Devin ra mắt Code Scans: quét toàn bộ mã nguồn bằng AI để giải quyết các mục tiêu kỹ thuật lớn

Devin vừa công bố Code Scans, một cách thức mới giúp biến những mục tiêu kỹ thuật rộng lớn thành các cải tiến cụ thể trên toàn bộ mã nguồn. Người dùng chỉ cần mô tả điều mình muốn đạt được, Devin sẽ giúp điều tra xem cần thay đổi những gì, đánh giá các phát hiện và chuyển chúng thành pull request sẵn sàng để review.

Từ mục tiêu rộng đến thay đổi cụ thể

Nhiều tác vụ kỹ thuật bắt đầu bằng một thay đổi cụ thể. Nhưng cũng có những việc bắt đầu từ một kết quả mong muốn:

• Cải thiện SEO
• Giảm chi phí bảo trì
• Giúp ứng dụng biên dịch nhanh hơn

Những mục tiêu này thường nằm mãi trong backlog, bởi riêng bước đầu tiên đã là một dự án đáng kể: rà soát toàn bộ mã nguồn để tìm ra nên bắt đầu từ đâu. Hơn nữa, xác định được cơ hội mới chỉ là một nửa công việc — vẫn phải có người triển khai, và số lượng thay đổi có thể rất nhiều.

Code Scans giải quyết cả hai vấn đề trên.

Kiến trúc Agentic MapReduce và những con số ấn tượng

Được vận hành bởi Agentic MapReduce — kiến trúc từng xây dựng cho Devin Security Swarm — Code Scans chia các cuộc điều tra lớn thành nhiều nhóm tập trung, phân phối chúng cho các agent chạy song song, rồi tổng hợp kết quả thành một báo cáo duy nhất. Sau đó Devin chuyển các phát hiện thành PR sẵn sàng để review.

Các nhóm thử nghiệm Code Scans trước khi ra mắt đã ghi nhận kết quả đáng chú ý:

Code Scans tác động mạnh đến những gì chúng tôi quan tâm nhất: chất lượng phần mềm, sửa lỗi, độ ổn định, hiệu năng và tuân thủ — bao gồm cả bảo mật và quyền riêng tư. Với tỷ lệ merge PR ước tính 96% trên nhiều repo, chúng tôi ước tính đã tiết kiệm hơn 700 giờ kỹ thuật trong khoảng thời gian thử nghiệm ngắn ngủi.

• Tỷ lệ merge PR: 96%
• Giờ kỹ thuật tiết kiệm: hơn 700

Để bắt đầu, người dùng chỉ cần gõ /scan trong webapp Devin.

Bắt đầu từ một mục tiêu, không cần biết trước file nào

Bạn không cần biết phải xem những file nào trước khi bắt đầu quét. Thay vào đó, bạn định nghĩa điều mình đang tìm kiếm, và Devin sẽ cùng bạn chuyển mục tiêu đó thành một cuộc điều tra mã nguồn cụ thể.

Ví dụ:

Tìm mã không dùng đến trong web app của chúng tôi. Loại trừ các file được sinh tự động và file test fixture, đồng thời kiểm tra các tham chiếu gián tiếp trước khi đề xuất xóa.

Bạn cũng có thể đưa vào bộ tiêu chí riêng: chuẩn lập trình của nhóm, checklist về khả năng truy cập (accessibility), hay các yêu cầu cho một đợt migration sắp tới. Devin giúp xác định cần kiểm tra gì, bỏ qua gì và điều gì được coi là một phát hiện.

Sau khi bạn xác nhận phạm vi và thiết lập, Devin chạy điều tra và trả về danh sách phát hiện được sắp xếp theo mức độ ưu tiên. Từ đó, bạn có thể xem bằng chứng, trao đổi kết quả với Devin và yêu cầu mở PR cho những vấn đề bạn muốn xử lý.

