{"version":1,"type":"collection","editorialAuthor":"AppDuo Editorial Team","slug":"ai-coding-agent-workflow","pages":{"vi":"https://app-duo.com/collections/ai-coding-agent-workflow","en":"https://app-duo.com/en/collections/ai-coding-agent-workflow"},"data":"https://app-duo.com/data/collections/ai-coding-agent-workflow.json","lastVerifiedAt":"2026-11-11","firstPublishedAt":"2026-11-11","dateModified":"2026-11-11","title":{"vi":"Bộ công cụ cho quy trình làm việc với agent lập trình AI","en":"Tools for an AI coding agent workflow"},"description":{"vi":"Bốn công cụ cho bốn bước: viết mã cùng agent, review pull request trước khi merge, chạy agent trên máy chủ riêng hoặc cloud, và cấp môi trường phát triển tự host cho cả người lẫn agent. Agent được chạy lệnh và nắm giữ thông tin xác thực, nên hồ sơ bảo mật đáng xem không kém tính năng: cả bốn sản phẩm đều có sự cố hoặc lỗ hổng được ghi nhận, phần lớn đã vá. Đây không phải gói mua chung. Ngoài việc README của OpenHands nêu Agent Canvas chạy được OpenCode, bài này không khẳng định các sản phẩm tích hợp với nhau.","en":"Four tools for four steps: writing code with an agent, reviewing pull requests before merge, running agents on your own servers or in the cloud, and giving people and agents self-hosted development workspaces. Agents run commands and hold credentials, so the security record matters as much as features: all four products have documented incidents or flaws, most of them patched. This is not a bundled purchase. Apart from the OpenHands README stating that Agent Canvas can run OpenCode, no integration between these products is claimed."},"audience":{"vi":"Lập trình viên và nhóm kỹ thuật bắt đầu đưa agent lập trình AI vào công việc","en":"Developers and engineering teams adopting AI coding agents"},"monthlyCostNote":{"vi":"Không cộng thành một mức phí chung vì các gói dành cho đối tượng khác nhau. Cho cá nhân: OpenCode miễn phí (tự trả tiền model) hoặc gói Go 10 USD/tháng; CodeRabbit review miễn phí cho repo công khai; Agent Canvas của OpenHands và Coder Community miễn phí, tự host. Cho nhóm và doanh nghiệp: CodeRabbit Essentials 24 USD/người/tháng khi trả theo năm (30 USD nếu trả theo tháng); OpenHands Teams 500 USD/tháng cho tối đa 10 người dùng, mỗi người thêm 50 USD/tháng; Go Teams của OpenCode, Coder Premium và AI Premium chưa công bố giá. Dùng bản miễn phí của OpenCode hay OpenHands thì tự trả tiền gọi model. Các hãng niêm yết giá bằng USD, không công bố giá VND.","en":"Costs are not added up because the plans serve different audiences. For individuals: OpenCode is free (you pay for models) or Go at $10/month; CodeRabbit reviews public repos for free; OpenHands Agent Canvas and Coder Community are free and self-hosted. For teams and businesses: CodeRabbit Essentials is $24 per developer per month billed yearly ($30 billed monthly); OpenHands Teams is $500/month for up to 10 users, plus $50/month per extra seat; OpenCode Go Teams, Coder Premium and AI Premium have no published price. On the free editions of OpenCode and OpenHands, you pay for model usage yourself."