Open Source Is Rocket Fuel for AI Agents

‘HalluSquatting’ Compromises AI Coding Agents to Install Malware, Create Botnets

Các nhà nghiên cứu phát hiện kỹ thuật tấn công "HalluSquatting" lợi dụng ảo giác (hallucination) của AI coding agent (như GitHub Copilot, Cursor) để ép chúng tải về gói/mã độc ẩn danh. Kỹ thuật này đạt tỷ lệ ảo giác 85% cho tên repository và 100% cho cài đặt kỹ năng, cho phép kẻ tấn công thực thi mã từ xa và tạo botnet mà không cần tiếp cận trực tiếp nạn nhân.

Lập trình viên nên đọc bài này để hiểu cách kẻ tấn công lợi dụng sai sót trong AI hỗ trợ lập trình để tránh phát hiện, lây nhiễm mã độc vào dự án của mình mà không cần tương tác trực tiếp với người dùng.

Another German State Just Kicked Out Microsoft ...Kind Of

Bang Mecklenburg-Vorpommern (Đức) thay thế Microsoft SharePoint bằng Nextcloud self-hosted cho 5.000 cán bộ chính phủ, dự kiến mở rộng lên 50.000 nhân viên công vụ. Dự án này nằm trong chiến lược open source chung với bang Schleswig-Holstein, tuân theo khung Deutschland-Stack của Đức nhằm giảm phụ thuộc nhà cung cấp. Ngoài ra, bang này còn triển khai OpenProject và xây dựng trợ lý AI (LEA) dựa trên OpenWebUI.

Là người phát triển muốn xây dựng hệ sinh thái công nghệ bền vững, tránh ràng buộc với các nhà cung cấp độc quyền, và tối ưu hóa chi phí cho dự án, bài viết này cho thấy cách chuyển đổi từ SharePoint sang Nextcloud và các giải pháp open-source như OpenProject, giúp bạn hiểu rõ về chiến lược giảm thiểu phụ thuộc vendor và ứng dụng hiệu quả các công cụ tự chủ.

From one AI product to an AI factory

Doctolib đã chuyển đổi từ phát triển sản phẩm AI đơn lẻ sang xây dựng một "nhà máy AI" (AI factory) trong hai năm qua. Họ thống nhất các nền tảng Data/ML/Engineering phân mảnh thành một nền tảng Data & AI duy nhất, chuyển từ vai trò hỗ trợ kỹ thuật sang nền tảng định hướng sản phẩm với quy trình khám phá có cấu trúc và OKRs. Họ cũng công nghiệp hóa chất lượng sản phẩm AI thông qua công cụ đánh giá chung và cổng GenAI, tạo ra các accelerator (mẫu agent) riêng cho Doctolib để rút ngắn thời gian đưa sản phẩm ra thị trường từ hàng quý xuống vài tuần. Ngoài ra, họ đạt tỷ lệ áp dụng gần 100% trợ lý lập trình AI trong khi tích hợp công cụ năng suất nội bộ với cơ sở hạ tầng AI hướng đến khách hàng. Bài học quan trọng là việc thống nhất nền tảng chủ yếu là thách thức tổ chức hơn là kỹ thuật, ưu tiên cho nhiều khách hàng nội bộ đòi hỏi cả khung quy trình và sự đánh giá chuyên biệt, và việc sắp xếp thứ tự đầu tư quan trọng ngang bằng với bản thân các khoản đầu tư.

Là người phát triển AI, bạn nên đọc bài này để hiểu cách chuyển đổi từ sản phẩm AI đơn lẻ sang một hệ sinh thái sản xuất AI hiệu quả, từ đó rút ra kinh nghiệm về cách xây dựng và quản lý nền tảng dữ liệu-ML với quy mô lớn, tối ưu hóa thời gian phát triển và đảm bảo chất lượng sản phẩm.

Claude Code Sends 4.7x More Tokens Than OpenCode Before Reading Your Prompt

Bài so sánh thực nghiệm cho thấy Claude Code tiêu tốn token gấp 4,7 lần OpenCode trước khi xử lý prompt, với overhead cơ bản lần lượt là ~33.000 vs ~7.000 token do 27 schema tool và scaffolding. Cache không ổn định khiến Claude Code ghi cache nhiều gấp 5,9–54 lần OpenCode trên cùng tác vụ, và chi phí có thể tăng lên 75.000–90.000 token với cấu hình thực tế.

Nếu bạn đang tìm kiếm cách tối ưu chi phí và hiệu suất của các API AI chuyên dụng trong dự án, bài viết này sẽ giúp bạn phân tích chi tiết cách các mô hình khác nhau tiêu thụ token và ảnh hưởng của cache, subagent, hoặc cấu hình thực tế đến chi phí thực tế.

The Agent-Era Career

Addy Osmani, cựu trưởng nhóm kỹ thuật Google, đưa ra lời khuyên sự nghiệp cho kỷ nguyên AI …

I Used a Frontier Model to Harden a Weaker One

Một nhà nghiên cứu đã sử dụng Claude Opus (mô hình tiên tiến) để tăng cường bảo mật cho Hermes/DeepSeek (mô hình yếu hơn) bằng cách áp dụng khung context engineering lấy cảm hứng từ whitepaper "New SDLC with Vibe Coding" của Google. Phương pháp chia tách static/dynamic giúp tách biệt các quy tắc bất biến (luôn bật) và kỹ năng theo giai đoạn (khởi động khi cần), sau đó chuyển doctrine (không phải plumbing) sang Hermes thông qua phân tích lỗ hổng. Kiểm thử adversarial phát hiện lỗi như hook quét secret không hoạt động, còn thử nghiệm live cho thấy giới hạn tuning mô tả cho mô hình tự chọn. Kết luận: Agent = Model + Harness, doctrine có thể tái sử dụng nhưng harness phụ thuộc nền tảng.

Một lập trình viên muốn nâng cao hiệu suất và độ tin cậy của các hệ thống agent thông minh bằng cách tối ưu hóa cách kết hợp kiến thức mô hình với các quy trình thực thi cụ thể.

Agent Draw: An agent draws while you talk, built on TLDraw

Agent Draw là công cụ hoạt động trên tldraw Agent starter kit, cho phép AI agent vẽ trên canvas vô hạn khi bạn nói. Bạn kéo vùng chọn, mô tả yêu cầu bằng giọng nói, và agent sẽ render bằng tldraw primitives hoặc bút vẽ. Bài viết chi tiết cách triển khai: StateNode tùy chỉnh, pipeline audio MediaRecorder, transcription qua Mistral Voxtral (Cloudflare Worker), hàng đợi FIFO xử lý yêu cầu vẽ đồng thời, và kỹ thuật prompt ngăn model xuất text thay vì vẽ. Tối ưu hiệu suất bằng cách loại bỏ hai action (setMyView, review), giảm 50% round-trip. So sánh khả năng, claude-opus-4.8 tạo tác phẩm phong phú hơn claude-haiku-4.5 hay gemini-2.5-flash-lite.

Những người lập trình viên muốn phát triển ứng dụng AI tích hợp giao diện đồ họa trực quan, đặc biệt là các ứng dụng tương tác âm thanh-video, nên đọc bài này để hiểu cách xây dựng pipeline hiệu quả từ nhận dạng âm thanh, xử lý đa nhiệm và tối ưu hóa giao tiếp giữa AI với người dùng thông qua các công cụ như tldraw.