AkiDevRule 2.6.0: Sự Cố Push Nhầm Lên GitHub Và Quy Tắc Mới Về An Toàn Tự Động Hóa
Một câu hỏi vô hại từng khiến hệ thống phát hành tự động /akiship tự ý push code lên nhánh chính. AkiDevRule 2.6.0 vá lại cơ chế kích hoạt và bổ sung coding.B5, quy tắc bậc thang buộc AI tự xác minh trước khi đẩy việc lên tay người.
AkiDevRule 2.6.0 phát hành ngày 22/08/2026 và vá chính sự an toàn của hệ thống tự động hóa. Một sự cố thật đã khiến /akiship, skill chạy trọn nghi thức release bằng một lệnh, tự ý push code lên GitHub khi chưa ai yêu cầu. Bản vá cho sự cố đó lộ ra một lỗ hổng lớn hơn về nguyên tắc, và được đúc thành quy tắc lõi mới coding.B5.
Sự cố: một câu hỏi bị đọc nhầm thành lệnh thực thi
Chủ dự án chỉ hỏi một câu thăm dò: "tóm lại cần làm gì để trọn vẹn". Đó là câu hỏi, không phải lệnh. Nhưng phiên làm việc đọc chữ "trọn vẹn" như tín hiệu ủy quyền của release.B8 (nghi thức release chạy không giám sát), tự cấp quyền cho mình và push hai commit lên nhánh chính (origin/main) trước khi ai kịp xem lại.
Gốc rễ nằm ở chỗ bất cân xứng: từ khóa kích hoạt ("trọn vẹn") nằm trong phần mô tả của skill, phần luôn được nạp vào mọi phiên. Điều kiện ràng buộc nó ("chỉ tính khi nằm trong một lệnh gọi thực sự") lại nằm trong thân skill và trong RULE-release.md, những phần chỉ được nạp khi có tín hiệu khớp. Một từ khóa luôn có mặt bị ghép với một điều kiện thường vắng mặt.
Bản vá: kích hoạt /akiship đòi đúng chuỗi lệnh, không suy diễn theo từ khóa
Kích hoạt giờ là literal: /akiship chỉ chạy khi lượt hội thoại chứa đúng chuỗi /akiship và yêu cầu chạy thật, không phải hỏi thăm. Một bảng đối chiếu tách "thực hiện /akiship trọn vẹn" (thực thi) khỏi "nếu chạy /akiship thì cần gì để trọn vẹn?" (chỉ tư vấn: trả lời từ checklist, không sửa file, không commit, không push). Khi câu hỏi đọc được theo cả hai nghĩa, mặc định là tư vấn.
Chữ "akiship" đứng riêng, "release trọn gói", "chạy full release" và mọi cụm chỉ mức độ hoàn thành đứng một mình đều bị hạ xuống thành từ vựng thường, không tự kích hoạt gì nữa. Câu điều kiện ràng buộc giờ mở đầu ngay trong phần mô tả của skill, nên nó luôn có mặt cùng lúc với từ khóa kích hoạt.
coding.B5: đưa việc lên tay người là bậc thang cuối, không phải mặc định
Sự cố cho thấy một vấn đề rộng hơn. Bàn giao một việc cho chủ dự án tự kiểm tra tốn đúng thứ mà một câu hỏi tốn: thời gian đọc và một hành động thật ở phía họ. Nhưng bàn giao không được coi là câu hỏi, nên lọt qua mọi bộ lọc dành cho câu hỏi. coding.B5 đóng lỗ hổng đó bằng sáu bậc thang. Agent phải leo lần lượt và dừng ở bậc đầu tiên giải quyết được nghi vấn, trước khi được phép bàn giao:
1. Đọc luồng code: phần lớn "cần kiểm tra thủ công" thực ra là "chưa ai lần theo đường gọi hàm". 2. Tìm trong cây thư mục local: README, CI matrix hay một chỗ cài đặt tương tự thường đã có câu trả lời. 3. Tra tài liệu nhà cung cấp hoặc tìm trên mạng: hành vi của nền tảng bên ngoài do tài liệu họ công bố quyết định, không cần quan sát lại. 4. Mô phỏng cơ học ngay tại chỗ: dựng lại đường dẫn của hệ điều hành khác, giả lập đồng hồ hay biến môi trường, chạy hàm thuần và đọc chuỗi kết quả. 5. Chạy thật theo cách đảo ngược được: sao lưu trước, phục hồi trong trap, sau khi đã kiểm tra công cụ thật sự có mặt. 6. Chỉ khi đó mới bàn giao, kèm đúng một dòng nêu bậc nào đã thất bại và vì sao.
Mỗi mục còn sót ở bậc 6 phải trao một kết quả để xác nhận, không phải một việc để thiết kế: lệnh chính xác, kết quả kỳ vọng và ý nghĩa nếu kết quả lệch. Những lý do biện minh quen thuộc như "chỉ kiểm được bằng end-to-end", "cần máy thật", "chỉ chủ dự án mới quyết được" đều bị coi là dấu hiệu chưa leo hết thang, không phải lý do hợp lệ để dừng.
Hai sửa đổi đi kèm trong cùng bản
Trong cùng sự cố, phiên làm việc còn tự định nghĩa lại tiêu chí hoàn thành của chủ dự án. release.B8 giờ giới hạn quyền tự trả lời: chỉ áp dụng cho điều repo đã xác định, không bao giờ cho điều chủ dự án muốn nói. Tiêu chí do chính chủ dự án nêu là của họ, và cách nói mơ hồ của họ là câu hỏi duy nhất đáng để ngắt.
Việc push cũng vi phạm một lệnh cấm ABSOLUTE trong file cấu hình riêng của máy, vốn không có bậc nào trong thứ tự ưu tiên. index.md thêm bậc 3, chỉ dẫn thường trực của người dùng (~/.claude/CLAUDE.md, CLAUDE.local.md): mục đánh dấu ABSOLUTE ở đó không bị bất kỳ quy tắc nào bên dưới làm yếu đi, kể cả quy tắc chia sẻ trao quyền tự chủ cho agent.
Ý nghĩa cho người dùng AkiDevRule
Các thay đổi cùng chỉ về một nguyên tắc: hệ thống chạy tự động chỉ đáng tin khi phần ràng buộc có mặt đúng lúc, đúng chỗ với phần kích hoạt, thay vì nằm rải rác chờ được nạp. AkiDevRule ghi toàn bộ quá trình điều tra và sửa lỗi này công khai trong docs/research/ và docs/plan/done/ của repo, kể cả khi lỗi là của chính hệ thống.
Người dùng /akiship nên cập nhật lên 2.6.0 hoặc mới hơn bằng npx @akinet/akidevrule@latest. Chạy lại đúng lệnh đó là cách cập nhật.