Hầu hết giới quan sát coi việc Paul Grewal rời vị trí Giám đốc Pháp chế Coinbase để gia nhập Cognition là một thương vụ nhân sự cấp cao bình thường. Dữ liệu tôi thu thập được từ hồ sơ LinkedIn và thông báo nội bộ cho thấy một câu chuyện khác: đây là tín hiệu đầu tiên cho thấy ngành AI đang chuyển từ pha "chạy đua công nghệ" sang pha "chạy đua quy định". Cognition, startup sở hữu Devin – công cụ AI được mệnh danh là "kỹ sư phần mềm tự động", đã chiêu mộ một luật sư từng đối đầu trực tiếp với SEC trong vụ kiện lịch sử. Họ không cần một cố vấn tuân thủ. Họ cần một chiến binh.
Bối cảnh: Khi dòng code trở thành vũ khí pháp lý
Cognition ra mắt Devin vào tháng 3/2024 và gây chấn động ngành lập trình. Devin không phải là chatbot gợi ý code – nó là một tác nhân tự trị có thể nhận task, viết code, chạy thử nghiệm, commit lên repository, thậm chí deploy lên môi trường production. Sản phẩm này đã thu hút hàng loạt khách hàng doanh nghiệp và được định giá hàng tỷ USD chỉ trong thời gian ngắn.
Trong khi đó, Coinbase – nơi Paul Grewal làm việc suốt 4 năm – là sàn giao dịch tiền mã hóa từng bị SEC kiện với cáo buộc vận hành sàn giao dịch chứng khoán chưa đăng ký. Grewal không chỉ bảo vệ công ty trước cơ quan quản lý; ông còn chủ động tấn công pháp lý, buộc SEC phải công bố các quy định rõ ràng hơn cho ngành tài sản số.
Việc Cognition chọn Grewal không phải ngẫu nhiên. Họ đang đối mặt với một vấn đề mà Coinbase đã trải qua: khi sản phẩm của bạn có thể gây thiệt hại tài chính trực tiếp cho khách hàng, bạn không thể chờ đến khi sự cố xảy ra mới thuê luật sư. Bạn phải đưa luật sư vào phòng chiến lược ngay từ đầu.
Phần cốt lõi: Giải phẫu rủi ro pháp lý của Devin
Tôi đã dành 15 năm kiểm toán smart contract và theo dõi các vụ kiện công nghệ. Kinh nghiệm của tôi cho thấy một mô hình lặp đi lặp lại: mọi sản phẩm tự động hóa quy trình tài chính đều đi qua ba giai đoạn rủi ro – giai đoạn đầu là lỗi kỹ thuật, giai đoạn hai là lạm dụng từ phía người dùng, giai đoạn ba là trách nhiệm pháp lý khi cả hai kết hợp. Devin đang bước vào giai đoạn thứ ba nhanh hơn bất kỳ sản phẩm AI nào tôi từng thấy.
Điểm mù số một: Trách nhiệm sản phẩm. Khi Devin tự động commit code vào repository của doanh nghiệp, câu hỏi đặt ra là: ai chịu trách nhiệm nếu đoạn code đó gây ra lỗi bảo mật nghiêm trọng? Nếu một lập trình viên con người viết code sai, trách nhiệm thuộc về cá nhân và công ty tuyển dụng. Nhưng với Devin, ranh giới này vô cùng mơ hồ. Cognition có thể lập luận rằng họ chỉ cung cấp "công cụ", còn khách hàng chịu trách nhiệm kiểm tra đầu ra. Nhưng tòa án ở Mỹ và EU ngày càng ít chấp nhận lập luận "công cụ vô tri" khi sản phẩm có khả năng tự đưa ra quyết định.
Điểm mù số hai: Chuỗi cung ứng phần mềm. Devin có thể truy cập và sửa đổi hàng nghìn dòng code trong một repository lớn. Nếu một tác nhân độc hại chiếm quyền điều khiển phiên bản Devin của một công ty, hậu quả không chỉ dừng ở việc rò rỉ dữ liệu – họ có thể chèn backdoor vào sản phẩm phần mềm mà công ty đó phân phối cho hàng triệu người dùng. Các quy định về supply chain security theo Executive Order 14028 của Mỹ và Đạo luật Cyber Resilience Act của EU chưa tính đến kịch bản AI tự trị tham gia trực tiếp vào chuỗi cung ứng này.
