Trang chủ » Blog » Bản tin công nghệ tuần 2 tháng 11/2026: Go 1.27 chính thức có JSON v2, GitHub siết bảo mật Actions và cuộc đua thâu tóm công cụ AI coding

Bản tin công nghệ tuần 2 tháng 11/2026: Go 1.27 chính thức có JSON v2, GitHub siết bảo mật Actions và cuộc đua thâu tóm công cụ AI coding

| Blog

Bản tin công nghệ tuần 2 tháng 11/2026 ghi nhận nhiều chuyển động đáng chú ý trong thế giới lập trình. Từ việc Go 1.27 chính thức đưa JSON v2 vào thư viện chuẩn, GitHub siết chặt bảo mật GitHub Actions, đến làn sóng thâu tóm các startup công cụ AI coding của Meta và OpenAI, những thay đổi này đang tác động trực tiếp đến công việc hằng ngày của lập trình viên.

1. Go 1.27 chính thức đưa encoding/json/v2 vào thư viện chuẩn

Ngày 4/11, nhóm phát triển Go công bố hai gói encoding/json/v2 và encoding/json/jsontext đã ổn định và chính thức có mặt trong Go 1.27, sau một thời gian chạy thử nghiệm sau cờ GOEXPERIMENT.

Gói encoding/json cũ tồn tại nhiều hạn chế từ lâu nhưng không thể sửa trực tiếp vì cam kết tương thích ngược của Go 1. Thay vào đó, nhóm phát triển xây dựng một phiên bản mới với kiến trúc tách làm hai tầng rõ ràng:

encoding/json/v2: Đảm nhận việc ánh xạ giữa dữ liệu JSON và kiểu dữ liệu Go, với API quen thuộc như Marshal, Unmarshal.
encoding/json/jsontext: Xử lý đọc ghi JSON ở cấp token, nơi hỗ trợ streaming dữ liệu lớn.

Cách tách tầng này giúp lập trình viên linh hoạt hơn khi cần xử lý luồng dữ liệu JSON lớn, đồng thời cải thiện tính đúng đắn và hiệu năng so với gói cũ.

Đối với lập trình viên Go, đây là thời điểm phù hợp để tìm hiểu API mới và đánh giá lộ trình chuyển đổi cho các dự án hiện có, đặc biệt là những hệ thống xử lý nhiều dữ liệu JSON.

Nguồn: The Go Blog

2. GitHub chặn mặc định pull_request_target từ 2/12, chạy thử từ 9/11

Ngày 2/11, GitHub thông báo bắt đầu từ 2/12/2026, GitHub Actions sẽ chặn sự kiện pull_request_target theo mặc định trên mọi kho công khai, trừ khi quản trị viên tạo chính sách sự kiện cho phép rõ ràng. Mốc này được lùi lại từ kế hoạch ban đầu là 2/11.

Lý do của thay đổi nằm ở cách pull_request_target hoạt động. Sự kiện này chạy trong ngữ cảnh của kho gốc, có thể nhận GITHUB_TOKEN có quyền ghi và truy cập secrets, kể cả khi pull request đến từ một bản fork. Trong những năm gần đây, đây đã trở thành một hướng tấn công phổ biến vào quy trình CI/CD của các dự án mã nguồn mở.

Trước khi áp dụng chính thức, GitHub sẽ tổ chức hai đợt chạy thử (brownout):

Đợt 1: Ngày 9/11, từ 16:00 đến 18:00 UTC.
Đợt 2: Ngày 16/11, từ 16:00 đến 18:00 UTC.
Áp dụng vĩnh viễn: Từ ngày 2/12/2026.

Trong các đợt chạy thử, workflow bị chặn sẽ tạo ra lượt chạy thất bại kèm thông báo lỗi thay vì được thực thi.

Các maintainer nên rà soát ngay thư mục .github/workflows, chuyển những workflow không cần đặc quyền sang sự kiện pull_request, và chỉ cấp phép rõ ràng cho các trường hợp thật sự cần thiết như gắn nhãn hoặc bình luận tự động trên pull request.

Nguồn: GitHub Changelog

3. Tùy chọn “Don’t ask again” của Claude Code làm lộ mật khẩu và API key trên GitHub

Công ty bảo mật Apiiro vừa công bố nghiên cứu cho thấy tùy chọn “Yes, and don’t ask again” trong Claude Code có thể vô tình khiến thông tin bí mật bị đẩy lên GitHub công khai.

