#secrets-management

I stopped doing one mistake in Docker Compose files, and my self-hosted setup finally felt secure

Bối cảnh: Khi triển khai self-hosted application, nhiều lập trình viên thường xem Docker Compose files là nơi chứa thông tin bảo mật. Nguyên nhân kỹ thuật: Docker secrets không nên được xử lý như configuration thông thường mà cần được quản lý riêng biệt, sử dụng Docker's built-in secret management thay vì hardcode vào Compose files. Hệ quả: Bằng cách tách biệt secrets và sử dụng tính năng secrets của Docker Compose, tác giả đã giảm thiểu đáng kể rủi ro rò rỉ thông tin nhạy cảm. Điều đáng học: Việc không tách biệt secrets và configuration trong Compose files có thể khiến toàn bộ self-hosted setup trở nên dễ bị tấn công, đặc biệt khi các file này được chia sẻ trên repository công khai.

Biến đổi cách quản lý Docker secrets giúp tăng cường đáng kể bảo mật cho hệ thống tự host.

The Pulse: Grok’s CLI caught uploading all your local files to the cloud

Grok CLI đã vô tình đẩy toàn bộ tệp cục bộ, file .env và lịch sử git lên một bucket GCP mà không mã hóa. SpaceX ban đầu đổ lỗi cho các nhà phát triển.

Mỗi lập trình viên nên đọc bài này để tránh rủi ro an ninh khi sử dụng các công cụ tự động hóa không được kiểm tra kỹ, đặc biệt khi chúng có thể tác động đến dữ liệu cá nhân hoặc dự án quan trọng mà không có sự kiểm soát rõ ràng.

Seriously, please stop uploading these files to cloud LLMs (and what to use instead)

Bối cảnh là nhiều lập trình viên thường tải lên các LLM cloud (như OpenAI API) cả các files chứa dữ liệu nhạy cảm mà không nhận thức được rủi ro. Nguyên nhân kỹ thuật là các nhà cung cấp LLM như OpenAI có chính sách lưu trữ dữ liệu đầu vào để cải tiến model và huấn luyện lại, khiến thông tin có thể bị truy xuất lâu sau. Hệ quả là dữ liệu cá nhân, mã nguồn độc quyền hoặc thông tin bí mật công ty có thể bị tiết lộ hoặc sử dụng không kiểm soát. Điều đáng học là bạn nên dùng các local LLM (như Llama 2, Mistral) hoặc self-hosted solution khi làm việc với dữ liệu nhạy cảm, kết hợp với RAG (Retrieval-Augmented Generation) để bảo mật thông tin mà vẫn tận dụng được khả năng xử lý ngôn ngữ tự nhiên.

Bài này giúp lập trình viên hiểu rủi ro bảo mật khi tải file lên LLM đám mây và giải pháp thay thế an toàn hơn.

Want AI Agents That Don't Spill Secrets? Don't Give Them Secrets

Các mô hình ngôn ngữ lớn (LLM) không thể phân biệt token nhạy cảm với văn bản thông thường, do đó mọi dữ liệu trong context window đều dễ bị truy xuất. Để bảo mật, hãy lưu trữ bí mật (API keys, access tokens) chỉ trong lớp thực thi xác định (biến môi trường hoặc secret manager) và không truyền chúng vào context của LLM. Các schema công cụ chỉ nên mô tả mục đích, còn xử lý thực thi mới lấy credential vào lúc runtime.

Lập trình viên nên đọc bài này để hiểu cách bảo vệ bí mật quan trọng như API keys và mật khẩu bằng cách phân biệt rõ ràng giữa lớp xử lý xác định và lớp sử dụng AI, tránh rò rỉ thông tin thông qua các cuộc tấn công từ prompt.

