MCP là gì? Model Context Protocol: kiến trúc và bảo mật

Mục lục

1. MCP là gì?
2. MCP ra đời khi nào và để giải quyết vấn đề gì?
3. Kiến trúc MCP gồm những thành phần nào?
4. Tools, resources và prompts trong MCP là gì?
5. Một lời gọi MCP diễn ra như thế nào?
6. Bản đặc tả MCP mới nhất thay đổi gì?
7. MCP và API khác nhau thế nào? Có giống function calling không?
8. MCP liên quan gì đến AI agent?
9. Bảo mật MCP: những rủi ro chính là gì?
10. Doanh nghiệp nên quản trị MCP như thế nào?
11. Doanh nghiệp nên bắt đầu với MCP từ đâu?
12. Những hiểu lầm phổ biến về MCP
13. Câu hỏi thường gặp

MCP là gì?

MCP là viết tắt của Model Context Protocol, tạm dịch “giao thức ngữ cảnh cho mô hình”. Đây là chuẩn mở quy định cách ứng dụng dùng mô hình ngôn ngữ lớn (LLM) lấy thông tin và thực hiện hành động trên hệ thống bên ngoài: kho tài liệu, cơ sở dữ liệu, CRM, kho mã nguồn.

Chữ “ngữ cảnh” (context) là chìa khoá. Mô hình không tự biết đơn hàng hôm nay của công ty bạn. MCP là “đường ống” chuẩn để đưa ngữ cảnh vào và gửi yêu cầu hành động ra. Nhiều người ví MCP như cổng USB-C cho ứng dụng AI: thiết bị theo chuẩn thì cắm vào là dùng, không cần dây riêng cho từng cặp.

Một ví dụ dễ hình dung

Ví dụ minh hoạ. Nhân viên chăm sóc khách hàng hỏi trợ lý AI nội bộ: “Khách A có đơn nào trễ hạn không? Soạn giúp email xin lỗi.”

• Không có MCP: đội kỹ thuật viết mã riêng nối trợ lý với CRM, thêm mã khác nối phần mềm kho. Đổi sang ứng dụng AI khác thì phần lớn phải làm lại.
• Có MCP: công ty dựng một MCP server cho CRM, một cho phần mềm kho. Trợ lý AI hỏi server “có công cụ gì”, thấy công cụ tra đơn hàng, gọi với mã khách A rồi soạn email. Đổi ứng dụng AI, server vẫn giữ nguyên.

MCP ra đời khi nào và để giải quyết vấn đề gì?

Anthropic công bố MCP ngày 25/11/2024, mô tả đây là chuẩn mở giúp nhà phát triển xây dựng kết nối hai chiều, an toàn giữa nguồn dữ liệu và công cụ AI. Kèm theo là đặc tả, SDK và server mẫu cho Google Drive, Slack, GitHub, Git, Postgres, Puppeteer. Block và Apollo là đơn vị tích hợp sớm; Zed, Replit, Codeium, Sourcegraph được nêu là đang làm việc với MCP.

MCP giải bài toán “N nhân M”: N ứng dụng AI và M hệ thống dữ liệu, nếu mỗi cặp cần tích hợp riêng thì phải làm tới N × M kết nối. Có chuẩn chung, mỗi ứng dụng chỉ cần nói MCP một lần, mỗi hệ thống chỉ cần một server, tổng còn khoảng N + M. Đặc tả cho biết ý tưởng lấy cảm hứng từ Language Server Protocol, chuẩn giúp một ngôn ngữ lập trình được hỗ trợ trên nhiều trình soạn thảo mã.

Các mốc đáng chú ý

Thời điểm	Sự kiện	Ý nghĩa
25/11/2024	Anthropic công bố MCP, mở đặc tả, SDK và server mẫu	Có chuẩn chung để nối AI với dữ liệu
Bản 2025-03-26	Kiểu truyền tải HTTP+SSE cũ ngừng được khuyến nghị, chuyển sang Streamable HTTP	Server chạy từ xa phổ biến hơn
09/12/2025	Linux Foundation lập Agentic AI Foundation (AAIF); Anthropic đóng góp MCP, Block đóng góp goose, OpenAI đóng góp AGENTS.md	MCP được quản trị trung lập, không phụ thuộc một công ty
Bản 2026-07-28 (hiện hành)	Chuyển sang không trạng thái, thêm server/discover, ngừng khuyến nghị Sampling, Roots, Logging	Dễ mở rộng quy mô; hệ thống cũ cần kiểm tra tương thích

Thông cáo của Linux Foundation ngày 09/12/2025 cho biết đã có hơn 10.000 MCP server được công bố, và MCP được dùng trên Claude, Cursor, Microsoft Copilot, Gemini, VS Code, ChatGPT cùng nhiều nền tảng khác. Con số tính cả server cộng đồng, không có nghĩa tất cả đều đáng tin hay còn được bảo trì.

