- Nhà phát triển của NanoClaw với 18.000 sao GitHub đã công khai rằng khi tìm tên dự án trên Google, một trang web giả lại xuất hiện cao hơn trang chính thức
- Trang giả (nanoclaw[.]net) được ai đó tự động tạo ra bằng cách scrape README của dự án đang đứng thứ 2 trong kết quả tìm kiếm Google, trong khi trang chính thức thật sự không xuất hiện ngay cả sau trang 5
- Dù đã thực hiện mọi biện pháp chính đáng như tối ưu SEO, gửi lên Google Search Console và có được liên kết từ các bài báo của những cơ quan truyền thông IT lớn, kết quả tìm kiếm trên Google vẫn không thay đổi
- Vì trang giả có thể bị chèn mã độc hoặc liên kết lừa đảo, nên với một dự án được thiết kế xoay quanh bảo mật, lỗ hổng bảo mật lớn nhất lại chính là tìm kiếm Google
- Nếu ngay cả khi mọi tín hiệu đều rõ ràng cùng chỉ tới một đáp án mà Google vẫn không thể hiển thị kết quả đúng, thì độ tin cậy của Google với tư cách cổng vào thông tin trên Internet tự nó cũng bị đặt dấu hỏi
Dự án NanoClaw và nguồn gốc của vấn đề trang giả
- NanoClaw là một dự án mã nguồn mở thiết kế ưu tiên bảo mật, trong đó mọi agent đều chạy trong container cô lập và lấy môi trường thực thi sandbox an toàn làm cốt lõi
- Sau khi ra mắt ngày 2 tháng 2, dự án đã tăng trưởng nhanh chóng và được các hãng tin lớn như CNBC, VentureBeat, The Register đưa tin
- Ở giai đoạn đầu phát hành, dự án không có website riêng, kho GitHub chính là dự án, và nhóm tập trung vào phát triển tính năng cũng như xây dựng cộng đồng
- Khoảng ngày 8 tháng 2, ai đó đã đăng ký tên miền nanoclaw[.]net và tạo một website tự động sinh từ nội dung scrape trong README
- Ban đầu, do trang này có chứa liên kết GitHub đúng nên vấn đề chưa được xem là nghiêm trọng
Thiệt hại lan rộng do trang giả
- Khi dự án phát triển, ngày càng nhiều người dùng bắt đầu gửi câu hỏi như “website của bạn có lỗi”, “trên trang có quảng cáo à”, “sao trên di động lại hiển thị như vậy”
- Trang này đăng thông tin sai sự thật về dự án, thậm chí còn làm giả cả ngày đăng
- Hàng nghìn người dùng đã nhầm trang này là website chính thức, và ấn tượng đầu tiên về NanoClaw bị hình thành thành một trang cẩu thả đầy quảng cáo
- Thiệt hại đang tích lũy mỗi ngày, và có thể đã có hàng trăm nghìn người tiếp xúc với thông tin sai lệch
Xây dựng trang chính thức và nỗ lực ứng phó SEO
- Hai tuần trước, dự án đã xây dựng website chính thức nanoclaw.dev và thực hiện mọi biện pháp có thể
- Liên kết website chính thức từ kho GitHub
- Áp dụng dữ liệu có cấu trúc và tối ưu SEO phù hợp
- Gửi lên Google Search Console khoảng 15 lần
- Có được liên kết tới website thật từ các bài báo trên The Register, VentureBeat, The New Stack
- Đăng bài blog từng đứng hạng 1 trên Hacker News
- Dịch website sang 15 ngôn ngữ
- Trỏ mọi hồ sơ mạng xã hội về nanoclaw.dev
- Gửi yêu cầu gỡ bỏ (takedown notice) tới Google, Cloudflare và nhà đăng ký tên miền spaceship.com
- Mọi tín hiệu trên Internet đều đang chỉ tới nanoclaw.dev là website chính thức, nhưng kết quả tìm kiếm Google vẫn không thay đổi
Vấn đề mang tính cấu trúc của tìm kiếm Google
- Trong kho GitHub NanoClaw đang đứng số 1 trên Google Search, trường website đã ghi rõ ràng là nanoclaw.dev
- Dù vậy, Google vẫn tiếp tục xếp trang giả cao hơn website chính thức
- Các chuyên gia SEO khuyên rằng “chỉ cần thắng SEO” hoặc “hãy mua Google Ads”, nhưng việc một nhà phát triển dự án mã nguồn mở phải lao vào cuộc chiến SEO chỉ để bảo vệ tên dự án của chính mình mới là vấn đề
- Đây không phải là vấn đề SEO mà là vấn đề của Google
Rủi ro bảo mật
- NanoClaw là dự án tập trung vào bảo mật, chú trọng tính an toàn và sandboxing của runtime cho agent
- Hiện tại, lỗ hổng bảo mật lớn nhất của dự án lại chính là tìm kiếm Google
- Người vận hành trang giả có thể chèn trò lừa đảo tiền mã hóa, trang phishing hoặc liên kết tải về độc hại vào trang đó bất cứ lúc nào
- Họ cũng có thể fork kho GitHub để cài mã độc rồi liên kết từ trang giả mà Google đang cung cấp như thể đó là website hợp pháp
- Google đang kích hoạt một rủi ro bảo mật đang diễn ra theo thời gian thực trong tình huống này
Câu hỏi căn bản về độ tin cậy của Google
- Ngay cả với những câu hỏi mà chính dự án đã tuyên bố rõ đáp án, mọi tín hiệu đều thống nhất và không hề mơ hồ, Google vẫn không thể cung cấp kết quả đúng
- Điều này đặt ra câu hỏi căn bản rằng liệu có thể tin tưởng Google đối với những thông tin quan trọng như bầu cử, vaccine, y tế hay tài chính hay không
- Cần ngừng tự trách mình vì meta tag hay định dạng favicon có hoàn hảo hay chưa; khi Google có trong tay những tín hiệu phong phú và rõ ràng mà vẫn hiển thị kết quả sai, đó là trách nhiệm của Google
- Nếu Google muốn duy trì vị thế là cổng vào thông tin trên Internet, họ phải có khả năng giải quyết những vấn đề cơ bản như thế này
4 bình luận
Những kẻ spam SEO đúng là chăm chỉ thật. Hiện giờ tìm kiếm thì không ra nữa, nhưng vẫn cần thường xuyên tự tìm sản phẩm mình làm để kiểm tra. Tôi cũng luôn theo dõi thứ hạng lưu lượng truy cập từ từ khóa tìm kiếm của GeekNews. Nếu đang vận hành website thì xem Search Console là điều bắt buộc.