Can agents keep a secret? We asked 1Password’s CTO Nancy Wang

Bài viết bắt đầu từ cuộc trò chuyện với Nancy Wang, CTO của 1Password, về khả năng giữ bí mật của các AI agent khi chúng được tích hợp vào quy trình phát triển phần mềm. Nguyên nhân kỹ thuật được chỉ ra là các agent thường được huấn luyện trên dữ liệu công khai và không có cơ chế cô lập lưu trữ thông tin nhạy cảm, dẫn đến nguy cơ lọt ra qua prompt hoặc mô hình. Hệ quả là các tổ chức có thể vô tình lộ mật khẩu, khóa API hoặc mã nguồn riêng khi dựa vào agent để tự động hoá các bước như pull request, code review hoặc xây dựng pipeline CI/CD, điều mà Nancy Wang cho thấy đang góp phần vào xu hướng “không ai hoàn thành dự án” vì teams phải liên tục dừng lại để xử lý sự rò rỉ. Điều đáng học là cần áp dụng lớp bảo mật riêng biệt – ví dụ sử dụng vault của 1Password kết hợp với strict access control và audit logging – thay vì tin tưởng vào khả năng “bí mật” của agent. Cuối cùng, bài viết gợi ý rằng thay vì tìm kiếm agent hoàn hảo, các đội ngũ nên đầu tư vào quy trình tự động hoá an toàn (secure software assembly lines) để giảm phụ thuộc vào việc giữ secret của mô hình.

Bài viết tiết lộ bí mật về tương lai phát triển phần mềm và xu hướng mới trong ngành công nghệ.

How to Share Bruno Collections: Git, Export, and Import

Learn every way to share Bruno collections: Git sync, Fetch in Bruno buttons, workspace ZIPs, Postman and OpenAPI exports, and keeping secrets out of commits.

GitHub App keys can still enable takeovers long after they are forgotten

GitGuardian found 474 still-valid GitHub App private keys among thousands of exposed credentials, with some carrying permissions for account takeover.

Preventing secret leakage in CI/CD environments

Secrets leakage in CI/CD environments is rarely caused by one dramatic failure. More often, it is the result of small design choices that add up: a token stored in the wrong place, a verbose build log, a shared runner with…

GitHub Enterprise adds credential inventory exports

GitHub Enterprise hiện cho phép chủ doanh nghiệp xuất danh sách toàn bộ credential có thể truy cập hệ thống, bao gồm SSH keys, personal access tokens, OAuth App tokens và GitHub App tokens. Người dùng có quyền 'View enterprise credentials' có thể xuất dữ liệu dưới dạng CSV từ thiết lập doanh nghiệp hoặc qua REST API mới với tính năng phân trang, lọc theo người dùng, ứng dụng, loại hoặc tổ chức. Tính năng này cung cấp metadata như scopes, ngày tạo/hết hạn/sử dụng cuối cùng và liên kết với hoạt động trong audit log, giúp đội ngũ đánh giá rủi ro và lập kế hoạch khắc phục sự cố. GitHub Enterprise Cloud đã có tính năng này, với hỗ trợ GitHub Enterprise Server đang được lên kế hoạch.

Tính năng xuất danh sách chứng thực toàn diện giúp đội ngũ an ninh GitHub Enterprise quản lý quyền truy cập và giảm rủi ro bảo mật hiệu quả.

GitHub Actions leaking secrets when Miri output is cached

Empowering everyone to build reliable and efficient software.

AWS Continuum now supports credential testing and accessible domain suggestions

Discover more about what's new at AWS with AWS Continuum now supports credential testing and accessible domain suggestions

7 Identity Patterns for AI Agents in Production

Trong hệ thống sản xuất hiện tại, nhiều nhà phát triển vẫn đang xác thực AI agents như thể chúng là người dùng thông thường, gây ra các vấn đề bảo mật và hiệu suất. Nguyên nhân chính là do thiếu các pattern xác thực chuyên biệt dành riêng cho agents, dẫn đến việc sử dụng các phương thức traditional authentication như OAuth hay API keys không phù hợp. Hệ quả là hệ thống dễ gặp rủi ro bảo mật, hạn chế khả năng mở rộng và tăng độ phức tạp trong quản lý quyền truy cập. Bài viết giới thiệu 7 identity patterns đặc thù cho AI agents, bao gồm agent-to-agent authentication, service mesh-based identity, và ephemeral credentials, giúp giải quyết triệt để các vấn đề nêu trên. Điều đáng học hỏi là nhận diện rõ ràng giữa user identity và agent identity ngay từ giai đoạn thiết kế hệ thống, sử dụng các cơ chế như mTLS (mutual TLS) và JWT (JSON Web Tokens) được tối ưu hóa cho agents.

