Có một chuyện hơi nghịch lý trong giới bảo mật: các công cụ phát hiện spyware đỉnh nhất thường nằm trong tay các tổ chức lớn, còn người dùng bình thường thì gần như mù tịt. Nếu bạn từng đọc bài về Pegasus hay Predator và tự hỏi “máy mình có dính không?”, câu trả lời trước đây là: thuê chuyên gia, hoặc chịu. interplains/Zero-Breach-Toolkit cố gắng xoay chuyển tình thế đó bằng một toolkit Python miễn phí, chạy offline.
Nó làm gì, cụ thể
Zero-Breach-Toolkit quét các dấu vết (trace) của spyware thương mại đã biết: Pegasus, Predator, Graphite, Candiru và vài cái tên khác. Phạm vi gồm Windows, macOS, Linux, điện thoại Android kết nối qua USB, và bản backup iPhone trên máy tính. Kết quả là một report liệt kê cái gì tìm thấy, mức độ mạnh của bằng chứng, và cái gì không kiểm tra được.
Hai đặc điểm tôi thấy đáng giá hơn mọi tính năng khác. Thứ nhất, nó read-only: không sửa dữ liệu gốc hay setting hệ thống, chỉ ghi snapshot database tạm và report do bạn yêu cầu. Thứ hai, không có request mạng nào trong lúc scan. Nó chặn network call của Python và từ chối các path bị redirect. Dĩ nhiên README nói thẳng đây không phải network sandbox cấp hệ điều hành, bạn nên đọc PRIVACY.md nếu quan tâm chuyện đó.
Cái tôi thích nhất là cách nó tự giới hạn. Mọi report đều ghi rõ đã tìm gì, bằng chứng mạnh cỡ nào, và phần nào chưa check được. Kết quả sạch không bao giờ được trình bày như bằng chứng bạn an toàn. Đây là chi tiết nhỏ nhưng đúng về mặt kỹ thuật, vì forensic đúng nghĩa thì không có chuyện “âm tính là xong”.
Vì sao repo này đang được chú ý
Repo mới tạo ngày 25/10/2026, cập nhật lần cuối ngày 27/10/2026, mà đã có 775 sao. Hai ngày, 775 sao, với một repo chưa có topic nào trên GitHub. Con số đó nói lên nhu cầu hơn là chất lượng code: người ta đang muốn một công cụ tự kiểm tra mà không cần qua trung gian nào.
README cũng cho thấy tác giả (archivegenocide, build trên nền Zero Breach) biết mình đang phục vụ ai. Nó có hẳn hướng dẫn từng bước cho người không rành kỹ thuật, kiểu “bạn cần máy Windows hoặc Mac và khoảng 20 phút”. Có hướng dẫn bật Developer options trên Android, có bảng chọn trả lời cho công cụ thu thập dữ liệu. Một repo bảo mật mà viết hướng dẫn cho người không có tài khoản GitHub thì rõ ràng không nhắm tới dev thuần.
Cài và chạy thử
Không có pip install gì cả. Cách “cài” là tải ZIP từ GitHub, giải nén, cài Python từ python.org. Trên Windows, nhớ tick “Add python.exe to PATH” ở màn hình đầu của installer, rồi mở thư mục scan và double-click run-scan.cmd. Trên macOS thì mở Terminal và chạy:
cd ~/Downloads/Zero-Breach-Toolkit-main && python3 -X utf8 scan/zero-breach-toolkit.pyTrước khi quét trên Mac, bạn cần cấp Full Disk Access cho Terminal trong System Settings, Privacy & Security, nếu không macOS sẽ giấu record của Safari. Trên Linux thì làm y hệt bước của Mac, bỏ bước cấp quyền đó.
Trong menu hiện ra, chọn mục update indicator lists trước, gõ y, rồi Enter. Sau đó chọn “This computer – standard check”. Thời gian chạy khoảng 15 phút theo README. Kết quả lưu trong thư mục findings.
