Vibe Coding Production Kit: Quy trình sản xuất chuẩn cho các AI coding agent

Giấy phép MIT

Làn sóng vibe coding — để AI viết phần lớn mã nguồn dựa trên mô tả ngôn ngữ tự nhiên — đang ngày càng phổ biến trong cộng đồng lập trình. Tuy nhiên, phần lớn các quy trình hiện tại chỉ tập trung vào việc làm sao để bản demo đầu tiên chạy được, mà bỏ qua những gì xảy ra sau đó: tính năng thứ 100, lập trình viên thứ hai, sự cố production, đánh giá bảo mật hay bảo trì suốt nhiều năm.

Vibe Coding Production Kit (VCP) ra đời để giải quyết đúng khoảng trống đó. Đây là một hệ điều hành hướng production và CLI không phụ thuộc runtime, biến vibe coding thành một vòng đời kỹ thuật có thể lặp lại, xoay quanh đặc tả, kiến trúc, tác vụ có giới hạn, quy tắc agent gắn với repository, cổng kiểm tra sẵn sàng, bảo mật, bằng chứng xác minh, đánh giá độc lập, cập nhật an toàn và khả năng phục hồi.

Nguyên tắc cốt lõi

Triết lý của VCP được tóm gọn trong một câu:

Đừng yêu cầu AI xây dựng dự án của bạn. Hãy xây dựng một hệ thống khiến AI khó có thể xây dựng dự án của bạn một cách sai lầm.

Con người nắm giữ ý định, đánh đổi, kiến trúc, chấp nhận rủi ro và quyết định cuối cùng. AI hỗ trợ nghiên cứu, lập kế hoạch, triển khai, kiểm thử, đánh giá, tài liệu hóa và tự động hóa — nhưng trong những ràng buộc rõ ràng.

Vì sao VCP khác biệt

Bảng so sánh dưới đây cho thấy sự khác biệt căn bản giữa vibe coding thông thường và VCP:

Vibe coding thông thường	Vibe Coding Production Kit
Prompt là nguồn chân lý	Tài liệu trong repository là nguồn chân lý
Yêu cầu lớn kiểu "xây app này đi"	Hợp đồng tác vụ nhỏ, có giới hạn
Agent bắt tay vào code ngay	Có cổng sẵn sàng và kế hoạch trước khi code
"Test chắc là pass"	Bằng chứng xác minh đã thực thi
Cùng một agent vừa code vừa chấm điểm	Quy trình đánh giá độc lập
Sao chép template một lần	Trạng thái vòng đời có phiên bản + cập nhật an toàn
Ghi đè/cài lại để nâng cấp	Baseline, merge, migration, rollback
Hy vọng production ổn	Tư duy bảo mật, quan sát, phát hành và phục hồi

Cài đặt trong 60 giây

VCP chạy trực tiếp qua npm, không cần cài đặt toàn cục:

npx vibe-coding-production init . --agent all --stack auto --yes

Hoặc nhắm đến một repository khác:

npx vibe-coding-production init ./my-app --agent claude --stack auto --yes

Bạn cũng có thể xem trước mà không ghi file:

npx vibe-coding-production init . --agent all --stack auto --dry-run

CLI yêu cầu Node.js 22 trở lên, không có phụ thuộc runtime, và chỉ tự động nhận diện TypeScript, Python hay Go khi có bằng chứng trong repository hỗ trợ quyết định đó.

Phiên bản trên npm

Quy trình làm việc hằng ngày

VCP định hình một vòng lặp rõ ràng:

• init — khởi tạo hệ thống trong repository
• task — tạo hợp đồng tác vụ có giới hạn
• ready --stage plan — cổng sẵn sàng cho giai đoạn lập kế hoạch
• context --mode plan — xây dựng gói ngữ cảnh cho AI
• plan — lập kế hoạch mà không chỉnh sửa mã
• ready --stage implement — cổng sẵn sàng cho giai đoạn triển khai
• implement — triển khai trong phạm vi giới hạn
• verify — xác minh với bằng chứng cụ thể
• đánh giá độc lập — review bởi tác nhân khác
• doctor — kiểm tra sức khỏe repository
• release / observe — phát hành và quan sát

Khi có phiên bản VCP mới hơn, quy trình cập nhật cũng được kiểm soát chặt chẽ: update --check → update --dry-run → xử lý xung đột nếu có → update → doctor.

