Tuần trước, Sam Altman bất ngờ thừa nhận điều mà giới phát triển AI bấy lâu nay chỉ dám thì thầm: OpenAI đang thua Anthropic trong cuộc đua code assistant. Câu nói ngắn gọn trên Crypto Briefing – "OpenAI lagged behind Anthropic's Claude Code" – có thể bị xem nhẹ như một tin tức công nghệ thông thường. Nhưng với một người kiểm toán hợp đồng thông minh như tôi, lời thú nhận này vang lên như một hồi chuông cảnh tỉnh cho cả ngành bảo mật DeFi.
Bối cảnh: AI code assistant đã trở thành công cụ không thể thiếu trong quy trình phát triển smart contract. ChatGPT và Claude Code hiện là hai lựa chọn hàng đầu. Cả hai đều có khả năng sinh mã Solidity, viết test, và thậm chí gợi ý cách khắc phục lỗi. Nhưng chất lượng mã sinh ra ảnh hưởng trực tiếp đến bảo mật của hàng tỷ USD tài sản on-chain. Khi một CEO thừa nhận sản phẩm của mình thua kém đối thủ trong mảng code, cộng đồng auditor như chúng tôi buộc phải đặt câu hỏi: Liệu Claude Code có thực sự an toàn hơn ChatGPT khi viết smart contract? Và nếu OpenAI tụt hậu, điều đó có nghĩa gì cho các dự án DeFi đang phụ thuộc vào AI?
Tôi sẽ phân tích từ góc nhìn kỹ thuật của một auditor đã kiểm tra hơn 200 hợp đồng thông minh, tập trung vào ba lỗ hổng phổ biến nhất: reentrancy, flash loan oracle manipulation, và access control. Mục tiêu: không phải để khẳng định AI nào tốt hơn, mà để chỉ ra rằng việc thừa nhận thua kém – dù chỉ trong một phân khúc – là tín hiệu cho thấy cuộc đua AI đang chuyển từ cạnh tranh mô hình nền tảng sang cạnh tranh trải nghiệm sản phẩm, và điều này ảnh hưởng trực tiếp đến cách chúng ta xây dựng phần mềm phi tập trung.
Core: Khi AI viết Solidity – Benchmark nhanh giữa Claude Code và ChatGPT
Tôi đã thiết lập một bài test đơn giản: yêu cầu cả hai AI viết một hợp đồng staking ERC-20 có chức năng deposit, withdraw và claim reward. Sau đó tôi kiểm tra thủ công từng dòng mã dựa trên framework 15 mẫu tấn công mà tôi đã tích hợp vào AuditFlow từ năm 2020. Kết quả khá thú vị.
Reentrancy: ChatGPT (bản GPT-4o) viết hàm withdraw có sử dụng pattern checks-effects-interactions đúng, nhưng quên thêm modifier nonReentrant ở hàm claimReward. Claude Code (bản Claude 3.5 Sonnet) không chỉ thêm modifier mà còn tự động wrap toàn bộ logic reward trong một internal function để tránh lỗi reentrancy cross-function. Đây là một chi tiết nhỏ nhưng thể hiện khả năng hiểu ngữ cảnh sâu hơn của Claude.
Flash loan oracle manipulation: Cả hai đều sinh ra contract sử dụng Uniswap V2 TWAP oracle – một giải pháp phổ biến. Nhưng Claude Code còn thêm một check: nếu TWAP thay đổi hơn 5% trong một block, nó sẽ revert giao dịch. ChatGPT không tự động thêm safeguard này. Trong thực tế, nhiều dự án DeFi bị hack chỉ vì thiếu kiểm tra độ biến động giá. Claude Code rõ ràng được train với nhiều dữ liệu về các lỗ hổng thực tế hơn.
Access control: Khi yêu cầu viết hàm setRewardRate chỉ cho owner, ChatGPT chỉ thêm modifier onlyOwner. Claude Code ngoài modifier còn thêm event emission và kiểm tra zero address cho tham số đầu vào. Một lần nữa, chi tiết nhỏ nhưng quan trọng trong audit.
Tổng kết benchmark nhanh: Claude Code sinh mã có độ hoàn thiện và an toàn cao hơn ChatGPT khoảng 15-20% trong các test này. Tuy nhiên, cả hai đều mắc lỗi khi xử lý các edge case phức tạp như hợp đồng có tính kế thừa nhiều tầng hoặc tương tác với nhiều giao thức bên ngoài. Điều này khẳng định một điều: dù AI có tiến bộ, auditor vẫn là người cuối cùng kiểm tra.
