Gần đây luôn có người hỏi tôi: GitHub, báo cáo kiểm toán, nâng cấp đa chữ ký này rốt cuộc nhìn có đáng tin không. Nói thật đừng mong nhìn một cái là biết ngay, trước tiên hãy xem cái đơn giản nhất: GitHub có lâu dài người duy trì không, cập nhật có rõ ràng không, có chăm chỉ phản hồi issue không, đừng kiểu một đêm bỗng nhiên có một đống commit, tác giả còn như biến mất vậy.

Báo cáo kiểm toán cũng đừng quá tin tưởng, có báo cáo ≠ an toàn, trọng điểm là xem nó kiểm tra phiên bản mới nhất chưa, có kết luận “đã sửa / chưa sửa” không, đặc biệt là cách xử lý các lỗ liên quan đến quyền hạn. Có vài dự án ghi rõ nguy hiểm cao nhưng cứ kéo dài không sửa, tôi sẽ âm thầm chặn luôn.

Việc nâng cấp đa chữ ký tôi càng quan tâm hơn: ai có thể nâng cấp, số chìa khóa cần thiết là bao nhiêu, có khóa thời gian không. Ai có thể thay đổi hợp đồng chỉ bằng một cú nhấn, dù là câu chuyện nóng bỏng thế nào tôi cũng cảm thấy hơi lo. Gần đây AI Agent, giao dịch tự động này nọ được quảng cáo rầm rộ, nhưng càng tự động càng dễ giao quyền, an toàn thật sự phải xem kỹ… không thì phút chốc là mất.