},"items":[{"position":1,"app":{"slug":"opencode","name":"OpenCode","overallScore":7,"page":"https://app-duo.com/apps/opencode","data":"https://app-duo.com/data/apps/opencode.json"},"role":{"vi":"Viết mã cùng agent","en":"Write code with an agent"},"note":{"vi":"Agent lập trình mã nguồn mở (MIT) chạy trên terminal, desktop và web; kết nối hơn 200 nhà cung cấp model qua Models.dev, kể cả model chạy cục bộ, hoặc dùng luôn gói ChatGPT Plus/Pro, GitHub Copilot đang trả. Phần mềm miễn phí; gói Go 10 USD/tháng (chỉ trả theo tháng) cho 32 model chọn lọc nếu không muốn tự lo khoá API. Lưu ý: năm 2026 dự án phải vá bốn lỗ hổng cho phép chạy lệnh trên máy người dùng, trong đó CVE-2026-22813 ở mức nghiêm trọng, nên dùng bản 1.18.33 trở lên. Theo Shareuhack, các bản đầu giả header của Claude Code để đăng nhập gói Claude; Anthropic chặn từ tháng 1/2026 và OpenCode đã gỡ phần mã này, nên muốn dùng Claude phải qua khoá API hoặc Claude Code cài riêng","en":"MIT-licensed open-source coding agent for the terminal, desktop and web; connects to 200+ model providers via Models.dev, including local models, or reuses an existing ChatGPT Plus/Pro or GitHub Copilot plan. The software is free; Go is $10/month (billed monthly only) for 32 curated models if you would rather not manage API keys. Trade-off: it patched four command-execution flaws in 2026, including the Critical-rated CVE-2026-22813, so use 1.18.33 or later. Per Shareuhack, early versions spoofed a Claude Code header to use Claude subscriptions; Anthropic blocked this from January 2026 and OpenCode removed the code, so Claude now needs an API key or a separately installed Claude Code"}},{"position":2,"app":{"slug":"coderabbit","name":"CodeRabbit","overallScore":6.8,"page":"https://app-duo.com/apps/coderabbit","data":"https://app-duo.com/data/apps/coderabbit.json"},"role":{"vi":"Review pull request bằng AI","en":"AI pull request review"},"note":{"vi":"Tự động review PR trên GitHub, GitLab, Bitbucket và Azure DevOps, có tiện ích VS Code, plugin JetBrains (beta) và CLI. Repo công khai được review miễn phí; repo riêng tư cần gói trả phí, từ 24 USD/người/tháng khi trả theo năm, gói Essentials chỉ liên kết 1 repo, có 14 ngày dùng thử. Lưu ý: mã được gửi tới OpenAI và/hoặc Anthropic để review, và chính sách quyền riêng tư ghi rõ CodeRabbit dùng mã nguồn mở để huấn luyện hệ thống. Năm 2025, Kudelski Security công bố một PR độc hại từng chạy được mã trên máy chủ CodeRabbit và lấy được khoá riêng của GitHub App; CodeRabbit thừa nhận sơ suất, cho biết đã vá trong 12 giờ và không thấy dấu hiệu dữ liệu khách hàng bị truy cập","en":"Reviews PRs automatically on GitHub, GitLab, Bitbucket and Azure DevOps, with a VS Code extension, a JetBrains plugin (beta) and a CLI. Public repos are reviewed for free; private repos need a paid plan from $24 per developer per month billed yearly, Essentials links only 1 repo, and there is a 14-day trial. Trade-off: code is sent to OpenAI and/or Anthropic for review, and the privacy policy states CodeRabbit trains its systems on open-source code. In 2025 Kudelski Security reported that a malicious PR could run code on CodeRabbit servers and expose its GitHub App private key; CodeRabbit called it an oversight, says it fixed it within 12 hours and found no evidence of customer data access"}},{"position":3,"app":{"slug":"openhands","name":"OpenHands","overallScore":6.9,"page":"https://app-duo.com/apps/openhands","data":"https://app-duo.com/data/apps/openhands.json"},"role":{"vi":"Chạy và tự động hoá agent trên máy chủ hoặc cloud","en":"Run and automate agents on servers or in the cloud"},"note":{"vi":"Agent Canvas mã nguồn mở (MIT) kết nối với backend chạy trên máy, tự host, Cloud hoặc Enterprise; kích hoạt agent theo lịch hoặc qua webhook, và theo README chạy được cả agent bên thứ ba như Claude Code, Codex, Gemini CLI, OpenCode. Bản tự host miễn phí, tự trả tiền LLM và hạ tầng; không có gói trả phí cho cá nhân, gói rẻ nhất là Teams cho doanh nghiệp, 500 