họ. Họ mua một hệ thống có khả năng chứng minh được sự an toàn — và trong môi trường quân sự, sự an toàn đó được định nghĩa bằng kiểm toán, không phải bằng benchmark. Điều đó có nghĩa là bất kỳ công ty nào muốn tham gia thị trường 14,2 tỷ USD này đều sẽ phải trang bị một thứ mà họ chưa từng có: một lớp xác minh phi tập trung cho hành vi agent. Không phải vì họ yêu blockchain, mà vì log tập trung có thể bị sửa, cơ sở dữ liệu của chính phủ có thể bị ngụy tạo, và một bản kiểm toán yêu cầu bằng chứng mật mã học thay vì lời khai của hệ thống. Khi điều đó xảy ra, những giao thức mà giới crypto vẫn coi là thử nghiệm — zkML, opML, oracle phi tập trung, cơ chế đồng thuận cho nhật ký hoạt động AI — không còn là công cụ đầu cơ nữa. Chúng trở thành hạ tầng bắt buộc. Giống như những người xây dựng Bitcoin không bao giờ nghĩ rằng "đừng tin, hãy xác minh" sẽ trở thành mệnh lệnh mua hàng của Lầu Năm Góc. Và đó là lý do vì sao tôi nói với các đồng nghiệp trẻ ở Melbourne và Việt Nam một cách nghiêm túc: nếu anh muốn tìm nơi dòng tiền lớn nhất trong chu kỳ mười năm tới sẽ đi qua, đừng nhìn vào những chain có TVL lớn nhất, cũng đừng nhìn vào những token mà các quỹ đầu tư mạo hiểm đang quảng cáo. Hãy nhìn vào nơi mà chính phủ các nước bắt buộc phải có một hệ thống xác minh không thể tranh cãi — và hỏi xem blockchain có thể đứng ở vị trí nào trong đó. Tôi không biết mô hình AI nào sẽ giành được chứng chỉ IL5 tiếp theo. Nhưng tôi biết rằng thứ Lầu Năm Góc đang trả tiền không phải để có một bộ não giỏi hơn. Họ trả tiền để có một thứ họ có thể tin tuyệt đối — và sự tin tưởng trong một môi trường không chút niềm tin sẽ được mua bán như một loại tài sản riêng. Câu hỏi dành cho người Việt Nam chúng ta: khi mảnh ghép hạ tầng này được đặt đúng chỗ, liệu chúng ta đang đứng ở bên kẻ bán cuốc hay người đi đào vàng?