Mở GitHub Trending tuần này lên, bạn sẽ thấy một cảnh tượng khá rõ: gần như cả bảng đều là AI agent. Không còn là thời của một thư viện hay framework lẻ tẻ nữa, mà là cuộc đua xem ai dạy agent làm việc giỏi hơn, soi code, làm văn phòng, hay chạy nhiều việc cùng lúc. Dưới đây là 4 cái tên đáng xem nhất, và mọi con số dưới đây đều là số liệu trên trang repo vào tối 26/10, không ước lượng.
Skill kiểm tra bảo mật của Cloudflare: để agent đi soi lỗ hổng thay bạn
Đứng đầu bảng tuần này là security-audit-skill của Cloudflare: 48.021 sao, 2.995 fork, và riêng trong tuần đã tăng thêm 15.072 sao. Con số tăng trong tuần này là thứ đáng chú ý nhất, vì nó cho thấy người ta không chỉ ghé xem cho biết, mà đang mang về dùng thật.
Nói nôm na, đây là một “bộ kịch bản” dạy coding agent cách làm kiểm tra bảo mật một cách bài bản, thay vì hỏi vu vơ “code này có lỗi không?”. Nó chia công việc thành 6 giai đoạn: trinh sát kiến trúc, săn lỗi theo từng mảng đã liệt kê, rồi đưa mỗi nghi vấn cho một agent khác kiểm chứng lại. Điểm đáng chú ý nhất là nguyên tắc “agent tìm ra lỗi không được tự kết luận lỗi đó đúng”: luôn có một agent độc lập khác vào phản biện. Kết quả cuối cùng chia thành 3 loại rõ ràng: đã xác nhận, cần kiểm chứng thêm, và đã bác bỏ.
Cài đặt cũng nhẹ nhàng: một lệnh npx skills add là xong, giấy phép MIT nên dùng thoải mái. Nhưng có hai điểm bạn cần biết trước. Thứ nhất, skill này yêu cầu một môi trường sandbox đủ chặt khi chạy code của dự án cần kiểm tra, nếu không nó sẽ giữ kết quả ở mức “cần kiểm chứng” chứ không dám khẳng định. Thứ hai, chính tài liệu của dự án cũng thừa nhận một lần chạy chỉ tìm được chừng một nửa số lỗi so với chạy nhiều lần cộng lại. Tức là đây là công cụ hỗ trợ người làm bảo mật, không phải nút bấm “quét là sạch”.
Nếu bạn muốn hiểu nhanh phần kiến thức nền cho mảng này, bài Mã Base64 là gì và công cụ băm chuỗi văn bản của Công Cụ Việt là chỗ bắt đầu nhẹ nhàng, trước khi đụng tới kiểm tra bảo mật thật.
Plugin cho dân văn phòng: Claude thành chuyên viên theo từng nghề
Cái tên thứ hai không dành cho lập trình viên, mà dành cho người làm văn phòng: knowledge-work-plugins của Anthropic, với 33.139 sao và 3.652 fork. Bộ này gồm 11 plugin biến Claude thành trợ lý chuyên theo từng nghề: bán hàng, marketing, pháp lý, tài chính, nhân sự, hỗ trợ khách hàng, quản lý sản phẩm… Mỗi plugin đóng gói sẵn kỹ năng, lệnh tắt và cách nối tới Công cụ quen thuộc như Slack, Notion, HubSpot hay Salesforce.
Cách dùng cũng đơn giản: cài marketplace rồi gọi lệnh theo nghề, ví dụ nhóm bán hàng có lệnh chuẩn bị trước cuộc gọi, nhóm tài chính có lệnh đối chiếu sổ sách. Điểm cần tỉnh táo là những plugin này chỉ là điểm khởi đầu chung chung, muốn dùng ngon thì đội của bạn vẫn phải tự điền thuật ngữ, quy trình và công cụ riêng của công ty bạn vào. Ai mong cài xong là có ngay “nhân viên” hiểu hết nội bộ công ty sẽ thất vọng.
Hai cái tên điều phối agent: Opencode và Orca
Hai repo còn lại giải quyết cùng một nỗi đau, theo hai hướng khác nhau: một người thì có quá nhiều agent, làm sao quản lý cho khỏi loạn.
