Chia sẻ này bắt nguồn từ một bình luận mà mình vô tình thấy trên facebook, nói đại khái rằng trong tương lai thì source code do AI Agent tạo ra sẽ ngày một nhiều và khả năng sẽ có nhiều vấn đề về bảo mật hơn. Sẵn tiện bàn về chất lượng code của AI Agent nên mình mạo muội chia sẻ một số quan sát của bản thân về chủ đề này.
Trước tiên, Tuấn sẽ dẫn bạn đến một chủ đề khá là không liên quan đến AI, đó là … lý thuyết ràng buộc (Theory of Constraints – TOC). Lý thuyết này diễn dịch ra một cách nhà quê là trong một dây chuyền sản xuất (ví dụ sản xuất hàng hoá, sản xuất phần mềm, dịch vụ..), thì sức mạnh của dây chuyển đó bằng với sức mạnh của mắc xích yếu nhất.
Hồi xưa lúc tập tành nghiên cứu về bảo mật thì lý thuyết này nó thể hiện rất rõ nét và hầu hết sách nào cũng đề cập, khả năng bảo mật của hệ thống chính là bằng khả năng bảo mật ở nơi yếu nhất trong hệ thống đó. Do đó, việc luôn theo dõi và phát hiện nơi yếu nhất cũng như cải tiến nơi yếu nhất sẽ giúp cải thiện sức mạnh, năng lực của toàn bộ hệ thống.
Quay lại AI Agent, mình đánh giá chất lượng code của nó tạo ra sẽ dựa trên những gì nó được huấn luyện (training) từ model của nhà cung cấp và học hỏi (learning) từ code của dự án hiện tại mà bạn muốn nó học và làm theo. Nếu nói code nó tạo ra là shit, thì bản thân cái thứ bạn đem đi dạy dỗ nó có thể đã có vấn đề và cần tập trung vào đó sẽ đem lại hiệu quả hơn.
Do đó, trước khi đánh giá AI Agent tạo ra code dỏm, nên tập trung vào bạn đã đem cái gì đi dạy dỗ nó, và bạn đã thực sự dạy dỗ nó như một người sẽ là truyền nhân của mình hay chưa.
Trong tương lai gần, ngoài việc các model được training từ tập source code public, đáp ứng các tiêu chí bảo mật (ví dụ OWASP) thì nó sẽ dựa vào cách bạn dạy dỗ nó. Một cách gần gũi nhất là thay vì kêu nó học code của bất kì lập trình viên nào trong team, thì có thể kêu nó học từ các commit của những lão làng (sernior) của công ty để đảm bảo chất lượng.
Ngoài ra, các AI Agent trong tương lai sẽ hoàn toàn phát hiện được những “yếu kém” trong code của bạn bởi các tool bảo mật, Automated testing đã đạt được tới trình độ này rồi.