Cách kiểm tra mã do AI tạo ra khi bạn không biết đọc mã: 7 bước kiểm tra dành cho người không phải lập trình viên năm 2026

AI đã dựng cho bạn một trang web hoặc bot chỉ trong một buổi tối. Mọi thứ đều mở được, các nút hoạt động và có vẻ như dự án đang chạy. Bạn giới thiệu dự án với mọi người — rồi một ngày sau mới phát hiện biểu mẫu thanh toán đã thu tiền nhưng đơn hàng không được ghi nhận. Hoặc cơ sở dữ liệu chứa số điện thoại khách hàng đang mở cho toàn bộ Internet truy cập.

Trước đây, tôi cũng từng phát hành những dự án đầu tiên theo cách đó: những thứ tưởng như hoạt động được lại gây bất ngờ cho người dùng thật. Giờ đây, trước khi giới thiệu bất cứ thứ gì với mọi người, tôi đều kiểm tra dự án bằng cùng một danh sách này. Tôi không đọc dù chỉ một dòng mã trong quá trình kiểm tra — tôi không đến đây vì việc đó, và có lẽ bạn cũng vậy.

Đây không phải là chứng hoang tưởng. Anthropic đã phân tích 400.000 phiên Claude Code: trong bảy tháng, tỷ lệ công việc dành cho việc sửa mã bị lỗi giảm từ 33% xuống 19%. Tỷ lệ đó giảm — nhưng không biến mất. Cứ năm phiên thì vẫn có một phiên là về “sửa những gì AI đã làm hỏng”.

Bản thân việc viết mã không còn là nút thắt nữa. Điều quan trọng lúc này là bạn hiểu nhiệm vụ đến đâu và kiểm tra kết quả tốt thế nào.

Bạn có thể xem thêm tài liệu về cách thiết lập công cụ trong tài liệu Ailoot.

Tại sao cần kiểm tra mã do AI tạo ra nếu nó đã hoạt động?#

AI viết ra mã vượt qua được cái nhìn đầu tiên. Mã chạy, màn hình hiển thị và bản demo trông thuyết phục. Nhưng việc đưa vào sử dụng không cho bạn biết liệu tiền có được tính chính xác hay không, cơ sở dữ liệu của bạn có bị lộ ra bên ngoài hay không, hoặc mọi thứ có sập khi người dùng thứ một trăm xuất hiện hay không.

Các con số cũng xác nhận điều này. Chuẩn đánh giá FrontierCode đã kiểm tra vào tháng 6 năm 2026 xem mã do AI tạo ra sẵn sàng đến đâu cho công việc thực tế mà không cần chỉnh sửa. Ngay cả với các mô hình tốt nhất trong những nhiệm vụ khó nhất, tỷ lệ này cũng chỉ khoảng 13%. Nói cách khác, với các nhiệm vụ nghiêm túc, phần lớn mã do AI tạo ra cần được tinh chỉnh thủ công trước khi bạn có thể tin cậy.

Tin tốt là ai cũng có thể kiểm tra. Đây là kết luận của Anthropic từ chính 400.000 phiên đó:

Lợi thế của bạn so với bất kỳ lập trình viên nào bạn thuê là bạn hiểu nhiệm vụ của mình. Việc kiểm tra cũng dựa trên sự thấu hiểu; bạn không cần đọc mã để làm việc đó. Những bước kiểm tra dưới đây chính là những việc bạn có thể tự làm, không cần rắc rối gì.

Mã do AI tạo ra có thể gặp những vấn đề gì?#

Trước khi kiểm tra, bạn nên biết mình đang tìm gì. Mã do AI tạo ra thường có năm loại vấn đề, và bạn có thể nhận ra cả năm mà không cần đọc mã — chỉ cần quan sát cách dự án hoạt động.

Tiếp theo là bảy bước kiểm tra, theo thứ tự. Bước đầu tiên bắt các lỗi “không hoạt động” và “hoạt động sai”; các bước ở giữa bao quát bảo mật và những điều bịa đặt; các bước cuối cùng là biện pháp bảo vệ trước khi xuất bản. Tốt nhất là thực hiện lần lượt: mỗi bước dựa trên việc hoàn tất bước trước.

