Claude Code khi bạn vắng mặt: plugin, mod, worktree, cloud và Remote Control

1. Claude được chạm vào gì khi bạn không nhìn

Video mở đầu bằng một cảnh: hai session Claude Code có thể cùng sửa một file trong lúc bạn đi vắng, và session này không thấy những gì session kia sửa. Theo DIY Smart Code (video đăng ngày 27/10/2026), đó mới là phần dễ. Phần khó hơn là một lượt review đã cho qua một dòng code, rồi chỉ một commit sau lại chấm chính dòng đó là một lỗi XSS mức nghiêm trọng cao (high severity).

Từ đó video đặt ra bốn câu hỏi. Claude được chạm vào những gì khi bạn không nhìn? Plugin nào lọt vào được? Ở đâu một session vẫn chạy tiếp khi laptop của bạn đã gập lại? Và nó làm gì mà không hỏi bạn? Theo phần mô tả của video (đăng ngày 27/10/2026), các màn hình trong video là của Claude Code 2.1.296 và 2.1.310, còn các claim được đối chiếu với docs chính thức.

2. Ai viết các plugin trong marketplace chính thức

Mọi thứ bắt đầu từ những gì bạn cài. Theo DIY Smart Code (video đăng ngày 27/10/2026), mỗi plugin đang bật đều tốn token của bạn, nhưng câu hỏi ở đây là ai đã kiểm tra code của nó. Claude Code tự thêm marketplace chính thức cho bạn, nhưng "chính thức" không có nghĩa là Anthropic viết. Danh sách của nó có 315 plugin, và chỉ 39 trong số đó ghi Anthropic là tác giả (số đếm theo video đăng ngày 27/10/2026).

Repo của marketplace cộng đồng tự ghi rằng mọi plugin ở đó đã qua bước quét bảo mật tự động (theo video đăng ngày 27/10/2026; README của repo anthropics/claude-plugins-community, đọc ngày 28/10/2026, ghi mỗi plugin được gửi qua claude.ai, "passed automated security scanning" và được duyệt để phân phối). Các marketplace của bên thứ ba thì không được Anthropic review, và nhiều plugin phổ biến không nằm trong marketplace nào của Anthropic (theo DIY Smart Code, video đăng ngày 27/10/2026).

3. Context cost, hooks file và auto-update của plugin

Video khuyên mở một plugin từ tab Marketplaces chứ không phải từ Discover, vì theo DIY Smart Code (video đăng ngày 27/10/2026), danh sách Discover giấu đi context cost. Superpowers, một plugin trong marketplace chính thức, tốn khoảng 940 token ở mọi lượt, và khoảng 55.000 token khi được gọi tới. Security Guidance của Anthropic tốn dưới 20 token (các con số theo video đăng ngày 27/10/2026).

Trang của mọi plugin đều mang cùng một lời cảnh báo: Anthropic không thể xác minh rằng plugin chạy đúng như dự định, hay rằng nó sẽ không thay đổi (theo video đăng ngày 27/10/2026). Trang của superpowers cho thấy plugin này thêm một SessionStart hook, nhưng không cho thấy hook đó chạy gì, nên video bảo bạn tự mở hooks file của plugin ra xem.

Theo DIY Smart Code (video đăng ngày 27/10/2026), các plugin chính thức còn tự cập nhật theo mặc định, nên những file bạn đã kiểm tra có thể thay đổi sau đó. Trên màn hình, nhãn "hooks.json ✓ checked" đã mờ đi, và cạnh đó là nhãn đỏ "hooks.json · v2 · ?". Trong tab Installed, phím Space tắt một plugin mà không gỡ cài đặt nó (theo video đăng ngày 27/10/2026).

4. /skill-doctor và plugin ECC

Lệnh /skill-doctor mở một tab Stats cho biết mỗi skill tốn bao nhiêu và chạy thường xuyên tới đâu (theo video đăng ngày 27/10/2026). Trên setup của DIY Smart Code, 64 skill mà nó đánh dấu là chưa từng được dùng chỉ tốn mỗi skill 20 token hoặc ít hơn (số đo của DIY Smart Code, video đăng ngày 27/10/2026).

