Vercel unveiled eve, an open source agent framework using TypeScript and Markdown, at its Ship event in London. Eve simplifies agent creation with a 'fill in the blanks' approach — agents are defined as directories with files for instructions, tools, auth, and scheduling, sandboxed on isolated VMs. Deployment uses the standard vercel deploy command, and any AI SDK-compatible model can be used. Vercel also announced enterprise features including Passport (OpenID Connect-based identity control for employee-built apps), Vercel Connect (short-lived OAuth tokens replacing static credentials), Enterprise Managed Users (directory sync), and Bring Your Own Cloud (BYOC) on AWS. Passport targets 'shadow AI' — employees building vibe-coded apps with company data outside IT governance. The article also covers Vercel's cost positioning versus AWS Lambda and its ongoing competitive tension with Cloudflare over platform openness.
Nguồn: https://www.devclass.com/devops/2026/06/23/vercel-debuts-eve-open-source-agent-framework-tries-to-fix-shadow-ai-with-passport/5260169. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.
Vercel Flags giờ đây tự động xác thực thông qua OIDC tokens ngắn hạn mà không cần SDK Keys hay biến môi trường FLAGS cho các triển khai trên Vercel. Chỉ cần vercel link và vercel env pull là đủ cho phát triển local, trong khi các dự án cũ vẫn giữ nguyên yêu cầu SDK Keys cho các trường hợp đặc biệt.
Lập trình viên cần đọc bài này để hiểu cách tối ưu hóa quản lý tính năng động (flags) trong dự án Vercel mới nhất, giảm thiểu rủi ro về bảo mật khi sử dụng SDK Keys và khám phá giải pháp tự động hóa cho phát triển và triển khai.
JetBrains vừa bổ sung kỹ năng dottrace-analyze cho AI Assistant trong Rider 2026.2 EAP 8, giúp AI agent phân tích trực tiếp các snapshot .dtp từ dotTrace thay vì đoán mò bottleneck dựa trên source code. Kết quả benchmark trên 80 lượt chạy và 8 kịch bản .NET cho thấy độ chính xác tăng vọt từ 4.71 lên 8.15/10, đặc biệt cải thiện mạnh mẽ trong trường hợp UI freeze của Avalonia (từ 1.6/10 lên 10/10). Tính năng này yêu cầu subscription dotUltimate hoặc All Products Pack.
Lập trình viên nên đọc bài này vì JetBrains Rider 2026.2 EAP mới giới thiệu công cụ phân tích hiệu suất chính xác hơn bằng cách kết hợp dữ liệu thực tế từ dotTrace thay vì chỉ dựa vào các dấu hiệu giả định từ mã nguồn, giúp tiết kiệm thời gian và cải thiện hiệu suất ứng dụng một cách đáng kể.
Heron là công cụ phân tích mạng thụ động dành cho AI agents, sử dụng eBPF để giải mã lưu lượng TLS (LLM) thành plaintext mà không cần SDK hay proxy. Phiên bản 0.7.0 bổ sung kiến trúc OpenTelemetry-native, lọc tự động sidecar an ninh Claude Code, và xuất sẵn SFT trajectory cho fine-tuning, chạy dưới dạng binary Rust duy nhất.
Lập trình viên phát triển ứng dụng AI nên đọc để khám phá cách Heron giúp theo dõi và debug giao thức TLS bí mật của các agent AI một cách hiệu quả, từ đó tối ưu hóa hiệu suất và bảo mật mà không cần phụ thuộc vào SDK hoặc proxy phức tạp.
Daniel Stenberg chia sẻ về lần tranh chấp đầu tiên liên quan đến CVE của dự án curl kể từ khi trở thành CVE Numbering Authority (CNA). Một phóng viên báo cáo lỗi wildcard certificate matching khi hostname có dấu chấm đầu tiên (tên DNS bất hợp pháp), đòi hỏi điều kiện tấn công rất cụ thể. Nhóm curl đã sửa lỗi nhưng từ chối gán CVE vì xếp mức độ nguy hiểm thấp hơn "LOW". Sau khi phóng viên khiếu nại lên MITRE, tổ chức này đã ba lần liên hệ nhưng cuối cùng vào ngày 24/6, MITRE xác nhận quyết định không cấp CVE. Bài viết cũng nhấn mạnh chi phí thực tế của CVEs khi libcurl có ~30 tỷ lượt cài đặt và lý do nhóm không muốn gây xáo trộn không cần thiết trong hệ sinh thái.