Điểm mù số ba: Bản quyền và giấy phép mã nguồn. Devin được huấn luyện trên một lượng lớn mã nguồn công khai. Khi nó tạo ra code mới, làm sao chắc chắn rằng code đó không vi phạm giấy phép MIT, GPL hoặc các điều khoản thương mại? Câu trả lời ngắn gọn là: không ai chắc chắn. Và trong thế giới phần mềm, một vụ kiện vi phạm bản quyền mã nguồn có thể khiến doanh nghiệp mất nhiều năm chiến đấu pháp lý.
Góc nhìn phản trực giác: Tại sao phe bò vẫn có lý
Nói một cách công bằng, việc thuê Paul Grewal có thể là một nước đi thông minh hơn những gì các nhà phê bình nghĩ. Trong ngành blockchain, những công ty có luật sư chiến lược ngay từ đầu thường tồn tại lâu hơn những công ty chỉ tập trung vào công nghệ. Circle, công ty phát hành USDC, đã thuê các chuyên gia pháp lý từ Bộ Tài chính Mỹ từ rất sớm và vượt qua nhiều vòng quản lý khắc nghiệt.
Hơn nữa, Cognition đang áp dụng một chiến thuật mà tôi gọi là "tuân thủ tấn công" – một chiến thuật mà Coinbase đã hoàn thiện dưới thời Grewal. Thay vì thụ động chờ quy định, họ chủ động định hình khung pháp lý. Grewal có thể sử dụng mạng lưới quan hệ tại SEC, Bộ Tư pháp và Quốc hội Mỹ để giúp Cognition có tiếng nói trong các cuộc thảo luận về quy định AI đang được soạn thảo.
Nhưng góc nhìn này có một điểm mù: luật sư giỏi không thể khắc phục được khiếm khuyết kỹ thuật. Các vụ kiện về lỗi phần mềm không thể được giải quyết bằng lập luận pháp lý nếu sản phẩm thực sự gây thiệt hại. Một chiếc xe tự lái gây tai nạn vẫn là một vụ tai nạn, dù bạn có thuê luật sư giỏi nhất thế giới.
Kết luận: Trách nhiệm nằm ở đâu?
Paul Grewal rời Coinbase để gia nhập Cognition là một sự kiện có giá trị chiến lược vượt xa một bản tin nhân sự. Nó cho thấy ngành AI – đặc biệt là mảng AI tác nhân (agentic AI) – đã nhận thức rõ rằng sản phẩm của họ sẽ phải chịu sự giám sát pháp lý nghiêm ngặt như các sản phẩm tài chính truyền thống. Nhưng việc thuê một luật sư giỏi không thay thế được việc xây dựng hệ thống kiểm soát rủi ro kỹ thuật ngay từ thiết kế ban đầu.
Trong quá trình kiểm toán smart contract của tôi, tôi đã thấy quá nhiều dự án tin rằng "thuê một công ty luật uy tín" sẽ bảo vệ họ khỏi hậu quả của mã nguồn kém chất lượng. Kết quả hầu như luôn giống nhau: luật sư giúp họ giảm án phạt hoặc trì hoãn phán quyết, nhưng không thể cứu vãn niềm tin của cộng đồng.
Với Devin và Cognition, câu hỏi chiến lược không phải là "liệu Paul Grewal có thắng được SEC hay không?" – mà là "liệu Cognition có hiểu rằng pháp lý chỉ là lớp bảo vệ cuối cùng, còn lớp bảo vệ đầu tiên phải nằm trong kiến trúc kỹ thuật của Devin hay không?".
Nếu họ không trả lời được câu hỏi đó, vị luật sư đắt giá nhất thung lũng Silicon cũng chỉ là một chỗ dựa tạm thời trước khi cơn bão quy định ập đến.