Khi tìm kiếm nanoclaw,
nanoclaw.netvẫn hiển thị bên dưới git.Dữ liệu có cấu trúc quả thật rất quan trọng.
Ý kiến trên Hacker News
Vài năm trước khi John Reilly đăng lên HN bài “How I ruined my SEO”, tôi đã giúp anh ấy miễn phí
Anh ấy đã tổng hợp lại quá trình đó trên blog
Nếu muốn thì lần này tôi cũng sẵn sàng giúp
Cách xử lý nhanh nhất là lập bản đồ backlink cho site .net, rồi gửi email cho các bên đã đặt nhầm link
Chỉ cần nói “link này đang trỏ tới site giả, site thật ở đây” thì có nhiều nơi sẽ sửa lại hơn bạn nghĩ
Chỉ riêng việc đó thôi cũng có thể thay đổi tình hình
Ngoài ra, nếu thêm structured data và schema vào nanoclaw.dev thì search engine và LLM sẽ nhận diện tốt hơn
Tóm lại lời khuyên thực tế là
Xem bảng tính danh sách backlink
Tôi thấy đây là một đề nghị rất hào phóng
Nhưng đứng từ phía tác giả thì chắc sẽ thấy rất oan khi phải tự mình xử lý một vấn đề do Google tạo ra
Một công ty có hàng chục tỷ đô mà còn không phân biệt nổi cả link chính thức đã ghi rõ trên GitHub, để rồi cuối cùng cá nhân lại phải bỏ thời gian ra sửa, nghe thật bất công
Cảm giác thật vô lý khi phải làm những công việc SEO thừa thãi như thế này
Đây không phải chuyện của riêng một site
Rất nhiều dự án mã nguồn mở đang gặp cùng vấn đề
Về bản chất thì đây là lỗi mà Google phải sửa
Lời khuyên rất hay
Phản hồi rất tốt
Nếu nhìn từ góc độ bên thứ ba thì có vẻ bản .net lên hạng cao vì được các nguồn có thẩm quyền lớn như The Register và The New Stack đặt link
Mới chỉ có một tuần thôi nên có lẽ cần cho Google thêm thời gian để nhận diện đúng
Google có xu hướng ưu ái site nào nói về chủ đề đó trước
Vì vậy nhiều khả năng thứ hạng sẽ được điều chỉnh theo thời gian
Trong lúc này, tốt hơn là nên đặt link tới website chính thức thay vì GitHub
Tôi kiểm tra lại thì chỉ có The Register trích dẫn nhầm trang, còn các bài khác đều tham chiếu GitHub
Lưu trữ của The Register
Lưu trữ của VentureBeat
Lưu trữ của The New Stack
Điều này cho thấy tiêu chí “đăng trước thì là bản gốc” không phải lúc nào cũng đúng, vì trên internet có quá nhiều nội dung sao chép
Đó cũng là lý do vì sao đến giờ tìm kiếm vẫn ra tài liệu Java 8 ở top. Khá là khó chịu
Cốt lõi vấn đề là “mới chỉ một tuần thôi”
Thuật toán của Google bị ràng buộc bởi rất nhiều trọng số authority và quality, nên khó mà thay đổi trong thời gian ngắn
Nếu là lập trình viên thì tốt nhất mỗi dự án nên có trang web riêng của nó
Nếu có thể thì tự self-hosting cả repo cũng sẽ an toàn hơn
Tôi là người dùng trả phí của Kagi, nhưng gần đây cũng thấy Kagi có quá nhiều kết quả rác do AI tạo ra, nên khá thất vọng
Kết quả tìm nanoclaw cũng gần như y hệt Google
Tôi cũng có cảm giác tương tự
Tính năng tùy biến của Kagi rất tốt, nhưng web giờ đã ngập tràn thông tin chất lượng thấp, nên rốt cuộc search engine nào cũng có giới hạn
Dạo này chẳng có search engine nào làm tôi hài lòng cả :(
Tôi thử tìm nanoclaw trên Kagi thì thấy
vị trí 1 là nanoclaw[dot]net,
vị trí 2 là GitHub repo của qwibitai (trông như giả mạo),
vị trí 3 là video mang tính quảng cáo,
vị trí 4 là GitHub của gavrielc có vẻ là thật,
vị trí 5 là nanoclaw.dev nhưng tiêu đề lại hiển thị là “Don’t trust AI agents”