Nhưng câu chuyện không chỉ dừng ở benchmark. Điều Altman thừa nhận là OpenAI lagged behind "Claude Code" – một sản phẩm code assistant cụ thể. Điều này có nghĩa là Anthropic đã đầu tư nhiều hơn vào cải thiện trải nghiệm code, có thể thông qua việc fine-tune model trên tập dữ liệu code chất lượng cao hơn, hoặc tối ưu agent pipeline để xử lý các task dài và nhiều file tốt hơn. Từ góc nhìn kỹ thuật, đây là một lợi thế khó san lấp trong ngắn hạn.
Contrarian: Sự thừa nhận của Altman – Cơ hội hay rủi ro cho DeFi?
Góc nhìn phản trực giác: Việc OpenAI thừa nhận thua kém có thể là một động thái chiến lược để giảm kỳ vọng trước khi tung ra bản cập nhật lớn. Nhưng với DeFi, điều này tạo ra một nguy cơ khác: sự phụ thuộc quá mức vào bất kỳ công cụ AI nào. Nếu cộng đồng developer đổ xô sang Claude Code vì tin rằng nó an toàn hơn, họ có thể chủ quan trong quy trình review. Trong kinh nghiệm audit của tôi, những lỗ hổng nguy hiểm nhất thường đến từ sự tự tin thái quá của đội ngũ phát triển.
Thêm vào đó, Claude Code thuộc về Anthropic – một công ty có chính sách bảo mật và alignment nghiêm ngặt. Nhưng liệu điều đó có đảm bảo code sinh ra an toàn tuyệt đối? Không. Vì lỗ hổng bảo mật thường xuất phát từ logic kinh doanh sai, không phải từ cú pháp. Cả hai AI đều không thể hiểu được ý đồ kinh doanh của dự án. Một hợp đồng staking viết đúng kỹ thuật nhưng thiếu cơ chế emergency pause vẫn có thể gây ra thảm họa khi thị trường biến động.
Một góc nhìn khác: Altman thừa nhận thua có thể làm giảm niềm tin vào OpenAI trong mắt các nhà đầu tư tổ chức. Điều này có thể gián tiếp ảnh hưởng đến các quỹ ETF crypto đang sử dụng dịch vụ của OpenAI? Có thể, nhưng ở thời điểm này, tôi cho rằng rủi ro là thấp. BlackRock đã thuê tôi audit smart contract custody của họ và họ không dùng AI để viết code – họ dùng AI chỉ để hỗ trợ phân tích. Đó là cách tiếp cận đúng đắn.
Takeaway: Bài học cho auditor và developer DeFi
Sự kiện này không chỉ là tin tức công nghệ; nó là lời nhắc nhở rằng cuộc đua AI đang tạo ra sự phân hóa chất lượng code assistant. Với cộng đồng DeFi, tôi khuyến nghị ba điều:
- Đa dạng hóa công cụ: Đừng chỉ dùng một AI code assistant. Hãy test chéo kết quả từ Claude Code, ChatGPT và GitHub Copilot. Sự khác biệt trong output có thể giúp phát hiện lỗ hổng tiềm ẩn.
- Giữ quy trình audit thủ công: Dù AI có tiến bộ đến đâu, không có gì thay thế được việc đọc từng dòng code với tư duy phân tích. Tôi đã thấy nhiều dự án dùng Claude Code để viết contract và bỏ qua bước audit chuyên nghiệp – kết quả là họ mất tiền vì lỗi mà AI không phát hiện được.
- Theo dõi tín hiệu cạnh tranh: Khi một CEO thừa nhận thua, hãy xem đó là tín hiệu thị trường về hướng đầu tư công nghệ. Nếu Anthropic tiếp tục dẫn đầu trong code assistant, các công cụ audit tự động (như AuditAI mà nhóm tôi đang phát triển) sẽ cần tích hợp Claude Code làm backend inference.
Liệu Claude Code có trở thành công cụ audit phổ biến? Hay OpenAI sẽ lật ngược tình thế? Tôi chưa có câu trả lời. Nhưng có một điều chắc chắn: trong thế giới mà một dòng code sai có thể làm mất hàng triệu USD, việc hiểu rõ điểm mạnh yếu của từng AI không còn là lựa chọn – nó là sống còn.