Bước kiểm tra 1: Yêu cầu AI giải thích mã bằng ngôn ngữ đơn giản#

Bạn mô tả nhiệm vụ bằng lời. AI chuyển mô tả đó thành mã. Ý nghĩa có thể bị sai lệch giữa hai bước này: AI có thể hiểu bạn theo cách khác, tự ý bổ sung những thứ thay bạn hoặc làm qua loa. Bạn có thể phát hiện sự không khớp mà không cần đọc mã — chỉ cần yêu cầu AI mô tả bằng ngôn ngữ đơn giản những gì nó đã làm.

Giải thích bằng ngôn ngữ đơn giản, không dùng mã, chính xác những gì bạn vừa làm:

đoạn mã này giải quyết nhiệm vụ gì

điều gì sẽ xảy ra khi người dùng nhấp vào nút hoặc gửi biểu mẫu

dữ liệu được lưu ở đâu và ai có quyền truy cập

điều gì có thể bị lỗi và trong tình huống nào

Hãy viết như thể bạn đang giải thích cho người chưa từng lập trình. Nếu có phần nào bạn không chắc là đúng, hãy nói rõ điều đó.

Đọc câu trả lời và so sánh với điều bạn hình dung. Nếu khớp, hãy tiếp tục. Nếu AI “nói vòng vo”, tự rối trong phần giải thích hoặc mô tả thứ khác với yêu cầu của bạn, nghĩa là nó chưa hiểu đầy đủ những gì đã xây dựng. Hãy yêu cầu nó sửa lại kèm lời giải thích rõ hơn thay vì tin ngay vào lời nó nói.

Nhân tiện, nếu AI thường xuyên làm điều khác với yêu cầu của bạn thì vấn đề thường nằm ở cách đặt nhiệm vụ, chứ không phải bản thân mô hình. Tôi có một bài phân tích riêng về lý do Claude không làm điều bạn yêu cầu.

Kiểm tra đầu ra của AI là một phần của kỹ thuật ngữ cảnh: bạn kiểm soát cả những gì đưa vào làm đầu vào cho AI lẫn cách đánh giá kết quả đầu ra.

Bước kiểm tra 2: Thử các tình huống như một người dùng thật#

Bản demo AI luôn đi theo con đường thuận lợi: dữ liệu chính xác, một lần nhấp, mọi thứ đều suôn sẻ. Người dùng thật không hành xử như vậy. Họ mắc lỗi, nhấp nhầm hoặc nhập biểu tượng cảm xúc vào ô điện thoại. Việc của bạn là trải nghiệm dự án như họ.

1. Hoàn thành tình huống chính từ đầu đến cuối

   Làm điều mà dự án được tạo ra để phục vụ: đăng ký, đặt hàng, gửi yêu cầu. Làm đến hết, đừng dừng giữa chừng.

2. Kiểm tra riêng quy trình thanh toán bằng giao dịch thật

   Nếu dự án nhận tiền, hãy tự thanh toán số tiền tối thiểu trong chế độ thử nghiệm. Đảm bảo đơn hàng được tạo, trạng thái thay đổi và email được gửi cho bạn cùng khách hàng. Thanh toán “thành công” nhưng không tạo đơn hàng là lỗi âm thầm rất điển hình.

3. Cố tình làm mọi thứ trục trặc

   Để trống các trường. Nhập chữ vào chỗ yêu cầu số. Nhấp “Gửi” hai lần liên tiếp. Tải lên tệp sai định dạng. Một dự án tốt sẽ lịch sự thông báo “bạn không thể làm vậy”; dự án tệ sẽ bị sập hoặc âm thầm nuốt mất dữ liệu.

4. Mở dự án trên điện thoại

   Một nửa số người dùng sẽ truy cập bằng điện thoại. Kiểm tra xem bố cục có bị vỡ không và các nút tương tự có hoạt động ở đó không.

