Tóm tắt nhanh:
ak-securityquét secret, gói phụ thuộc có lỗ hổng đã biết và mẫu code nguy hiểm, rồi phân tích mối đe doạ theo STRIDE và OWASP Top 10. Báo cáo xếp theo mức độ, sau đó bạn chuyển phần còn lại choak-planhoặc soi sâu phân quyền vớiak-scenario. Mặc định nó không sửa code, không tự viết lại lịch sử git và không tấn công hệ thống đang chạy.
Công khai: mình là maintainer của AgentKit và có quan hệ affiliate: link AgentKit trong bài là link affiliate, mua qua link này bạn được giảm 30%.
Tóm tắt
Dùng khi bạn sắp release, vừa thêm đăng nhập hay thanh toán, hoặc nghi có khoá API lọt vào code. Nó cũng hợp để chạy sau khi ak-predict lo về bảo mật. Không cần khi bạn muốn pentest mạng thật: skill không tấn công hệ thống đang chạy, không giả lập DDoS, không xét bảo mật vật lý hay phần cứng.
flowchart LR
A["Trước release, hoặc ak-predict lo về bảo mật"] --> B["ak-security"]
B --> C["Báo cáo xếp theo mức độ"]
C --> D["ak-security --fix"]
C --> E["ak-plan: xếp Medium, Low vào sprint"]
C --> F["ak-scenario: soi sâu luồng phân quyền"]Mỗi lần chạy, nó trả lời 4 câu:
| Điều | Câu hỏi | Ví dụ |
|---|---|---|
| Phạm vi | Quét chỗ nào? | src/api/ để chỉ soi lớp API. Bỏ trống thì quét cả project, trừ .git/, node_modules/, dist/, vendor/ |
| Chế độ | Cần soi nhanh hay soi kỹ? | --secrets-only để kiểm nhanh khoá lộ trước khi push. Không cờ là audit đầy đủ |
| Mức độ nghiêm trọng | Sửa cái nào trước? | Critical chặn release, High sửa sprint này, Medium sprint sau, Low vào backlog, Info là gợi ý |
| Chỉ báo cáo là mặc định | Nó có tự sửa code không? | Không, trừ khi thêm --fix. Secret luôn được che bằng nhãn kiểu <REDACTED_AWS_KEY> |
Trước khi gán mức độ, nó xác định tài sản cần bảo vệ, ai chạm tới được và ranh giới tin cậy. Tên hàm nghe nguy hiểm chưa đủ thành lỗi, phải có đường khai thác thật. Lưu ý quan trọng nhất: xoá secret khỏi code chưa phải là xong, khoá đã lộ vẫn dùng được nên bạn phải xoay khoá ở nhà cung cấp ngay.
Prompt mẫu cho audit trước release:
/ak-security
Project <tên app> sắp release bản <phiên bản>.
Chỉ báo cáo, chưa sửa gì.| Cờ | Để làm gì | Từ ak |
|---|---|---|
--secrets-only | Chỉ quét secret và thông tin đăng nhập | 2.15.0 |
--deps-only | Chỉ kiểm gói phụ thuộc có CVE | 2.15.0 |
--fix | Sửa các phát hiện đã xác nhận sau khi audit | 1.0.0 |
--red-team | Soi lần lượt từ 4 vai kẻ tấn công | 1.0.0 |
--iterations | Giới hạn tổng số vòng (--iterations N) | 1.0.0 |
Phần dưới đây là bản chi tiết: luồng chạy, 5 tình huống kèm prompt, giải thích từng cờ (dùng khi, nhận lại gì, đi kèm cờ nào), lịch sử thay đổi theo bản ak và các lỗi hay vấp. Bản chi tiết và trang trực quan dành cho subscriber. Agent của bạn cũng tìm được trong đó qua MCP của portal.
Mở khi tài khoản có quyền subscriber
Bài này dành cho subscriber
Khi tài khoản có quyền, toàn bộ bài, bản visual tương tác và lệnh gọi từ agent đều mở.
- Đăng nhập hoặc tạo tài khoản modernEngineerQuyền đọc gắn với email tài khoản.
- Chọn gói trên trang Bảng giáGói 1, 3 hoặc 12 tháng, trả bằng chuyển khoản VietQR. Quyền đọc mở khoảng một phút sau khi tiền về.
- Hoặc nhập mã Facebook subscriberNgười ủng hộ trang qua Facebook nhận mã kích hoạt qua tin nhắn mỗi tháng.
Đã là subscriber? Đăng nhập để đọc.
Dùng bài này trong agent của bạn
Lấy API keyChép đoạn dưới, dán vào Claude Code, Codex hay agent bạn đang dùng. Agent đọc bài rồi đối chiếu với repo đang mở.
Đọc bài "ak-security: soi secret, phụ thuộc và lỗ hổng code" trên modernEngineer rồi áp dụng vào repo này.
1. Gọi tool content_get của MCP server modernengineer với locale "vi", slug "ak-security". Nếu chưa nối MCP server modernengineer, dừng lại và hướng dẫn tôi nối theo https://modernengineer.dev/vi/mcp.
2. Tóm tắt các bước chính của bài, chỉ ra bước nào áp dụng được cho repo này.
3. Đề xuất thay đổi cụ thể và hỏi tôi trước khi sửa file.Nối MCP cho Claude Code (một lần)
claude mcp add --transport http modernengineer \
https://api.modernengineer.dev/mcp \
--header "Authorization: Bearer <API key>"Đọc trọn bài qua MCP cần API key của tài khoản subscriber hoặc đã mua guide này. Không có quyền, agent sẽ chỉ đọc được phần mở đầu.
- Phiên bản
- v1.0.0
- Cập nhật
- 22/10/2026
- Giấy phép
- Bảo lưu mọi quyền
- Slug
- ak-security