Bài viết này giúp hiểu được cách xác thực AI agent an toàn và hiệu quả khác với người dùng thông thường.

The Agent Never Sees the Key: Proving Credential Brokering in DigitalOcean Action Gateway

Learn how credential brokering in DigitalOcean Action Gateway lets an AI agent act on GitHub without ever holding a token. We give the agent root, sweep its …

Why MLOps Pipelines Need Security Audits

A practical SecMLOps experiment shows how Apache Airflow ML pipelines can adopt DevSecOps controls for auditable security evidence.

How to Build an Endpoint Data Loss Prevention Strategy for Your Development Team

A developer's laptop holds more sensitive data than most people realize: API keys, database credentials, staging environment secrets, and sometimes entire copies of production data pulled down "just f

How to Use Google Cloud Secret Manager in Bruno

Bruno là công cụ API testing cho phép tích hợp Google Cloud Secret Manager để bảo mật thông tin nhạy cảm. Tích hợp này sử dụng Google Cloud SDK để truy cập secrets mà không cần lưu trực tiếp vào bộ sưu tập API. Bằng cách này, bạn tránh được rủi ro lộ bí mật khi chia sẻ hoặc lưu trữ bộ sưu tập Bruno. Phương pháp này đặc biệt hữu ích khi làm việc với teams hoặc triển khai automation. Việc triển khai đơn giản nhưng lại tăng đáng kể bảo mật cho quy trình testing API của bạn.

Tìm hiểu cách tích hợp Google Cloud Secret Manager với Bruno để bảo mật thông tin nhạy cảm trong yêu cầu API mà không cần lưu trữ giá trị bí mật trực tiếp.

Introducing Kody: Your Personal Software Factory

Kody turns the good answer into a package you keep.

GitHub Credential Revocation by Token Type: Improving Enterprise Incident Response

Learn how token-type-aware GitHub credential revocation can improve enterprise incident response by quickly identifying, invalidating, and containing compromised credentials.

Use 1Password Developer Environments with Cursor

Learn how the 1Password Cursor plugin mounts secrets without plaintext .env files, what its skill and validation hook do, and how to use it safely.

A deep dive into 1Password Developer Environments

Trong môi trường phát triển, các nhà phát triển cần quản lý các bí mật như API key, token, credentials mà không để lộ chúng vào repo. 1Password Developer Environments cung cấp một cách để lưu trữ, chia sẻ, mount và inject các secret này, dựa trên mô hình bảo mật dựa trên vai trò và quyền truy cập tạm thời. Khi một secret được mount vào container, nó chỉ tồn tại trong bộ nhớ và không được ghi vào file hệ thống, giảm nguy cơ rò rỉ. Điều này cho phép các team tuân thủ quy trình CI/CD an toàn và giới hạn số lượng secret mỗi dự án, thường không vượt quá vài chục mục. Vì vậy, nếu bạn đang cân nhắc sử dụng công cụ quản lý secret, nên xem bài viết để hiểu cách triển khai thực tế.

Bài này giúp lập trình viên hiểu cách bảo vệ thông tin bí mật dự án bằng 1Password Developer Environments một cách an toàn và hiệu quả.

Proposal: A Secrets API for WordPress 7.2

WordPress has no first-class way to store a credential. This proposal outlines a Secrets API for 7.2, along with WP-CLI support for it, and explains why the accompanying UI should wait for 7.3. Why it matters Every plugin that needs an API key today writes it to the options table in plaintext. That is the…

How to Fix a Leaked API Key: A Developer’s Guide to Git Security

Imagine this: you're working late, your code finally works, and you're ready to push it to GitHub. You run: git add . git commit -m "Fix API integration" git push A few minutes later, you notice some

Agentic AI Security Comes Down to Access, Not the Trick

Prompt injection can't be patched away. Three 2026 agentic AI incidents show that credentials and permissions decide the damage.

The AWS Keys in Your Dotfiles

Eliminate the risks of shared database passwords with StrongDM's secure access solution, ensuring every connection is tied to a real identity for better accountability.