Một plugin trọn vẹn thì có thể nặng hơn nhiều. Theo số đo của DIY Smart Code (video đăng ngày 27/10/2026), plugin ECC của bên thứ ba đẩy một prompt trống từ 24.000 token lên 42.000 token. Trên màn hình, trường hợp này được ghi là "worst case we measured", kèm bảng /context khi chưa có ECC: system prompt 2,6k, system tools 13,9k, system tools (deferred) 14,2k, memory files 1k và skills 2,2k token.

5. Mod là gì: viết một mod hiện git branch

Theo DIY Smart Code (video đăng ngày 27/10/2026), một mod là một plugin có code chạy bên trong Claude Code. Claude Code gọi nó khi có sự kiện, ví dụ một lời gọi tool hay khi một phần màn hình được vẽ, nên một mod có thể thêm một dải (band) phía trên ô prompt của bạn, điều mà một hook trong settings không làm được.

Trong demo (video đăng ngày 27/10/2026), Claude được yêu cầu viết một mod hiện git branch đang dùng ở phía trên ô prompt, và theo video, Claude mất khoảng hai phút để viết rồi test nó. Sau đó dải hiện ra, và /plugin cho thấy một mod đang active. Claude lưu mod đó trong một thư mục session sẽ bị xoá sau này, nên muốn giữ thì bạn phải chép nó ra ngoài (theo video đăng ngày 27/10/2026).

6. Mod không có sandbox, và claude plugin validate

Theo DIY Smart Code (video đăng ngày 27/10/2026), một mod không bị sandbox. Nó có thể nhìn các secret của bạn, thấy mọi prompt và mọi lời gọi tool, và duyệt (approve) một lời gọi tool trước khi bạn được hỏi. Trên màn hình là danh sách lấy từ docs: đọc secret (biến môi trường và các file settings, kể cả một API key bạn để ở đó), thấy session, thay đổi session (viết lại prompt hay lời gọi tool, gửi prompt như thể bạn đã gõ, hoặc nhắn sang một session khác của bạn), hành động mà không hỏi, và tiêu usage của bạn bằng cách gọi một model trên gói hay API key của bạn.

Trên một tài khoản Pro hay Max không có managed settings, lượt approve đó thậm chí có thể vượt qua cả PreToolUse hook. Trên tài khoản Team hay Enterprise thì mặc định nó không làm được (theo DIY Smart Code, video đăng ngày 27/10/2026).

Trước khi cài mod của người khác, video khuyên chạy claude plugin validate. Theo DIY Smart Code (video đăng ngày 27/10/2026), lệnh này không chạy mod mà liệt kê mọi sự kiện mod xử lý và mọi lời gọi nó thực hiện, và một lời gọi tên process run nghĩa là nó khởi chạy chương trình dưới danh nghĩa của bạn. Lệnh được gõ trong demo:

claude plugin validate .\mods\git-branch-band

7. /security-review: cho qua, rồi thành XSS mức High

Lượt review ở đầu video là /security-review. Theo DIY Smart Code (video đăng ngày 27/10/2026), nó kiểm tra những gì đã thay đổi trên branch của bạn so với default branch của origin, nên nó cần một remote tên origin. Đoạn docs trên màn hình ghi lệnh này review diff giữa branch của bạn và default branch của origin, tìm các rủi ro như injection, lỗi xác thực và lộ dữ liệu, và cần một remote origin.

Ở lần chạy thứ nhất (demo trong video đăng ngày 27/10/2026), dòng innerHTML chỉ hiển thị những task do chính bạn gõ, nên lượt review lọc nó ra vì tác động thấp. Rồi một commit thêm tính năng nhận task từ một share link, và chính dòng đó quay lại thành một lỗi XSS mức High với độ tin cậy 9 trên 10. Trước khi ra báo cáo đó, một agent thứ hai đã kiểm tra xem nó có phải false positive không.

