Robert Fiko

Secure Your AI Agents – Free Model Context Protocol (MCP) Security Course

The Model Context Protocol (MCP) helps connect LLMs to external tools, databases, and APIs. But giving AI agents hands and feet to take real-world actions introduces an entirely new attack surface. We

How ORMs Still Let SQL Injection Through (and How to Close the Gaps)

Nhiều lập trình viên lầm tưởng rằng khi sử dụng ORM, nguy cơ SQL injection sẽ được loại bỏ hoàn toàn, nhưng thực tế chỉ chuyển dịch sang vị trí khác. Các ORM như Sequelize, Prisma, TypeORM, và Knex vẫn có thể bị khai thác SQL injection khi phép ánh xạ đối tượng quan hệ không được triển khai chính xác. Kẻ tấn công có thể lợi dụng các phương thức động hoặc hàm không được parameter hóa để chèn mã độc vào truy vấn. Lỗi thường gặp nhất là sử dụng template literals kết hợp với các giá trị đầu vào không được kiểm soát, dẫn đến lỗ hổng bảo hiểm nghiêm trọng. Mặc dù có SQL injection ORM vẫn tồn tại, bài viết cung cấp các giải pháp cụ thể để bảo vệ ứng dụng, nhấn mạnh tầm quan trọng của việc kiểm tra đầu vào và sử dụng prepared statements thay vì concatenation strings.

ORM có thể vẫn để lỗ hổng SQL injection đi qua nếu bạn không sử dụng chúng đúng cách.

Five Ways To Use AI Coding Agents to Improve Your Software Architecture

Kiến trúc hiện đại thường sử dụng các legacy services cho nhiệm vụ cụ thể nhưng chúng thường thiếu tài liệu chính xác và sửa đổi chúng tiềm ẩn rủi ro. AI coding agents có thể giúp lấp đầy khoảng trống kiến thức này bằng cách phân tích codebase. Các công cụ như GitHub Copilot, Amazon CodeWhisperer hay Tabnine có thể hiểu ngữ cảnh và đề xuất cải tiến cho hệ thống cũ. Điều này cho phép developer hiểu rõ hơn dependency giữa các thành phần mà không cần đọc trực tiếp hàng ngàn dòng code. Hơn nữa, AI agents có thể đề xuất refactoring để tăng khả năng maintainability của hệ thống mà không phá vỡ tính ổn định.

AI coding agents giúp đóng khoảng cách kiến thức khi làm việc với các dịch vụ legacy trong kiến trúc phần mềm hiện đại.

Surface vulnerabilities in your AI services

Detect runtime vulnerabilities in AI services with a ready-made Dynatrace dashboard for faster security triage.

No, We Can't Harden Node.js Against Prototype Pollution

Lỗ hổng prototype pollution không phải lỗi của Node.js hay thư viện, mà phụ thuộc vào cách ứng dụng ngăn chặn các lỗ hổng bảo mật.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ Node.js khỏi nguy cơ prototype pollution—một lỗ hổng thường bị bỏ qua mà có thể phá hủy tính bảo mật và tính ổn định của ứng dụng.

How to protect secrets when coding agents deploy your app

Khi coding agents như GitHub Copilot hay Amazon CodeWhisperer triển khai ứng dụng của bạn, chúng có thể vô tình tiết lộ secret keys và thông tin nhạy cảm trong code. Vấn đề kỹ thuật xuất phát từ việc các AI tools này lưu trữ và xử lý dữ liệu trong ngữ cảnh, khiến secret có thể bị rò rỉ qua commit history hoặc suggestion. Hệ quả là tin tặc có thể khai thác những lỗ hổng này để xâm nhập hệ thống, gây thiệt hại tài chính và danh tiếng. Để phòng ngừa, nên implement scanning tools như GitGuardian hay TruffleHog trong CI/CD pipeline và sử dụng environment variables thay vì hardcode secrets vào source code.

Bài này giúp lập trình viên bảo vệ bí mật mã khi sử dụng các công cụ AI hỗ trợ lập trình triển khai ứng dụng.

Xenia — Xenia v0.1.1

Xenia là thư viện kết nối các package JavaScript với Phoenix LiveView mà không cần viết hook thủ công cho từng thư viện riêng biệt, đi kèm 16 adapter chính thức như Monaco, Chart.js, D3, Tabulator, FullCalendar, Leaflet, xterm.js và Uppy. Thư viện giúp giảm đáng kể lượng code cần viết, ví dụ adapter Xenia cho Monaco chỉ cần 21 dòng thay vì 58 dòng hook viết tay. Xenia cung cấp tính năng routing dựa trên file, cho phép định tuyến trong page.ex với tham số được đánh dấu bằng [id]. Ngoài ra, thư viện còn tích hợp generators và câu lệnh mix xenia.install để thiết lập ban đầu.

Xenia giúp lập trình viên JavaScript tích hợp package với Phoenix LiveView mà không cần viết hook thủ công, tiết kiệm thời gian và công sức.

GitHub - uzaydurdu/xenia: Keep Phoenix in charge, let JavaScript do what it does best: any JS library in LiveView with one small adapter.

Bối cảnh: Xenia là một thư nhỏ cho phép tích hợp bất kỳ thư viện JavaScript nào vào LiveView của Elixir mà không cần tạo component riêng. Nguyên nhân kỹ thuật: Thay vì ép buộc JS library tuân theo vòng đời LiveView, Xenia cung cấp một adapter nhỏ cho phép JS library chạy độc lập với chỉ một API bridge. Hệ quả: Giảm 70% thời gian phát triển khi tích hợp JS library vào ứng dụng Phoenix, giữ nguyên sức mạnh của cả hai thế hệ công nghệ. Điều đáng học: Xenia minh họa cách tiếp cận linh hoạt trong kết hợp backend Elixir/Phoenix với frontend JavaScript mà không hy sinh ưu điểm của từng nền tảng.

Bài này giúp bạn tích hợp bất kỳ thư viện JavaScript nào vào Phoenix LiveView một cách dễ dàng với bộ điều hợp nhỏ.