Mô hình đã vượt qua các đánh giá an toàn, trước khi bộ nhớ đệm KV (KV Cache) được lượng tử hóa.

Quá trình nén dữ liệu vô tình tạo ra lỗ hổng chưa từng được kiểm soát. 15 phút đọc · Hạ tầng LLM · An toàn AI · Triển khai ML trong thực tế Đây là một tình huống có thể khiến bất kỳ kỹ sư học máy (ML) nào phải lo ngại. Đội ngũ phát triển dành nhiều tháng để căn chỉnh một mô hình ngôn ngữ, tiến hành kiểm thử qua các tiêu chuẩn an toàn kỹ thuật như tỷ lệ từ chối phản hồi, đánh giá nội dung độc hại và các câu lệnh tấn công đối nghịch. Mô hình vượt qua toàn bộ các bài kiểm tra, tạo dựng sự tin cậy trước khi chính thức được đưa vào vận hành. Tiếp đó, bộ phận hạ tầng thực hiện nhiệm vụ tối ưu hóa hệ thống máy chủ phục vụ. Bộ đệm KV (KV cache) được lượng tử hóa từ định dạng float16 xuống int4. Dung lượng bộ nhớ giảm 40%, độ trễ được cải thiện, chi phí trên mỗi token giảm xuống, mang lại kết quả khả quan cho toàn bộ hệ thống. Tuy nhiên, không ai thực hiện lại các bài kiểm thử an toàn. Ba tháng sau, người dùng phát hiện mô hình bắt đầu trả lời những câu hỏi từng bị từ chối trước thời điểm triển khai. Hiện tượng này không xuất phát từ việc thay đổi trọng số, cũng không do phương thức bẻ khóa (jailbreak) mới, mà bắt nguồn từ quyết định nén dữ liệu tại một thành phần nằm ngoài phạm vi giám sát của bộ phận an toàn. Đây không phải là một giả định lý thuyết, mà là phát hiện được công bố tại Hội thảo Diễn giải Cơ chế thuộc Hội nghị Quốc tế về Học máy (ICML 2026). Kết quả nghiên cứu này làm thay đổi căn bản tư duy về quy trình triển khai các mô hình đã qua căn chỉnh an toàn. Nguồn: Hình ảnh do tác giả cung cấp. Báo cáo nghiên cứu này được ghi nhận trong quá trình tìm hiểu sâu về lĩnh vực diễn giải cơ chế — một phân ngành đang mang lại nhiều kết quả thực tiễn cho hoạt động triển khai. Phần lớn các nghiên cứu về khả năng diễn giải thường mang tính lý thuyết và cách biệt với thực tế vận hành. Ngược lại, nghiên cứu này trực tiếp đề cập đến quyết định kỹ thuật mà mọi đơn vị vận hành LLM quy mô thực tế đều đã hoặc sẽ sớm áp dụng. Do đó, vấn đề này cần được xem xét một cách cẩn trọng. Bản chất kỹ thuật của bộ đệm KV Trước khi phân tích vấn đề, cần làm rõ định nghĩa chính xác về khái niệm này, bởi thuật ngữ "KV cache" xuất hiện thường xuyên trong các cuộc thảo luận kỹ thuật về ML nhưng hiếm khi được giải thích tường tận. Khi một mô hình ngôn ngữ tạo văn bản, hệ thống vận hành theo cơ chế tự hồi quy: xử lý từng token một cách tuần tự, trong đó mỗi token mới đòi hỏi phải đối chiếu với toàn bộ các token đã xuất hiện trước đó. Cơ chế chú ý (attention mechanism) thực hiện quy trình này thông qua việc tính toán ba vector cho mỗi token: Truy vấn (Query), Khóa (Key) và Giá trị (Value). Vector truy vấn của token mới sẽ đối chiếu với vector khóa của tất cả các token trước đó, sử dụng độ tương đồng để gán trọng số cho các vector giá trị, từ đó tạo ra biểu diễn tiếp theo. Tuy nhiên, khi độ dài chuỗi tăng lên, việc tính toán lại toàn bộ các vector khóa và giá trị từ đầu ở mỗi bước tạo ký tự sẽ tiêu tốn tài nguyên tính toán rất lớn. Bộ đệm KV giải quyết vấn đề này bằng cách lưu trữ các vector khóa và giá trị từ các token trước đó để tái sử dụng. Thay vì tính toán lại, hệ thống sẽ thực hiện truy xuất dữ liệu. Đối với một cuộc hội thoại dài, giải pháp này quyết định việc hệ thống duy trì tốc độ tạo văn bản ổn định hay phải chờ đợi nhiều giây cho mỗi token. Nếu không có bộ đệm KV, việc xử lý ngữ cảnh dài ở quy mô thương mại là điều bất khả thi về mặt tính toán. Đây không phải là tùy chọn tối ưu hóa đơn thuần, mà