PanicLock: nút khẩn cấp tắt Touch ID và khóa máy Mac chỉ bằng một cú click
iOS có kill switch cho Face ID, còn macOS thì không — cho đến khi PanicLock xuất hiện. App Swift mã nguồn mở, MIT-licensed, nằm gọn trên menu bar, tắt Touch ID tức thì để buộc unlock bằng mật khẩu khi cần bảo vệ dữ liệu nhạy cảm ở biên giới hoặc trong tình huống bị ép buộc.
Google đã build một vulnerability scanner và open-source nó: OSV-Scanner
OSV-Scanner của Google quét lockfiles, container images và cả C/C++ vendored code, đối chiếu từng dependency với database OSV.dev. 11+ ecosystem, call analysis loại bỏ alert nhiễu, guided remediation gợi ý version upgrade tối ưu, chạy được offline. Free, Apache-2.0.
Bybit cảnh báo: malware macOS giả mạo Claude Code đang hút sạch ví crypto
Bybit SOC vừa công bố chiến dịch malware đa tầng dùng SEO poisoning + Google Ads để đánh lừa developer tải Claude Code giả, đánh cắp Keychain, Telegram session và 250+ ví crypto trên macOS. Đây là cảnh báo đầu tiên từ một sàn CEX về mối đe dọa mới: AI tool discovery trở thành mặt phẳng tấn công.
SOC 2 Type II cho Engineers: Lộ trình 18 tuần từ zero đến certified
78% enterprise clients yêu cầu SOC 2 Type II trước khi ký hợp đồng - đây không phải paperwork mà là bằng chứng controls thực sự hoạt động. Audit trung bình bao gồm 80 controls, tốn $15,000-$30,000 với 3 tháng observation period cho startup Series A. Guide của Ayobami Adejumo trên freeCodeCamp là lộ trình 18 tuần dùng AWS Lambda + GitHub Actions để tự động hóa evidence collection. Thêm control muộn là clock reset - bẫy phổ biến nhất cần tránh ngay từ đầu.
AI Agents: The Complete Course - P3: Từ prototype đến production
Xây agent ban đầu tốn 20% công sức - production-ready mới tốn 80% còn lại. Chi phí thực tế cho research agent: ~$0.08 mỗi lần chạy, 1.000 lần/ngày tương đương $2.400 mỗi tháng. Gartner: 50% AI agent deployment failures sẽ gây thiệt hại tài chính cho enterprises vào năm 2030. Security cho agent là bảo vệ trước chính hệ thống của bạn.
Dev bị hack qua "phỏng vấn giả": 56 giây mất keychain, crypto, 634 password
Một chiêu social engineering đang quét khắp cộng đồng dev: recruiter giả gửi "coding test" trên Bitbucket, chạy lên là mất sạch keychain, ví crypto, password Chrome. Microsoft gọi campaign này là Contagious Interview - đã tồn tại từ 2022, 197+ npm package độc, quy mô North Korea state-sponsored. Đây là cách nó hoạt động và cách tự bảo vệ.
Google mở mã Magika: model AI nhận diện file type 99% chính xác, 5ms trên CPU
Google vừa open-source Magika — model deep learning 1MB phát hiện 200+ loại file với F1 99%, nhanh 5ms/file chỉ trên CPU. Đang chạy scan hàng trăm tỷ file/tuần trên Gmail, Drive, Safe Browsing và VirusTotal. Version 1.0 vừa ra mắt với engine Rust mới.
Replit Auto-Protect: Bảo vệ app 24/7, tự vá CVE trong lúc bạn ngủ
Replit vừa ra mắt Auto-Protect — lớp giám sát bảo mật luôn-bật, tự quét CVE mới, chuẩn bị sẵn patch đã test, rồi gửi email link 1-click để dev apply. Dành cho solo builder và vibe coder không có team security.
Cloudflare Secrets Store vs Worker Secrets: chọn cái nào cho app của bạn?
Cloudflare có hai cách lưu API key an toàn: Worker secrets (per-script, đơn giản) và Secrets Store beta (account-level, share được giữa Workers và AI Gateway). Bài này so sánh kỹ để bạn biết khi nào dùng cái nào — kèm RBAC, Wrangler commands, và những giới hạn beta đang có.
Chặn Claude Code đọc/sửa .env: 2 cách (Permissions vs Hooks)
Claude Code có thể đọc/ghi mọi file trong project — bao gồm .env chứa API keys. Hai cách chặn: deny permissions trong settings.json (đơn giản nhưng đang có bug) và PreToolUse hooks (linh hoạt, enforce thật). Bài này so sánh và đưa cấu hình copy-paste.