Gửi cho AI mọi phát hiện trong một danh sách: “Đây là những gì bị lỗi ở các bước này; hãy sửa và giải thích tại sao.” Đừng xử lý từng vấn đề một — hãy gửi cả danh sách để AI nhìn được toàn cảnh và ít có khả năng làm hỏng thứ này trong khi sửa thứ khác.

Bước kiểm tra 3: Hỏi AI về bảo mật — đây là một prompt#

Nút bị hỏng là điều thấy ngay. Lỗ hổng bảo mật thì không: dự án vẫn hoạt động như thể chẳng có gì sai cho đến khi ai đó lợi dụng nó. Các vấn đề thường gặp nhất trong những dự án vibe coding là khóa bí mật được ghi trực tiếp trong mã, cơ sở dữ liệu để lộ ra Internet và biểu mẫu cho phép gửi dữ liệu độc hại. Nếu bạn hỏi thẳng, AI có thể tìm ra tất cả những vấn đề này.

Kiểm tra dự án này để tìm các vấn đề bảo mật và giải thích từng phát hiện bằng ngôn ngữ đơn giản, không dùng thuật ngữ chuyên môn. Hãy rà soát danh sách sau:

Kiểm tra xem có khóa bí mật, mật khẩu hoặc token nào được ghi trực tiếp trong mã hay không. Bí mật riêng chỉ dùng ở server; cấu hình như .env phải loại khỏi Git. .env và .gitignore không ngăn biến frontend/public vào build trình duyệt. Xem JavaScript, source map, HTML và phản hồi mạng thực gửi client, xác minh không có khóa riêng.

Kiểm tra xem cơ sở dữ liệu có bị lộ ra Internet không và ai có quyền truy cập.

Kiểm tra xem dữ liệu đầu vào có thể làm hỏng biểu mẫu không: chèn mã vào truy vấn cơ sở dữ liệu hoặc thêm mã vào các trường văn bản.

Điều gì sẽ xảy ra nếu người dùng gửi dữ liệu độc hại?

Kiểm tra xem có trang nội bộ hoặc bảng quản trị nào bị lộ mà không có mật khẩu hay không.

Với mỗi mục, hãy cho biết có vấn đề hay không, nêu ví dụ rõ ràng về rủi ro và giải thích cách khắc phục. Bắt đầu từ vấn đề nguy hiểm nhất.

Ngoài ra, hãy kiểm tra xem dự án có mù quáng làm theo bất cứ thứ gì nhận được từ bên ngoài hay không. Đây gọi là indirect prompt injection: một lệnh được giấu trong email, bình luận hoặc tệp của người khác, và AI agent làm theo vì nhầm nó là một nhiệm vụ. Nếu dự án đọc dữ liệu bên ngoài rồi hành động dựa trên dữ liệu đó, hãy hỏi AI điều gì sẽ xảy ra nếu dữ liệu chứa một chỉ dẫn ẩn.

Đây là chủ đề chuyên sâu, và một prompt không thể bao quát hết. Nếu dự án xử lý tiền hoặc dữ liệu cá nhân của khách hàng, hãy đọc hướng dẫn riêng về bảo mật trong vibe coding.

Bước kiểm tra 4: AI có bịa ra thư viện hoặc dữ liệu không?#

AI tự tin viết ra những thứ không tồn tại. Nó có thể thêm một thư viện với cái tên nghe có vẻ hợp lý nhưng thực ra không tồn tại. Nó cũng có thể để lại dữ liệu giữ chỗ trong dự án: một sản phẩm tên “Example”, địa chỉ email example@example.com hoặc văn bản lấp chỗ trống thay cho nội dung thật. Những thứ này dễ bị bỏ sót trong bản demo, nhưng với người dùng thật thì vừa đáng xấu hổ vừa khiến dự án bị lỗi.

Bạn có thể phát hiện bằng hai bước. Trước tiên, hỏi thẳng:

Rà soát dự án và kiểm tra một cách trung thực:

Tất cả công cụ và thư viện bên ngoài bạn đã thêm có thực sự tồn tại và cài đặt đúng cách không? Bạn có bịa ra thứ gì không?

Có còn chỗ giữ chỗ, ví dụ hoặc văn bản điền mẫu nào thay vì dữ liệu thật không?

