Rủi ro của vibe coding: Bảo mật, Technical debt và Code rác – MCNA Technology School

Thuật ngữ Vibe Coding do nhà nghiên cứu Andrej Karpathy khởi xướng từ đầu năm 2025. Khái niệm này nhanh chóng trở thành chuẩn mực phát triển phần mềm toàn ngành.

Đến đầu năm 2026, riêng công cụ Claude Code đã chiếm hơn 4% tổng số commit trên GitHub. Đáng chú ý, khoảng 25% startup thuộc lứa Y Combinator Winter 2025 sử dụng AI để sinh ra hơn 95% mã nguồn của họ.

Tốc độ & Khối lượng AI coding ──► TĂNG NHANH
Chất lượng, Bảo mật & Niềm tin ──► GIẢM MẠNH

Thực tế này tạo ra một khoảng trống quản trị (governance gap). Các doanh nghiệp cần chủ động lấp đầy khoảng trống này trước khi sự cố xảy ra.

Tại MCNA Technology School, chúng tôi nhìn nhận Vibe Coding dưới góc nhìn quản trị toàn diện. Mục tiêu là giúp bạn khai thác tốc độ của AI nhưng vẫn giữ hệ thống an toàn tuyệt đối.

1. Rủi ro 1: Lỗ hổng bảo mật báo động

Một mô hình AI mạnh hơn không đồng nghĩa với mã nguồn an toàn hơn. Dù năng lực giải code (như benchmark HumanEval) liên tục tăng, tỷ lệ đạt chuẩn bảo mật của AI gần như không cải thiện.

Bảng thống kê chỉ số bảo mật thực tế:

3 dạng lỗ hổng phổ biến nhất:

• Cấu hình phân quyền sai: Lỗi CVE-2025-48757 trên công cụ Lovable không tự động bật chính sách kiểm soát truy cập cấp hàng (RLS) trên Supabase.

• Rò rỉ dữ liệu nhạy cảm: Nhiều ứng dụng để lộ API Key và thông tin ngân hàng của người dùng.

• Lập lại lỗi kinh điển: Xuất hiện liên tục các lỗi cơ bản như SQL Injection, XSS và xử lý input không an toàn.

2. Rủi ro 2: Nợ kỹ thuật (Technical Debt) phình to

Nợ kỹ thuật do AI gây ra rất nguy hiểm. Khi con người viết code tắt, họ hiểu lý do và biết cách sửa. Với AI, code có thể chạy đúng nhưng không ai hiểu logic bên trong.

Tác động của Vibe Coding đến mã nguồn:

• Nợ kỹ thuật tổng thể: Tăng 30 – 41%.

• Trùng lặp code (Code duplication): Tăng 48%.

• Tỷ lệ lỗi phát sinh (Bug rate): Tăng 41%.

• Hoạt động tái cấu trúc (Refactoring): Giảm mạnh 60%.

• Tỷ lệ code bị bỏ (Code churn): 41% code AI sinh ra bị sửa hoặc xóa trước khi merge.

Hiện tượng “90 ngày nhìn lại”:

Đúng 90 ngày sau khi ra mắt ứng dụng Vibe Coding, lập trình viên mở một hàm để sửa lỗi nhỏ. Họ phát hiện hàm đó dài hàng trăm dòng, xử lý hỗn loạn nhiều việc (validate, DB, gửi email) và không có ghi chú. Nguyên nhân do AI chỉ tập trung làm đúng yêu cầu tức thời mà bỏ qua kiến trúc dài hạn.

3. Rủi ro 3: Code rác và sự xói mòn kỹ năng

nhóm rủi ro này diễn ra âm ỉ nhưng để lại hậu quả nghiêm trọng:

• Cảm giác hiểu biết giả tạo: Code nhìn có vẻ chạy tốt. Nhưng khi xảy ra sự cố trên môi trường thực tế (Production), không ai biết bắt đầu sửa từ đâu.

• Xói mòn kỹ năng: Việc quen chấp nhận đáp án của AI làm suy giảm khả năng đọc hiểu và tư duy phản biện của lập trình viên.

• Chỉ số Recheck-to-Code Ratio: Thời gian tiết kiệm được nhờ AI cần phải dùng để rà soát bảo mật. Đừng vội vã coi đó là “năng suất tăng thêm”.

4. Khung 6 giải pháp kiểm soát rủi ro (Controlled Enablement)

MCNA tổng hợp 6 nhóm giải pháp giúp doanh nghiệp ứng dụng AI an toàn:

1. Quản trị & Chính sách: Ban hành quy định sử dụng AI rõ ràng cho toàn tổ chức.

2. Phân tách trách nhiệm: Chỉ cho phép AI hoạt động ở môi trường Dev/Test. Tuyệt đối không cấp quyền vào Production.

3. Con người luôn giám sát: Bắt buộc review thủ công trước khi merge các module quan trọng.

4. Kiểm soát tự động: Chạy công cụ quét lỗi (SAST/DAST) cho mọi commit do AI sinh ra.

5. An toàn dữ liệu: Không đưa API key hay mật khẩu vào prompt. Tự động quét rò rỉ secret.

6. Nâng cao nhận thức: Đào tạo lập trình viên kỹ năng đọc hiểu và phản biện code AI.

5. Khuyến nghị hành động theo vai trò

5.1. Dành cho Lập trình viên cá nhân

• Coi code AI sinh ra là bản nháp, không bao giờ merge ngay.

• Rèn luyện kỹ năng phát hiện nhanh các lỗi XSS, Injection.

• Không đưa mật khẩu, khóa API vào prompt.

5.2. Dành cho Trưởng nhóm kỹ thuật (Tech Lead)

• Tạo cổng kiểm soát (Test gate) trước khi chèn các thay đổi lớn.

• Theo dõi chỉ số trùng lặp code và tỷ lệ code bị xóa thay vì chỉ nhìn vào tốc độ.

5.3. Dành cho Lãnh đạo / CISO

• Chỉ định nhóm chịu trách nhiệm quản trị AI tập trung.

• Không cấp quyền trực tiếp vào môi trường sản xuất cho AI.

• Lưu vết (traceability) mã nguồn AI để phục vụ kiểm toán khi cần.

Kết luận

Vibe Coding là xu hướng không thể đảo ngược. Tuy nhiên, sự thành công của bạn phụ thuộc vào khả năng kiểm soát rủi ro. Hãy nâng cao tư duy quản trị chuẩn mực cùng MCNA Technology School ngay hôm nay!

Lưu ý: Các số liệu trong bài viết phản ánh nghiên cứu tính đến tháng 7/2026. Nội dung mang tính định hướng quản trị, không thay thế cho quy trình đánh giá bảo mật (Security Audit) chuyên biệt.