Kiến trúc MCP gồm những thành phần nào?

MCP theo mô hình client – server, có thêm vai “host” mà nhiều bài viết bỏ qua. Theo tài liệu kiến trúc chính thức:

• MCP host: ứng dụng AI người dùng tương tác (ứng dụng chat, IDE, trợ lý nội bộ). Host điều phối các client, quyết định server nào được bật, hành động nào phải hỏi người dùng.
• MCP client: thành phần trong host, giữ kết nối tới một server. Host tạo một client cho mỗi server; kết nối 3 server là có 3 client.
• MCP server: chương trình cung cấp ngữ cảnh và năng lực, chạy trên máy người dùng hoặc chạy từ xa.

MCP server là gì?

MCP server đứng giữa giao thức và một hệ thống cụ thể: nhận yêu cầu chuẩn MCP, chuyển thành thao tác thật (gọi API, truy vấn, đọc tệp) rồi trả kết quả theo định dạng chuẩn. Có hai kiểu:

• Server cục bộ: chạy cùng máy với ứng dụng AI, giao tiếp qua stdio (luồng nhập/xuất chuẩn), thường phục vụ một client. Hợp với đọc tệp trên máy, thao tác kho mã đang mở.
• Server từ xa: chạy trên máy chủ, giao tiếp qua Streamable HTTP, phục vụ nhiều client. Hợp khi nhà cung cấp phần mềm muốn mọi khách hàng dùng chung một điểm kết nối.

MCP client là gì?

Client là phần mã trong ứng dụng AI, hỏi server có gì, gửi yêu cầu và chuyển kết quả cho mô hình. Sản phẩm “hỗ trợ MCP” thường nghĩa là có sẵn client để bạn khai báo server.

MCP truyền dữ liệu bằng cách nào?

Thông điệp dùng định dạng JSON-RPC 2.0. Bản đặc tả hiện hành định nghĩa hai kiểu truyền tải: stdio (thông điệp phân tách bằng dòng mới qua tiến trình con do client khởi chạy) và Streamable HTTP (mỗi thông điệp là một yêu cầu POST tới một địa chỉ MCP; phản hồi là JSON hoặc luồng sự kiện gắn với yêu cầu). Tài liệu nào chỉ nhắc “stdio và SSE” là thông tin cũ.

Tools, resources và prompts trong MCP là gì?

Đây là ba “nguyên mẫu” (primitive) server có thể cung cấp. Điểm ít bài viết nói rõ: mỗi loại do một bên khác nhau kiểm soát, và điều này quyết định nơi bạn đặt bước duyệt.

Nguyên mẫu	Ai kiểm soát	Dùng để	Ví dụ
Tools	Mô hình tự quyết định gọi	Thực hiện hành động hoặc lấy thông tin qua hàm có tham số	Tra đơn hàng, tạo phiếu hỗ trợ, ghi tệp
Resources	Ứng dụng chọn và gắn vào ngữ cảnh	Cung cấp dữ liệu làm ngữ cảnh	Nội dung tệp, lược đồ cơ sở dữ liệu, lịch sử commit
Prompts	Người dùng chủ động chọn	Mẫu tương tác dựng sẵn	Lệnh tắt “tóm tắt hợp đồng” trong menu

Ví dụ trong tài liệu chính thức: server cho cơ sở dữ liệu có thể đưa tool để truy vấn, resource chứa lược đồ bảng và prompt chứa ví dụ mẫu để mô hình dùng tool cho đúng (xem thêm về cách viết prompt). Vì tools do mô hình tự gọi, đây là nơi rủi ro tập trung. Đặc tả khuyến nghị luôn có con người trong vòng lặp, có quyền từ chối lời gọi; ứng dụng nên cho thấy tool nào đang được đưa cho AI và hỏi xác nhận trước thao tác.