Cập nhật vòng đời an toàn

Một trong những điểm mạnh đáng chú ý nhất của VCP là cơ chế cập nhật vòng đời an toàn ở phiên bản 0.9. Lệnh vcp init tạo file .vcp/manifest.json cùng các ảnh chụp baseline lâu dài. Một khi repository đã được khởi tạo, VCP sẽ từ chối ghi đè trạng thái vòng đời bằng init --force; mọi nâng cấp phải đi qua công cụ cập nhật.

Công cụ cập nhật sử dụng nhiều lớp bảo vệ:

• Hash baseline và ảnh chụp lâu dài
• Chính sách sở hữu cho file được quản lý, sinh tự động và giữ nguyên
• Merge ba chiều có giới hạn cho các chỉnh sửa độc lập
• Báo CONFLICT rõ ràng thay vì đoán khi có chồng lấn
• Khai báo migration có phiên bản cho việc đổi tên hoặc loại bỏ
• Khóa vòng đời trước khi lập kế hoạch và thay đổi
• Bảo vệ chống path traversal và symlink
• Trạng thái giao dịch, sao lưu, xác minh sau khi áp dụng và tự động rollback

Đây là điểm khác biệt rõ rệt so với cách tiếp cận "ghi đè để nâng cấp" thường thấy ở các template kit.

Kiểm tra dự án hiện có

Lệnh doctor ở chế độ chỉ đọc sẽ kiểm tra xem hệ thống kỹ thuật có thực sự được cấu hình hay không — chứ không chỉ được sao chép:

npx vibe-coding-production doctor .

Công cụ báo cáo các phát hiện PASS / WARN / FAIL cụ thể cho: hướng dẫn agent, lệnh xác minh chưa giải quyết, tài liệu nguồn chân lý, template chưa chỉnh sửa, CI, quy trình plan/review, tính tương thích manifest, tính toàn vẹn baseline và các giao dịch cập nhật bị gián đoạn.

Sử dụng --json cho tự động hóa hoặc --strict để biến cảnh báo thành mã lỗi khác 0.

Tác vụ có giới hạn trước khi code

Trước khi viết bất kỳ dòng mã nào, VCP yêu cầu tạo một hợp đồng tác vụ:

npx vibe-coding-production task accept-invite --title "Accept invitation"

Trình sinh tác vụ sẽ tạo file docs/tasks/accept-invite.md với các liên kết nguồn chân lý, tiêu chí chấp nhận, ranh giới phạm vi, câu hỏi bảo mật/quyền riêng tư, các chế độ thất bại, khả năng quan sát, kiểm thử, rollout/recovery, kế hoạch triển khai, kiểm tra đánh giá và các lệnh xác minh thực tế đã cấu hình trong AGENTS.md.

Cổng kiểm tra sẵn sàng

VCP tách biệt hai cổng sẵn sàng:

vcp ready accept-invite --stage plan
vcp ready accept-invite --stage implement

Cổng lập kế hoạch yêu cầu một kết quả thực sự, nguồn chân lý có thể giải quyết, tiêu chí chấp nhận cụ thể và phạm vi rõ ràng. Cổng triển khai còn đòi hỏi thêm ranh giới kiến trúc/dữ liệu/tích hợp đã giải quyết, bất biến domain, bảo mật/quyền riêng tư, chế độ thất bại, khả năng quan sát, kiểm thử, rollout/recovery và một kế hoạch triển khai cụ thể.

Từ "tôi đã chạy test" đến bằng chứng thực sự

Thay vì tin vào lời khai của agent, VCP yêu cầu bằng chứng xác minh:

vcp verify accept-invite

Việc thực thi yêu cầu sự đồng ý rõ ràng và một tác vụ đã sẵn sàng triển khai:

vcp verify accept-invite --run \
  --output .vcp/evidence/accept-invite.json

Các lệnh chạy tuần tự và dừng lại ngay khi gặp lỗi đầu tiên. Bằng chứng ghi lại lệnh, trạng thái, mã thoát, tín hiệu, trạng thái timeout và thời lượng — trong khi stdout/stderr thô mặc định không được lưu lại để bảo vệ quyền riêng tư.