Cải thiện thời gian biên dịch Rust: giảm 64%

Đội ngũ đã yêu cầu Code Scans tăng tốc quá trình biên dịch trong repository Dioxus. Devin phát hiện các cơ hội tinh gọn dependency và cấu hình build, trong đó có việc chuyển các tính năng CLI nặng thành dạng opt-in thay vì biên dịch mặc định. Sau khi áp dụng các thay đổi cục bộ, thời gian build debug sạch giảm từ 58,6 giây xuống 21,0 giây — tương đương giảm 64% trên 22 crate thuộc workspace được kiểm tra.

Một số phát hiện tiêu biểu:

• Feature mounted mặc định buộc web-sys/js-sys/wasm-bindgen (và serialize buộc serde) vào mọi renderer không phải web, dù các binding này không thực sự cần thiết.
• Crate nền tảng quá lớn: bảng phần tử/thuộc tính sinh tự động gần như tĩnh được đóng gói cùng logic hay thay đổi, gây tái mở rộng toàn bộ và biên dịch lại downstream.
• Macro builder_constructors! là chi phí biên dịch chiếm ưu thế của crate html, mở rộng 112 phần tử HTML/SVG, mỗi phần tử thành một struct riêng.
• cargo-generate được biên dịch vô điều kiện trong dioxus-cli dù chỉ dùng cho lệnh khởi tạo dx create, kéo theo git2/libgit2-sys (thư viện C gốc) và templating liquid.
• dioxus-ssr khai báo tokio với feature "full" nhưng chỉ dùng đúng một module, chỉ chạm tới tokio::fs và io-util.

Tối ưu SEO: từ 87 lên 92 điểm sức khỏe

Đội ngũ chạy quét các vấn đề SEO trên devin.ai và cognition.com. Công cụ phát hiện 44 vấn đề trên hai repository, và các bản sửa được triển khai trong những ngày sau đó. So sánh kết quả crawl của Ahrefs trước và sau:

• Điểm sức khỏe Ahrefs trên devin.ai tăng từ 87 lên 92.
• Số trang chậm trên devin.ai giảm 73%.
• Tình trạng thiếu alt text cho ảnh trên cognition.com được xử lý triệt để.

Một vài phát hiện cụ thể:

• Hình ảnh Open Graph/JSON-LD dùng đường dẫn tương đối: mọi trang case-study khách hàng đặt og:image, twitter:image và JSON-LD image thành giá trị frontmatter dạng đường dẫn gốc-tương-đối, không có domain và không có dấu gạch chéo đầu — vi phạm yêu cầu URL tuyệt đối của Open Graph và schema.org.
• Chuỗi chuyển hướng hai bước: /resources/university chuyển tới /university rồi mới tới đích bên ngoài, khiến 157 backlink đang hoạt động phải đi qua hai lần 301.
• og:url của trang chủ trỏ về /index không chuẩn tắc, lệch với thẻ canonical.
• Layout terminal thiếu JSON-LD trong khi các layout khác đều có khối SoftwareApplication mặc định.
• Trang sự kiện đã kết thúc vẫn được index với mô tả meta quảng cáo webinar như sắp diễn ra.

Cách Agentic MapReduce hoạt động

Code Scans được xây dựng trên Agentic MapReduce — kiến trúc giúp các cuộc điều tra toàn bộ mã nguồn trở nên khả thi. Nó vận hành theo 4 giai đoạn:

1. Plan (Lập kế hoạch): Devin nghiên cứu repository và định nghĩa các quy tắc nhận diện đoạn mã liên quan đến mục tiêu của bạn — ví dụ các ký hiệu, module và dependency có thể không còn được dùng nữa.
2. Shard (Phân mảnh): Các quy tắc đó chạy khắp mã nguồn, phần mã khớp được chia thành nhiều nhóm tập trung.
3. Map (Xử lý song song): Các agent Devin song song điều tra từng nhóm, đọc mã xung quanh khi cần và báo cáo phát hiện.
4. Reduce (Tổng hợp): Một agent cuối cùng kết hợp các phát hiện, loại bỏ trùng lặp và sắp xếp ưu tiên thành một báo cáo duy nhất.