Chiều ngược lại, client có thể cung cấp elicitation: server hỏi thêm thông tin từ người dùng, như xin xác nhận trước khi xoá. Từ bản 2026-07-28, Sampling (server nhờ mô hình của client sinh nội dung), Roots và Logging bị ngừng khuyến nghị. MCP còn có phần mở rộng tuỳ chọn như Tasks cho tác vụ chạy lâu và MCP Apps cho giao diện tương tác ngay trong cuộc trò chuyện.

Một lời gọi MCP diễn ra như thế nào?

1. Khám phá: client hỏi server hỗ trợ phiên bản và năng lực gì (bản mới dùng server/discover), rồi lấy danh sách công cụ bằng tools/list. Mỗi tool có tên, mô tả bằng lời và lược đồ JSON cho tham số.
2. Chọn: host gộp công cụ từ mọi server, đưa cho mô hình. Mô hình “đọc” mô tả và chọn tool, tham số phù hợp câu hỏi.
3. Duyệt: host hiển thị tool và tham số, hỏi người dùng với thao tác nhạy cảm.
4. Thực thi: client gửi tools/call; server chạy thao tác thật, trả về văn bản, hình ảnh hoặc dữ liệu có cấu trúc.
5. Trả lời: kết quả vào lại ngữ cảnh; mô hình tổng hợp câu trả lời hoặc gọi thêm tool.

Khi danh sách công cụ thay đổi, client đã đăng ký theo dõi sẽ được báo để lấy lại. Đây cũng là lý do một server “vô hại” hôm nay có thể đổi mô tả công cụ ngày mai.

Bản đặc tả MCP mới nhất thay đổi gì?

MCP đánh số phiên bản theo dạng năm-tháng-ngày, là ngày gần nhất có thay đổi không tương thích ngược. Tính đến tháng 10/2026, bản hiện hành là 2026-07-28. So với bản 2025-11-25:

• Không trạng thái: bỏ bước bắt tay initialize và mã phiên ở tầng giao thức; mỗi yêu cầu tự mang phiên bản và năng lực của client. Server cần nhớ trạng thái (giỏ hàng, quy trình) thì tự tạo “mã xử lý” (handle) và nhận lại qua tham số tool.
• server/discover bắt buộc để server công bố phiên bản hỗ trợ, năng lực và danh tính.
• Yêu cầu nhiều lượt: cần thêm thông tin, server trả kết quả “input_required”; client gửi lại yêu cầu kèm câu trả lời.
• Lưu đệm: danh sách công cụ, tài nguyên phải kèm thời hạn và phạm vi lưu đệm.
• Siết ủy quyền: client phải kiểm tra tham số iss theo RFC 9207 khi có; đăng ký client động (RFC 7591) bị ngừng khuyến nghị.
• Vòng đời tính năng: tính năng bị ngừng khuyến nghị vẫn nằm trong đặc tả ít nhất 12 tháng (hoặc 90 ngày nếu gỡ khẩn).

MCP và API khác nhau thế nào? Có giống function calling không?

MCP không phải “API kiểu mới” thay REST API. API là giao diện để phần mềm gọi phần mềm, mỗi nhà cung cấp tự thiết kế. MCP là lớp chuẩn hoá phía trên: MCP server thường gọi API của hệ thống phía sau rồi mô tả lại thao tác theo cách mô hình AI hiểu được.

Function calling (gọi hàm) là năng lực của mô hình: trả về yêu cầu “gọi hàm X với tham số Y” thay vì văn bản. Function calling trả lời “mô hình yêu cầu dùng công cụ thế nào”; MCP trả lời “công cụ được công bố, tìm thấy, gọi và trả kết quả thế nào giữa ứng dụng và hệ thống bên ngoài”. Host nhận tool qua MCP, đưa cho mô hình qua function calling, rồi chuyển yêu cầu gọi hàm thành lời gọi MCP.

