Why AI Applications Stay Exposed When Scans Pass

Slop Debt

Bài viết bắt đầu bằng việc xác định rằng công nợ kỹ thuật (tech debt) có quy tắc rõ ràng …

Applying OpenAI's RAG Strategies

Bài viết mô tả cách áp dụng các chiến lược RAG đã được OpenAI kiểm chứng bằng cách tích hợp với framework LangChain. Nó trình bày kỹ thuật query transformation để viết lại hoặc mở rộng câu hỏi trước khi truy xuất. Tiếp theo là định tuyến routing truy vấn đến các nguồn dữ liệu phù hợp và xử lý hậu kỳ post‑processing để lọc, sắp xếp hoặc tạo lại kết quả. Cuối cùng, bài hướng dẫn các phương pháp evaluation như độ chính xác truy xuất và độ liên quan để đo lường hiệu suất của hệ thống RAG. Từ những bước này, độc giả có thể xây dựng pipeline RAG ổn định, tăng tỷ lệ trả lời chính xác và giảm thời gian truy xuất, từ đó học được cách kết hợp các thành phần để đạt hiệu suất tối ưu.

Bài viết hướng dẫn bạn cách triển khai hiệu quả chiến lược RAG của OpenAI với LangChain để tối ưu hóa quy trình truy xuất thông tin.

The AI Errors That Don’t Look Like Errors

Bài viết指出，AI thường tạo ra những lỗi không dễ phát hiện vì chúng không phải là trích dẫn hoàn toàn giả mạo mà là những nguồn thật nhưng có số trang, ngày tháng hoặc thống kê bị thay đổi nhẹ. Những lỗi này xảy ra khi mô hình truy xuất tài liệu thực sự rồi tự động chỉnh sửa lại chi tiết để phù hợp với ngữ cảnh mà nó đang tạo ra, dẫn tới những tham chiếu выглядят chính xác nhưng thực tế sai lệch. Khi vượt qua quá trình kiểm tra thường lệ, các sai số này có thể lọt vào bài báo, tài liệu kỹ thuật hoặc bài viết học thuật, gây nhầm lẫn và làm giảm độ tin cậy của nội dung được hỗ trợ bởi AI. Bài khuyên người đọc nên luôn xác thực từng trích dẫn bằng cách tra cứu nguồn gốc, kiểm tra lại các con số và sử dụng công cụ truy vết nguồn khi có thể. Việc xem đầu ra của AI như một bản nháp cần審閱而不是 kết luận cuối cùng là cách hiệu quả nhất để tránh những lỗi “không nhìn thấy là lỗi” này.

Bài viết này giúp lập trình viên nhận ra những sai lầm tinh vi của AI mà thông thường không thể phát hiện qua bình thường.

Why use ORMs if LLMs write code?

ORMs vẫn cần thiết vì chúng cung cấp lớp trừu tượng an toàn, hiệu quả để tương tác với cơ sở dữ liệu, trong khi LLMs chỉ sinh code tiềm ẩn rủi ro lỗi, kém tối ưu và khó bảo trì. ORMs giúp chuẩn hóa truy vấn, tránh SQL injection và tối ưu hóa hiệu suất thông qua caching, điều mà code do LLM sinh ra khó đảm bảo.

Lập trình viên nên đọc bài này để hiểu cách ORM và SQL vẫn giữ vai trò quan trọng trong quản lý dữ liệu cơ bản, giúp tránh rủi ro lỗi và tối ưu hóa hiệu suất khi ứng dụng lớn cần kiểm soát trực tiếp dữ liệu.

"A" for "Average"

Bài viết bắt đầu từ quan sát rằng nhiều lập trình viên cảm thấy ngạc nhiên khi thấy AI tạo ra mã trong ngôn ngữ họ không quen thuộc. Tác giả chỉ ra rằng phản ứng này phản ánh nhiều hơn sự thiếu hiểu biết của người đọc về lĩnh vực đó hơn là khả năng thực sự của mô hình. Nguyên nhân kỹ thuật là LLMs sinh ra token bằng cách chọn xác suất cao nhất tiếp theo, vì vậy đầu ra luôn là giá trị trung bình thống kê, không phải xuất sắc. Do đó, sự ngưỡng mộ ở ngôn ngữ lạ tương tự như bị lừa bởi một trò ma thuật mà không biết nguyên lý, trong khi cùng mức chất lượng trong ngôn ngữ quen thuộc chỉ được đánh giá là đủ. Bài học là trước khi khen ngợi mã AI, cần kiểm tra kiến thức własn của mình và hiểu rằng "trung bình" là đặc điểm thiết kế của mô hình, không phải dấu hiệu của sự vượt trội.

Bài viết giúp bạn hiểu thực chất chất lượng trung bình của AI và tránh đánh giá sai năng lực công nghệ.

Keycloak CVE-2026-18963: password reset without email or auth

Keycloak là nền tảng quản lý danh tính và truy cập mã nguồn mở phổ biến trong các hệ thống doanh nghiệp. CVE-2026-18963 với điểm CVSS 9.1 xuất hiện vì endpoint reset mật khẩu không yêu cầu xác thực người dùng cũng như không kiểm tra việc xác minh qua email. Do đó, kẻ tấn công không cần đăng nhập có thể gửi yêu cầu đặt lại mật khẩu cho bất kỳ tài khoản nào và lấy lại quyền truy cập hoàn toàn. Hệ quả là khả năng chiếm đoạt tài khoản người dùng rộng rãi, dẫn đến rò rỉ dữ liệu và phá hoại dịch vụ. Bài học là luôn xác thực và xác thực lại các thao tác nhạy cảm như reset mật khẩu, đồng thời cập nhật Keycloak lên phiên bản 26.7.2 hoặc mới hơn để vá lỗi này.

Lập trình viên nên đọc bài này để biết lỗ hổng mật khẩu nghiêm trọng trong Keycloak và cập nhật bản vá bảo vệ hệ thống.

We Had 13 Engineers Spend Three Months Finding Vulnerabilities with LLMs

Bối cảnh: đội ngũ 13 kỹ sư đã dành ba tháng để áp dụng các mô hình LLM tiên tiến vào việc quét mã nguồn nhằm tìm lỗ hổng bảo mật. Nguyên nhân kỹ thuật: họ sử dụng các LLM frontier như GPT‑4‑Turbo và Claude‑2 để tạo các test case tự động, phân tích dữ liệu flow và đề xuất các patch tiềm năng. Hệ quả: qua quá trình này nhóm đã phát hiện hơn 1.200 vấn đề bảo mật, trong đó 85% được xác nhận là lỗi thực và đã được vá trước khi bản phát hành chính thức. Điều đáng học: mặc dù LLM có thể tăng tốc độ phát hiện lỗi gấp khoảng 4‑5 lần so với phương pháp thủ công truyền thống, nhưng vẫn cần sự Review của con người để loại bỏ false positive và xác định mức độ nguy hiểm thực. Bài học chính là kết hợp LLM vào quy trình “pressure washing” mã nguồn chỉ hiệu quả khi có ngân sách đủ cho thời gian của kỹ sư và cơ chế xác thực nghiêm ngặt.

Bài viết chia sẻ phương pháp sử dụng mô hình ngôn ngữ tiên tiến để dò lỗ hổng bảo mật trong codebase với hiệu quả cao.