Ứng dụng vibe coding chạy được chưa chắc an toàn: 10 điểm phải kiểm tra

Một ứng dụng do AI sinh mã chỉ nên nhận người dùng thật sau khi vượt qua ba cổng: trước khi mở URL công khai, trước khi xử lý tiền hoặc dữ liệu nhạy cảm, và trước khi vận hành production. Mười điểm cần kiểm tra là bí mật, xác thực, phân quyền, database, dependency, CI/CD, MCP, log, backup và rollback.

Mỗi điểm chỉ pass khi có bằng chứng tái lập được từ cấu hình, CI hoặc thao tác đối nghịch. Việc ứng dụng chạy đúng luồng thuận không chứng minh người lạ không thể đọc dữ liệu, chiếm quyền hoặc làm gián đoạn dịch vụ.

Chấm bằng bằng chứng, không bằng cảm giác

OWASP ASVS cung cấp cơ sở để kiểm thử các kiểm soát kỹ thuật của ứng dụng web và danh mục yêu cầu cho phát triển an toàn. Với prototype, hãy ghi cho từng mục người chịu trách nhiệm, bằng chứng kiểm tra và điều kiện buộc phải dừng phát hành.

Không nên giao cả việc viết mã và xác nhận an toàn cho cùng một coding agent. Hướng dẫn Secure Coding with AI của OWASP nêu rằng agent có thể chạy lệnh, cài package, sửa tệp, truy cập mạng và đẩy branch với quyền của lập trình viên; bộ test do chính agent tạo hoặc tỷ lệ pass 100% không phải bằng chứng an toàn độc lập.

Cổng 1 — Trước khi mở public URL

1. Bí mật không nằm trong mã, lịch sử Git hoặc frontend. Đưa API key, token, mật khẩu database và khóa ký vào nơi quản lý bí mật hoặc biến môi trường phía server; tách giá trị development, staging và production. Pass khi quét repository cùng lịch sử không phát hiện bí mật, bundle trình duyệt không chứa khóa riêng và khóa thử đã thu hồi không còn dùng được. Nếu bí mật từng được commit, thêm tệp vào .gitignore là chưa đủ: phải xoay khóa.
2. Xác thực chặn được đường vòng. Liệt kê đăng nhập, đặt lại mật khẩu, magic link, OAuth callback và API tạo phiên. Thử token hết hạn hoặc bị sửa, callback sai địa chỉ, yêu cầu phát lại và phiên cũ sau khi đăng xuất. Pass khi server từ chối nhất quán và cookie phiên có thuộc tính bảo vệ phù hợp; fail nếu giao diện ẩn nút nhưng endpoint vẫn trả dữ liệu.
3. Phân quyền được kiểm tra ở server cho từng đối tượng. Tạo hai tài khoản thường và một tài khoản quản trị, rồi thay ID người dùng, workspace, hóa đơn hoặc tài liệu trong request. Pass khi tài khoản A không thể đọc, sửa hay xóa tài nguyên của B và tài khoản thường không gọi được chức năng quản trị. Quyết định chỉ dựa vào route, giao diện hoặc role do client gửi là fail.
4. Database có ranh giới và quyền tối thiểu. Tài khoản runtime không cần quyền quản trị schema nếu ứng dụng chỉ đọc và ghi một số bảng. Pass khi truy vấn được tham số hóa, migration dùng danh tính riêng, database không bị mở công khai ngoài nhu cầu đã xác định và dữ liệu giữa các tenant không trộn lẫn. Nếu chưa mô tả được dữ liệu nào được lưu, ai được đọc và giữ trong bao lâu, chưa nên public.