Tiêu chí	API truyền thống	Function calling	MCP
Bản chất	Giao diện của từng phần mềm	Năng lực của mô hình	Giao thức chung giữa ứng dụng AI và công cụ, dữ liệu
Khám phá công cụ	Đọc tài liệu, viết mã tay	Tự khai báo hàm trong mã	Tự động qua tools/list
Dùng lại giữa ứng dụng AI	Viết lại lớp nối cho từng ứng dụng	Khai báo khác nhau giữa nhà cung cấp	Một server dùng cho mọi host hỗ trợ MCP
Phù hợp khi	Tích hợp cố định, cần kiểm soát chặt	Ứng dụng nhỏ, ít công cụ, một mô hình	Nhiều ứng dụng AI dùng chung bộ công cụ, tránh khoá vào một nhà cung cấp

RAG là kỹ thuật tìm đoạn tài liệu liên quan để mô hình trả lời có căn cứ; MCP là kênh kết nối. Một hệ thống RAG có thể đóng gói thành MCP server với tool “tìm trong kho quy trình nội bộ” để mọi trợ lý dùng chung.

Khi nào nên và không nên dùng MCP?

• Nên dùng khi nhiều ứng dụng AI cần cùng bộ kết nối, khi phần mềm bạn dùng đã có MCP server chính thức, hoặc khi muốn đổi nhà cung cấp mô hình mà không làm lại tích hợp.
• Chưa cần khi chỉ có luồng tự động cố định, không có AI ra quyết định; gọi API trực tiếp đơn giản hơn.
• Cân nhắc kỹ với thao tác không đảo ngược được (chuyển tiền, xoá dữ liệu, gửi thư hàng loạt): bắt buộc người duyệt và quyền chặt.

MCP liên quan gì đến AI agent?

AI agent tự lập kế hoạch và thực hiện nhiều bước, nên cần “tay chân”: đọc email, tra dữ liệu, tạo phiếu. MCP là một trong những cách phổ biến nhất để trao “tay chân” đó theo chuẩn chung. Agent càng nhiều, nhu cầu quản trị MCP càng tăng.

Bảo mật MCP: những rủi ro chính là gì?

Đặc tả nói thẳng: MCP mở ra khả năng truy cập dữ liệu và chạy mã tuỳ ý, và giao thức không thể tự cưỡng chế nguyên tắc an toàn. Trách nhiệm thuộc về bên xây dựng host, server và doanh nghiệp vận hành.

Prompt injection gián tiếp

Mô hình không phân biệt chắc chắn đâu là lệnh của người dùng, đâu là nội dung nó vừa đọc. Ngày 26/05/2025, Invariant Labs công bố kịch bản với MCP server GitHub: kẻ tấn công đặt lệnh ẩn trong một issue ở kho công khai; khi người dùng nhờ agent “xem các issue đang mở”, agent kéo dữ liệu từ kho riêng tư rồi đăng vào pull request công khai. Nhóm nghiên cứu nhấn mạnh đây là vấn đề kiến trúc của hệ thống agent, không vá được chỉ ở phía server, và nhiều người chọn “luôn cho phép” khiến bước xác nhận mất tác dụng.

Tool poisoning, rug pull và shadowing

Mô tả tool được đưa thẳng vào ngữ cảnh mô hình. Ngày 01/04/2025, Invariant Labs mô tả “tool poisoning”: server độc giấu lệnh trong mô tả tool, như yêu cầu đọc khoá SSH rồi gửi đi, trong khi giao diện chỉ hiện tên tool. Biến thể “rug pull” là đổi mô tả sau khi người dùng đã duyệt; “shadowing” là mô tả tool độc tác động cách agent dùng tool của server đáng tin khác. Đặc tả cũng yêu cầu client coi chú thích hành vi của tool là không đáng tin, trừ khi đến từ server tin cậy.

Gói server giả mạo

Server cục bộ là chương trình bạn tải về và chạy với quyền của mình. Tháng 9/2025, Koi Security phát hiện gói npm “postmark-mcp” mạo danh MCP server của dịch vụ email Postmark; từ phiên bản 1.0.16, gói được cài thêm đoạn mã lén gửi bản sao (BCC) mọi email tới địa chỉ kẻ tấn công. Theo Koi Security, gói có khoảng 1.500 lượt tải mỗi tuần; Postmark cho biết hệ thống của họ không bị xâm nhập. Bài học: server có thể dùng tốt nhiều phiên bản rồi mới “trở mặt”.