vị trí 6 là một fork khác nữa
Tôi đã tổng hợp kết quả thử nghiệm trên nhiều search engine và AI
Google và Brave xếp GitHub chính thức → domain giả,
DuckDuckGo và Bing xếp domain giả → GitHub chính thức,
Mojeek thì thiên về các bài báo bên thứ ba, còn Qwant là tệ nhất
Trong khi đó, các chế độ tìm kiếm AI như ChatGPT, Gemini, Grok phần lớn đều nhận diện đúng site chính thức, thậm chí có cái còn cảnh báo site giả
Kết luận là AI chính xác hơn hẳn tìm kiếm truyền thống
Nhưng kết quả cũng khác nhau tùy người dùng
Trên Google của tôi thì .net đứng số 1, GitHub đứng số 2
Chế độ ChatGPT 5.2 Auto vẫn nhầm .net là site chính thức, nhưng Thinking mode và Claude thì ưu tiên .dev đúng cách
AltPower Search cũng gặp cùng vấn đề
Có vẻ nanoclaw.dev còn là domain mới nên chưa được index đầy đủ
Xem AltPower, Archive, Cloudflare Radar
Tôi tò mò không biết bạn đã dùng prompt nào để thử AI
Lời khuyên về structured data ở bình luận đầu là then chốt
Tôi cũng từng thêm schema Organization và SoftwareApplication, sau đó Google bắt đầu hiểu site theo cách hoàn toàn khác
Vấn đề là dù Google đã có sẵn mọi tín hiệu, họ vẫn coi trọng tuổi đời domain và số lượng backlink hơn
Rốt cuộc hệ thống lại thưởng cho người chiếm domain trước chứ không phải người tạo ra sản phẩm thật
Không biết có cách nào xác minh ai là người thật không
Hôm nay khi tìm nanoclaw tôi còn phát hiện thêm một site giả nanoclawS.io nữa
Nó đang thu thập email nên khá nguy hiểm
Trong trường hợp này, thay vì chỉ lo thứ hạng Google thì tôi nghĩ nên chặn ở cấp độ hosting chính site đó thì hơn
Nếu có yếu tố bản quyền để gửi yêu cầu DMCA thì cũng đáng thử
Nếu khuyên tất cả các nhà phát triển mã nguồn mở, thì khi công khai dự án bạn nên luôn tính đến khả năng nó bị lạm dụng
Thế giới vận hành theo cách đó
Mã nguồn mở là điều đáng trân trọng, nhưng bảo vệ bản thân trước vẫn là quan trọng
Đặc biệt nếu là giấy phép MIT, thì một tập đoàn lớn như Amazon có fork rồi kiếm tiền từ đó mà bạn không nhận được một xu nào
Đây là câu chuyện ở một quy mô khác hẳn việc code vì thiện chí
Có một quy luật liên quan là Hyrum’s Law
“Khi số lượng người dùng API đủ lớn, mọi hành vi của hệ thống đều sẽ trở thành thứ mà ai đó phụ thuộc vào”
Thua trong SEO cũng giống như mất tiền trên thị trường chứng khoán
Hệ thống quá hiệu quả và lạnh lùng, hoàn toàn không phản ứng với sự bất mãn của từng cá nhân
Cuối cùng vẫn phải tiếp cận theo hướng điều chỉnh chiến lược và hiểu rõ thị trường
Nếu góp ý cho @Gavriel, tôi nghĩ nên cân nhắc đăng ký nhãn hiệu NanoClaw
Chỉ cần đã đăng ký hoặc nộp đơn thôi cũng giúp tăng năng lực pháp lý khi làm việc với người đăng ký domain, Cloudflare hay Google
Trong tranh chấp UDRP, việc chứng minh bên kia đăng ký với ác ý cũng sẽ dễ hơn
Trào lưu bám theo Claw từng là mốt, còn giờ thì lại thành chuyện có người bám theo chính cái tên của bạn để hưởng lợi
Nghĩ đến việc bản thân dự án Claw ban đầu cũng từng ăn theo độ nổi của sản phẩm khác rồi mới đổi tên thì thấy khá mỉa mai
Tôi cũng nghĩ vậy
Chuyện này không hẳn là “một site tử tế bị kẻ lừa đảo hại”, mà giống một trường hợp bị lạc lối trong trò chơi cạnh tranh sự chú ý không có hồi kết hơn