Black Duck Joins Project Glasswing to Strengthen AI-Era Software Security

Concentration Risk

OpenAI và Anthropic đối mặt với rủi ro tập trung khi khoảng 80% doanh thu doanh nghiệp của họ đến từ chỉ 1% khách hàng, chủ yếu là các startup AI được tài trợ bởi vốn đầu tư mạo hiểm thay vì lợi nhuận thực tế. Các cam kết tính toán trị giá 1.300 tỷ USD của hai công ty này được so sánh với các khoản vay thế chấp dưới chuẩn, với "bức tường tái cấu trúc" bắt đầu vào năm 2027 khi các nghĩa vụ take-or-pay với các nhà cung cấp hyperscaler đáo hạn. Cả hai công ty vẫn chưa đạt được lợi nhuận, trong khi các nhà báo đang giảm nhẹ rủi ro tài chính cấu trúc của ngành AI, tương tự như cách họ đã đối mặt với cuộc khủng hoảng thế chấp năm 2008. Những tuyên bố về AGI đã đến từ NVIDIA và OpenAI chỉ là sự phân tâm khỏi những vấn đề tài chính cơ bản này.

Bài này giúp lập trình viên nhận ra rủi ro tài chính tiềm ẩn của ngành AI có thể ảnh hưởng đến công việc và cơ hội nghề nghiệp trong tương lai.

Reflectiz Launches Agentic Pentesting for Websites: Up to 10x Coverage vs Conventional Pentests

Reflectiz mới ra mắt platform pentesting sử dụng nhiều AI agent cho website, nằm trong Offensive Hub với bốn agent chuyên biệt mô phỏng hành vi người dùng. Hệ thống này xây dựng dựa trên mô hình live hiện có của Reflectiz (pages, scripts, third parties, domains), mang lại phạm vi bảo mật lên đến 10x so với pentest truyền thống. Kết quả tích hợp qua REST API, CI/CD và Slack, đi kèm AI agent tên Atlas hướng dẫn khắc phục lỗi. Phân tích này đáng học hỏi vì cách kết hợp nhiều agent chuyên biệt với khả năng tự động hóa và mở rộng quy mô vượt trội.

Reflectiz ra mắt nền tảng pentesting AI đa tác nhân với khả năng bao phủ đến 10 lần so với các bài kiểm tra thông thường, giúp phát hiện lỗ hổng bảo mật hiệu quả.

Audit Your Auth0 Tenant with Auth0 Agent Skills

Perform a secure Auth0 tenant audit using Auth0 Agent Skills. Learn how to give AI coding agents live visibility to fix identity management issues safely.

Reflectiz Launches Agentic Pentesting for Websites: Up to 10x Coverage vs Conventional Pentests

Reflectiz mới ra mắt pentesting có tính agent, giúp mở rộng phạm vi kiểm tra bảo mật website lên đến 10 lần so với pentesting truyền thống. Công nghệ này sử dụng hệ thống agent để tự động khám phá và phân tích các hành người dùng thực tế, giúp phát hiện lỗ hổng mà các phương pháp thủ công bỏ sót. Phương pháp mới này đặc biệt hiệu quả trong việc phát hiện các lỗ hổng logic, xác thực và các vấn đề liên quan đến session management. Lập trình viên nên cân nhắc sử dụng Reflectiz để tăng cường bảo mật ứng dụng, đặc biệt với các dự án phức tạp có nhiều luồng tương tác người dùng.

Reflectiz ra mắt phương pháp kiểm thử xâm nhập thông minh cho website, mang lại phạm vi bảo mật gấp 10 lần so với các phương pháp truyền thống.

Schneier on Security

Các nhà cung cấp LLM hàng đầu như Anthropic, OpenAI và Google hiện trả về các chuỗi suy luận (chain-of-thought) dưới dạng khối dữ liệu được mã hoá cho khách hàng thay vì lưu giữ ở phía máy chủ. Các khối mã hoá này có thể hoán đổi lẫn nhau giữa các phiên, người dùng và mô hình trong cùng một nhà cung cấp, cho phép kẻ tấn công chèn một trace được mã hoá từ mô hình mạnh vào mô hình yếu và buộc mô hình yếu giải mã và xuất ra bản rõ. Kết quả là các nhà nghiên cứu đã trích xuất được suy luận riêng của ba công ty trên, đồng thời thu được 367 artefacts thông tin cá

Nghiên cứu tiết lộ lỗ hổng kiến trúc nghiêm trọng trong bảo vệ chain-of-thought reasoning của các LLM hàng đầu, đe dọa an ninh dữ liệu và quyền riêng tư của người dùng.

