Nguồn: Cloudflare Engineering Tóm tắt Cloudflare công bố một unified inference layer — một API duy nhất để truy cập bất kỳ mô hình AI nào từ bất kỳ provider nào. Vấn đề đặt ra là phần lớn công ty đang dùng trung bình 3.5 mô hình từ nhiều provider khác nhau, nhưng không có provider nào cho cái nhìn tổng quan về chi phí AI. Với agent — vốn chain nhiều inference call — sự cố ở một provider có thể cascade thành hàng loạt lỗi downstream....

Nguồn: Cloudflare Engineering Tóm tắt Cloudflare đã đưa Email Service vào public beta, cung cấp hạ tầng email bidirectional cho các AI agent và ứng dụng hiện đại. Email được xem là interface phổ quát nhất — mọi người đều đã có địa chỉ email, không cần SDK tùy chỉnh — và ngày càng được dùng để tương tác với agent thay vì chỉ cho thông báo. Email Sending cho phép gửi email trực tiếp từ Cloudflare Workers thông qua native binding mà không cần API key hay secrets management....

Nguồn: GitHub Engineering Blog Tóm tắt GitHub đối mặt với một vòng phụ thuộc vòng tròn nghiêm trọng: để deploy GitHub, cần truy cập GitHub, nhưng nếu GitHub bị down thì không thể deploy để sửa nó. Đội kỹ thuật đã nghiên cứu cách phát hiện và ngăn chặn các phụ thuộc vòng tròn này — bao gồm direct dependencies (script deploy tải binary từ GitHub), hidden dependencies (công cụ tự kiểm tra update), và transient dependencies (service gọi qua API tới service khác rồi mới tới GitHub)....

Nguồn: Google Engineering Blog Tóm tắt Google thông báo MaxText, framework training LLM của mình, giờ đây hỗ trợ Supervised Fine-Tuning (SFT) và Reinforcement Learning (RL) trên cấu hình single-host TPU (v5p-8 và v6e-8). Đây là bước tiến quan trọng vì trước đây post-training thường yêu cầu cluster nhiều host, làm tăng chi phí và phức tạp infrastructure đáng kể. SFT trong MaxText tích hợp native với Hugging Face datasets, hỗ trợ load checkpoint từ cả MaxText lẫn Hugging Face (như Gemma 3), và được tối ưu bằng thư viện Tunix — một JAX-based library thiết kế riêng cho post-training efficiency....

Nguồn: aphyr.com Tóm tắt Kyle Kingsbury (aphyr — tác giả của Jepsen, nổi tiếng với database correctness testing) kết thúc loạt bài dài 10 phần về tác động của AI với lời kêu gọi chủ động kháng cự. Bài viết lấy ô tô làm ẩn dụ: không phải “xe hơi có nhanh không” (câu trả lời rõ rồi), mà là “xe hơi đã thay đổi hình dạng của các thành phố ra sao” — từ đó nhìn AI không qua lăng kính tiện lợi mà qua lăng kính tác động cấu trúc lên xã hội....

Nguồn: HashiCorp Blog Tóm tắt (Không thể truy cập nội dung đầy đủ) HashiCorp thảo luận về cách AI agents thay đổi mô hình tin cậy trong hệ thống phân tán. Khi AI agents hoạt động tự chủ — gọi API, truy cập secrets, thực thi code — các mô hình identity và authorization truyền thống không còn đủ. Một agent không giống với một service account thông thường: nó có thể tạo ra thêm các agent khác, thay đổi quyết định dựa trên context, và hành động theo chuỗi dài khó audit....

Nguồn: HashiCorp Blog Tóm tắt (Không thể truy cập nội dung đầy đủ) HashiCorp phát hành Vault Enterprise 2.0, phiên bản nâng cấp lớn của nền tảng quản lý secrets và identity. Vault Enterprise 2.0 hướng đến các tổ chức doanh nghiệp lớn cần quản lý identity security ở quy mô lớn, với khả năng mở rộng và tích hợp tốt hơn cho cả workload truyền thống lẫn AI-native. Phiên bản mới nhấn mạnh vào việc hiện đại hóa kiến trúc identity security — từ static secrets management sang dynamic, short-lived credentials phù hợp với cloud-native và agentic workloads....