Quyền quá rộng và token sai đối tượng

Phần ủy quyền của MCP là tuỳ chọn, dựa trên OAuth 2.1 và dành cho kiểu truyền tải HTTP; server cục bộ qua stdio được khuyến nghị lấy thông tin xác thực từ môi trường. Tài liệu thực hành bảo mật chính thức nêu các lỗi hay gặp:

• Scope quá rộng: xin sẵn mọi quyền (files:*, db:*, admin:*); lộ token là mất tất cả. Nên bắt đầu với quyền đọc tối thiểu, nâng dần khi cần.
• Token passthrough: server nhận token không cấp cho chính nó rồi chuyển xuống API khác. Đặc tả cấm điều này.
• Confused deputy: server làm proxy tới API bên thứ ba bằng mã client cố định có thể bị lợi dụng lấy mã ủy quyền mà người dùng không đồng ý lại; phải xin đồng ý riêng cho từng client.
• Chiếm mã xử lý: server không được coi việc cầm “mã giỏ hàng” là bằng chứng danh tính; phải gắn mã với người dùng đã xác thực.

Server cục bộ chạy mã tuỳ ý và SSRF

Cấu hình server cục bộ thường là khai báo một câu lệnh khởi chạy; câu lệnh độc có thể đọc khoá bí mật, xoá tệp. Đặc tả yêu cầu client có tính năng cài một chạm phải hiển thị đầy đủ câu lệnh và chờ người dùng đồng ý, khuyến nghị chạy server trong sandbox. Ngoài ra, server độc có thể khai báo địa chỉ ủy quyền trỏ vào mạng nội bộ hoặc dịch vụ siêu dữ liệu đám mây (SSRF); client chạy trên máy chủ nên bắt buộc HTTPS và chặn dải IP nội bộ.

Bảng tóm tắt rủi ro và biện pháp

Rủi ro	Biện pháp giảm thiểu
Prompt injection gián tiếp	Tách agent đọc nội dung không tin cậy khỏi agent có quyền ghi; giới hạn phạm vi mỗi phiên; người duyệt thao tác gửi ra ngoài
Tool poisoning, rug pull, shadowing	Ghim phiên bản, so khớp mô tả tool với bản đã duyệt, hiển thị đủ mô tả, tách biệt server
Gói server giả mạo	Chỉ dùng server chính thức hoặc đã rà soát mã; danh mục server được phép
Quyền quá rộng, token sai đối tượng	Quyền tối thiểu, tách tool đọc và ghi, kiểm tra audience của token, đồng ý theo từng client
Server cục bộ độc, SSRF	Hiển thị đủ câu lệnh, sandbox, giới hạn thư mục và mạng, chặn IP nội bộ

Doanh nghiệp nên quản trị MCP như thế nào?

Khi nhân viên tự thêm MCP server vào công cụ AI cá nhân, doanh nghiệp có ngay một mạng kết nối ngầm tới dữ liệu khách hàng mà CNTT không nắm. Hãy coi MCP là một phần của quản trị truy cập, theo tư duy zero trust: không mặc định tin server, tool hay nội dung nào.

Danh sách kiểm tra trước khi bật một MCP server

1. Nguồn gốc: do chính hãng phát hành, đội nội bộ viết hay cộng đồng? Server cộng đồng cần rà soát mã.
2. Phiên bản: ghim phiên bản, không tự động cập nhật.
3. Danh sách tool: phân loại chỉ đọc hay có ghi, xoá, gửi ra ngoài; tắt tool không cần.
4. Tài khoản: tài khoản dịch vụ riêng, quyền tối thiểu, không dùng tài khoản quản trị cá nhân.
5. Dữ liệu: có dữ liệu cá nhân, dữ liệu mật không; dữ liệu có ra máy chủ nước ngoài không.
6. Người duyệt: thao tác nào bắt buộc hỏi; cấm “luôn cho phép” với tool có ghi.
7. Cô lập: server cục bộ chạy trong container hoặc sandbox.
8. Nhật ký: ghi mọi lời gọi tool (ai, lúc nào, tham số, kết quả); bản đặc tả mới có quy ước truy vết OpenTelemetry.
9. Kết nối từ xa: chỉ qua HTTPS, xác thực OAuth, token đúng đối tượng.
10. Kế hoạch gỡ: biết cách thu hồi token, tắt server nhanh khi có sự cố.

