[Roadmap] 4 đầu việc hiện tại và capability sau benchmark

[HungBil]

Định hướng và giới hạn WIP

OpenHunterAI là một black-box pentest engine self-host, với CLI/dashboard/skill dùng chung API, worker, validation, report và retest. Mục tiêu: nhập tối thiểu, thực thi kiểm thử thật, trả lỗi có bằng chứng và coverage trung thực. Giữ PolyForm hiện tại.

Chỉ 4 implementation issue active:

Issue	Owner	Kết quả
#12	FE + CLI/release	Cài xong gõ openhunterai, chọn CLI/dashboard, scan/report/retest
#13	BE/platform	Contract self-host, bỏ quota thương mại, readiness và lifecycle đúng
#22	Worker + pentest/E2E	Runtime và probes thật; target kiểm thử nội bộ, scorer và release gate
#14	Validation + security	Independent replay, validated findings, manual retest thật

Issue này là roadmap, không phải implementation issue thứ năm. Không tạo issue theo từng tool/playbook/model cho đến khi có entry gate và owner.

Thứ tự giao việc

1. [BE] Scan self-host thống nhất, không quota thương mại #13 chốt request/profile/artifact/lifecycle contract; [Workers/E2E] Chạy pentest thật và chứng minh tìm đúng lỗi #22 dựng web app kiểm thử và scorer song song. [FE/CLI] Cài một lần, chạy pentest từ CLI hoặc dashboard, nhận report #12 có thể làm installer ngay.
2. [FE/CLI] Cài một lần, chạy pentest từ CLI hoặc dashboard, nhận report #12 tích hợp UX; [Workers/E2E] Chạy pentest thật và chứng minh tìm đúng lỗi #22 thực thi scenarios; [Validation] Xác minh lỗi độc lập và retest đúng finding #14 hoàn thiện independent validation/retest theo cùng contract. Chia PR nhỏ trong từng issue.
3. [Workers/E2E] Chạy pentest thật và chứng minh tìm đúng lỗi #22 chạy release gate tích hợp qua release artifacts, cả CLI và dashboard. Chỉ công bố xong sau merged commit + evidence; local dirty worktree không phải delivery.

Baseline audit 20/09/2026: main e0f4ea9592f3db9f14cb6341a406d30903a8dcd3; còn nhiều thay đổi local chưa merge. Các issue đã ghi rõ phần nào là draft/đã kiểm tra local. Bắt đầu bằng reconcile các patch liên quan, không overwrite công việc hiện có.

Hợp nhất backlog

• [FE/CLI] Cài một lần, chạy pentest từ CLI hoặc dashboard, nhận report #12 hấp thụ request normalization từ feat(ingestion): Unified seed input and request normalization #16 và ưu tiên lại installer/CLI/dashboard ngay, không chờ M1.
• [BE] Scan self-host thống nhất, không quota thương mại #13 giữ runtime truth/idempotency, thêm dọn thương mại hóa xuyên suốt.
• [Workers/E2E] Chạy pentest thật và chứng minh tìm đúng lỗi #22 gộp [QA/E2E] Chứng minh OpenHunterAI tìm đúng lỗi và retest thật #15: upstream compatibility/provenance, worker chạy thật và E2E benchmark có negative controls.
• [Validation] Xác minh lỗi độc lập và retest đúng finding #14 giữ independent validation và bổ sung executable manual retest.
• feat(auth): Multi-account session and cross-role validation #17 không còn issue riêng: two-account IDOR/BOLA tối thiểu thuộc [Workers/E2E] Chạy pentest thật và chứng minh tìm đúng lỗi #22/[Validation] Xác minh lỗi độc lập và retest đúng finding #14; coverage multi-role nâng cao nằm dưới đây.
• research(agent): Evidence-linked application memory #18/research(agent): Bounded adaptive test planning #19 (memory/planner), feat(llm): Per-use-case model routing with backward-compatible aliases #20/research(llm): Offline phase evaluation harness for model selection #21 (routing/eval) giữ ở roadmap này.

Sau khi #22 đạt E2E gate

Authenticated coverage mở rộng: workflow login phức tạp, nhiều role/tenant, JWT/OAuth, upload, forgot-password, race/WebSocket, API-spec/Postman. Entry: URL-only + two-account baseline ổn định, có fixture và evidence/negative controls cho capability muốn thêm.

Adaptive Hunter: memory giới hạn project/run (giữ legacy org isolation nếu còn), hypothesis/scenario backlog và bounded replanning. Entry: baseline recall/false-positive/evidence/time/cost đủ ổn định; chứng minh delta so deterministic executor.

Model routing: áp yêu cầu per-phase/use-case đã thống nhất, alias tương thích, offline evaluation. Entry: sanitized corpus + benchmark baseline; tối ưu validated recall/evidence/time/cost. Không tự đổi production routing vì score một lần.

AI/agentic targets: thử nghiệm feature-flagged khi có lab ground truth riêng; capability phải qua cùng import/evidence/guardrail gates.

Không đưa cloud IAM, AD/Entra, VPN, mobile, web3, source-aware SAST, autonomous fixing hoặc unrestricted exploits vào release hiện tại. CLI có thể được coding agent gọi qua contract chung; không xây engine thứ hai.