8. claude --worktree: hai session, một repo

Quay lại hai session ở đầu video. Theo DIY Smart Code (video đăng ngày 27/10/2026), claude --worktree cộng một cái tên sẽ khởi động Claude trong một thư mục riêng dưới .claude/worktrees, trên một branch mới đặt theo tên đó. Chạy lại lệnh với một tên khác ở terminal thứ hai, và hai session làm việc trên hai bản sao code tách biệt. Trong demo (video đăng ngày 27/10/2026), session bên trái đổi tiêu đề trang trong khi session bên phải thêm footer, trên cùng một file. Sau đó git worktree list cho thấy cả hai branch nằm cạnh main.

Nếu bạn chưa từng chạy Claude trong thư mục đó, hãy khởi động claude bình thường ở đó một lần và chấp nhận trust prompt, nếu không cờ worktree sẽ thoát với một lỗi (theo video đăng ngày 27/10/2026; docs worktrees, đọc ngày 28/10/2026, ghi tương tự). Một worktree mới tách branch từ default branch trên remote của bạn, không phải từ branch bạn đang đứng. Đoạn docs trên màn hình nói phần lớn session không cần đổi điều này, và setting worktree.baseRef cho phép tách branch từ chỗ bạn đang làm thay vào đó.

Khi bạn thoát mà worktree có việc trong đó, Claude hỏi trước (theo video đăng ngày 27/10/2026). Keep in ra lệnh để quay lại. Remove xoá thư mục và branch, cùng với phần việc của bạn trong đó.

9. claude --cloud: session chạy tiếp khi laptop đã gập

Để một task tiếp tục chạy khi laptop đã gập, hãy bắt đầu nó bằng claude --cloud. Theo DIY Smart Code (video đăng ngày 27/10/2026), session chạy trên một máy do Anthropic quản lý, và bạn xem nó từ bất kỳ thiết bị nào. Bạn cần Pro, Max, Team hoặc Enterprise và đăng nhập bằng tài khoản claude.ai, không phải API key của Console. Máy đó không tốn thêm tiền, nhưng session rút từ usage limit bình thường của bạn.

Đoạn docs trên màn hình (video đăng ngày 27/10/2026) ghi chi tiết hơn lời nói: cloud session có trên các gói Pro, Max và Team, và cho người dùng Enterprise có premium seat hoặc seat Chat + Claude Code; mặc định nó chạy trên hạ tầng do Anthropic quản lý, vẫn chạy sau khi bạn gập laptop, tính vào usage limit của gói, và không tính phí riêng cho cloud VM.

Bình thường, cloud session clone branch trên GitHub của bạn chứ không lấy thư mục local, nên bạn phải push trước (theo video đăng ngày 27/10/2026). Repo trong demo hoàn toàn không có remote, nên Claude Code đóng gói nó lại và upload lên thay vào đó. Test đang fail, và chỉ một lệnh là task được gửi lên cloud, còn ô prompt trả lại cho bạn ngay lập tức (demo trong video đăng ngày 27/10/2026). Task mà session cloud nhận, như hiện lại sau đó trong terminal:

Fix the countOpen bug in todo.js so node test.js passes. Don't change test.js.

10. claude --teleport mang về cuộc hội thoại, không mang về code

Tiếp theo, claude --teleport kéo session về terminal: toàn bộ cuộc hội thoại, kể cả bản sửa mà nó đã làm trên cloud (demo trong video đăng ngày 27/10/2026). Nhưng file local vẫn còn bug.

Theo DIY Smart Code (video đăng ngày 27/10/2026), teleport chỉ mang code về khi cloud session đã push branch của nó, và vì không có remote nên không có chỗ nào để push. Một prompt tiếp theo áp dụng cùng bản sửa đó ở máy local, và test pass (demo trong video đăng ngày 27/10/2026).