Khi người dùng chọn tùy chọn này, Claude Code lưu một quy tắc cho phép vào tệp .claude/settings.local.json trong dự án. Vấn đề là câu lệnh được lưu nguyên văn, bao gồm cả mật khẩu hoặc API key nếu lập trình viên gõ trực tiếp vào lệnh. Nếu tệp này không được loại trừ khỏi Git, thông tin nhạy cảm sẽ theo đó xuất hiện trên kho công khai.

Kết quả khảo sát của Apiiro trên GitHub cho thấy:

104.185 bản sao của tệp cấu hình này nằm trong 103.617 kho công khai.
1.122 tệp chứa ít nhất một thông tin bí mật.
Phổ biến nhất là token API của các dịch vụ và mật khẩu cơ sở dữ liệu.

Để phòng tránh, Apiiro khuyến nghị lập trình viên kiểm tra xem tệp cấu hình đã bị đẩy lên GitHub hay chưa, sử dụng biến môi trường thay vì ghi mật khẩu trực tiếp trong câu lệnh. Nếu phát hiện rò rỉ, việc xóa tệp là chưa đủ mà cần thu hồi và cấp lại thông tin xác thực, vì dữ liệu vẫn còn trong lịch sử commit.

Đây là lời nhắc quan trọng khi sử dụng các AI coding agent: những tùy chọn giúp tiết kiệm thao tác cũng có thể tạo ra rủi ro bảo mật nếu không được kiểm soát.

Nguồn: The Hacker News

4. Meta thâu tóm Conductor, đẩy mạnh mô hình lập trình đa agent

Ngày 4/11, Meta xác nhận đã mua lại Conductor, startup phát triển nền tảng cho phép lập trình viên chạy nhiều AI coding agent song song trong cùng một dự án. Giá trị thương vụ không được công bố.

Conductor được thành lập năm 2024 và ra mắt sản phẩm chính vào tháng 7/2025. Điểm mạnh của nền tảng này là khả năng điều phối agent từ nhiều nhà cung cấp khác nhau:

Hỗ trợ đa nền tảng: Làm việc với Claude Code, OpenAI Codex, Cursor và OpenCode.
Không gian làm việc riêng: Mỗi agent xử lý tác vụ trong một workspace tách biệt.
Review và merge tập trung: Lập trình viên xem xét và hợp nhất kết quả từ các agent tại một giao diện chung.

Đội ngũ Conductor sẽ gia nhập Meta Superintelligence Labs. Với người dùng hiện tại, ứng dụng local vẫn tiếp tục nhận model mới và bản vá lỗi quan trọng đến đầu năm 2027, sau đó sẽ ngừng hoạt động và dữ liệu người dùng sẽ được xóa.

Thương vụ này cho thấy xu hướng lập trình đang dịch chuyển từ một trợ lý AI duy nhất sang việc phân chia công việc lớn cho nhiều agent cùng xử lý. Đây là kỹ năng mà lập trình viên sẽ ngày càng cần làm quen.

Nguồn: TechCrunch

5. OpenAI mua Pierre Computer để tăng sức mạnh cho Codex

Cùng ngày Meta công bố thương vụ Conductor, OpenAI cũng thông báo sẽ mua lại Pierre Computer Company, công ty đứng sau dịch vụ Code Storage và một loạt công cụ phát triển mã nguồn mở.

Điểm đáng chú ý là các công cụ của Pierre vốn đã có mặt trong sản phẩm của OpenAI. Hai thư viện Trees và Diffs hiện đang phục vụ tính năng duyệt tệp và review thay đổi mã nguồn trong ứng dụng Codex. Sau thương vụ, OpenAI dự định tích hợp thêm Code Storage, một tầng hạ tầng lưu trữ Git, vào Codex.

Mục tiêu của OpenAI là mở rộng khả năng của Codex trong cả ba khâu: xây dựng, hiểu và review mã nguồn. Đây cũng là bước đi giúp OpenAI cạnh tranh trực tiếp hơn với GitHub trong vai trò nền tảng làm việc chính của lập trình viên.

Hai thương vụ diễn ra trong cùng một ngày cho thấy cuộc đua giành quyền kiểm soát công cụ lập trình viên giữa các ông lớn AI đang bước vào giai đoạn tăng tốc. Trước đó vào tháng 6, OpenAI cũng đã công bố kế hoạch mua lại Ona, startup chuyên chạy coding agent trong môi trường sandbox trên đám mây.