Compare Against the Schema They Shipped, Not the One You Expected

Khi kiểm thử mô hình AI, nhóm phát triển sử dụng một harness tự động để xác nhận các đối số mà mô hình trả về. Harness này so sánh dữ liệu thực tế với một schema mà đội ngũ mong đợi, thay vì schema mà mô hình đã được triển khai thực tế. Do sự chênh lệch này, harness báo lỗi liên tục dù mô hình hoạt động đúng theo phiên bản đã ship, gây mất thời gian debug và giảm niềm tin vào công cụ kiểm thử. Bài học là luôn kiểm tra output so sánh với schema thực tế mà mô hình đã được phát hành, dựa trên tài liệu hoặc phiên bản artifact đã deploy. Việc áp dụng nguyên tắc này giúp giảm false positive trong quá trình testing và tăng độ tin cậy của pipeline CI/CD cho các dự án AI open-source.

Bài viết giúp bạn hiểu cách kiểm tra API chính xác bằng cách so sánh với schema thực tế thay vì schema dự kiến để phát hiện lỗi bảo mật sớm.

Ruby & Rails Weekly: KindaRails2Shell Exploited, Ractor Rails

CVE-2026-66066, ban đầu chỉ là một proof‑of‑concept, đã bắt đầu được khai thác tích cực từ ngày 30 tháng 8, ảnh hưởng đến các ứng dụng Ruby on Rails sử dụng thư viện KindaRails2Shell. Nguyên nhân kỹ thuật là lỗi xác thực đầu vào không đủ trong KindaRails2Shell cho phép kẻ tấn công chèn lệnh shell tùy ý và thực hiện mã từ xa. Hệ quả là các hệ thống chạy phiên bản lỗi có thể bị kiểm soát hoàn toàn, dẫn đến rò rỉ dữ liệu và mất kiểm soát máy chủ, đồng thời bản tin cũng chỉ ra các tính năng mới như Ractor-ready Rails, ZJIT nội tuyến các đường dẫn nhanh của garbage collection, Agents on Rails và mô hình thử nghiệm GPT-6 Astra. Bài học cần rút ra là luôn cập nhật các gem bên thứ ba, theo dõi nguồn cấp thông tin CVE để phát hiện nhanh quá trình từ PoC sang khai thác, và cân nhắc áp dụng các cải tiến về đồng thời và JIT như Ractor và ZJIT để tăng cường cả bảo mật và hiệu suất.

Lập trình viên nên đọc bài này để cập nhật lỗ h bảo mật CVE-2026-66066 đang bị khai thác tích cực và các tiến bộ mới nhất về Ruby on Rails.

Learn How AWS Lambda MicroVMs Enable Secure AI Code Execution Across Enterprise Workflows

81% của các công ty công nghệ và kỹ thuật hiện nay sử dụng AI Agents để tạo mã sản xuất. AWS Lambda triển khai mỗi hàm trong một MicroVM nhẹ dựa trên Firecracker, cung cấp cách ly phần cứng mạnh mẽ giữa các workload. Điều này cho phép thực thi mã được sinh bởi AI mà không lo rò rỉ hoặc tấn công xuyên suốt, đồng thời đáp ứng các yêu cầu về tuân thủ trong môi trường doanh nghiệp. Nhờ overhead thấp và thời gian khởi động nhanh, các MicroVM này không làm chậm đáng kể pipeline CI/CD. Vậy nên, khi mở rộng tự động hóa AI, việc áp dụng sandbox dựa trên MicroVM là cách hiệu quả để cân bằng giữa bảo mật và hiệu suất.

Bài viết này giải thích cách Lambda MicroVMs đảm bảo an toàn thực thi mã AI trong môi trường doanh nghiệp.