Azure Cosmos DB Agent Skills: Securing Database Access for AI Coding Agents

Domain-Driven Design matters more when AI writes your code

Mô hình miền (domain model) và Ngôn ngữ phổ quát (Ubiquitous Language) càng trở nên quan …

One pull to wipe them all

Một pull request độc hại đã được gửi vào kho chứa mà trợ lý coding AI đang theo dõi, với mục tiêu khiến nó thực thi lệnh xóa dữ liệu toàn bộ. Nguyên nhân kỹ thuật là hệ thống không kiểm traStrictly nội dung bên ngoài trước khi cho phép AI chạy các lệnh shell hoặc thay đổi tệp, do đó mã wiper có thể được tiêm qua thay đổi trong PR. Nếu thành công, cuộc tấn công có thể dẫn đến việc xóa sạch toàn bộ kho mã, gây mất dữ liệu và gián đoạn dịch vụ cho nhiều dự án sử dụng trợ lý đó. Vụ việc cho thấy các agent AI cần được đặt trong môi trường cát (sandbox) với quyền hạn tối thiểu và phải chịu qua các bước kiểm tra bảo mật ngoài cùng trước khi được ủy quyền thực thi. Đọc bài gốc sẽ giúp bạn hiểu rõ cách thiết kế các lớp bảo vệ như xác thực PR, giới hạn API và ghi log chi tiết để ngăn chặn các cuộc tấn công tương tự.

Bài viết cảnh báo nguy cơ an ninh nghiêm trọng khi AI coding assistant có thể bị lợi dụng để xóa dữ liệu nếu không có kiểm soát bảo mật bên ngoài.

ToxicPanda Android malware uses VPN permissions to block Google Play

ToxicPanda là một trojan Android đã được phát hiện lần đầu sử dụng quyền VPN để chặn truy cập Google Play Store trên thiết bị bị nhiễm. Phiên bản mới của malware đã mở rộng danh sách mục tiêu lên 349 ứng dụng phổ biến và tích hợp hỗ trợ cho 167 lệnh điều khiển từ xa. Kỹ thuật tấn công dựa trên việc khai thác quyền BIND_VPN_SERVICE để tạo một kết nối VPN ảo, qua đó lọc và chặn các yêu cầu mạng tới máy chủ cập nhật của Google Play. Nhờ đó, kẻ tấn công có thể ngăn người dùng cập nhật bản vá bảo mật, đồng thời thực hiện các hành động như lấy dữ liệu, gửi SMS premium hoặc cài đặt phụ trợ khác mà không bị phát hiện. Điều này nhấn mạnh tầm quan trọng của việc kiểm tra chặt chẽ các quyền VPN trong manifest và giám sát lưu lượng mạng bất thường để phát hiện sớm hành vi lạm dụng dịch vụ VPN trên Android.

Bài viết giúp lập trình viên hiểu cách mã độc Android lợi dụng quyền VPN để tấn công ứng dụng từ kho Google Play.

A deep dive into Nurb

Nurb được thiết kế để biến một agent viết mã thành đối tác CAD thực tế, cho phép các nhà phát triển làm việc trực tiếp trong môi trường mô hình 3D. Nó sử dụng các thành phần Python để tạo và thao tác hình học, đồng thời dựa trên nhân OCCT để xây dựng các thể rắn chính xác. Trong quá trình làm việc, hệ thống thực hiện kiểm tra trực tiếp và đo lường để phát hiện sớm các lỗi hoặc sai lệch về kích thước. Kết quả cuối cùng được xuất ra định dạng 3MF, giúp duy nhất dữ liệu mô hình và dễ dàng chia sẻ với các công cụ CAD khác. Từ đây ta học được rằng sự kết hợp giữa ngôn ngữ scripting linh hoạt và nhân mô hình rắn mạnh mẽ, cùng với việc áp dụng tiêu chuẩn xuất bản mở, có thể tạo ra quy trình thiết kế tự động hóa và đáng tin cậy.

Bài này giúp lập trình viên hiểu cách Nurb biến một agent lập trình thành đối tác CAD hiệu quả.

Practical Loop Engineering

Bài viết bàn về tầm quan trọng của vòng lặp (loops) trong kỹ thuật phần mềm, nhấn mạnh việc không ủy thác hoàn toàn quyết định cho các công cụ tự động mà phải duy trì sự kiểm soát và đánh giá chủ động.

Là người viết code hàng ngày, bạn sẽ tìm hiểu cách xây dựng các vòng lặp hiệu quả và tránh những thói quen sai lầm như tự động hóa quyết định sai lầm, giúp code trở nên rõ ràng, bảo trì dễ dàng và hiệu suất cao hơn.

Herdr vs tmux vs Zellij

Nhiều lập trình viên cần một công cụ giữ phiên terminal tồn tại khi làm việc từ xa, chạy đồng thời nhiều agents mã nguồn và quản lý bố cục cửa sổ linh hoạt. Herdr được viết bằng Rust và tập trung vào mô hình plugin đơn giản với cấu hình dựa trên TOML, tmux vẫn là lựa chọn truyền thống được triển khai bằng C và có hệ thống session‑window‑pane ma trận lâu năm, trong khi Zellij cũng dùng Rust nhưng cung cấp bố cục linh hoạt qua layout file và một kho plugin mở rộng đang phát triển. Do sự khác biệt về ngôn ngữ triển khai và cách xử lý sự kiện, Herdr tiêu thụ bộ nhớ thấp hơn khi chạy nhiều agents đồng thời, tmux cung cấp ổn định cao nhất trên các hệ thống cũ nhưng có giới hạn trong việc tùy chỉnh layout động, Zellij cân bằng giữa hiệu năng và khả năng mở rộng nhưng còn trẻ về ổn định trong môi trường sản xuất. Từ đó, nếu ưu tiên là hiệu năng nhẹ và cấu hình đơn giản, Herdr là phù hợp; nếu cần sự ổn định và cộng đồng lớn, tmux vẫn là lựa chọn an toàn; còn muốn thử nghiệm layout phong phú và plugin hiện đại, Zellij đáng để xem xét.

Bài này giúp lập trình viên chọn công cụ terminal tối ưu cho persistent session và remote work.

Architects, testers, and coders: Building multi-agent development teams

Bài viết mô tả nhu cầu porting các thư viện Python sang Dart để hỗ trợ phát triển ứng dụng Flutter. Để giải quyết, tác giả mô hình hoá các nhóm phát triển gồm kiến trúc sư, kiểm thử và lập trình viên làm việc như các tác nhân độc lập trên nền tảng Antigravity. Quy trình được xây dựng quanh test‑driven development: mỗi tác nhân viết test cho chức năng mong muốn trước khi triển khai mã Dart tương ứng. Kết quả là các gói Dart được tạo ra có cấu trúc idiomatis, duy trì tính nhất quán với nguồn Python và đạt độ bao phủ test cao sau mỗi vòng lặp. Từ kinh nghiệm này, bài viết khuyên áp dụng mô hình multi‑agent cùng TDD khi cần dịch sang ngôn ngữ mới vì nó giúp tách biệt trách nhiệm, phát hiện lỗi sớm và giảm phụ thuộc vào kiến thức thủ công về từng thư viện. Điều này cho thấy Antigravity có thể làm nền tảng mở rộng để quản lý các dự án porting lớn mà không làm tăngภาระ điều phối thủ công.

Bài viết hướng dẫn cách xây dựng đội ngũ phát triển đa đại lý để chuyển đổi thư viện Python thành gói Dart idiomatically bằng phương pháp phát triển theo hướng kiểm thử.