Số sao GitHub

Dự án tham chiếu hoàn chỉnh

VCP cung cấp một dự án tham chiếu tại examples/reference-saas-invite/ để minh họa quy trình bằng các sản phẩm kỹ thuật cụ thể thay vì template trống.

Dự án này mô hình hóa một vertical slice mời thành viên đa tenant nhạy cảm về bảo mật, bao gồm:

• Các sản phẩm về product/domain/architecture/data đã hoàn thiện
• ADR (Architecture Decision Record)
• Threat model
• Chiến lược kiểm thử
• Tác vụ có giới hạn
• Mã nguồn phân lớp
• Các bài test đường âm cho phân quyền, ranh giới tenant, băm token, hết hạn, chống replay và ràng buộc email

Đáng chú ý, dự án mẫu ghi rõ những gì còn chưa được chứng minh đối với hạ tầng production thực tế, thay vì gọi một bản demo là "sẵn sàng production".

Những gì bạn nhận được

• AGENTS.md — quy tắc toàn repository cho các coding agent
• Template sản phẩm — product brief, PRD, luồng người dùng, tiêu chí chấp nhận
• Template kiến trúc — domain model, thiết kế hệ thống, data model, ADR
• Template bảo mật — threat modeling trước khi triển khai
• Chiến lược kiểm thử — khung quyết định unit/integration/contract/E2E
• Hệ thống phân phối — Definition of Ready, Definition of Done, checklist tác vụ/release
• vcp task — hợp đồng tác vụ gắn với repository
• vcp ready — cổng sẵn sàng tách biệt cho plan/implement
• vcp context — gói ngữ cảnh AI theo từng giai đoạn
• vcp verify — thực thi rõ ràng và bằng chứng xác minh
• vcp doctor — kiểm tra sức khỏe repository mà không có điểm số "ma thuật" gây hiểu lầm
• vcp update — cập nhật an toàn nhận biết vòng đời với merge/migration/recovery

Những điều không thể thương lượng

VCP đặt ra các nguyên tắc cứng:

• Đặc tả trước khi triển khai
• Quyết định kiến trúc phải được ghi lại, không chôn vùi trong lịch sử chat
• Không có tác vụ agent lớn, không giới hạn
• Dữ liệu đầu vào bên ngoài phải được xác thực tại ranh giới tin cậy
• Phân quyền phía server và theo tài nguyên cụ thể
• Thay đổi schema dùng migration được đánh giá và có tư duy rollback
• Kiểm thử đi kèm hành vi, không trì hoãn đến cuối
• Người xây dựng không phải là người đánh giá duy nhất
• CI là nguồn chân lý cơ học khi có sẵn
• Production phải có khả năng quan sát và phục hồi
• Nâng cấp vòng đời phải có kế hoạch và có thể đảo ngược; template không được sao chép mù quáng

Kích thước tác vụ gợi ý

Một tác vụ agent tốt thường có: một kết quả chính, tập module ảnh hưởng hẹp, tiêu chí chấp nhận rõ ràng, test đã biết, không refactor không liên quan, và diff đủ nhỏ để con người hiểu được. Nếu một tác vụ cần giải thích dài dòng kiểu "và trong lúc đó thì...", hãy tách nó ra.

Lộ trình phát triển

VCP đang tiếp tục mở rộng với các hạng mục như: profile stack cho mobile, profile monorepo, profile bảo mật cho các lớp ứng dụng phổ biến, tự động hóa review/release nhận biết Git, bộ đánh giá prompt cho coding agent, ví dụ architecture fitness-function, và hệ thống plugin/profile cộng đồng có thể mở rộng.

Dành cho lập trình viên Việt Nam

Với cộng đồng lập trình Việt Nam đang ngày càng sử dụng các công cụ như Cursor, Claude Code hay GitHub Copilot, VCP là một lựa chọn đáng cân nhắc. Công cụ không khóa bạn vào một nhà cung cấp AI nào, chạy nhẹ với Node.js, và — quan trọng hơn — giúp các nhóm nhỏ hoặc startup tại Việt Nam tránh được cái bẫy "demo chạy được nhưng production sụp đổ".

Với giấy phép MIT, bạn có thể dùng VCP trong các dự án cá nhân, thương mại và mã nguồn mở mà không gặp rào cản nào.