Bạn nên đọc bài này để hiểu cách các dự án công cộng như curl xử lý tranh chấp về CVE, từ đó tránh những rủi ro về quản lý thông tin bảo mật và hiệu quả trong việc phát triển phần mềm.
Bài viết hướng dẫn xây dựng các API Node.js HTTP theo tiêu chuẩn bảo mật mặc định mà không cần phụ thuộc thư viện ngoài. Sáu biện pháp bảo vệ cốt lõi bao gồm: giới hạn kích thước body request (đo bằng bytes khi streaming), timeout request sử dụng AbortController, phân tích JSON an toàn chống tấn công prototype pollution, thiết lập tiêu đề bảo mật (CSP, HSTS, v.v.), so sánh secret an toàn bằng crypto.timingSafeEqual, và xác thực đầu vào chặt chẽ ngăn chặn mass-assignment. Ngoài ra còn giải thích CORS đúng cách, xử lý lỗi có cấu trúc với request ID, và nhấn mạnh triết lý "bảo mật mặc định tốt hơn checklist".
Lập trình viên nên đọc bài này để tránh rủi ro bảo mật khi phát triển API Node.js bằng cách áp dụng các quy tắc an toàn mặc định từ cơ sở, từ việc kiểm soát kích thước request đến xử lý mật khẩu an toàn, giúp giảm thiểu lỗ hổng mà không cần phụ thuộc vào thư viện phụ.
Các nhà nghiên cứu từ MIT và Microsoft đã phát triển Murakkab, một hệ thống tự động tối ưu hóa quy trình làm việc của AI agent bằng cách tự động lựa chọn mô hình, công cụ và cấu hình phần cứng dựa trên mô tả ngôn ngữ tự nhiên từ nhà phát triển, đồng thời điều chỉnh linh hoạt theo ưu tiên như chi phí hay tốc độ. Trong thử nghiệm, Murakkab tiết kiệm tới ~65% tài nguyên tính toán, ~73% năng lượng và trên 75% chi phí so với phương pháp truyền thống mà vẫn duy trì hiệu suất ổn định.
Lập trình viên nên đọc bài này vì Murakkab không chỉ tiết kiệm chi phí và năng lượng cho AI mà còn giúp họ thiết kế các hệ thống thông minh hiệu quả hơn bằng cách tự động tối ưu hóa các quyết định kỹ thuật từ đầu, cho phép họ tập trung vào logic kinh doanh thay vì chi tiết kỹ thuật phức tạp.
Vercel vừa giới thiệu eve, một framework mã nguồn mở theo hướng filesystem-first, viết bằng TypeScript, giúp xây dựng, triển khai và mở rộng các AI agent. Framework này hỗ trợ nhiều tính năng tích hợp như thực thi bền vững, sandboxed compute, human-in-the-loop, subagents và evals, đồng thời tương thích với mọi model, MCP server và các kênh như Slack, Discord hay GitHub.
Là lập trình viên phát triển ứng dụng AI, bạn nên đọc để khám phá cách xây dựng các hệ thống agent mạnh mẽ với kiến trúc đơn giản, tích hợp tự động với các công cụ và nền tảng phổ biến, giúp tiết kiệm thời gian và nâng cao hiệu suất triển khai.
Vào ngày 24/6/2026, tin tặc đã phát tán phiên bản độc hại của 20 package npm thuộc hệ sinh thái Leo Platform chỉ trong vòng chưa đầy 3 giây, sử dụng toolkit 'Phantom Gyp' tương tự chiến dịch Miasma trước đó. Phần mềm độc hại đánh cắp bí mật từ GitHub Actions, kho lưu trữ đa đám mây (AWS, GCP, Azure), registry package, HashiCorp Vault, Kubernetes và trình quản lý mật khẩu, sau đó exfiltrate qua token GitHub của nạn nhân để tránh bị phát hiện. Nó còn hoạt động như một worm trong chuỗi cung ứng, tự động phát tán phiên bản độc hại các package mà nạn nhân có quyền publish bằng cách vượt qua xác thực 2FA.
Lập trình viên nên đọc bài này để hiểu cách một cuộc tấn công supply chain mới sử dụng các kỹ thuật phức tạp—như obfuscation và evasion Bun—để tránh phát hiện và khai thác quyền truy cập vào các hệ thống quan trọng từ các gói npm phổ biến, từ đó cảnh báo về rủi ro khi sử dụng các thư viện công cộng mà không kiểm tra nguồn gốc và bảo mật.