Với Android, bạn bật USB debugging trên điện thoại, cắm cáp có truyền dữ liệu, chọn “A phone” trong menu rồi chọn thu thập qua USB. Bảng trả lời nên chọn theo README: backup chỉ SMS, app chỉ non-system packages, không kéo intrusion logs, không hash file. Với iPhone thì làm backup toàn bộ lên máy tính trước (qua Apple Devices trên Windows hoặc Finder trên Mac), rồi quét bản backup đó.
Ai nên dùng
Nhóm rõ ràng nhất: nhà báo, nhà hoạt động, người làm nhân quyền, tức những người từng nằm trong danh sách nhắm tới của các chiến dịch spyware. Nhưng cũng có nhóm thứ hai ít được nói tới: dev và người làm công nghệ muốn kiểm tra máy cá nhân sau khi có dấu hiệu lạ, hoặc đơn giản là muốn hiểu forensic trên thiết bị mình hoạt động ra sao.
Có một đoạn trong README tôi nghĩ nên nhắc lại nguyên văn tinh thần: nếu bạn nghĩ mình đang bị nhắm tới ngay lúc này, hãy tìm chuyên gia trước. Bạn không cần chạy tool này trước khi gọi. Access Now Digital Security Helpline miễn phí, 24/7, nhiều ngôn ngữ, hoặc Security Lab của Amnesty International. Tool này là để kiểm tra, không phải để xử lý tình huống khẩn cấp.
So với các lựa chọn khác
Mảng này có MVT (Mobile Verification Toolkit) của Amnesty, cũng mã nguồn mở, cũng quét dấu vết spyware, nhưng thiên về CLI và đòi người dùng có chút kiến thức. Zero-Breach-Toolkit đi theo hướng khác: menu số, hướng dẫn cho người không chuyên, chạy trên cả Windows lẫn macOS. Đổi lại, nó mới hơn, ít người dùng hơn, và chưa có cộng đồng kiểm chứng lâu dài như MVT. Nếu bạn cần công cụ đã được các tổ chức lớn dùng nhiều năm thì MVT vẫn là lựa chọn chín hơn. Còn nếu bạn muốn đưa cho một người không rành máy tính tự chạy thì toolkit này dễ tiếp cận hơn nhiều.
Ưu điểm và những chỗ cần cân nhắc
Ưu điểm trước: offline hoàn toàn khi scan, read-only với chứng cứ, report nói rõ giới hạn, hướng dẫn cho người không chuyên, chạy được trên nhiều nền tảng, license Apache-2.0 (dùng, sửa, phân phối thoải mái).
Hạn chế thì phải nói thật. Repo mới 2 ngày tuổi tính đến thời điểm này, chưa có topic, chưa có gì chứng minh độ ổn định qua thời gian. Việc cập nhật indicator lists phụ thuộc vào nguồn bên ngoài; README không nói rõ nguồn đó đáng tin cỡ nào. Trên macOS, nếu bạn không cấp Full Disk Access thì kết quả thiếu dữ liệu Safari, và tool sẽ nói nó không check được, chứ không tự đoán. Trên Android, quy trình thu thập qua USB dài và dễ làm sai bước, đọc bảng câu hỏi kỹ trước khi bấm.
Một điểm nữa: nó không phải network sandbox. Nếu bạn đang ở tình huống bị nhắm tới thực sự, chạy tool trên máy có thể đã bị xâm nhập vẫn là chuyện có rủi ro, dù nhỏ. Tác giả cũng ngụ ý vậy trong README.
Kết luận thực dụng
Với 775 sao trong 2 ngày, Zero-Breach-Toolkit đang được đẩy lên bởi nhu cầu hơn là độ chín. Nếu bạn là dev có máy cá nhân cần kiểm tra nhanh, hoặc muốn đưa cho người thân không rành máy tính một công cụ tự kiểm tra, đây là lựa chọn đáng thử, miễn phí và không gửi dữ liệu đi đâu khi scan. Còn nếu bạn cần một quy trình forensic đã được kiểm chứng nhiều năm, hãy xem MVT trước. Repo ở đây: interplains/Zero-Breach-Toolkit.