Nguồn: OpenAI

6. Anthropic mã nguồn mở FlashProve, xác minh model nào đã trả lời

Ngày 2/11, Anthropic công bố FlashProve, một nguyên mẫu nghiên cứu về “provable inference” (suy luận có thể chứng minh). Công cụ này gắn kèm mỗi phản hồi AI một bằng chứng mật mã, cho phép người dùng xác minh câu trả lời thực sự được tạo ra bởi model đã cam kết.

Vấn đề mà FlashProve giải quyết khá thực tế: khi gửi yêu cầu đến một API AI được lưu trữ trên máy chủ, người dùng không có cách nào chắc chắn model nào đã trả lời. Nhà cung cấp có thể chuyển yêu cầu sang một model rẻ hơn, hoặc máy chủ có thể bị can thiệp mà kết quả vẫn trông hợp lý.

Cơ chế hoạt động gồm hai bước:

Cam kết model: Nhà cung cấp công bố một “dấu vân tay” mật mã đại diện cho bộ trọng số của model, mà không cần tiết lộ trọng số.
Tạo bằng chứng: Với mỗi phản hồi, GPU tạo ra một bằng chứng liên kết câu trả lời với bộ trọng số đó. Bất kỳ ai cũng có thể kiểm tra bằng chứng trên CPU thông thường.

Trong thử nghiệm với Llama 4 Maverick (400 tỷ tham số), một GPU H100 tạo bằng chứng với tốc độ khoảng 110 token mỗi giây, kích thước bằng chứng khoảng 19 MB cho mỗi yêu cầu 1.024 token. Tuy nhiên, chi phí tính toán vẫn cao hơn suy luận thông thường nhiều lần, nên đây vẫn là công trình nghiên cứu chứ chưa sẵn sàng triển khai thực tế.

Toàn bộ mã nguồn, chứng minh hình thức viết bằng Lean và tài liệu kỹ thuật đã được công bố trên GitHub theo giấy phép Apache 2.0.

Nguồn: Anthropic

7. Render ra mắt AI Sandboxes không giới hạn thời gian chạy

Nền tảng đám mây Render vừa ra mắt Sandboxes ở dạng public beta vào ngày 4/11. Đây là các môi trường máy ảo nhẹ (Firecracker microVM), cung cấp cho mỗi AI agent một máy tính Linux riêng biệt để chạy mã và kiểm thử ứng dụng.

Điểm khác biệt lớn nhất của Render Sandboxes là không giới hạn thời gian chạy. Khi không hoạt động trong 15 phút, sandbox sẽ tự tạm dừng và lưu lại snapshot gồm cả bộ nhớ lẫn các tiến trình đang chạy, không chỉ tệp tin. Ở lệnh tiếp theo, sandbox khôi phục đúng trạng thái trước đó và agent có thể làm tiếp công việc dang dở.

So với đối thủ Vercel, khác biệt thể hiện khá rõ:

Vercel Sandbox: Giới hạn mỗi phiên chạy liên tục ở 24 giờ, khi khởi động lại thì tiến trình phải chạy lại từ đầu.
Render Sandboxes: Không giới hạn thời gian, giữ nguyên tệp tin, bộ nhớ và tiến trình khi tạm dừng.

Tính năng này đặc biệt hữu ích với những tác vụ AI kéo dài như migrate một codebase lớn trong nhiều giờ, hoặc để agent kiểm thử toàn bộ ứng dụng. Do vẫn đang ở giai đoạn beta, lập trình viên nên thử nghiệm với dự án mới trước khi chuyển các hệ thống quan trọng sang.

Nguồn: The New Stack

8. Ripple-65B: model mã nguồn mở 65B tham số cho agentic coding

Ngày 4/11, Ricursive Intelligence ra mắt Ripple-65B Preview, một model ngôn ngữ mã nguồn mở được tối ưu cho agentic coding, tức khả năng tự lập kế hoạch, gọi công cụ và thực hiện nhiều bước trong quá trình phát triển phần mềm.

Một số thông số đáng chú ý của Ripple-65B Preview:

Kiến trúc: Transformer dense 65 tỷ tham số, huấn luyện trên 12 nghìn tỷ token.
Hiệu năng: Đạt 80,52 điểm trên TerminalBench 2.1, vượt nhiều model mở lớn hơn gấp nhiều lần.
Chi phí: Tổng chi phí nghiên cứu và huấn luyện khoảng 32 triệu USD, theo công ty là bằng một phần mười các model dẫn đầu trước đó.
Giấy phép: Apache 2.0, cho phép sử dụng thương mại.