Hundreds of leaked AWS keys give full control over corporate accounts

Between August 2022 and August 2026, hơn 9.300 khóa truy cập AWS đã bị rò rỉ công khai và vẫn còn hiệu lực. Nguyên nhân chủ yếu là các khóa này được nhúng vô tình trong mã nguồn công khai, cấu hình sai hoặc các artifact build được lưu trữ trên các dịch vụ như GitHub, GitLab mà không được masked. Vì chúng vẫn active, kẻ tấn công có thể sử dụng chúng để lấy quyền quản trị đầy đủ trên tài khoản AWS của doanh nghiệp, từ đó truy cập dữ liệu, khởi chạy EC2, thay đổi IAM policy. Hệ quả bao gồm rò rỉ dữ liệu nhạy cảm, chi phí cloud không mong muốn và nguy cơ bị chiếm đoán toàn bộ infra. Bài học là phải quay vòng khóa ngay khi phát hiện rò rỉ, sử dụng công cụ quét mã như GitGuardian hoặc TruffleHog, áp dụng AWS Secrets Manager và bật MFA cho root account, đồng thời thiết lập cảnh báo qua AWS Config và CloudTrail để phát hiện sử dụng khóa bất thường.

Bài viết cảnh báo về nguy cơ bảo mật AWS khi hơn 9.000 khóa tràn lan vẫn còn hoạt động, giúp lập trình viên phòng tránh bị tấn công và mất kiểm soát tài khoản.

[REDACTED] — How to keep your mobile app’s secrets, a secret!

[REDACTED] — How to keep your mobile app’s secrets, a secret! Introduction This blog post accompanies my 2025 talk of the same name, available on YouTube, SpeakerDeck and via my website …

Spring Boot Configuration Management Best Practices

Spring Boot xác định thứ tự ưu tiên của nguồn cấu hình từ mặc định, application.properties, biến môi trường và tham số dòng lệnh, vì vậy việc không thống nhất này dẫn đến sự khác biệt giữa môi trường. Nếu thiếu xác thực, các thuộc tính bắt buộc như spring.datasource.url hoặc khóa API có thể bị bỏ qua hoặc được gán giá trị sai, gây ra lỗi khởi động hoặc kết nối thất bại. Các hậu quả bao gồm ứng dụng không thể kết nối tới cơ sở dữ liệu, dịch vụ bên ngoài trả về lỗi 401 do sai thông tin xác thực, hoặc lộ secret trong log khi sử dụng @Value mà không masking. Bài viết khuyên dùng @ConfigurationProperties kết hợp với @Validated và các ràng buộc Bean Validation (

Bài viết này giúp bạn quản lý cấu hình Spring Boot đa môi trường an toàn và hiệu quả.

CNPG Recipe 27 - Running OpenBao on Kubernetes with a CloudNativePG PostgreSQL backend

Chạy OpenBao trên Kubernetes với CloudNativePG làm backend PostgreSQL, sử dụng cơ chế sao chép đồng bộ và chứng chỉ (cert) thay cho mật khẩu, đảm bảo không có mật khẩu tồn tại trong toàn bộ hệ thống.

Lập trình viên phát triển ứng dụng web cần đọc bài này để hiểu cách triển khai OpenBao trên Kubernetes với PostgreSQL an toàn, không cần mật khẩu, giúp tối ưu hóa bảo mật và quản lý cơ sở dữ liệu đồng bộ trong môi trường cloud-native.

Your AI Agents Are Using Your Credentials

Hầu hết các AI agent hiện nay không có danh tính riêng mà sử dụng thông tin đăng nhập (credentials) của người dùng. Bài viết giải thích cách tình trạng "vùng xám" về quyền truy cập này hình thành và cách phát hiện sớm.

Lập trình viên nên đọc bài này để hiểu cách bảo mật tài khoản cá nhân bị xâm phạm thông qua các ứng dụng AI không được thiết kế an toàn, từ đó phòng ngừa rủi ro như mất quyền truy cập tài khoản hoặc bị hack.

