WordPress 7.0 đưa AI vào lõi, nhưng con số 41,9% mới là thứ đáng lo

Bạn vừa nghe tin WordPress 7.0 "có AI tích hợp sẵn". Và bạn hình dung ra cảnh: từ nay website tự viết bài, tự tối ưu, tự chạy — chỉ cần bấm cập nhật.

Tôi phải nói thẳng: không có chuyện đó.

WordPress 7.0 không đưa trí tuệ vào lõi. Nó đưa ổ cắm vào lõi. Bên trong bản cập nhật đó không có một mô hình AI nào cả — không có model, không có "bộ não", không có gì chạy được nếu bạn không tự mang khoá API của người khác đến cắm vào và tự trả tiền.

Đó là một quyết định kiến trúc rất khôn ngoan. Nhưng nó cũng có nghĩa: toàn bộ chi phí, rủi ro bảo mật và chất lượng nội dung đều đổ về phía bạn. Và có một con số trong cùng giai đoạn này mà gần như không ai nhắc đến bên cạnh tin AI — con số nói lên nhiều điều hơn cả tính năng mới.

Chuyện gì đã xảy ra, và xảy ra khi nào

Ngày 20/5/2026, WordPress 7.0 "Armstrong" chính thức phát hành — bản lớn đầu tiên của năm 2026, với hơn 875 người đóng góp (trong đó hơn 200 người lần đầu tham gia) và hơn 420 cải tiến, sửa lỗi (WordPress.org).

Những gì thuộc về AI trong bản này, theo đúng thông báo chính thức:

• AI Client trong lõi — lớp giao tiếp chuẩn để WordPress nói chuyện với các mô hình AI tạo sinh.
• Abilities API — cách để AI thực hiện hành động trong WordPress, chứ không chỉ sinh chữ.
• Màn hình Connectors — nơi quản trị viên kết nối nhà cung cấp AI bên ngoài.
• Client-Side Abilities — bản JavaScript của Abilities API, kèm Command Palette (⌘K hoặc Ctrl+K).
• Một plugin AI chính thức (tách riêng, không nằm trong lõi) làm việc cụ thể: tạo và chỉnh ảnh, gợi ý tiêu đề, tóm tắt, viết alt text.

Còn tính năng mà cả cộng đồng chờ đợi — soạn thảo cộng tác thời gian thực kiểu Google Docs — bị rút khỏi bản 7.0 vào phút chót vì lo ngại hiệu năng và lỗi tranh chấp dữ liệu. Nó được dời sang chu kỳ 7.1.

Sau đó: 9/7/2026, WordPress 7.0.1 ra mắt — bản bảo trì thuần tuý với 31 lỗi được sửa trong Core và Block Editor, do Aaron Jorbin, Brian Haas, Carlos Bravo và Estela Rueda dẫn dắt. Bản lớn tiếp theo, WordPress 7.1, dự kiến 19/8/2026 tại WordCamp US (WordPress.org).

Đó là dòng thời gian thật. Giờ đến phần thú vị hơn.

WordPress không bán cho bạn AI. Họ bán cho bạn cái ổ cắm.

Đây là chi tiết quyết định mọi thứ, và nó nằm trong tài liệu kỹ thuật chứ không nằm trên tiêu đề báo.

Màn hình Connectors ra mắt kèm ba nhà cung cấp mặc định: Anthropic, Google và OpenAI (Make WordPress Core, 18/3/2026). Lõi WordPress không đứng về phía nhà cung cấp nào cả — nó chỉ định nghĩa cách cắm dây.

Nghĩa là gì với một chủ doanh nghiệp?

Nghĩa là bạn cập nhật lên 7.0 và không có gì tự xảy ra. Không có AI nào chạy. Muốn dùng, bạn phải mở tài khoản ở OpenAI, Google hoặc Anthropic, lấy khoá API, dán vào, và từ đó mỗi lần AI làm việc là một lần bạn bị tính tiền — theo lượng token, trực tiếp từ nhà cung cấp, không qua WordPress.

Tôi cho rằng đây là lựa chọn đúng. Nếu WordPress nhét một mô hình cố định vào lõi, họ sẽ khoá 40% web vào một nhà cung cấp duy nhất, và sẽ lỗi thời sau 6 tháng. Làm hạ tầng trung lập là cách duy nhất còn tỉnh táo.