Nguồn: Google AI Developer Forum Tóm tắt Một developer đã phát hiện khoản hóa đơn bất ngờ lên đến €54,000 chỉ trong 13 giờ sau khi Firebase browser API key không được cấu hình restriction bị lợi dụng để gọi Gemini APIs. Đây là ví dụ điển hình về rủi ro bảo mật nghiêm trọng khi để lộ API key không được giới hạn trong môi trường client-side (browser). Firebase browser key theo bản chất được thiết kế để expose công khai trong code phía client — đây là điều bình thường và có chủ ý....

Nguồn: antirez.com Tóm tắt Salvatore Sanfilippo (antirez — tác giả của Redis) lập luận rằng phép loại suy “proof of work” không chính xác khi áp dụng vào lĩnh vực an ninh mạng AI. Trong mô hình proof of work (như đào Bitcoin), bên có nhiều tài nguyên tính toán hơn luôn thắng vì bài toán chỉ cần đủ phép thử. Tuy nhiên, việc tìm kiếm lỗ hổng bảo mật trong phần mềm hoàn toàn khác — số lần thử không bao giờ đủ nếu mô hình AI không có đủ “trí tuệ” để hiểu bản chất của vấn đề....

Nguồn: blog.calif.io Tóm tắt Nhóm nghiên cứu tại Calif đã thực hiện một thử nghiệm bảo mật độc đáo: cho OpenAI Codex tự động khai thác một chiếc Samsung Smart TV từ foothold ban đầu là shell bên trong ứng dụng trình duyệt, leo thang đặc quyền lên root. Đây là minh chứng thực tế đầu tiên về khả năng AI tự động thực hiện chuỗi tấn công phức tạp trên phần cứng thật, không chỉ trong môi trường giả lập....

Nguồn: darkbloom.dev Tóm tắt Darkbloom là dự án cho phép chạy private AI inference trên các máy Mac đang idle — tận dụng Apple Silicon (GPU/Neural Engine) để xử lý các yêu cầu AI mà không cần gửi dữ liệu lên cloud. Đây là hướng tiếp cận edge computing cho AI, với trọng tâm là privacy và tận dụng phần cứng sẵn có. Ý tưởng cốt lõi: thay vì gửi queries lên các API providers (OpenAI, Anthropic, Google), người dùng có thể chạy inference locally trên Apple Silicon chip vốn có hiệu năng per-watt rất cao....

Nguồn: Airbnb Engineering Blog Tóm tắt Airbnb Engineering chia sẻ chi tiết về quá trình chuyển đổi pipeline metrics quy mô lớn từ hệ thống StatsD cũ sang OpenTelemetry kết hợp với VictoriaMetrics Agent (vmagent) và Prometheus. Đây là bài viết kỹ thuật chuyên sâu về observability infrastructure cho hệ thống phân tán ở quy mô hàng triệu sự kiện mỗi giây. StatsD là giao thức metrics đã có từ lâu — đơn giản, nhẹ, nhưng thiếu nhiều tính năng cần thiết cho hệ thống hiện đại như tagging linh hoạt, sampling có cấu trúc, và khả năng tích hợp với các hệ thống observability theo chuẩn mở....

Nguồn: github.com/Nightmare-Eclipse/RedSun Tóm tắt RedSun là repository chứa proof-of-concept (PoC) khai thác một lỗ hổng leo thang đặc quyền (privilege escalation) mới được phát hiện trên Windows 10, Windows 11, và Windows Server, ảnh hưởng bởi bản cập nhật tháng 4/2026. Lỗ hổng tận dụng hành vi kỳ lạ của Windows Defender khi phát hiện file độc hại có cloud tag. Cơ chế hoạt động của lỗ hổng có phần trớ trêu: thay vì xóa file độc hại, Windows Defender quyết định ghi lại file đó về đúng vị trí ban đầu (overwrite) sau khi phát hiện cloud tag....