là thành phần nền tảng của mọi hệ thống phân phối LLM hiện nay. Các nền tảng như vLLM, TensorRT-LLM hay SGLang đều vận hành dựa trên cơ chế này. Mặc dù vậy, bộ đệm KV vẫn tồn tại một thách thức lớn về dung lượng bộ nhớ. Đối với mô hình phục vụ các cuộc hội thoại dài với lượng lớn người dùng đồng thời, các vector khóa và giá trị được lưu trữ có thể chiếm dụng hàng gigabyte bộ nhớ GPU. Do chi phí bộ nhớ GPU rất cao, kỹ thuật lượng tử hóa (quantization) đã được đưa vào ứng dụng. Lượng tử hóa bộ đệm KV: Quy chuẩn thực hành và các giả định phổ biến Lượng tử hóa trong trường hợp này là quá trình giảm độ chính xác số học của các vector khóa và giá trị được lưu trữ. Thay vì lưu trữ mỗi con số dưới dạng 1 thay vì lưu trữ dưới dạng số thực dấu phẩy động 16-bit (float16), dữ liệu được lưu dưới dạng số nguyên 8-bit (int8) hoặc số nguyên 4-bit (int4). Các phép toán trở nên ít tốn kém tài nguyên hơn, dung lượng bộ nhớ giảm mạnh và hạ tầng phục vụ mô hình vận hành hiệu quả hơn đáng kể. Đây không phải là một giải pháp tối ưu hóa thứ yếu. Kỹ thuật lượng tử hóa KV cache hiện là thiết lập mặc định trong môi trường vận hành thực tế của các khung phục vụ LLM lớn. Giả định ngầm định — điều chưa từng được nêu rõ do được coi là hiển nhiên — là quá trình lượng tử hóa chỉ ảnh hưởng đến các đặc tính hiệu năng như tốc độ, bộ nhớ và chất lượng đầu ra được đo bằng độ rối (perplexity). Quá trình này được cho là không tác động đến các hành vi liên quan đến an toàn. Tuy nhiên, giả định đó đã sai. Lý do giả định này sai bắt nguồn từ các yếu tố hình học chuẩn xác, có thể truy nguyên về mặt cơ chế và thực sự đáng báo động. Phát hiện năm 2026: Quá trình căn chỉnh an toàn tồn tại trong hình học, và lượng tử hóa phá hủy điều đó Công trình nghiên cứu của các tác giả Xu, Kumarappan và Zhou — được trình bày tại cả Hội thảo Giải thích Cơ chế ICML 2026 và Hội thảo AdaptFM — bắt đầu bằng một quan sát tưởng chừng đơn giản: Các thước đo chất lượng tiêu chuẩn đối với kỹ thuật lượng tử hóa KV cache — gồm độ rối, độ chính xác tác vụ, độ trễ — đều tồn tại một điểm mù. Các thước đo này không thể phát hiện liệu mô hình có tiếp tục từ chối các yêu cầu độc hại sau khi bị nén hay không. Độ rối đo lường mức độ bất ngờ của mô hình trước văn bản. Đây là thước đo tổng hợp trên toàn bộ phân phối đầu ra. Ngược lại, việc căn chỉnh an toàn chỉ nằm trong một phần hẹp và cụ thể của phân phối đó — phần chi phối hành vi từ chối. Một mô hình có thể đạt điểm số độ rối gần như tương đương ở định dạng float16 và int4, nhưng lại có tỷ lệ từ chối hoàn toàn khác nhau. Thước đo tổng hợp đã che lấp lỗi sai cụ thể này. Những gì các nhà nghiên cứu phát hiện khi phân tích sâu bên trong 11 mô hình được tinh chỉnh theo chỉ dẫn, với quy mô từ 3,8 tỷ (3.8B) đến 72 tỷ (72B) tham số, là: việc căn chỉnh an toàn chiếm một không gian con số chiều thấp trong không gian kích hoạt của mô hình, và không gian này dễ bị tổn thương trước nhiễu lượng tử hóa hơn nhiều bậc độ lớn so với toàn bộ không gian biểu diễn. Nội dung toán học này có thể được diễn giải một cách cụ thể như sau. Nguồn: Hình ảnh của tác giảKhi một mô hình được căn chỉnh an toàn — thông qua RLHF, DPO, RLVR, AI hợp hiến (constitutional AI) hoặc bất kỳ phương pháp nào khác — quá trình huấn luyện không làm thay đổi đồng đều toàn bộ trọng số của mô hình. Quá trình này định hình các hướng hình học cụ thể trong không gian kích hoạt của mô hình, tương ứng với các khái niệm liên quan đến an toàn: “yêu cầu này có hại”, “cần phải từ chối”, “đây là dạng đầu ra không được phép tạo”. Đây chính là những gì mà