Dependency analytics 1.0: AI coding with supply chain security

Phishing poses as big-brand job interview to steal Google accounts

Một chiến dịch phishing giả mạo hơn 30 thương hiệu lớn như Adobe, Netflix, Coca-Cola và OpenAI nhằm nhắm vào chuyên gia marketing qua email phỏng vấn việc làm giả. Kẻ tấn công lợi dụng các nền tảng hợp pháp như PeopleForce và Salesforce Marketing Cloud để tạo chuỗi redirect lồng nhau, dẫn nạn nhân đến trang landing độc hại, nơi sử dụng kỹ thuật browser-in-the-browser (BitB) để hiển thị popup đăng nhập Google giả mạo, đánh cắp thông tin tài khoản. Chiến dịch đã hoạt động ít nhất 5 tháng, sử dụng tên và ảnh thật của nhà tuyển dụng để tăng độ tin cậy.

Lập trình viên nên đọc bài này để hiểu cách các cuộc tấn công phishing hiện đại sử dụng kỹ thuật browser-in-the-browser và chaining redirect để trộm mật khẩu Google, từ đó nâng cao kiến thức bảo mật cho ứng dụng web và hệ thống của mình.

Quit trying to keep up with every new AI tool and keep building

Nhiều nhà phát triển lo lắng bỏ lỡ xu hướng khi cố gắng theo kịp mọi công cụ AI mới, nhưng tác giả khẳng định năng suất thực sự đến từ việc xây dựng liên tục với AI thay vì tiêu thụ nội dung về chúng. Giá trị đích thực nằm ở những công cụ giúp nhà phát triển kiểm soát và hiểu rõ code của mình, như Claude Code CLI. Lời khuyên: bỏ qua quảng cáo, theo dõi những người chia sẻ quy trình và đánh đổi thực tế, đồng thời rèn luyện bằng cách giải quyết các vấn đề nhỏ.

Lập trình viên nên đọc bài này để hiểu cách tập trung vào sự xây dựng thực tế thay vì bị cuốn theo xu hướng hype của công cụ AI mới, vì chỉ bằng cách tự làm và học từ quá trình thực tế mới tạo nên sự chuyên nghiệp và khả năng ứng dụng lâu dài.

PHP: PHP 8.4.23 Release Announcement

Nhóm phát triển PHP vừa tung ra phiên bản 8.4.23, một bản cập nhật bảo mật quan trọng cho …

Scaling Security Alert Triage With Specialized Agents on Databricks

Đội bảo mật nội bộ Databricks triển khai 17 tác nhân AI chuyên biệt để xử lý 100% cảnh báo bảo mật mức độ thấp theo thời gian thực bằng Spark Structured Streaming, lọc sớm các tín hiệu vô hại, sử dụng prompt chuyên biệt theo nguồn, tích hợp Threat Intelligence và theo dõi quyết định qua MLflow. Hệ thống tiết kiệm 6.500 giờ phân tích trong 30 ngày và nâng tỷ lệ cảnh báo thật (true positives) gấp 10 lần so với phương pháp cũ, đồng thời rút ra bài học về việc ưu tiên ngữ cảnh hành vi lịch sử và hạn chế phạm vi hướng dẫn của tác nhân để giảm false positives.

Để tối ưu hóa hiệu quả triệt để trong việc xử lý cảnh báo an ninh với chi phí nhân lực thấp và độ chính xác cao, lập trình viên nên tham khảo cách xây dựng hệ thống triệt giác thông minh bằng các agent chuyên biệt và streaming dữ liệu để tự động hóa phân loại cảnh báo an ninh từ thấp đến trung bình.

CVE-2026-48931 Shouldn't Have Been a CVE

Matteo Collina, maintainer của HTTP stack và thư viện undici trong Node.js, cho rằng …

What is the future of software engineering with Adam Bender, Principal Software Engineer at Google

Adam Bender, kỹ sư phần mềm chính tại Google, cho rằng cuộc tranh luận về AI coding quá tập trung vào tốc độ và sinh code, bỏ qua những thách thức kỹ thuật rộng lớn hơn. Ông phân biệt lập trình (một cá nhân viết code) với kỹ thuật phần mềm (duy trì code sống, tích hợp và dễ bảo trì trong nhiều năm), nhấn mạnh AI thúc đẩy phần trước nhưng hầu như không ảnh hưởng đến phần sau. Những lo ngại chính bao gồm hệ sinh thái nhà phát triển như một hệ thống thích ứng phức tạp, nguy cơ mất kiểm soát trí tuệ khi codebase phát triển nhanh hơn khả năng hiểu của con người, lỗ hổng kiểm thử tích hợp khi AI tạo ra quá nhiều unit test, các API nội bộ trở nên công khai vô tình do AI bỏ qua ranh giới không chính thức, và khó khăn trong việc dạy phán đoán kỹ thuật cho lập trình viên mới sử dụng AI. Ông khuyến nghị bắt đầu bằng cách xác định chất lượng phù hợp với doanh nghiệp, sau đó lập bản đồ toàn bộ hệ sinh thái nhà phát triển để dự đoán hậu quả cấp hai và cấp ba từ việc tăng đột ngột sản lượng code.

Lập trình viên nên đọc bài này để hiểu cách AI không chỉ thay đổi cách viết code mà còn làm thay đổi toàn bộ quy trình và văn hóa của software engineering, từ việc quản lý codebase lớn đến việc đào tạo kỹ năng quyết định cho đội ngũ mới.

ARIA, anti-patterns, and you

ARIA Authoring Practices Guide (APG) không phải hướng dẫn tối ưu cho website mà chỉ minh họa đặc tả ARIA dành cho nhà phát triển trình duyệt và công nghệ hỗ trợ. Việc lạm dụng ARIA (kể cả dùng LLM dựa trên APG) đang khiến web kém tiếp cận hơn, khi dữ liệu từ WebAIM cho thấy tỷ lệ lỗi tiếp cận tăng theo mức độ sử dụng ARIA.

Lập trình viên nên đọc bài này để tránh rủi ro khi sử dụng ARIA sai cách, vì việc áp dụng không đúng quy tắc không chỉ làm giảm khả năng tương tác của người dùng có nhu cầu đặc biệt mà còn khiến các công cụ hỗ trợ (như máy đọc màn hình) hoạt động không hiệu quả, làm web trở nên khó tiếp cận hơn.