Cyber Talk-10 Cloudflare Built the Internet’s Immune System. Then It Turned on Itself.

How we found a bug in the hyper HTTP library

Nhóm Cloudflare Images phát hiện lỗi điều kiện chạy (race condition) trong thư viện hyper HTTP (phiên bản 0.14–1.8) khi chuyển đổi sang sử dụng Unix sockets, khiến dữ liệu ảnh lớn bị cắt xén ngẫu nhiên do vòng lặp xử lý không chờ Poll::Pending từ poll_flush. Lỗi chỉ xuất hiện trong môi trường sản xuất với tải cao, không thể tái hiện bằng curl hay thử nghiệm cục bộ. Nhóm đã khắc phục bằng cách bổ sung 4 dòng lệnh vào poll_shutdown để đảm bảo dữ liệu được ghi hết trước khi đóng kết nối.

Lập trình viên cần đọc bài này để hiểu cách một lỗi race condition trong thư viện HTTP phổ biến (hyper) có thể gây ra vấn đề nghiêm trọng trong ứng dụng thực tế, đặc biệt khi kết hợp với các điều kiện concurrency và giao thức socket, và cách team phát hiện, debug và fix bằng cách quan sát syscall thực tế.

A broken DNSSEC rollover took down .AL. Now 1.1.1.1 tells you when validation is bypassed

Khi việc chuyển đổi khóa DNSSEC thất bại khiến tên miền cấp cao nhất .AL ngừng hoạt động, Cloudflare đã triển khai Negative Trust Anchor để khôi phục dịch vụ. Lần này, người dùng có thể nhận biết trực tiếp thông qua mã lỗi EDE 33 từ 1.1.1.1 khi xác thực DNSSEC bị bỏ qua.

Lập trình viên nên đọc bài này để hiểu cách các công cụ DNS như Cloudflare (1.1.1.1) sử dụng các cơ chế mới như DNSSEC bypass và truyền thông lỗi DNSSEC để bảo mật hệ thống, giúp phát triển ứng dụng có thể xử lý các trường hợp lỗi DNSSEC hiệu quả hơn trong tương lai.

Kilo Cloud Agents: We Took the Keys Out of the Box

Kilo Cloud Agents giờ đây sử dụng token tạm thời, gắn liền với sandbox thay vì truyền trực tiếp credential GitHub hay Kilo vào môi trường sandbox. Token thật không bao giờ chạm tới container; thay vào đó, các yêu cầu đi ra được chặn lại và xác thực qua ba lớp (xác thực token, điểm đến cho phép, ràng buộc sandbox) trước khi credential thật được thay thế tạm thời cho từng yêu cầu. Ngay cả khi token bị đánh cắp, nó cũng chỉ hoạt động trong sandbox cụ thể và trong thời gian tồn tại của sandbox đó. Tính năng tương tự cho GitLab đang được lên kế hoạch.

Một lập trình viên nên đọc bài này để hiểu cách bảo mật nâng cao cho các ứng dụng cloud bằng cách sử dụng token ngắn hạn và sandbox hóa, giúp giảm thiểu rủi ro từ việc lộ thông tin API thực tế trong môi trường chạy thử nghiệm.

Agent Draw: An agent draws while you talk, built on TLDraw

Agent Draw là công cụ hoạt động trên tldraw Agent starter kit, cho phép AI agent vẽ trên canvas vô hạn khi bạn nói. Bạn kéo vùng chọn, mô tả yêu cầu bằng giọng nói, và agent sẽ render bằng tldraw primitives hoặc bút vẽ. Bài viết chi tiết cách triển khai: StateNode tùy chỉnh, pipeline audio MediaRecorder, transcription qua Mistral Voxtral (Cloudflare Worker), hàng đợi FIFO xử lý yêu cầu vẽ đồng thời, và kỹ thuật prompt ngăn model xuất text thay vì vẽ. Tối ưu hiệu suất bằng cách loại bỏ hai action (setMyView, review), giảm 50% round-trip. So sánh khả năng, claude-opus-4.8 tạo tác phẩm phong phú hơn claude-haiku-4.5 hay gemini-2.5-flash-lite.

Những người lập trình viên muốn phát triển ứng dụng AI tích hợp giao diện đồ họa trực quan, đặc biệt là các ứng dụng tương tác âm thanh-video, nên đọc bài này để hiểu cách xây dựng pipeline hiệu quả từ nhận dạng âm thanh, xử lý đa nhiệm và tối ưu hóa giao tiếp giữa AI với người dùng thông qua các công cụ như tldraw.

The post-quantum EO is an important milestone. Now it’s time to get to work

Sắc lệnh hành pháp 14409 của Mỹ yêu cầu các cơ quan liên bang và nhà thầu phải chuyển sang mã hóa hậu lượng tử (PQC) vào năm 2030 và xác thực hậu lượng tử vào năm 2031, nhằm ngăn chặn các cuộc tấn công "thu thập giờ đây giải mã sau". Cloudflare khuyến nghị cần làm rõ tiêu chuẩn "chuyển đổi", ưu tiên khả năng thích ứng mật mã (crypto agility) và thúc đẩy sự thống nhất toàn cầu về thuật toán NIST để tránh phân mảnh.

Lập trình viên nên đọc bài này để hiểu cách chuyển đổi sang các giải pháp mã hóa chống lượng tử (post-quantum) không chỉ là một yêu cầu pháp lý mà là một chiến lược bảo mật cấp hệ thống, giúp bảo vệ ứng dụng của bạn trước các mối đe dọa tương lai từ máy tính lượng tử trong thời gian ngắn nhất.

Astro SSR with D1 and Drizzle ORM

A practical setup guide for wiring Cloudflare D1 (SQLite at the edge) into an Astro SSR app using Drizzle ORM. Covers creating and binding a D1 database in wrangler.jsonc, defining a TypeScript schema with Drizzle, creating the Drizzle client, accessing the D1 binding in Astro 7 routes via the cloudflare:workers module, generating and applying migrations with drizzle-kit, and running a local dev workflow with Miniflare. Also notes D1 batch limitations versus full Postgres transactions and tips for keeping migrations safe.

What's the story behind the names of CloudFlare's name servers?

CloudFlare sử dụng hai tên miền máy chủ tên miền (name servers) dạng "bob.ns.cloudflare.com" và "lola.ns.cloudflare.com" cho người dùng. Tên "Bob" và "Lola" xuất phát từ một vấn đề kỹ thuật mà CloudFlare từng giải quyết, nhưng nguồn gốc cụ thể không được tiết lộ trong bài viết.

Lập trình viên nên đọc bài này để hiểu cách tên miền DNS của Cloudflare không chỉ là công cụ kỹ thuật mà còn là giải pháp sáng tạo giải quyết vấn đề về tên miền trùng lặp và sự phức tạp trong quản lý DNS, giúp bạn hiểu rõ hơn về thiết kế hệ thống và cách giải quyết vấn đề trong quy mô lớn.