2026-10-31 · bài do máy soạn
GitHub thử nghiệm tường lửa chặn gói npm độc hại trước khi cài đặt
1. Chuyện gì xảy ra
GitHub vừa ra mắt bản thử nghiệm của tính năng tường lửa bảo vệ gói phần mềm npm. Công cụ này kiểm tra thông tin và tập tin tải về để phát hiện mã độc trước khi chúng kịp cài vào máy của bạn. Giải pháp này giúp ngăn chặn nguy cơ khi các trợ lý AI hoặc công cụ tự động tự ý tải thêm thư viện mà chưa được kiểm chứng cẩn thận.
2. Mức nguy hiểm: Vừa
Tính năng mới hiện mở cho nhóm doanh nghiệp, nhưng rủi ro cài nhầm gói thư viện độc hại khi dùng AI lập trình áp dụng cho tất cả mọi người.
3. Bạn có dính không?
- Bạn có thường để trợ lý AI hoặc công cụ tự động cài các gói thư viện npm vào máy không?
- Bạn có đang cài đặt các thư viện npm mới xuất hiện mà chưa kiểm tra độ uy tín không?
- Dự án của bạn có đang chạy trên GitHub Enterprise Cloud không?
Trả lời "có" ở câu nào thì làm tiếp phần dưới cho câu đó.
4. Làm ngay trong 5 phút
Cập nhật thư viện npm có lỗ hổng đã biết
- Mở thư mục dự án và chạy lệnh kiểm tra lỗ hổng 'npm audit' (chỉ đọc, không thay đổi gì).
- Xem mục nào ghi mức High hoặc Critical.
- Nhờ trợ lý AI giải thích từng mục và cập nhật từng thư viện một, thử chạy lại app sau mỗi lần.
Giảm quyền của Agent chạy trên máy bạn
- Xem agent (Claude Code, Cursor...) đang được phép chạy lệnh nào mà không hỏi.
- Tắt chế độ 'cho phép tất cả' nếu bạn đang bật; giữ chế độ hỏi trước với lệnh xoá, cài đặt, gửi dữ liệu.
- Cho agent làm việc trong thư mục dự án, không mở rộng ra cả máy.
Bật cảnh báo lỗ hổng tự động của GitHub
- Vào Settings > Code security của kho và bật Dependabot alerts.
- Mở tab Security > Dependabot xem đang có cảnh báo nào không.
- Xử lý từng cảnh báo mức cao trước.
5. Câu lệnh dán vào Claude hoặc Cursor để tự kiểm
Các câu này chỉ nhờ AI đọc và báo cáo, không tự sửa hay xoá gì.
Cập nhật thư viện npm có lỗ hổng đã biết
Hãy chạy 'npm audit' trong dự án này (chỉ đọc kết quả), rồi giải thích bằng tiếng Việt đời thường những lỗ hổng mức High và Critical: thư viện nào, nguy hiểm thế nào, và cách cập nhật an toàn. Chưa được tự cập nhật khi tôi chưa đồng ý.
Giảm quyền của Agent chạy trên máy bạn
Hãy cho tôi biết cấu hình quyền hiện tại của bạn trong dự án này: bạn được tự chạy loại lệnh nào, loại nào phải hỏi tôi trước. Chỉ báo cáo, không đổi cấu hình.
Bật cảnh báo lỗ hổng tự động của GitHub
Hãy hướng dẫn tôi từng bước bật Dependabot alerts cho kho GitHub của tôi và cách đọc một cảnh báo. Chỉ hướng dẫn, không thay tôi bấm gì.
6. Nguồn gốc
The Hacker News: bài gốc
Bài này tóm tắt và diễn giải lại, không thay thế bài gốc.
Mỗi tuần một thư gom các tin quan trọng nhất, đọc 3 phút.
Xem bản tin sắp có