9Router: 26.000 sao, 4 lỗ hổng critical chưa vá và toàn bộ API key của bạn bị lộ

AI router miễn phí hứa tiết kiệm 200 đô/tháng — đổi lại là 9 cảnh báo bảo mật trong 7 tháng, 4 mức critical chưa vá, và một tính năng lõi đã bị Anthropic cấm kèm ban tài khoản.

Một AI router miễn phí giúp bạn tiết kiệm 200 đô mỗi tháng không hề miễn phí, nếu nó làm lộ toàn bộ API key bạn đang có. 9Router — 26.096 sao trên GitHub, giấy phép MIT, cài bằng đúng một dòng npm — đã tích luỹ chín cảnh báo bảo mật công bố trong bảy tháng, bốn cái ở mức critical, và vài cái đến hôm nay vẫn chưa có bản vá. Tệ hơn, tính năng lõi của nó (định tuyến Claude Code và Codex qua gói subscription cá nhân) chính xác là hành vi mà Anthropic đã cấm và bắt đầu khoá tài khoản từ đầu năm 2026.

Tôi dành một ngày để thẩm định 9Router và người anh em codex-lb cho chính agency của mình. Đây là những gì tôi tìm thấy, và vì sao một cái là "không, dứt khoát" còn cái kia chỉ là "có thể, trong phạm vi rất hẹp".

"AI router" là gì và vì sao ai cũng đang cài?

Lời chào hàng thật sự hấp dẫn. Bạn đã trả tiền cho Claude Pro, ChatGPT Plus, có thể cả GitHub Copilot. Cái nào cũng đụng rate limit đúng vào lúc bất tiện nhất. Cái nào cũng để lại quota chưa dùng hết vào cuối tháng.

AI router nằm giữa công cụ code của bạn và mọi nhà cung cấp bạn có quyền truy cập. Nó mở một endpoint OpenAI-compatible trên localhost, và khi một provider hết quota thì tự động chuyển sang cái kế tiếp. 9Router gọi đây là fallback 3 tầng:

Nó còn có RTK Token Saver, nén output của tool — git diff, grep, danh sách file — trước khi đưa vào context của model. Dự án tuyên bố tiết kiệm 20–40% input token (trang chủ ghi 20–65% khi cộng thêm bộ nén tên Caveman). Ý tưởng này thật sự hay, và chưa có ai ngoài dự án đo kiểm chứng độc lập.

Bản thân 9Router miễn phí hoàn toàn. Không có bản hosted, không có gói trả phí. Đó không phải điểm cộng. Đó là một câu hỏi chưa ai trả lời công khai.

Hồ sơ bảo mật: chín cảnh báo trong bảy tháng

Repo được tạo ngày 05/01/2026. Truy vấn GitHub Advisory Database cho package npm 9router ngày 23/08/2026 trả về chín mục:

Ngoài ra, Pentest-Tools ghi nhận 9Router chấp nhận mật khẩu mặc định 123456 khi người dùng chưa đặt mật khẩu, và cấp session 24 giờ thật — kể cả khi đăng nhập từ xa.

Hãy đọc lại bảng trên với một sự thật trong đầu: đây là phần mềm đang giữ toàn bộ OAuth token và API key của bạn, trong một file SQLite trên máy. Năm trong số các lỗ hổng đó cho phép người lạ không cần đăng nhập đọc hoặc ghi đè file ấy, và một cái cho họ chạy lệnh tuỳ ý dưới quyền user của bạn.

Lập luận phản biện thường gặp là "nó chỉ lắng nghe trên localhost thôi mà". Hai trong số các advisory nói chính xác về việc cái cổng localhost đó bị bypass được, và trên mạng đầy tutorial hướng dẫn deploy 9Router lên VPS hoặc Hugging Face Spaces. Giả định "chỉ localhost" không sống sót nổi trước cách người ta thật sự dùng công cụ này.

Tính năng khiến bạn bị khoá tài khoản

Tầng 1 — lý do chính khiến đa số người cài router — lại chính là phần các nhà cung cấp đã đóng lại.

