Nội dung chính

1. Vụ Lovable: 170 ứng dụng thật bị lộ dữ liệu (đầu 2026)

Chuyện gì xảy ra?

Lovable là nền tảng vibe coding phổ biến — chỉ cần mô tả bằng tiếng Anh, nó tạo ra ứng dụng web hoàn chỉnh trong vài phút. Hàng nghìn startup và doanh nhân đã dùng nó để ra sản phẩm nhanh.

Đầu năm 2026, các nhà nghiên cứu bảo mật phát hiện: hơn 170 ứng dụng đang chạy thật, có người dùng thật, xử lý dữ liệu thật — nhưng toàn bộ database đang để public. Bất kỳ ai có URL đúng đều có thể đọc toàn bộ thông tin người dùng.

Tại sao xảy ra?

Lovable dùng Supabase làm database. Khi AI tạo code, nó không tự động bật tính năng "Row Level Security" — tức kiểm soát ai được xem dữ liệu nào. Code trông hoàn hảo, chạy tốt, nhưng có lỗ hổng ở tầng dưới mà AI không biết và developer không kiểm tra.

Bài học:

AI tạo ra code chạy được — không có nghĩa là code an toàn.

Khi dùng bất kỳ công cụ vibe coding nào, luôn hỏi: "Ai kiểm tra tầng bảo mật phía sau?"

2. Startup SaaS mất $50.000 trong một đêm (giữa 2025)

Chuyện gì xảy ra?

Một founder chia sẻ trên mạng xã hội: anh dùng vibe coding để xây hệ thống quản lý subscription (đăng ký thuê bao). Mọi thứ chạy tốt 3 tháng đầu.

Rồi một đêm, hệ thống bị tấn công:

• Hacker bỏ qua được hệ thống thanh toán (ai cũng có thể dùng tính năng trả phí mà không cần trả tiền)
• API bị gọi liên tục, tiêu hết quota của nhà cung cấp
• Database bị corrupt (hỏng dữ liệu)

Chi phí khắc phục: ~$50.000 gồm tiền phát sinh từ API, chi phí thuê chuyên gia khắc phục, và 3 tháng viết lại hệ thống.

Tại sao xảy ra?

Code AI tạo ra hệ thống đăng nhập và thanh toán trông đúng logic — nhưng thiếu kiểm tra quyền ở nhiều chỗ. Developer không review kỹ vì "AI đã xử lý rồi".

Bài học:

Hệ thống liên quan đến tiền và quyền truy cập cần người có kinh nghiệm kiểm tra — không phải AI, không phải người mới.

3. Con sóng thoái trào: thị trường vibe coding bắt đầu giảm (cuối 2025)

Chuyện gì xảy ra?

Giữa 2025, Barclays (ngân hàng đầu tư lớn) theo dõi lượng traffic vào các nền tảng vibe coding: Vercel v0, Lovable, các công cụ tương tự. Họ thấy một xu hướng rõ ràng: lượng người dùng giảm mạnh sau giai đoạn bùng nổ ban đầu.

Trên các diễn đàn như Reddit và Hacker News (nơi lập trình viên thế giới thảo luận), chủ đề "vibe coding thất bại" và "bỏ vibe coding sau 6 tháng" trở thành trending với hàng trăm nghìn lượt đọc.

Nội dung phổ biến nhất: câu chuyện của những người ship sản phẩm nhanh, rồi mất 6-12 tháng tiếp theo để sửa hậu quả.

Phản ứng của chính Andrej Karpathy (người đặt ra thuật ngữ "vibe coding"):

Tháng 2/2026, ông điều chỉnh quan điểm: "Vibe coding kiểu cũ đã lỗi thời. Lập trình với AI ngày nay đòi hỏi nhiều giám sát và kiểm tra hơn nhiều."

Đây không phải từ chối AI — mà là thừa nhận cách tiếp cận "nhắm mắt trust AI" không bền vững.

4. Bức tranh ở Việt Nam

Cộng đồng lập trình viên Việt đang đi theo đúng vòng tròn này — chỉ chậm hơn thị trường thế giới khoảng 6-12 tháng.

Theo VnExpress và các diễn đàn tech Việt, nhiều startup đang trong giai đoạn đầu hứng khởi: "dùng AI làm xong app trong 2 tuần, ra sản phẩm rồi". Nhưng các vụ sự cố chưa được nói đến nhiều — phần vì xấu hổ, phần vì chưa đủ thời gian để lộ ra.

Dự báo: làn sóng báo cáo sự cố từ startup Việt dùng vibe coding sẽ nổi lên trong 2026-2027 — theo đúng timeline đã xảy ra ở thị trường Mỹ và châu Âu.

Điều này ảnh hưởng gì đến bạn?

Nếu bạn là founder hoặc đang nghĩ đến việc dùng vibe coding để ra sản phẩm nhanh:

3 câu hỏi cần trả lời trước khi ship:

1. "App này có xử lý tiền hoặc dữ liệu cá nhân của khách hàng không?"

→ Nếu có: bắt buộc có người có chuyên môn review phần đó.

1. "Nếu hệ thống bị hack, thiệt hại tối đa là bao nhiêu?"

→ Nếu câu trả lời làm bạn lo lắng: đó là dấu hiệu cần đầu tư vào bảo mật.

1. "Ai trong team hiểu đủ để debug lúc 2 giờ sáng khi hệ thống sập?"

→ Nếu câu trả lời là "không ai": đây là vấn đề cần giải quyết ngay.

Điều này không có nghĩa là đừng dùng vibe coding. Nghĩa là hãy dùng nó đúng chỗ — và biết giới hạn của nó trước khi bị hậu quả dạy.

Timeline vibe coding toàn cầu — Việt Nam đang ở đâu?

Số liệu & thống kê

Sources