🤖 AI sinh code: Tăng tốc… nhưng có mở thêm lỗ hổng bảo mật?

Dec 31, 2025

AI hỗ trợ viết code (như GitHub Copilot, ChatGPT, v.v.) đang giúp đội ngũ phát triển tiết kiệm hàng giờ mỗi tuần. Chỉ cần mô tả yêu cầu, AI có thể sinh ra hàm xử lý, test, thậm chí cả tài liệu.

Nhưng đi kèm tốc độ — là rủi ro bảo mật nếu chúng ta tin tưởng mù quáng.

Table of Contents

⚠️ AI có thể sinh ra code “đúng chức năng nhưng… sai bảo mật”

AI học từ kho code khổng lồ trên Internet. Trong đó, không phải đoạn nào cũng an toàn.

Ví dụ, AI có thể tạo ra code như sau:

# Đăng nhập đơn giản
sql = "SELECT * FROM users WHERE email='" + email + "' AND password='" + pwd + "'"
cursor.execute(sql)

Chạy được — nhưng lại dễ bị SQL Injection.

Phiên bản an toàn hơn phải dùng prepared statements:

sql = "SELECT * FROM users WHERE email=%s AND password=%s"
cursor.execute(sql, (email, pwd))

AI không phải lúc nào cũng phân biệt được “đúng logic” và “đúng bảo mật”.

🔐 Những lỗi bảo mật AI thường vô tình tạo ra

Hard-code secrets (API keys, tokens)
Không kiểm tra phân quyền (IDOR/Broken Access Control)
Bỏ qua validate input
Dùng thuật toán mã hóa lỗi thời (MD5/SHA1)
Cấu hình mặc định không an toàn (CORS, headers, etc.)

Các lỗi này chỉ lộ ra khi review thủ công hoặc scan bảo mật.

🛠️ Cách dùng AI sinh code — nhưng vẫn an toàn

1️⃣ Luôn review code như review của dev khác

AI là “intern” thông minh — không phải senior engineer.

2️⃣ Bắt buộc chạy static scan

( SonarQube, Snyk, Dependabot, CodeQL… )

3️⃣ Viết test cho các case bất thường

Đặc biệt với input từ người dùng.

4️⃣ Không copy-paste mù quáng từ AI

Đặc biệt các đoạn liên quan: auth, thanh toán, dữ liệu nhạy cảm.

5️⃣ Ghi rõ rule nội bộ về bảo mật

Checklist đơn giản giúp team nhất quán.

🎯 Kết luận

AI tăng tốc phát triển, giảm việc lặp lại — nhưng không thay thế được tư duy bảo mật.
Nếu chúng ta kết hợp:

➡️ AI để tăng năng suất
➡️ review + scan để đảm bảo an toàn

thì AI sẽ trở thành trợ lý đắc lực, thay vì nguồn phát sinh rủi ro.

You need to login in order to like this post: click here