Ngày 20/02/2026, Anthropic cập nhật trang tuân thủ, ghi thẳng: "Việc sử dụng OAuth token lấy từ tài khoản Claude Free, Pro hoặc Max trong bất kỳ sản phẩm, công cụ hay dịch vụ nào khác — kể cả Agent SDK — là không được phép và cấu thành vi phạm Điều khoản Dịch vụ." Đây không phải luật mới; đó là làm rõ Mục 3.7, kèm cưỡng chế thật. Kỹ sư Anthropic Thariq Shihipar xác nhận từ tháng 1/2026 rằng công ty đã bắt đầu chặn các công cụ bên thứ ba giả mạo harness của Claude Code. Tài khoản bị ban. OpenCode gỡ bỏ hỗ trợ Claude vì yêu cầu pháp lý.

Phía OpenAI thì mơ hồ hơn nhưng không dễ chịu hơn: diễn đàn nhà phát triển OpenAI có báo cáo tài khoản ChatGPT Pro bị khoá không cảnh báo, không giải thích, trong đó có người đã đăng ký 18 tháng. Các tín hiệu rủi ro hay được nhắc: automation trên gói consumer, IP datacenter hoặc IP dùng chung, và đổi phương thức thanh toán.

README của 9Router không có một dòng cảnh báo ToS nào. Mô tả repo trên GitHub ghi "Unlimited FREE AI coding… never hit limits". Trang chủ quảng cáo tính năng tên "MITM Bridge — IDE Subscription Intercept", chặn traffic của Antigravity, GitHub Copilot và Kiro IDE để subscription của các IDE đó gọi được backend bất kỳ — kèm một ghi chú nhỏ trong ngoặc: "mind each tool's policy" (lưu ý chính sách của từng công cụ). Dự án biết rõ họ đang làm gì.

"Miễn phí vĩnh viễn" có hạn sử dụng

Tầng miễn phí là phần mong manh nhất, và chính tài liệu của dự án chứng minh điều đó: free tier của iFlow, Qwen Code và Gemini CLI đã bị khai tử trong năm 2026 — trong khi trang chủ vẫn liệt kê iFlow và Qwen dưới mục "FREE Forever". Kiro cho khoảng 50 credit mỗi tháng. Danh sách model của OpenCode Free thay đổi không báo trước. Khoản $300 của Vertex là credit tài khoản mới, hạn 90 ngày.

Nếu bạn là dân nghiệp dư, một free tier bốc hơi giữa tháng chỉ là phiền toái. Nếu bạn đã cam kết với khách rằng nội dung ra đều mỗi tuần, một nguồn compute có thể biến mất bất cứ lúc nào thì không phải nguồn compute.

codex-lb: cùng ý tưởng, làm trung thực hơn

codex-lb (2.843 sao, MIT, commit cuối 22/08/2026) làm đúng một việc hẹp: gom nhiều tài khoản ChatGPT do chính bạn sở hữu, chia request luân phiên, theo dõi token và chi phí từng tài khoản theo chu kỳ 28 ngày, phía sau dashboard có mật khẩu và TOTP tuỳ chọn.

Khác biệt này quan trọng. Nó không giả mạo harness chính chủ. Nó không chặn traffic IDE của hãng khác. Nó không có cảnh báo bảo mật công bố nào — dù "không có advisory" nghĩa là "chưa ai kiểm tra", chứ không phải "đã an toàn". Điều khoản OpenAI cấm chia sẻ credential cho người khác; hai subscription bạn tự trả, tự dùng, là tình huống khác với một tài khoản chia cho cả team. Nhưng automation trên gói consumer vẫn là tín hiệu ban đã được ghi nhận.

Thứ thật sự hữu ích ở đây không phải khả năng failover. Đó là theo dõi chi phí theo từng tài khoản — biết dự án nào đốt bao nhiêu token. Đó là lỗ hổng thật của phần lớn đội nhóm, và giá trị hơn hẳn việc né rate limit.

Bốn nguyên tắc tôi áp dụng từ giờ

1. Công cụ giữ credential phải bị soi kỹ hơn công cụ tạo ảnh. Bán kính thiệt hại khi một router bị chiếm là toàn bộ tài khoản provider bạn đã kết nối. Hãy đánh giá nó như đánh giá một password manager, không phải như một app tăng năng suất.

2. Lấy ý tưởng, đừng lấy phần mềm. Hai insight đáng giá trong 9Router — rằng GLM và MiniMax rẻ hơn 10–50 lần cho việc "cày" như dịch thuật, gắn nhãn, QC; và rằng nén output của tool tiết kiệm token thật — bạn tự làm được, không tốn gì. Mua API key trực tiếp, cắm vào pipeline của mình, và bỏ qua anh trung gian đang giữ tất cả.