Vault Coverage Is the Missing Metric in the NHI Programs

Hầu hết chương trình vault đều theo dõi chỉ số tử (số lượng secrets được quản lý) mà thiếu chỉ số mẫu (tổng số secrets cần quản lý). Vault coverage giúp biến quản lý secrets thành một biện pháp kiểm soát có thể đo lường và báo cáo.

Lập trình viên nên đọc bài này để hiểu cách vault coverage không chỉ là một chỉ số kỹ thuật mà còn là một công cụ quan trọng trong quản lý an ninh dữ liệu, giúp bạn đánh giá hiệu quả thực sự của hệ thống bảo mật và tối ưu hóa việc bảo vệ các khóa bí mật trong ứng dụng của mình.

Just-in-time access to HashiCorp Vault using the Red Hat Ansible Automation Platform OIDC provider

Hướng dẫn tích hợp Red Hat Ansible Automation Platform với HashiCorp Vault thông qua OIDC để quản lý bí mật an toàn theo mô hình Just-in-time access.

Lập trình viên cần đọc bài này để hiểu cách tự động hóa quản lý mật khẩu và dữ liệu nhạy cảm trong Ansible Automation Platform bằng OIDC với HashiCorp Vault, giúp tối ưu hóa bảo mật và giảm rủi ro từ việc quản lý thủ công.

Announcing OpenBao v2.6! – Open Source Security Foundation

OpenBao v2.6 được phát hành với 42 contributor lần đầu, bổ sung nhiều tính năng quan trọng như namespace sealing, auto-unseal qua KMS plugin, workflow engine mới, container distroless, và endpoints xác thực root. Phiên bản sắp tới v2.7.0 sẽ hỗ trợ control groups, HSM/KMS cho PKI/Transit, và mở rộng PostgreSQL theo chiều ngang.

Nếu bạn đang phát triển hệ thống quản lý lưu trữ hoặc dịch vụ cloud với yêu cầu bảo mật cao, OpenBao v2.6 sẽ giúp bạn tối ưu hóa cách phân chia không gian tên (namespace sealing) và quản lý quyền truy cập bằng cách sử dụng các giải pháp mã hóa và plugin KMS tự động, từ đó giảm thiểu rủi ro bảo mật trong ứng dụng của bạn.

GitLab Secrets Manager adds ESO, Terraform, API support

GitLab Secrets Manager bổ sung hỗ trợ cho External Secrets Operator (ESO), Terraform và API, giúp quản lý credential an toàn trong Kubernetes, Terraform và các workflow bên ngoài.

Lập trình viên cần đọc bài này để khám phá cách GitLab Secrets Manager tự động hóa và bảo mật hóa quản lý mật khẩu, khóa API, hoặc thông tin cấu hình cho các môi trường Kubernetes, Terraform và các pipeline tự động, giúp giảm thiểu rủi ro bảo mật và tiết kiệm thời gian quản trị.

59 Insider Threat Statistics You Need to Know in 2026

Chi phí rủi ro từ mối đe dọa nội bộ đã lên tới 19,5 triệu USD mỗi năm. Bài viết cung cấp 59 thống kê về các yếu tố thúc đẩy con số này và lợi ích của một chương trình bảo mật trưởng thành trong việc giảm thiểu tổn thất.

Lập trình viên nên đọc bài này để hiểu rõ cách bảo mật nội bộ—và những rủi ro từ nhân viên, nhà phát triển hoặc đối tác—có thể phá hủy dự án, tiết lộ mã nguồn hoặc gây thiệt hại tài chính lớn, giúp bạn áp dụng kiến thức bảo mật cơ bản vào công việc của mình.

Where .env Went Wrong

File .env vốn dĩ chỉ là tiện ích cục bộ, nay lại trở thành giao diện quản lý secrets, mô hình môi trường (environment model) và định dạng triển khai (deployment format), trong khi thiết kế ban đầu không nhằm phục vụ bất kỳ mục đích nào trong số đó.

Là người phát triển cần hiểu .env không phải là giải pháp toàn năng cho quản lý mật khẩu, cấu hình hoặc môi trường, mà nó chỉ là một công cụ tạm thời—nên tránh sử dụng nó như một giải pháp lâu dài để tránh rủi ro bảo mật và sự phức tạp trong việc triển khai.