Về vận hành, nên có danh mục server được phép (allowlist) do CNTT duy trì; có thể đặt một cổng trung gian (gateway) để xác thực, lọc tool và ghi log tập trung (đây là mẫu kiến trúc, không bắt buộc trong đặc tả). Server chỉ đọc có thể mở rộng hơn; server ghi vào hệ thống tài chính, nhân sự cần phê duyệt riêng. Rà soát định kỳ mỗi quý.

Lưu ý pháp lý tại Việt Nam

Dữ liệu đi qua MCP vẫn chịu luật. Server xử lý thông tin khách hàng, nhân viên phải tuân thủ Luật Bảo vệ dữ liệu cá nhân số 91/2025/QH15, hiệu lực từ 01/01/2026. Hệ thống AI doanh nghiệp đưa vào vận hành còn chịu Luật Trí tuệ nhân tạo số 134/2025/QH15, hiệu lực từ 01/03/2026, với yêu cầu duy trì khả năng giám sát, can thiệp của con người. Gắn thêm công cụ cho hệ thống AI là thay đổi chức năng, có thể làm thay đổi mức rủi ro; xem phân tích trong bài Luật Trí tuệ nhân tạo 2025. Phần này chỉ tóm tắt, không phải tư vấn pháp lý.

Doanh nghiệp nên bắt đầu với MCP từ đâu?

1. Chọn một nhu cầu chỉ đọc: tra quy trình nội bộ, tra trạng thái đơn hàng.
2. Ưu tiên server chính thức của phần mềm bạn đang dùng.
3. Nếu tự viết: dùng SDK chính thức. Trang MCP liệt kê SDK cho TypeScript, Python, C#, Go, Rust, Ruby (nhóm 1), Java (nhóm 2), Swift, PHP, Kotlin (nhóm 3). Viết server mỏng, mô tả tool rõ, kiểm tra tham số đầu vào.
4. Thử trong môi trường cô lập với dữ liệu thử, bật nhật ký, dùng MCP Inspector để xem server công bố gì.
5. Đo kết quả: thời gian xử lý, tỉ lệ trả lời đúng, số lần người duyệt từ chối.
6. Mở rộng có kiểm soát: chỉ thêm tool có ghi khi quy trình duyệt và nhật ký đã ổn định.

Những hiểu lầm phổ biến về MCP

• “MCP là sản phẩm của một hãng”: MCP là đặc tả mở, từ 12/2025 nằm dưới Agentic AI Foundation của Linux Foundation.
• “Có OAuth là an toàn”: OAuth chỉ xác định ai được gọi; prompt injection và tool độc vẫn xảy ra với người dùng hợp lệ.
• “Càng nhiều server càng tốt”: mỗi server thêm mô tả tool vào ngữ cảnh, tốn token và dễ khiến mô hình chọn nhầm.

Câu hỏi thường gặp

MCP có miễn phí không?

Đặc tả và SDK chính thức là mã nguồn mở, dùng miễn phí. Chi phí nằm ở phần mềm mà server kết nối tới, hạ tầng chạy server từ xa và lượng token mô hình tiêu thụ.

MCP chỉ dùng được với Claude phải không?

Không. Theo Linux Foundation, tính đến 12/2025 MCP đã được dùng trên Claude, Cursor, Microsoft Copilot, Gemini, VS Code, ChatGPT và nhiều nền tảng khác. Mức hỗ trợ từng tính năng có thể khác nhau.

Không biết lập trình có dùng được MCP không?

Có, ở mức sử dụng: nhiều ứng dụng AI cho thêm server từ xa bằng cách nhập địa chỉ rồi đăng nhập. Tuy vậy, chọn server và cấp quyền nên được CNTT duyệt. Tự viết server thì cần lập trình.

MCP có an toàn không?

Giao thức có ủy quyền và nhiều yêu cầu an toàn, nhưng không tự ngăn việc dùng sai. Mức an toàn phụ thuộc server bạn chọn, quyền bạn cấp, bước người duyệt và nhật ký. Hãy bắt đầu với tool chỉ đọc và server chính thức.

Phiên bản MCP hiện tại là bao nhiêu?

Tính đến tháng 10/2026 là bản 2026-07-28, chuyển sang không trạng thái. Các bản dựa trên bắt tay như 2025-11-25 vẫn được dùng rộng rãi; đặc tả có hướng dẫn tương thích ngược.