Nhưng "đúng về kiến trúc" không có nghĩa là "an toàn khi triển khai". Và đây là chỗ tôi muốn bạn dừng lại lâu nhất.

Điều gần như không ai để ý: khoá API nằm trần trong cơ sở dữ liệu

WordPress cho phép nạp khoá API theo ba đường, ưu tiên theo thứ tự: biến môi trường → hằng số PHP trong wp-config.php → cài đặt lưu trong cơ sở dữ liệu.

Nếu bạn dán khoá vào ô nhập trong giao diện quản trị, nó rơi vào đường thứ ba. Và tài liệu kỹ thuật chính thức viết nguyên văn: "API keys stored in the database are not encrypted but are masked in the user interface." — khoá lưu trong cơ sở dữ liệu không được mã hoá, chỉ được che bớt trên màn hình. Việc mã hoá "đang được cân nhắc ở một ticket riêng: #64789" (Make WordPress Core).

Tài liệu này còn thừa nhận thẳng một điều nữa: vì khoá là cài đặt cấp toàn site, mọi plugin trên site đều đọc được nó.

Hãy dịch câu đó sang ngôn ngữ kinh doanh:

• Một bản sao lưu cơ sở dữ liệu bị rò rỉ = khoá API của bạn bị lộ nguyên vẹn.
• Một plugin rẻ tiền có lỗ hổng SQL injection = kẻ tấn công đọc thẳng bảng wp_options và lấy khoá.
• Một môi trường staging quên đặt mật khẩu = ai đó đang tiêu tiền trên tài khoản OpenAI của bạn.

Đây không phải lỗ hổng bí mật — nó được ghi công khai trong tài liệu dành cho lập trình viên. Vấn đề là gần như không chủ website nào đọc tài liệu dành cho lập trình viên. Họ chỉ thấy một ô trống ghi "API key" và dán vào.

Việc cần làm rất đơn giản: yêu cầu đội kỹ thuật nạp khoá qua biến môi trường hoặc hằng số trong wp-config.php, không dán qua giao diện. Cùng một tính năng, cùng một trải nghiệm, nhưng khoá không nằm trong cơ sở dữ liệu — thứ vốn hay bị sao lưu, sao chép và mang đi khắp nơi.

Thứ thật sự thay đổi cuộc chơi lại không mang tên "AI"

Nếu chỉ được giữ lại một dòng trong bản 7.0, tôi không chọn AI Client. Tôi chọn Abilities API.

AI Client chỉ giúp WordPress nói chuyện với mô hình. Abilities API làm việc khác hẳn: nó cho phép khai báo những năng lực mà website có thể thực hiện — điều hướng trang quản trị, chèn khối nội dung, chạy lệnh — theo một chuẩn thống nhất, để máy móc gọi được.

Nghe khô khan. Nhưng ý nghĩa thì không.

Suốt hai mươi năm, WordPress được thiết kế cho con người bấm chuột. Abilities API là lần đầu tiên nó được thiết kế cho phần mềm điều khiển. Website của bạn không còn chỉ là nơi để người dùng đọc — nó trở thành thứ mà một tác nhân AI có thể vận hành.

Và đó chính là hướng đi mà đội ngũ đang tiếp tục. Trong bản ghi cuộc họp ngày 8/7/2026, các contributor nhấn mạnh rằng "abilities nên được xem là các đơn vị chức năng cơ bản của WordPress, tách biệt khỏi lớp truyền tải" — tức là chúng không chỉ phục vụ AI, mà là một tầng giao tiếp mới của cả nền tảng. Phạm vi cho 7.1 tập trung vào các năng lực đọc trước, chưa mở sang quản trị (Make WordPress AI).

Đây mới là tin đáng theo dõi. Trong 2–3 năm tới, "website của bạn có được AI đọc và thao tác đúng cách không" sẽ là một câu hỏi kinh doanh thật sự — không khác gì câu hỏi "website của bạn có lên Google không" của mười lăm năm trước. Chúng tôi đã viết kỹ về hướng này trong bài SEO cho doanh nghiệp thời đại AI.

Con số 41,9% — thứ mà AI trong lõi không sửa được

Giờ đến phần mà các bài tin công nghệ về WordPress 7.0 thường bỏ qua.