Việc clone và tạo pull request cần GitHub, và file CLAUDE.md cá nhân của bạn, các skill của bạn, cùng các plugin bật trong user settings đều không đi theo lên cloud (theo video đăng ngày 27/10/2026). Bảng docs trên màn hình ghi rõ từng dòng: ~/.claude/CLAUDE.md nằm trên máy bạn chứ không trong repo; ~/.claude/skills/, ~/.claude/agents/, ~/.claude/commands/ cũng vậy, nên hãy commit chúng vào thư mục .claude/ của repo, và cloud session tự nạp các skill bạn bật trên claude.ai; còn enabledPlugins cấp user nằm trong ~/.claude/settings.json trên máy bạn.

11. Remote Control: điều khiển session trên máy từ điện thoại

Remote Control làm theo chiều ngược lại. Theo DIY Smart Code (video đăng ngày 27/10/2026), Claude tiếp tục chạy trên máy tính của bạn, với file và tool của bạn, còn claude.ai/code hoặc app Claude trên điện thoại trở thành một cửa sổ nhìn vào session đó. Vì vậy máy tính của bạn phải luôn bật.

Gõ /rc trong một session đang chạy, và phần header hiện "/rc active" (demo trong video đăng ngày 27/10/2026). Từ điện thoại, bạn theo dõi cuộc hội thoại ngay khi nó diễn ra, xem diff, gửi tin nhắn và đổi model. Chạy /rc lần nữa để ngắt kết nối, và session local vẫn chạy tiếp.

Trong lúc đang kết nối, nội dung cuộc hội thoại của session được lưu trên server của Anthropic (theo video đăng ngày 27/10/2026). Tính năng cần Pro, Max, Team hoặc Enterprise, và trên Team hay Enterprise, một Owner phải bật nó lên trước; đoạn docs trên màn hình còn ghi API key không được hỗ trợ, và với Enterprise dùng custom role thì role của bạn phải có cả quyền cloud session lẫn quyền Claude Code remote control.

Nếu bạn không bao giờ muốn dùng nó, hãy đặt disableRemoteControl thành true trong user settings, và /remote-control sẽ trả về như một lệnh không tồn tại (theo video đăng ngày 27/10/2026; docs Remote Control, đọc ngày 28/10/2026, cũng ghi setting disableRemoteControl để tắt hẳn tính năng).

12. Code tab trên desktop: session trong session, và /btw

Trong Code tab của desktop app, Claude có thể giao việc cho một session riêng của nó (theo DIY Smart Code, video đăng ngày 27/10/2026). Code tab cần cùng các gói trả phí như trên. Khi Claude phát hiện một việc nằm ngoài task của bạn, nó hiện một thẻ (card). Start chạy việc đó trong một session mới, xếp ngay dưới session của bạn, và session đó báo lại kết quả. "Do it here" giữ việc đó lại ngay chỗ bạn đang làm.

Claude còn có thể liệt kê các session Code tab khác của bạn, xem từng session đã làm gì, và nhắn tin cho chúng (theo video đăng ngày 27/10/2026). Nó chỉ thấy những session mà desktop app chạy, không thấy session cloud, terminal hay VS Code, kể cả khi cùng một project. Claude bên nhận vẫn tuân theo permission của chính nó.

Ở auto mode, Claude có thể archive một session mà không hỏi, và việc archive có thể làm mất các thay đổi chưa commit trong worktree của session đó, nên hãy commit trước (theo DIY Smart Code, video đăng ngày 27/10/2026).

Với một câu hỏi bên lề không nên rơi vào luồng chính, hãy bấm Control + chấm phẩy (Command + chấm phẩy trên Mac) hoặc gõ /btw, lệnh này cũng dùng được trong terminal. Cả desktop app lẫn terminal đều không giữ cuộc trò chuyện bên lề đó sau khi bạn thoát (theo video đăng ngày 27/10/2026).

