Tuyên bố gây sốc: AI rẻ tiền thay thế lập trình viên kỳ cựu
Một bài đăng trên mạng xã hội của CEO một khóa học đầu tư trực tuyến tại Việt Nam đã gây chú ý khi ông tự tin tuyên bố chỉ cần trả 500.000 đồng mỗi tháng cho Claude AI là đủ để thay thế một lập trình viên có 5 năm kinh nghiệm với mức lương 30 triệu đồng mỗi tháng. Bài đăng nhanh chóng được chia sẻ rộng rãi, nhưng theo chiều hướng trái ngược với kỳ vọng ban đầu.
Phát hiện lỗ hổng bảo mật chết người
Nhiều lập trình viên sau đó đã kiểm tra trực tiếp website được nhắc tới và phát hiện có thể giành quyền quản trị chỉ bằng vài dòng lệnh gõ trong công cụ DevTools của trình duyệt, mà không cần nhập bất kỳ tài khoản hay mật khẩu nào. Nguyên nhân nằm ở việc toàn bộ logic phân quyền admin được xử lý ngay trên trình duyệt của người dùng, thay vì được máy chủ xác thực lại. Bất kỳ ai mở được công cụ dành cho lập trình viên trên trình duyệt đều có thể tự gán cho mình quyền quản trị.
Không dừng lại ở đó, phần mã nguồn hiển thị công khai của website còn chứa đường dẫn và khóa truy cập cơ sở dữ liệu, danh sách tài khoản quản trị kèm email và mật khẩu, cùng số tài khoản ngân hàng nhận thanh toán. Toàn bộ những thông tin này vốn cần được giữ kín ở phía máy chủ, nhưng lại nằm ngay trong đoạn mã mà bất kỳ ai cũng tải về được khi mở trang web.
Dữ liệu người dùng bị lộ và mất an toàn
Với khóa truy cập bị lộ, một số lập trình viên cho biết đã kết nối thẳng vào cơ sở dữ liệu và xem được danh sách hơn 200 thành viên đã đăng ký khóa học, trong đó mật khẩu người dùng được lưu ở dạng văn bản thường, không qua bước mã hóa. Đây là một trong những nguyên tắc cơ bản nhất khi xây dựng hệ thống lưu trữ tài khoản người dùng. Sự việc đi xa hơn khi một người dùng để lại bình luận cho biết đã xóa toàn bộ bảng dữ liệu của hệ thống. Ảnh chụp màn hình sau đó cho thấy trang quản trị của website trống trơn, kèm thông báo lỗi không tìm thấy bảng dữ liệu đăng ký khóa học.
CEO phản hồi: Bài đăng do AI tạo, website đang khắc phục
Vài ngày sau, vị CEO này đăng bài phản hồi, cho biết bài đăng ban đầu về Claude AI là nội dung do một công cụ tự động tạo và đăng lên mạng xã hội mà chưa qua kiểm duyệt. Ông cũng cho biết website đã ghi nhận hơn 1.000 lượt truy cập có dấu hiệu dò quét kèm địa chỉ IP kể từ sau sự việc, đồng thời thừa nhận hệ thống hiện vẫn đang trong quá trình khắc phục. Trong bài đăng, ông gửi lời xin lỗi và cảm ơn cộng đồng lập trình viên vì những kiến thức bảo mật mà ông cho biết đã học được, ví lượng kiến thức này tương đương một năm tự học bình thường.
Đến thời điểm hiện tại, theo lời vị CEO này, website vẫn tiếp tục bị dò quét và chưa khẳng định đã khắc phục triệt để các lỗ hổng mà cộng đồng lập trình viên đã chỉ ra.