Nguồn: Reuters Legal Docs Tóm tắt Thẩm phán Jed Rakoff tại Tòa án Quận Nam New York đã ra phán quyết quan trọng: các cuộc trò chuyện với AI chatbot không được bảo vệ bởi attorney-client privilege (đặc quyền luật sư-thân chủ). Trong vụ US v. Heppner (2026), tòa án phán quyết rằng dữ liệu từ AI chat có thể được sử dụng làm bằng chứng trong tố tụng hình sự....

Nguồn: OpenAI Blog Tóm tắt OpenAI công bố chương trình hỗ trợ hệ sinh thái phòng thủ mạng (cyber defense ecosystem), bao gồm các khoản grant và hợp tác với các tổ chức bảo mật. Đây là một phần trong nỗ lực của OpenAI nhằm chứng minh rằng AI có thể được sử dụng nhiều hơn cho phòng thủ so với tấn công trong lĩnh vực an ninh mạng. Chương trình hướng đến việc tăng tốc khả năng của các đội ngũ phòng thủ mạng thông qua AI — bao gồm phân tích threat intelligence, phát hiện anomaly, và tự động hóa incident response....

Nguồn: Cal.com Blog Tóm tắt Cal.com — một trong những ứng dụng scheduling open source nổi tiếng nhất — thông báo chuyển sang closed source sau 5 năm hoạt động dưới mô hình mở. Lý do được đưa ra là AI đã thay đổi cơ bản bức tranh bảo mật: các công cụ AI có thể được trỏ vào một codebase mở và quét một cách có hệ thống để tìm vulnerabilities, điều mà trước đây đòi hỏi hacker có kinh nghiệm cao và nhiều thời gian....

Nguồn: DB Pro Blog Tóm tắt Bài viết từ đội ngũ DB Pro đặt ra câu hỏi thực dụng: khi nào thì thực sự cần database? Luận điểm xuất phát từ một sự thật cơ bản — database cũng chỉ là files. SQLite là một file duy nhất, PostgreSQL là một thư mục files với process đứng trước nó. Vì vậy câu hỏi không phải là “dùng files hay không” mà là “dùng files của database hay files của chính mình”....

Nguồn: OpenAI Blog Tóm tắt OpenAI ra mắt các cập nhật lớn cho Agents SDK, tập trung vào việc cung cấp infrastructure chuẩn hóa để xây dựng agents sẵn sàng cho production. Điểm cốt lõi của bản cập nhật là sandbox-aware orchestration: agents có thể chạy trong môi trường được kiểm soát với filesystem, dependencies và tools sẵn có, thay vì developer phải tự ghép nối từng mảnh. Các sandbox provider được hỗ trợ gồm Blaxel, Cloudflare, Daytona, E2B, Modal, Runloop và Vercel....

Nguồn: Palantir Blog Tóm tắt Đội kỹ sư frontend của Palantir chia sẻ giải pháp kỹ thuật cho một vấn đề tưởng chừng đơn giản trong Zodiac — thư viện 3D globe tự xây dựng trên Three.js: rendering chính xác ở vùng cực. Hệ thống map tiling truyền thống (Web Mercator) chia thế giới thành các ô vuông đều nhau theo độ kinh/vĩ, nhưng khi render trên hình cầu 3D, các ô này trở thành những tam giác mỏng hội tụ ở cực, tạo ra hàng nghìn geometry không cần thiết và làm frame rate sụp đổ....

Nguồn: Pinterest Engineering Tóm tắt Đội ngũ Kubernetes platform tại Pinterest đã trải qua cuộc điều tra kéo dài hơn ba tháng để xác định nguyên nhân gốc rễ khiến các Ray training job trên GPU bị crash do mất kết nối mạng. Vấn đề bắt đầu khi đội ML platform báo cáo rằng các distributed training job — thường chạy hàng giờ trên phần cứng GPU đắt tiền — gặp sự cố mạng ngắt quãng, dẫn đến tỉ lệ thành công giảm hơn 25%....