Khi AI viết code quá nhanh: Khủng hoảng “Vibe Slop” đang hình thành

Sự mất cân bằng này khiến các nhóm phát triển có thể tích lũy một lượng lớn phần mềm hoạt động được nhưng ít người hiểu rõ bên trong, khiến việc bảo trì ngày càng khó khăn.

Trong cộng đồng mã nguồn mở, nhiều maintainer cũng báo cáo rằng họ đang bị “ngập” bởi các pull request do AI tạo ra. Một số nhà phân tích gọi đây là làn sóng “AI slop”, khi khối lượng đóng góp vượt quá khả năng review của dự án.

Rủi ro bảo mật: Lỗ hổng tăng nhanh

Một trong những lo ngại lớn nhất là an ninh phần mềm.

Các nhà nghiên cứu bảo mật ghi nhận sự gia tăng rõ rệt của lỗ hổng liên quan đến code do AI tạo. Chỉ riêng tháng 3/2026 đã có ít nhất 35 lỗ hổng CVE mới liên quan trực tiếp đến code do AI sinh ra, và con số thực tế có thể cao hơn vì nhiều trường hợp không có dấu vết metadata.

Ngoài ra, nhiều nghiên cứu cho thấy các công cụ AI thường tái tạo các mẫu code không an toàn từ dữ liệu huấn luyện. Khi kiểm tra nhiều mô hình lớn, các nhà nghiên cứu phát hiện khoảng 45% mẫu code được tạo ra chứa các lỗ hổng phổ biến, bao gồm các vấn đề nằm trong danh sách OWASP Top 10.

Một rủi ro khác là rò rỉ thông tin bí mật.

Phân tích các quy trình phát triển thực tế cho thấy:

• commit có hỗ trợ AI làm lộ thông tin xác thực 3,2%
• commit chỉ do con người viết là 1,5%

Tức là cao hơn gấp đôi.

Những bí mật bị lộ có thể bao gồm:

• khóa API
• token OAuth
• mật khẩu
• thông tin cấu hình nhạy cảm

Điều này làm tăng khả năng lỗ hổng và khóa truy cập bị đưa thẳng vào hệ thống production.

Ví dụ OpenClaw: Khi hệ thống AI bị lộ ra Internet

Rủi ro trở nên rõ ràng hơn khi các hệ thống AI agent được triển khai trực tiếp ra Internet.

Nền tảng trợ lý AI mã nguồn mở OpenClaw đã được các nhà nghiên cứu bảo mật nhắc đến như một ví dụ điển hình.

Các cuộc quét Internet phát hiện hàng chục nghìn triển khai OpenClaw có thể truy cập công khai, nhiều hệ thống trong số đó dễ bị chiếm quyền do cấu hình sai hoặc phần mềm lỗi thời.

Một báo cáo cho thấy hơn 21.000 instance OpenClaw đang mở trên Internet, và nhiều hệ thống trong số đó làm lộ:

• khóa API
• token OAuth
• thông tin đăng nhập dạng plaintext

Vấn đề không chỉ nằm ở phần lõi của nền tảng. Khi quét gần 4.000 “skills” (plugin) trong marketplace của hệ sinh thái này, các nhà nghiên cứu phát hiện 283 gói — khoảng 7,1% — có lỗi nghiêm trọng trong cách xử lý thông tin xác thực, có thể làm lộ dữ liệu nhạy cảm.

Điều này cho thấy một rủi ro lớn: nếu các AI agent mạnh được triển khai mà thiếu thực hành bảo mật nghiêm ngặt, chúng có thể trở thành bảng điều khiển công khai cho toàn bộ hệ thống mà chúng tích hợp.

Vì sao kỹ sư lo ngại người dùng thiếu kinh nghiệm

Nhiều lập trình viên nhấn mạnh rằng vấn đề không chỉ nằm ở công cụ, mà ở cách con người sử dụng chúng.

Trong phát triển phần mềm truyền thống, người viết code phải hiểu:

• kiến trúc hệ thống
• phụ thuộc giữa các thư viện
• ranh giới bảo mật

Nhưng với vibe coding, giả định đó bị phá vỡ.