Cổng 2 — Trước thanh toán hoặc dữ liệu nhạy cảm

1. Dependency được xác minh và khóa phiên bản. Kiểm tra package do AI đề xuất trên registry chính thức, bao gồm người duy trì và lịch sử phát hành; rà cả dependency gián tiếp bằng công cụ của hệ sinh thái. Pass khi lockfile được commit, bản build tái lập và CI chặn lỗ hổng theo ngưỡng rủi ro đã định. Package gần giống tên thư viện quen thuộc, không rõ nguồn hoặc có cảnh báo chưa được phân loại đều chưa đạt.
2. CI/CD không trao quyền production cho pull request. Xem workflow, build script, Dockerfile và script cài đặt như mã nhạy cảm; yêu cầu phê duyệt riêng khi chúng thay đổi. Pass khi job từ nhánh hoặc fork không đọc được production secret, token CI chỉ có quyền cần thiết và artifact được tạo một lần rồi thăng cấp qua các môi trường. Fail nếu nội dung PR chưa tin cậy có thể khiến agent sửa workflow, đẩy mã hoặc triển khai.
3. MCP và công cụ của agent có allowlist. Ghi lại MCP server được kết nối, tool được phép gọi, dữ liệu có thể rời máy và credential được sử dụng. Pass khi tool bị giới hạn theo nhiệm vụ, định nghĩa hoặc phiên bản được ghim, thay đổi được phát hiện và agent phát triển không chạm được email, thanh toán hay production. Tự động khám phá server hoặc cấp quyền filesystem, mạng và credential không giới hạn là điểm dừng.

Nếu ứng dụng nhận thanh toán, dữ liệu sức khỏe, giấy tờ định danh hoặc dữ liệu trẻ em, checklist ngắn không thay thế threat model, đánh giá chuyên gia, kiểm thử xâm nhập hay nghĩa vụ pháp lý phù hợp. NIST SP 800-218A bổ sung vào SSDF các thực hành dành riêng cho vòng đời phát triển mô hình AI, hướng đến bên sản xuất mô hình, bên xây hệ thống dùng mô hình và bên mua hệ thống AI.

Cổng 3 — Trước khi gọi là production

1. Log đủ để điều tra nhưng không làm lộ bí mật. Ghi các lần đăng nhập thất bại, từ chối phân quyền, thay đổi vai trò, thao tác quản trị, lỗi webhook và kết quả deploy cùng thời gian, request ID và chủ thể phù hợp. Pass khi nhóm truy được một hành động thử từ đầu đến cuối, cảnh báo đến đúng người và log không chứa mật khẩu, token, khóa API hay dữ liệu cá nhân không cần thiết.
2. Backup đã được khôi phục thử. Bật backup tự động cho database và tài sản người dùng, mã hóa bản sao, tách quyền xóa backup khỏi tài khoản runtime và đặt thời hạn lưu. Chỉ pass sau khi phục hồi một bản sao vào môi trường cô lập, xác minh dữ liệu và ghi nhận thời gian phục hồi cùng mức mất dữ liệu chấp nhận được. Có tệp backup nhưng chưa từng restore vẫn là fail.
3. Rollback là quy trình đã diễn tập. Mỗi lần phát hành phải xác định artifact trước đó, cách xử lý migration, cách vô hiệu hóa tính năng nguy hiểm và người có quyền quyết định. Pass khi staging có thể trở về bản trước mà không cần sửa mã vội, đồng thời nhóm biết xử lý dữ liệu phát sinh trong lúc phiên bản lỗi hoạt động. Migration phá hủy dữ liệu không có phương án khôi phục hoặc deploy phụ thuộc thao tác bí mật của một người là fail.

Điều kiện phát hành

Có thể mở public URL khi bốn mục ở cổng 1 đều pass và môi trường chưa nhận dữ liệu nhạy cảm. Chỉ bật thanh toán hoặc thu thập dữ liệu nhạy cảm sau khi bảy mục đầu có bằng chứng, phạm vi pháp lý đã được xác định và rủi ro cao được người có chuyên môn phê duyệt.

Production chỉ sẵn sàng khi cả 10 mục có bằng chứng còn hiệu lực, người chịu trách nhiệm và cách xử lý lúc kiểm soát thất bại. Lỗi cho phép truy cập chéo tài khoản, lộ bí mật, chiếm quyền quản trị, sửa pipeline trái phép hoặc khiến dữ liệu không thể phục hồi là điểm dừng phát hành.

Đọc thêm:

• Bật thu phí trên Substack: 10% chưa phải toàn bộ chi phí
• 40% lao động Hàn Quốc nói nhà tuyển dụng ưu tiên ứng viên có kỹ năng AI
• Gắn nhãn “remote” chưa đủ: chỉ 2,2–12,4% việc làm không giới hạn nơi ở