Mục tiêu

Prompt này được thiết kế để hỗ trợ rà soát mã nguồn Python nhằm phát hiện các lỗ hổng bảo mật phổ biến trong ứng dụng, script nội bộ, API, dịch vụ web hoặc công cụ tự động hóa. Kết quả mong muốn không chỉ là danh sách vấn đề, mà còn bao gồm mức độ nghiêm trọng, bối cảnh rủi ro, vị trí nghi ngờ và hướng khắc phục thực tế.

Những vấn đề có thể phát hiện

• Hardcoded secret như API key, token, mật khẩu, khóa truy cập.
• SQL Injection, Command Injection, Path Traversal và các lỗi liên quan đến input không được kiểm soát.
• Sử dụng hàm nguy hiểm như eval, exec, pickle, yaml.load không an toàn.
• Xử lý xác thực, phân quyền, session hoặc token chưa chặt chẽ.
• Ghi log lộ dữ liệu nhạy cảm hoặc cấu hình debug rủi ro.
• Thiếu kiểm tra dữ liệu đầu vào, thiếu escaping, thiếu validate.
• Phụ thuộc thư viện hoặc cách dùng thư viện có thể gây mất an toàn.

Khi nào nên dùng

• Trước khi merge code hoặc phát hành phiên bản mới.
• Khi audit nhanh một module Python do người khác viết.
• Khi cần AI đóng vai trò reviewer bảo mật để bổ sung cho code review thông thường.
• Khi muốn chuẩn hóa báo cáo lỗ hổng theo mức độ ưu tiên và khả năng khắc phục.

Hướng dẫn tùy biến

1. Dán trực tiếp đoạn mã Python cần rà soát vào vị trí được đánh dấu trong prompt.
2. Nếu dự án dùng framework cụ thể như Django, Flask, FastAPI hoặc Celery, hãy nêu rõ để AI đánh giá đúng ngữ cảnh.
3. Có thể yêu cầu AI chỉ tập trung vào một nhóm rủi ro như injection, secret management, auth hoặc deserialization.
4. Nếu muốn đầu ra ngắn gọn, hãy yêu cầu chỉ liệt kê các lỗi mức High và Critical.
5. Nếu muốn đầu ra hành động được ngay, hãy yêu cầu đề xuất bản vá hoặc đoạn mã thay thế an toàn hơn.

Lưu ý

• Kết quả từ AI nên được xem như bước sàng lọc ban đầu, không thay thế pentest hoặc review bảo mật chuyên sâu.
• Nên cung cấp đủ ngữ cảnh về mục đích của đoạn mã để giảm cảnh báo sai.
• Không nên gửi mã chứa dữ liệu nhạy cảm thật nếu đang dùng dịch vụ AI công cộng.
• Hãy kết hợp thêm kiểm tra bằng công cụ SAST, dependency scan và review thủ công để tăng độ tin cậy.