Opencode là coding agent mã nguồn mở với 221.805 sao và 29.664 fork, con số tổng lớn nhất trong 4 cái tên hôm nay. Nó chạy trong terminal, có sẵn hai agent: một agent làm việc toàn quyền và một agent chỉ đọc để phân tích, hỏi ý kiến trước khi chạy lệnh.
Orca thì đi hướng “điều phối viên”: 106.670 sao, 6.730 fork, cho bạn chạy nhiều agent cùng lúc, mỗi agent một worktree riêng để khỏi giẫm chân nhau. Bạn có thể giao cùng một yêu cầu cho nhiều agent, so kết quả rồi chọn bản tốt nhất để hợp nhất. Kèm theo là app mobile để theo dõi agent từ điện thoại, nhận thông báo khi agent làm xong và gửi chỉ đạo tiếp từ xa. Orca dùng được với nhiều agent CLI khác nhau, từ Claude Code, Codex tới OpenCode, và bạn dùng gói đăng ký của chính bạn.
Nhìn chung, Opencode hợp với người viết code muốn một agent duy nhất làm việc sâu trong terminal. Orca hợp với người hay thử nghiệm: muốn so nhiều agent cùng lúc, muốn xem tiến độ trên điện thoại. Cả hai đều miễn phí mã nguồn mở theo giấy phép MIT, nhưng Orca vẫn cần bạn tự có gói đăng ký của các agent kia.
Đọc bảng sao thế nào cho tỉnh táo
Sao GitHub là tín hiệu tốt để phát hiện xu hướng, nhưng không phải thước đo chất lượng tuyệt đối. Một repo tăng 15.000 sao trong tuần có thể vì thật sự hữu ích, cũng có thể vì vừa được nhắc tới ở đâu đó rồi ai cũng ghé bấm sao cho vui. Cách đọc tỉnh táo là xem thêm 3 thứ: fork nhiều hay không (người ta có mang về dùng thật không), commit có đều không, và tài liệu có nói rõ giới hạn của repo không. Cả 4 repo hôm nay đều đạt ở điểm cuối này, tài liệu của chúng nói thẳng chỗ nào chưa làm được, thay vì hứa hẹn mọi thứ.
Một mẹo nhỏ nữa: trước khi cài bất cứ skill hay plugin nào vào máy làm việc, bạn nên thử nó trên một dự án mẫu, không chứa dữ liệu thật.
Vậy nên thử cái nào trước?
Nếu bạn chỉ có một buổi tối để thử, thứ tự gợi ý là thế này: bắt đầu với skill kiểm tra bảo mật của Cloudflare nếu bạn đang giữ một codebase cần rà soát, vì nó cho ra kết quả có cấu trúc rõ ràng nhất. Thử bộ plugin của Anthropic nếu công việc của bạn là văn phòng và bạn đã dùng Claude. Còn Opencode và Orca thì để dành cho lúc bạn muốn nâng cấp hẳn cách làm việc với agent, chứ không nên cài cả hai cùng lúc rồi loạn.
Bạn đang dùng agent nào mỗi ngày? Hãy chia sẻ ở phần bình luận nhé.
Hỏi đáp nhanh
Sao GitHub tăng mạnh trong tuần có nghĩa là repo đó tốt nhất không?
Chưa chắc. Sao tăng mạnh cho thấy nhiều người chú ý và mang về thử, nhưng bạn vẫn nên xem thêm fork, nhịp commit và tài liệu nói rõ giới hạn hay không trước khi tin tưởng.
Skill kiểm tra bảo mật của Cloudflare có thay được chuyên gia bảo mật không?
Không. Nó giúp rà soát có hệ thống và ghi kết quả rõ ràng, nhưng vẫn cần người có chuyên môn chốt hạ, và tài liệu của dự án cũng nói một lần chạy chưa phủ hết lỗi.
Người không viết code có dùng được gì trong danh sách này không?
Có, bộ plugin cho dân văn phòng của Anthropic là dành cho bạn: bán hàng, marketing, pháp lý, tài chính, nhân sự đều có plugin riêng, dùng qua Claude Cowork hoặc Claude Code mà không cần biết lập trình.