Trong đúng giai đoạn WordPress dồn sức đưa AI vào lõi, thị phần của nó giảm sáu tháng liên tiếp. Theo dữ liệu W3Techs: từ 43,20% (tháng 12/2025) xuống 41,90% (ngày 27/5/2026) — mất 1,3 điểm phần trăm trong nửa năm, gấp đôi mức sụt của cả năm 2025 cộng lại (0,60 điểm) (Search Engine Journal).

Cùng khoảng thời gian đó, phần bị mất chảy sang đâu? Shopify +0,20 điểm, Wix +0,10, Squarespace +0,10.

Hãy nhìn kỹ danh sách này. Không nền tảng nào trong số đó thắng nhờ có AI mạnh hơn. Chúng thắng vì cùng một lý do rất cũ: chủ doanh nghiệp muốn thứ chạy được ngay, không phải bảo trì, không sập vì xung đột plugin, không cần thuê người trông.

Đó chính là điểm mù. AI trong lõi không giải quyết lý do người ta rời WordPress. Không ai bỏ WordPress vì thiếu chỗ cắm mô hình ngôn ngữ. Người ta bỏ vì mệt — vì 40 plugin, vì bản cập nhật làm vỡ giao diện, vì tốc độ chậm, vì mỗi năm lại một lần sự cố bảo mật.

Và nói cho công bằng: Connectors vừa thêm vào danh sách đó một điểm rủi ro mới — một chỗ trong cơ sở dữ liệu chứa khoá dẫn thẳng tới tài khoản có thể tính tiền của bạn.

Tôi không nói WordPress sai hướng. Abilities API là một canh bạc dài hạn thông minh. Nhưng nếu bạn đang chọn nền tảng cho doanh nghiệp mình năm 2026, thì "WordPress giờ có AI" không phải là lý do để chọn hay không chọn nó. Lý do vẫn nằm ở những thứ nhàm chán: ai vận hành, ai chịu trách nhiệm khi sập, và website có nhanh không.

Vậy bạn nên làm gì với thông tin này

Rất cụ thể, theo thứ tự:

1. Cập nhật lên 7.0.1 — nhưng đừng cập nhật vì AI. Cập nhật vì 31 lỗi đã được sửa. Và hãy chạy thử trên bản staging trước, vì 7.0 thay đổi lớn ở giao diện quản trị.
2. Đừng bật Connectors nếu chưa có mục đích rõ ràng. Một khoá API không dùng đến vẫn là một khoá API có thể bị lộ. Không có nhu cầu thì không cắm.
3. Nếu bật: nạp khoá qua biến môi trường hoặc wp-config.php, không dán qua giao diện. Đây là câu duy nhất bạn cần chuyển cho đội kỹ thuật.
4. Đặt hạn mức chi tiêu (spending limit) ngay trên tài khoản nhà cung cấp AI. Đây là lớp phòng thủ cuối cùng nếu khoá bị lạm dụng — và nó nằm ngoài tầm với của WordPress.
5. Hỏi đội kỹ thuật đúng ba câu: Khoá API đang nằm ở đâu? Ai trên site này đọc được nó? Nếu ngày mai bản sao lưu cơ sở dữ liệu bị rò rỉ, chuyện gì xảy ra?

Nếu câu trả lời cho câu đầu tiên là "trong phần cài đặt", bạn có việc phải làm ngay tuần này.

---

Bản 7.0 là một cột mốc thật — nhưng không phải cột mốc mà tiêu đề mô tả. WordPress không vừa trở nên thông minh hơn. Nó vừa trở nên dễ điều khiển bằng máy hơn, và vừa mở thêm một cánh cửa mà bạn phải tự đi khoá lại.

Cần một người rà soát lại website WordPress của bạn trước khi bật bất cứ thứ gì liên quan đến AI? Nói chuyện với chúng tôi — mất mười lăm phút, và rẻ hơn nhiều so với việc phát hiện vấn đề sau khi nó xảy ra.

Nguồn

• WordPress 7.0 "Armstrong" — WordPress.org News (20/5/2026)
• Introducing the Connectors API in WordPress 7.0 — Make WordPress Core (18/3/2026)
• WordPress 7.0.1 Maintenance Release — WordPress.org News (9/7/2026)
• AI Contributor Weekly Summary — Make WordPress AI (8/7/2026)
• WordPress Market Share Declines For Six Months In A Row — Search Engine Journal
• WordPress 7.0 Launches With Native AI Integration — Search Engine Journal
• Security audit for API key storage on the Connectors screen — WordPress Trac #64789