3. Nếu nó cần OAuth token của gói consumer mới chạy, thì nó không chạy. API key thương mại có điều khoản viết cho automation. Token subscription thì không, và cả hai nhà cung cấp lớn giờ đã nói bằng văn bản và cưỡng chế bằng lệnh ban.

4. Đừng bao giờ giới thiệu cho khách hàng. Khách của agency tôi là chủ nhà hàng, chủ tiệm nail. Họ không đọc bản tin CVE, và localhost:20128 phơi ra Wi-Fi của tiệm chẳng có nghĩa gì với họ. Giới thiệu một công cụ mà khách phải tự cài, tự cấu hình, tự vá lỗ hổng cũng chính là dựng lên đúng cái khung mà một dịch vụ done-for-you đang bán để chống lại.

Vậy có nên dùng không?

9Router: không. Ít nhất cho tới khi các lỗ hổng critical chưa vá được sửa và có bên thứ ba độc lập xác nhận. Khoản tiết kiệm là thật nhưng nhỏ; mặt trái là toàn bộ API key bạn đang có, cộng thêm nguy cơ mất chính những tài khoản bạn phụ thuộc.

codex-lb: có, trong phạm vi hẹp — chỉ chạy local, tuyệt đối không phơi ra internet, chỉ với tài khoản bạn tự trả tiền, và chủ yếu vì báo cáo chi phí chứ không phải vì failover. Nếu cần định tuyến ở mức production thật, hãy dùng gateway có điều khoản thương mại rõ ràng và API key thương mại.

Sự thật khó chịu về đồ "AI miễn phí" năm 2026 là tiền phải đến từ đâu đó. Đôi khi là trợ giá của quỹ đầu tư. Đôi khi là một free tier sẽ kết thúc vào tháng Ba. Và đôi khi là bạn, người đang gánh một rủi ro mà dự án chưa từng định giá.

FAQ

9Router có an toàn để dùng không? Hiện tại là không. Chín cảnh báo bảo mật được công bố từ tháng 4 đến tháng 8/2026, bốn cái mức critical, và một số — gồm cả đánh cắp toàn bộ credential (CVE-2026-55500) và lộ API key không cần xác thực — chưa có phiên bản vá tính đến 23/08/2026.

Dùng AI router có bị khoá tài khoản Claude không? Dùng OAuth token của Claude Free, Pro hoặc Max trong bất kỳ công cụ bên thứ ba nào là vi phạm Điều khoản Dịch vụ của Anthropic, được nêu rõ ngày 20/02/2026. Anthropic đã ban tài khoản và chặn kỹ thuật việc giả mạo harness Claude Code.

codex-lb có an toàn hơn 9Router không? Nó không có advisory công bố nào và phạm vi hẹp hơn — gom tài khoản ChatGPT bạn sở hữu thay vì giả mạo client chính chủ. Như vậy là tốt hơn, chứ không phải đã được chứng minh an toàn. Hãy chạy local, đừng bao giờ phơi ra ngoài.

RTK Token Saver có thật sự giảm 20–40% chi phí? Đó là con số dự án tự công bố. Chưa có benchmark độc lập nào. Ý tưởng nền — nén git diff và danh sách file trước khi đưa vào context — là đúng, và bạn tự triển khai được.

Vậy nên dùng gì thay thế? Mua thẳng API key thương mại từ các provider rẻ (GLM, MiniMax) và định tuyến qua pipeline của chính mình, hoặc dùng gateway có điều khoản thương mại rõ ràng. Bạn giữ được khoản tiết kiệm mà bỏ được rủi ro mất credential và bị ban.

Nguồn tham khảo: 9router.com · github.com/decolua/9router · github.com/Soju06/codex-lb · GitHub Advisory Database · CVE-2026-46339 · CVE-2026-62327 (IONIX) · Mật khẩu mặc định 9Router (Pentest-Tools) · The Register, 20/02/2026 — Anthropic làm rõ lệnh cấm bên thứ ba · OpenAI Developer Community — báo cáo bị khoá tài khoản Codex

#AISecurity #DevTools #ClaudeCode #Codex #OpenSource #CVE #APIKeys #TechStrategy

✍️ Tác giả: Do Ngoc Hoan Founder of CookConnects.ca & Wizy.ca. Kết nối khoảng cách giữa thuật toán tiên tiến và thực thi kinh doanh. Tôi viết cho những founder kỹ thuật muốn mở rộng tầm ảnh hưởng bằng AI và kỹ thuật vững chắc.

← Blog