Tất cả liên kết, địa chỉ và thông tin liên hệ trong dự án đều có thật, không phải chỗ giữ chỗ, đúng không?

Liệt kê những gì bạn tìm thấy và đề xuất nội dung thay thế.

Thứ hai, chỉ cần chạy dự án rồi xem qua. Thư viện bịa đặt hầu như luôn gây lỗi khi khởi chạy. Còn các chỗ giữ chỗ thì dễ thấy: nếu trang hiển thị “Product 1” thì nghĩa là bạn chưa thay chúng.

Thư viện bịa đặt còn nguy hiểm theo một cách khác vì kẻ tấn công cố tình đăng ký công cụ bằng những cái tên mà AI thích bịa ra. Cài một thư viện như vậy, và mã của người khác sẽ xâm nhập dự án của bạn. Đó là lý do bạn nên coi trọng câu hỏi “liệu thư viện này có thật không?” — câu hỏi này liên quan trực tiếp đến bảo mật dự án.

Bước kiểm tra 5: Nhờ một mô hình thứ hai kiểm tra mô hình thứ nhất#

AI có một tính xấu: nó hay đồng ý. Hỏi “mọi thứ ổn chứ?” là nó sẽ xác nhận rằng mọi thứ đều ổn vì nó điều chỉnh câu trả lời theo điều nó nghĩ bạn mong đợi. Đây gọi là AI sycophancy, và tôi đã viết riêng về hiện tượng này. Một đối tác trò chuyện như vậy sẽ không đánh giá nghiêm khắc công việc của chính nó.

Giải pháp rất đơn giản: xin ý kiến thứ hai. Mở phiên mới hoặc dùng mô hình khác, rồi đưa dự án cho mô hình đó kiểm tra bằng cùng prompt ở Bước kiểm tra 3, kèm thêm câu: “một AI khác đã viết mã này; hãy tìm điểm yếu của nó.” Mô hình mới không bị ràng buộc với cuộc trò chuyện trước nên có khả năng chỉ ra vấn đề cao hơn.

1. Mở một phiên mới hoặc dùng mô hình khác

   Dùng mô hình thứ hai, hoặc mở cùng mô hình trong một cửa sổ mới không có lịch sử nhiệm vụ.

2. Cung cấp dự án và nêu yêu cầu đúng cách

   Nói rõ: “một AI khác đã viết mã này; nhiệm vụ của bạn là tìm lỗi và rủi ro, không phải khen ngợi.” Cách này hạn chế xu hướng đồng tình.

3. So sánh hai ý kiến

   Nếu cả hai đều đồng ý thì có lẽ họ đúng. Nếu họ không đồng ý, hãy điều tra điểm đó — đó là nơi mọi chuyện trở nên thú vị.

Đây chính là những gì đang diễn ra trong ngành hiện nay: AI viết, AI kiểm tra, còn quyết định cuối cùng vẫn thuộc về con người. Bạn không thể giao trách nhiệm đó cho mô hình — đó là việc của bạn.

Bước kiểm tra 6: Làm thế nào để quay lại nếu một chỉnh sửa làm hỏng thứ gì đó?#

Các bước kiểm tra trong danh sách này thường dẫn đến việc chỉnh sửa, và đôi khi các chỉnh sửa làm hỏng những thứ vốn đang hoạt động. Để tránh biến chuyện đó thành thảm họa, hãy lưu phiên bản đang hoạt động vào git trước mỗi đợt sửa lỗi. Việc này giống như lưu trò chơi: nếu làm hỏng thứ gì đó, hãy tải lại điểm lưu gần nhất.

Bạn không cần đọc mã để làm việc này. Chỉ cần nói với AI: “lưu phiên bản hiện đang hoạt động vào git với nhãn rõ ràng trước khi thay đổi bất cứ thứ gì.” Và nếu mọi thứ rối tung sau khi chỉnh sửa: “khôi phục dự án về phiên bản đã lưu trước đó.”

