Người muốn vào nhà thì nhìn từ bên ngoài. Họ không quan tâm cửa chính chắc cỡ nào, họ đi vòng quanh nhà tìm chỗ yếu nhất. An toàn thông tin phần lớn là tập làm quen với việc đứng ở bên ngoài nhìn vào ứng dụng của chính mình.

Ở bài trước, Enrichlead và hàm đăng nhập đều có chỗ hở mà người làm ra không thấy, vì họ chỉ nhìn từ bên trong. Bài này là cách nhìn từ bên ngoài, đi qua vài khái niệm nền tảng, và mình sẽ dùng một ứng dụng ghi chú nhỏ xuyên suốt để các khái niệm có chỗ bám.

Tháng 3/2025, người sáng lập Enrichlead, một dịch vụ tìm khách hàng tiềm năng cho đội bán hàng, khoe trên mạng xã hội rằng toàn bộ sản phẩm do Cursor viết, không có dòng nào viết tay. Vài ngày sau khi ra mắt, chính người đó đăng lên: sản phẩm đang bị tấn công. Hạn mức API bị dùng cạn, người dùng vượt qua được gói trả phí, dữ liệu bị tạo lung tung.

Theo các bài phân tích về vụ này, nguyên nhân khá cơ bản. Việc kiểm tra gói trả phí chỉ nằm ở giao diện, nên đổi một giá trị trong trình duyệt là dùng được tính năng trả phí. API key nằm ngay trong JavaScript phía client, ai mở tab Network cũng thấy. Người sáng lập nhờ Cursor sửa tiếp thì theo lời kể, các chỗ khác lại hỏng theo, và sản phẩm đóng cửa.

Điều đáng chú ý là sản phẩm đó chạy ổn khi demo. Không có thông báo lỗi nào, không có gì đỏ trên màn hình. Mọi thứ hoạt động đúng theo cách người làm ra nó thử. Chỉ đến khi người khác thử những điều người làm không nghĩ tới thì mọi chuyện mới lộ ra.

Bài này nói về chuyện đó, và vì sao khi vibe code nhiều thì chuyện đó càng đáng để ý.