August 2026 Security Releases · Express.js

Skills vs. MCP tools for AI agents: When to use which

Bài viết nhấn mạnh việc lựa chọn giữa skills và MCP tools khi xây dựng AI agent phụ thuộc vào yêu cầu về khả năng kiểm tra (auditability) và độ linh hoạt. Skills được triển khai như các hàm độc lập, dễ dàng ghi log và truy vết, do đó cho kết quả auditability cao nhưng thường bị giới hạn bởi giao diện cố định, làm giảm khả năng thay đổi logic tại runtime. Ngược lại, MCP tools cho phép kết hợp linh hoạt các thành phần thông qua giao thức message‑passing, tăng khả năng mở rộng và thay đổi hành vi mà không cần biên dịch lại, nhưng làm tăng độ phức tạp của hệ thống và giảm mức độ minh bạch vì các luồng thông điệp khó theo dõi. Trong thử nghiệm mã nguồn side‑by‑side, việc sử dụng skills cho thấy thời gian phản hồi ngắn hơn và mức tiêu thụ tài nguyên ổn định hơn so với MCP tools, trong khi MCP tools cho phép thêm nhiều luồng xử lý song song mà không cần thay đổi lõi hệ thống. Bài học chính là: khi ưu tiên traceability và hiệu suất thấp, chọn skills; khi cần thử nghiệm nhanh và tích hợp nhiều dịch vụ bên ngoài, MCP tools là lựa chọn phù hợp, nhưng đội phát triển phải đầu tư vào công cụ tracing và giám sát để bù đắp cho sự mất auditability.

Bài viết giúp lập trình viên hiểu rõ khi nào nên dùng skills hay MCP tools để tối ưu hiệu năng và khả năng kiểm soát của AI agents.

pnpm 12.0

pnpm phiên bản 12.0 đã được phát hành là bản ổn định sau khi viết lại toàn bộ bằng Rust. …

Node.js — Node.js 24.20.0 (LTS)

Node.js 24.20.0 là phiên bản LTS mới nhất của môi trường chạy JavaScript đa nền tảng, miễn …

WebSocket vs SSE vs Long Polling: The Real Cost of 1,000 Events

Bài viết so sánh chi phí thực tế giữa WebSocket, SSE và Long Polling qua các số liệu đo lường như dung lượng dữ liệu truyền tải trên dây (wire bytes) cho mỗi sự kiện, độ trễ ở vòng lặp 50 ms, và tác động của HTTP/2 lên từng phương thức.

Một lập trình viên nên đọc bài này để hiểu rõ cách chọn giữa WebSocket, SSE và Long Polling khi cần tối ưu hóa hiệu suất mạng, giảm chi phí băng thông và latency trong ứng dụng thực tế với hàng ngàn sự kiện.

Windows 11 is warning people that Defender Antivirus has been turned off, but don't worry, says Microsoft

Windows 11 đang hiển thị thông báo rằng Microsoft Defender Antivirus đã bị tắt, khiến nhiều người dùng lo ngại về bảo mật hệ thống. Nguyên nhân được cho là một lỗi trong trung tâm bảo mật Windows Security gây ra việc trạng thái dịch vụ Defender được báo cáo sai sau một bản cập nhật gần đây. Thông báo sai này có thể dẫn đến việc người dùng thực hiện các thao tác không cần thiết như khởi động lại dịch vụ hoặc cài đặt phần mềm bảo mật thứ ba, tốn thời gian và có thể gây xung đột. Thay vì dựa vào thông báo trên giao diện, người dùng nên kiểm tra trạng thái thực tế của Defender qua PowerShell (Get-MpStatus) hoặc dịch vụ Windows Services để xác nhận xem antivirus có thực sự đang chạy hay không. Điều này nhắc nhở việc luôn xác thực thông tin cảnh báo qua nhiều nguồn trước khi hành động, đồng thời theo dõi các bản notice từ Microsoft để biết khi nào sẽ có bản vá khắc phục lỗi.

Bài viết giúp bạn hiểu rõ thông báo Defender Antivirus trên Windows 11 có thể chỉ là cảnh báo giả.

Node.js — Node.js 26.8.0 (Current)

Phiên bản Node.js 26.8.0 (Current) được ra mắt như một môi trường chạy JavaScript miễn …

pnpm 11.21-11.22

pnpm 11.21 và 11.22 thay đổi cách pnpm install xử lý lockfile, cập nhật nó trực tiếp thay vì giải quyết lại toàn bộ đồ thị phụ thuộc cho hầu hết các thay đổi thường ngày. Điều này được thực hiện bằng cách tắt ghi lại SSH URLs trong lockfile, giúp tránh lỗi cài đặt trên CI khi các URL đó không thể truy cập. Đồng thời, các cài đặt toàn cầu được thực hiện nguyên tử và các cập nhật tương tác toàn cầu теперь chọn toàn bộ nhóm cài đặt, đồng thời thêm lệnh pnpm cache path để truy cập nhanh vào thư mục cache. Tuy nhiên, bản cập nhật cũng loại bỏ khả năng di chuyển trạng thái máy của pnpm qua pnpm-workspace.yaml, giới hạn sự linh hoạt trong cấu hình workspace. Từ những thay đổi này, lập trình viên nên lưu ý đến chiến lược quản lý lockfile, tránh sử dụng SSH URLs trong môi trường CI và cân nhắc tác động của việc không thể di chuyển trạng thái máy khi thiết kế workspace.

Bài viết này giúp bạn hiểu những cải tiến quan trọng trong pnpm 11.21-11.22, từ tối ưu hóa hiệu suất cài đặt đến tăng cường độ ổn định cho môi trường CI.

Keycloak CVE-2026-18963: password reset without email or auth

Keycloak là nền tảng quản lý danh tính và truy cập mã nguồn mở phổ biến trong các hệ thống doanh nghiệp. CVE-2026-18963 với điểm CVSS 9.1 xuất hiện vì endpoint reset mật khẩu không yêu cầu xác thực người dùng cũng như không kiểm tra việc xác minh qua email. Do đó, kẻ tấn công không cần đăng nhập có thể gửi yêu cầu đặt lại mật khẩu cho bất kỳ tài khoản nào và lấy lại quyền truy cập hoàn toàn. Hệ quả là khả năng chiếm đoạt tài khoản người dùng rộng rãi, dẫn đến rò rỉ dữ liệu và phá hoại dịch vụ. Bài học là luôn xác thực và xác thực lại các thao tác nhạy cảm như reset mật khẩu, đồng thời cập nhật Keycloak lên phiên bản 26.7.2 hoặc mới hơn để vá lỗi này.

Lập trình viên nên đọc bài này để biết lỗ hổng mật khẩu nghiêm trọng trong Keycloak và cập nhật bản vá bảo vệ hệ thống.