13. /goal: một model riêng kiểm tra điều kiện

Lệnh /goal giữ cho Claude tiếp tục làm từng lượt cho tới khi điều kiện của bạn được đáp ứng. Theo DIY Smart Code (video đăng ngày 27/10/2026), model làm việc không tự chấm điểm. Một model nhỏ và nhanh riêng biệt kiểm tra sau mỗi lượt, và nó không chạy lệnh hay mở file nào. Nó chỉ đánh giá những gì Claude đã đưa vào cuộc hội thoại, nên hãy gọi tên đúng cái check chứng minh được việc đã xong. Docs /goal (đọc ngày 28/10/2026) ghi tương tự: sau mỗi lượt, Claude Code gửi điều kiện và cuộc hội thoại tới small fast model đã cấu hình, model này không gọi tool nên chỉ đánh giá được những gì Claude đã đưa ra.

Goal trong demo (video đăng ngày 27/10/2026) nói node test.js phải thoát với mã 0 và test.js không bị sửa, hoặc dừng sau ba lượt:

/goal node test.js exits 0 and test.js is not modified, or stop after 3 turns

Một lượt và 14 giây sau, goal đã đạt (số đo trong demo của DIY Smart Code, video đăng ngày 27/10/2026). Theo video, một goal không đổi permission mode của bạn, nên với những lượt chạy trong lúc bạn vắng mặt, hãy dùng auto mode. Ở manual mode, Claude vẫn dừng lại và hỏi.

14. /fewer-permission-prompts và vì sao auto mode bỏ rule rộng

Manual mode là nơi permission prompt dồn lại, và cũng là mode người mới được khuyên bắt đầu (theo DIY Smart Code, video đăng ngày 27/10/2026). Trên màn hình là một loạt câu hỏi "allow?" cho npm ls, npm --version, npm ls --depth=0, npm ls lodash.

Lệnh /fewer-permission-prompts quét các session cũ của bạn để tìm những lệnh hay dùng mà không thay đổi gì, rồi thêm một allow list vào file settings của project (theo video đăng ngày 27/10/2026). Trong demo, nó thêm npm ls và npm --version, cộng thêm một rule PowerShell cho lệnh kiểm tra phiên bản. Nó từ chối node test.js, vì cho phép lệnh đó nghĩa là để Claude chạy bất kỳ code nào. Những lệnh như ls và cat vốn đã được cho phép mà không cần rule.

File settings đó là file dùng chung, nên một khi đã commit, cả team nhận cùng các rule (theo video đăng ngày 27/10/2026). /permissions liệt kê mọi rule, và bạn xoá một rule ngay ở đó. Hai lần chạy của DIY Smart Code trên hai project khác nhau chọn ra các rule khác nhau (theo video đăng ngày 27/10/2026): trên màn hình, lần thứ nhất (Claude Code 2.1.303) có "Bash(npm ls)" mà lần thứ hai không có, còn lần thứ hai (2.1.310) có PowerShell(npm --version), với dòng "same skill, different rules". Vì vậy hãy kiểm tra những gì nó thêm vào trước khi commit, và bỏ qua rule cho phép tất cả.

Theo DIY Smart Code (video đăng ngày 27/10/2026), auto mode bỏ các rule rộng, ví dụ một rule cho phép mọi lệnh Bash, và giữ các rule hẹp như npm test.

Video còn nói thêm (đăng ngày 27/10/2026): sau khi teleport một cloud session về máy, hãy bật /remote-control trong nó, và bạn có thể tiếp tục điều khiển nó từ điện thoại.

15. Trước khi để Claude một mình

Lời chốt của DIY Smart Code (video đăng ngày 27/10/2026): trước khi để Claude một mình, hãy cho nó một worktree và một goal có check thật, vì hai thứ đó giữ nó ở ngoài working copy của bạn và không cho nó tự chấm bài của mình. Hãy tránh các marketplace của bên thứ ba cho tới khi bạn đã mở hooks file, vì Anthropic không review chúng.

Video kết thúc bằng lời cảm ơn.