Nếu git vẫn còn xa lạ với bạn, tôi có hai hướng dẫn: cách quay lại các thay đổi trong Claude Code và cần làm gì nếu AI xóa cơ sở dữ liệu của bạn. Hướng dẫn thứ hai dành cho lúc đã quá muộn để quay lại nhưng bạn vẫn có thể khôi phục dữ liệu.

Bước kiểm tra 7: Cần kiểm tra gì lần cuối trước khi xuất bản?#

Sáu bước kiểm tra đầu tiên nói về những gì mã thực hiện. Bước thứ bảy hỏi dự án đã sẵn sàng tiếp xúc với mọi người chưa. Đây là lúc nhiều người vấp ngã: dự án hoạt động nhưng họ quên chuyển thanh toán từ khóa thử nghiệm sang khóa thực, khiến khách hàng đầu tiên trả tiền “ảo”.

1. Thanh toán: từ thử nghiệm sang thực

   Nếu bạn nhận thanh toán, hãy bảo đảm hệ thống thanh toán đã kết nối khóa thực, không phải khóa thử nghiệm. Thực hiện một khoản thanh toán thật với số tiền tối thiểu rồi tự hoàn tiền cho mình.

2. Thông tin bí mật được lưu đúng chỗ

   Hỏi AI: “Khóa riêng chỉ dùng ở server, .env loại khỏi Git chưa? Build trình duyệt hay phản hồi client thật có chứa khóa riêng qua biến frontend/public hoặc source map không?” Kiểm tệp đã build và phản hồi mạng trình duyệt, không chỉ nguồn .env. Git ignore không giữ giá trị khỏi bundle frontend.

3. Sao lưu dữ liệu

   Đảm bảo cơ sở dữ liệu được tự động lưu ở đâu đó. Nếu dự án chạy trên máy chủ của riêng bạn, tôi giải thích việc xuất bản trong hướng dẫn Coolify.

4. Việc xuất bản hoạt động trên các thiết bị khác

   Mở dự án trên điện thoại bằng một liên kết bên ngoài, không chỉ trên máy tính của bạn. Một thứ hoạt động cục bộ chưa chắc hoạt động sau khi xuất bản.

Làm đủ cả bốn việc, bạn có thể yên tâm giới thiệu dự án với mọi người. Nếu có điều gì chưa ổn, dành nửa giờ lúc này vẫn tốt hơn việc xử lý những khách hàng không hài lòng sau này.

Nếu việc kiểm tra mất quá nhiều thời gian thì có nên cứ tin AI không?#

Tôi hiểu sức cám dỗ đó. Việc kiểm tra có vẻ nhàm chán và “không phải lý do tôi dùng AI”. Nhưng bạn, chứ không phải mô hình, chịu trách nhiệm về kết quả. AI không có danh tiếng để mất và cũng không phải gánh hậu quả: nó tạo mã xong rồi quên luôn. Bạn mới là người phải trả lời khách hàng khi thanh toán của họ không thành công.

Người tạo ra Claude Code có góc nhìn rộng hơn nữa:

Viết mã không còn là nút thắt — AI đã đảm nhận việc đó. Giá trị giờ nằm ở chỗ khác: hiểu nhiệm vụ và kiểm tra kết quả tạo ra. Đó là thế mạnh của bạn — bạn hiểu rõ hơn bất kỳ nhà phát triển bên ngoài nào về kết quả mà khách hàng của mình cần.

Tại sao kiểm tra là một kỹ năng chứ không phải việc làm một lần?#

Bảy bước kiểm tra này là mức tối thiểu để phân biệt “tôi đã ra mắt và hy vọng” với “tôi đã ra mắt và biết nó hoạt động”. Thực hiện các bước này một lần, bạn sẽ phát hiện được phần lớn bất ngờ trước khách hàng.

Từ đó, việc kiểm tra sẽ trở thành thói quen. Cung cấp đúng ngữ cảnh đầu vào cho AI rồi kiểm tra kết quả đầu ra, và mỗi dự án mới sẽ hoàn thành nhanh hơn vì bạn không phải bắt đầu từ đầu.

Xem thêm tài liệu về cách làm việc với công cụ trong tài liệu Ailoot.