USD/tháng cho tối đa 10 người dùng; trang giá không nêu giá Cloud. Lưu ý: đã vá CVE-2026-33718 (mức High) ở bản 1.5.0; nhà nghiên cứu Johann Rehberger công bố cách làm lộ token GitHub qua prompt injection, bài đăng không xác nhận đã có bản sửa, và chính OpenHands thừa nhận sandbox không chặn được việc lấy cắp bí mật trong môi trường của agent. Chính sách quyền riêng tư cho phép dùng nội dung trên dịch vụ của hãng để huấn luyện mô hình, không nêu cách từ chối; bản tự host chỉ gửi dữ liệu qua hãng khi kết nối backend Cloud","en":"The open-source (MIT) Agent Canvas connects to local, self-hosted, Cloud or Enterprise backends, triggers agents on a schedule or from webhooks, and per the README can run third-party agents such as Claude Code, Codex, Gemini CLI and OpenCode. Self-hosting is free, with your own LLM and infrastructure costs; there is no paid plan for individuals, and the cheapest is the business Teams plan at $500/month for up to 10 users; the pricing page lists no Cloud price. Trade-off: CVE-2026-33718 (High) was fixed in 1.5.0; researcher Johann Rehberger published a prompt-injection route to leak a GitHub token, and his post does not confirm a fix; OpenHands itself says its sandbox does not stop exfiltration of secrets in the agent's environment. The privacy policy allows content from its services to be used for model training with no stated opt-out; self-hosted setups send data through the vendor only when connected to its Cloud backend"}},{"position":4,"app":{"slug":"coder","name":"Coder","overallScore":6.9,"page":"https://app-duo.com/apps/coder","data":"https://app-duo.com/data/apps/coder.json"},"role":{"vi":"Môi trường phát triển tự host cho người và agent","en":"Self-hosted workspaces for people and agents"},"note":{"vi":"Workspace định nghĩa bằng template Terraform, chạy trên pod Kubernetes, container Docker hoặc máy ảo EC2; quản trị viên duyệt image và đặt giới hạn tài nguyên. Coder Agents chạy trong control plane, dùng được nhiều nhà cung cấp model, có nhật ký kiểm toán và giới hạn chi tiêu cho từng người. Bản Community (AGPL-3.0) miễn phí, không giới hạn workspace nhưng tối đa 5 Coder Agents đang hoạt động và 1 tích hợp; Premium, AI Premium không công bố giá. Lưu ý: theo Coder, ngày 31/8/2026 một khoá API Cloudflare bị xâm phạm khiến một phần lưu lượng của registry.coder.com bị chuyển tới máy chủ kẻ tấn công trong khoảng 14 giờ, phát tán module nhắm vào thông tin xác thực AWS, GCP, Azure; Coder cho biết đã khắc phục trong ngày, khuyên nâng cấp và thay mới thông tin xác thực có thể đã lộ. Từ 27/10 đến 11/11/2026, dự án còn tự công bố ít nhất 10 advisory trên GitHub, hai mục mức High","en":"Workspaces are defined in Terraform templates and run on Kubernetes pods, Docker containers or EC2 VMs, with admins approving images and setting resource limits. Coder Agents run in the control plane, support several model providers, and offer audit logging and per-user spend limits. The Community edition (AGPL-3.0) is free with unlimited workspaces but at most 5 active Coder Agents and 1 integration; Premium and AI Premium prices are unpublished. Trade-off: per Coder, on 31 Aug 2026 a compromised Cloudflare API key let an attacker redirect part of registry.coder.com traffic for about 14 hours to serve modules targeting AWS, GCP and Azure credentials; Coder says it remediated the same day and advises upgrading and rotating potentially exposed credentials. Between 27 Oct and 11 Nov 2026 the project also published at least 10 GitHub advisories, two rated High"}}]}