Chill với AI viết code nhưng mà đến lúc nhận bill cloud mấy nghìn đô vì lộ API Key thì chắc chắn "toang" luôn, chỉ còn nước mắt với bài học đắt giá nhất đời
Gần đây thuật ngữ "Vibe Coding" đang gây bão trong cộng đồng tech, đặc biệt sau khi Andrej Karpathy - cựu Giám đốc AI của Tesla nhắc đến như một trend code kiểu mới. Nói cho dễ hiểu thì đây là kiểu lập trình mà bạn cứ việc "vibe" với các mô hình ngôn ngữ lớn (LLMs), dùng ngôn ngữ tự nhiên để ra lệnh cho AI viết code thay mình, giảm thiểu tối đa việc phải ngồi code tay.
Tuy phương pháp này nghe có vẻ xịn xò, giúp ai cũng có thể code được và tăng tốc làm sản phẩm MVP, nhưng nó cũng tạo ra một "vùng đen" rủi ro bảo mật cực kỳ nguy hiểm. Các AI model hiện giờ thường ưu tiên làm sao cho nhanh, cho tiện, nên hay gợi ý những đoạn code có chứa thẳng thông tin nhạy cảm (hard-coded credentials) kiểu như API Key ngay trong mã nguồn luôn, bỏ qua hết các nguyên tắc bảo mật cơ bản về quản lý biến môi trường
Bot tự động "ngửi" API Key trên GitHub nhanh như chớp
Nhiều bạn dev mới vào nghề hay quên mất một sự thật: những tên hacker giờ xài bot tự động quét liên tục trên các platform như GitHub. Các repo mã nguồn công khai không chỉ là nơi share kiến thức mà còn là mồi ngon cho các bot tấn công. Những con bot này hoạt động real-time, có thể phát hiện các chuỗi ký tự dạng khóa bảo mật (ví dụ: sk-... của OpenAI hay AKIA... của AWS) chỉ trong vài giây sau khi bạn push code lên thôi
```
Ví dụ về đoạn code "tự sát" mà AI thường gợi ý
openai.api_key = "sk-proj-123456789..."
```
Theo các báo cáo bảo mật gần đây, số vụ lộ thông tin bí mật (secrets sprawl) trên các nền tảng công cộng đã tăng vọt, tỷ lệ thuận với cái boom của Generative AI luôn. Hậu quả là gì? Tài nguyên đám mây của bạn bị chiếm đoạt để đào coin hoặc chạy các tác vụ AI siêu tốn tiền, gây thiệt hại tài chính trực tiếp mà không cần phải lừa đảo gì phức tạp cả
Nghề mới nổi: "Chuyên gia dọn rác code"
Ngoài chuyện bảo mật, Vibe Coding còn đang tạo ra những thay đổi thú vị trong thị trường lao động ngành IT. Oleg Boguslavskyi, một chuyên gia trong ngành, mới đây đã đưa ra nhận định về việc xuất hiện vai trò mới toanh: "Vibe Code Cleanup Specialist" (Chuyên gia dọn dẹp mã nguồn Vibe). Lý do là vì code do AI tạo ra từ những người thiếu kiến thức nền thường gặp vấn đề về cấu trúc (spaghetti code), khó maintain và chứa đầy nợ kỹ thuật (technical debt).
Nguồn: genk.vn