Một người có thể triển khai ứng dụng hoạt động được mà không thực sự hiểu code bên trong. Khi đó họ khó nhận ra:

• lỗ hổng ẩn
• quy trình xác thực không an toàn
• chuỗi phụ thuộc nguy hiểm
• lỗi edge‑case phức tạp

Trong thực tế, nhiều kỹ sư gọi những hệ thống này là “happy‑path software” — phần mềm chỉ hoạt động trong điều kiện lý tưởng nhưng dễ hỏng khi gặp tình huống thực tế.

Chi phí dài hạn: Nợ kỹ thuật tích tụ

Ngay cả khi code do AI tạo ra hoạt động đúng, nó vẫn có thể tạo ra nợ kỹ thuật rất nhanh.

Lý do đơn giản: AI cho phép mỗi lập trình viên tạo ra nhiều code hơn trước đây rất nhiều. Điều đó khiến codebase:

• lớn hơn
• phức tạp hơn
• khó hiểu hơn

Nếu code chứa logic trùng lặp, thiết kế không nhất quán hoặc tài liệu kém, mọi thay đổi trong tương lai sẽ trở nên tốn kém và rủi ro hơn.

Một số chuyên gia an ninh gọi đây là “security debt” — khi lỗ hổng tích tụ nhanh hơn khả năng phát hiện và sửa chữa của tổ chức.

Nói cách khác:

• lợi ích năng suất xuất hiện ngay lập tức
• chi phí bảo trì chỉ xuất hiện sau đó

Một vấn đề tương tự đang xuất hiện trong khoa học

Hiện tượng “tạo ra nhanh – kiểm tra chậm” cũng đang xuất hiện trong nghiên cứu khoa học.

AI ngày càng được dùng để:

• tìm kiếm tài liệu
• đề xuất giả thuyết
• viết bản thảo bài báo
• hỗ trợ phản biện khoa học

Trong một số trường hợp, kết quả khá hứa hẹn. Thí nghiệm cho thấy các mô hình ngôn ngữ có thể tạo ra những giả thuyết khoa học mới có thể kiểm chứng.

Tuy nhiên, các nghiên cứu lớn so sánh ý tưởng của con người và AI cho thấy giả thuyết do AI tạo ra thường kém hiệu quả hơn khi được kiểm chứng thực nghiệm.

Các biên tập viên tạp chí và nhà nghiên cứu cũng bắt đầu lo ngại về khả năng xuất hiện “AI slop” trong học thuật. Một bài xã luận năm 2026 trên tạp chí Science cảnh báo rằng việc sử dụng AI quá mức hoặc không minh bạch trong quá trình viết bài có thể làm suy giảm độ tin cậy của hồ sơ khoa học nếu giám sát không theo kịp.

Điểm nghẽn thật sự: phán đoán của con người

Trong cả kỹ thuật phần mềm lẫn nghiên cứu khoa học, vấn đề cốt lõi giống nhau.

AI đã làm giảm mạnh chi phí tạo ra sản phẩm đầu ra — code, bài báo, giả thuyết, thiết kế.

Nhưng chi phí đánh giá chất lượng của những đầu ra đó vẫn phụ thuộc vào chuyên gia con người.

Khi việc tạo ra nội dung gần như miễn phí nhưng khả năng đánh giá vẫn hạn chế, hệ thống dễ bị “ngập” bởi các sản phẩm có vẻ hợp lý nhưng không đáng tin cậy.

Trong phần mềm, điều này xuất hiện dưới dạng code không an toàn và hệ thống mong manh.

Trong khoa học, nó có thể xuất hiện dưới dạng hàng loạt giả thuyết yếu hoặc bản thảo chất lượng thấp.

Vì vậy, thách thức lớn đối với các tổ chức không chỉ là áp dụng AI — mà là xây dựng quy trình review, bảo mật và quản trị đủ mạnh để làn sóng đầu ra mới này không biến thành một cuộc khủng hoảng “vibe slop.”