Cách tiếp cận này giữ ngữ cảnh của mỗi agent luôn tập trung và hướng ngân sách suy luận vào phần mã liên quan thay vì tìm kiếm lặp lại. Kiến trúc cũng đảm bảo tính đầy đủ: mọi nhóm được chọn đều phải được xử lý. Code Scans mang phương pháp này vượt ra ngoài phạm vi bảo mật, áp dụng cho mọi mục tiêu kỹ thuật bạn định nghĩa.

Bạn có thể quét những gì?

Code Scans có thể điều tra nhiều loại câu hỏi kỹ thuật, dựa trên quy ước của chính mã nguồn bạn và các tiêu chí bạn cung cấp:

• Hiệu năng: Tìm đường đi chậm, tính toán dư thừa và cơ hội cache bị bỏ lỡ.
• Truy vấn cơ sở dữ liệu: Phát hiện truy vấn N+1, round trip không cần thiết, đọc không giới hạn và các mẫu truy cập dữ liệu kém hiệu quả.
• Độ phủ kiểm thử: Xác định luồng quan trọng, trường hợp biên và đường thất bại chưa được test.
• Mã chết: Tìm hàm, module, dependency không dùng và feature flag lỗi thời, kèm bằng chứng về những gì có thể xóa an toàn.
• Chất lượng mã: Tìm logic trùng lặp, độ phức tạp không cần thiết và các mẫu vi phạm chuẩn lập trình của nhóm.
• Dọn dẹp: Nhận diện abstraction dư thừa, boilerplate quá nhiều và mã có thể đơn giản hóa mà không đổi hành vi.
• Telemetry: Tìm lỗ hổng trong logging, metrics và tracing khiến lỗi khó chẩn đoán.
• Khả năng truy cập: Tìm nhãn thiếu, tương tác bàn phím hỏng và các khoảng trống so với tiêu chí WCAG bạn chỉ định.
• Tuân thủ: Điều tra việc xử lý dữ liệu nhạy cảm, audit trail và logic lưu trữ theo yêu cầu pháp lý.
• Lập kế hoạch migration: Truy vết dependency, luồng end-to-end và logic nghiệp vụ để lên kế hoạch migration.
• Tối ưu SEO: Tìm vấn đề ở tầng mã ảnh hưởng khả năng hiển thị tìm kiếm, gồm metadata thiếu hoặc trùng lặp, canonical URL sai, chỉ thị index và khoảng trống trong sitemap hay structured data.
• Tiêu chí riêng của bạn: Định nghĩa bất kỳ mẫu nào bạn muốn Devin tìm khắp mã nguồn.

Ý nghĩa với đội ngũ phát triển tại Việt Nam

Với các đội kỹ thuật Việt Nam — đặc biệt những nhóm vừa làm outsource vừa duy trì sản phẩm riêng — những tác vụ như dọn mã chết, tối ưu thời gian build hay rà soát SEO thường bị đẩy xuống cuối danh sách vì không ai có đủ thời gian điều tra. Các công cụ kiểu Code Scans hứa hẹn thu hẹp khoảng cách đó: thay vì dành nhiều ngày rà soát thủ công, đội ngũ có thể nhận một báo cáo có thứ tự ưu tiên và các PR sẵn sàng review chỉ sau vài giờ.

Tất nhiên, tỷ lệ merge 96% là con số do chính nhà phát triển công bố trên tập repository nội bộ, nên các đội nên coi đó là điểm tham chiếu chứ không phải cam kết. Việc review kỹ lưỡng các PR do AI tạo vẫn là bước không thể bỏ qua, nhất là với mã liên quan đến bảo mật và xử lý dữ liệu.

Cách dùng rất đơn giản: gõ /scan trong phiên Devin, mô tả điều bạn muốn điều tra, cùng xây dựng phạm vi rồi bắt đầu tối ưu mã nguồn.