Model đã có sẵn trên Hugging Face, Together AI, GMI Cloud và OpenRouter, giúp lập trình viên dễ dàng thử nghiệm hoặc tự triển khai trên hạ tầng riêng.

Tuy nhiên, các kết quả benchmark hiện do chính Ricursive công bố và chưa được kiểm chứng độc lập. Lập trình viên nên tự đánh giá trên dự án thực tế trước khi đưa vào quy trình làm việc.

Nguồn: Ricursive Intelligence

9. GitHub thử nghiệm trang Overview mới cho Pull Request

Ngày 5/11, GitHub giới thiệu trang Overview mới cho pull request ở dạng public preview tự chọn (opt-in), với quá trình triển khai kéo dài qua cuối tuần.

Thay đổi lớn nhất là trạng thái merge và các thao tác khả dụng được đưa lên đầu trang dưới dạng một bản tóm tắt gọn gàng. Lập trình viên có thể nhanh chóng biết pull request đã sẵn sàng để merge hay chưa mà không cần cuộn xuống cuối trang. Phần bình luận cũng được bổ sung bộ lọc theo tất cả, chưa giải quyết hoặc của riêng mình, kèm sắp xếp theo thời gian mới nhất.

GitHub giải thích thay đổi này xuất phát từ khối lượng pull request cần review ngày càng tăng và thời gian cuộn trang tiêu tốn đáng kể. Công ty xem đây là bước đầu tiên trong kế hoạch làm mới toàn bộ trải nghiệm pull request.

Để dùng thử, lập trình viên mở một pull request và chọn nút “Try the Overview page” ở phần đầu trang. Trong giai đoạn preview, người dùng có thể quay lại giao diện cũ bất cứ lúc nào.

Nguồn: GitHub Changelog

10. DreamHost xác nhận bị tấn công kéo dài, lộ thông tin FTP/SFTP

Nhà cung cấp dịch vụ hosting DreamHost vừa xác nhận hệ thống của họ bị tấn công trong khoảng thời gian dài trước khi bị phát hiện.

Theo thông báo của công ty, kẻ tấn công đã khai thác lỗ hổng để xâm nhập máy chủ chạy công cụ quản lý tệp trên nền web files.dreamhost.com. Thông tin bị ảnh hưởng bao gồm:

Thông tin FTP/SFTP: Tên đăng nhập và mật khẩu của người dùng đã đăng nhập vào công cụ này.
Webmail: Thông tin đăng nhập và session token, trong một số trường hợp có thể cho phép truy cập hộp thư.
Thời gian bị xâm nhập: Từ khoảng tháng 8 đến ngày 23/10/2026.

DreamHost cho biết số tài khoản bị ảnh hưởng chiếm chưa đến 10% và đã đặt lại mật khẩu cho một số khách hàng.

Bài học quan trọng cho lập trình viên web là đổi mật khẩu thôi chưa đủ. Vì thông tin FTP cho phép truy cập trực tiếp vào mã nguồn website, cần rà soát lại toàn bộ tệp trên máy chủ để phát hiện mã độc hoặc thay đổi lạ có thể đã được chèn vào trong thời gian kẻ tấn công nắm giữ quyền truy cập.

Nguồn: TechCrunch

Tổng kết: AI agent và bảo mật chuỗi cung ứng phần mềm là hai chủ đề nổi bật

Những tin tức công nghệ trong tuần thứ hai của tháng 11/2026 xoay quanh hai xu hướng lớn.

Thứ nhất, cuộc đua công cụ AI coding đang tăng tốc mạnh mẽ. Meta và OpenAI cùng thâu tóm các startup công cụ lập trình trong một ngày, Render mở rộng hạ tầng cho agent chạy dài hạn, và các model mở như Ripple-65B tiếp tục thu hẹp khoảng cách với những model lớn hơn.

Thứ hai, bảo mật trong quy trình phát triển phần mềm ngày càng được chú trọng. GitHub siết chặt pull_request_target, sự cố rò rỉ secret qua Claude Code và vụ tấn công DreamHost đều cho thấy lập trình viên cần cẩn trọng hơn với thông tin xác thực và cấu hình CI/CD.

Bên cạnh đó, Go 1.27 với JSON v2 là lời nhắc rằng các ngôn ngữ lập trình vẫn không ngừng cải tiến những thành phần nền tảng nhất.

Đừng quên theo dõi Bản tin Công nghệ mỗi tuần để cập nhật nhanh những xu hướng mới nhất về AI, lập trình, điện toán đám mây và phát triển phần mềm.

Xem thêm: