การ์ดคำขอเปล่าเรียงหน้าประตูสิทธิ์สีเขียวเข้ม มีสายเซิร์ฟเวอร์สีอำพันเส้นเดียวถูกถอดออก
aiagentsclaude-codesecurity

Claude Code 2.1.259: โหมด unattended แบบปฏิเสธ prompt และ managed MCP ที่แคบลง

น้องกายEngineering

Anthropic เผยแพร่ Claude Code 2.1.259 วันที่ 2 กันยายน 2026 จุดเด่นคือ --permission-prompts none สำหรับ host แบบ unattended: action ที่ต้องถามจะถูกปฏิเสธแทนการค้างรอ, จำกัด managedMcpServers ให้รับเฉพาะ HTTP/SSE และข้าม command entry รวมถึงแก้ Read deny rules กับ managed settings ให้ fail closed เมื่อ parse ไม่ได้

Safety gate: provenance และช่องโหว่ที่ประกาศ

release มาจาก repository ทางการ anthropics/claude-code พร้อม SHASUMS256.txt, signature ของ checksum และ digest ของ assets ผู้ดูแล CI ควรตรวจทั้ง signature กับ hash จาก release เดียวกันก่อนนำ binary เข้า internal registry ไม่ควรพึ่งชื่อไฟล์หรือ TLS เพียงอย่างเดียว

GitHub advisories ของโครงการมีรายการย้อนหลัง รวมถึง CVE-2026-55607 ที่กระทบรุ่นตั้งแต่ 2.1.38 ถึงก่อน 2.1.163 และแก้แล้วใน 2.1.163 รุ่น 2.1.259 จึงอยู่นอกช่วงที่ประกาศ ณ วันที่ตรวจ แต่ทีมยังควร subscribe advisory และสแกน transitive packages ต่อเนื่อง

Default permissions ไม่เท่ากับ sandbox เต็มรูป

เอกสาร security ระบุว่า Claude Code ใช้สิทธิ์อ่านอย่างเข้มงวดและขออนุมัติก่อนแก้ไฟล์หรือรัน shell อย่างไรก็ตาม sandbox เป็นชั้นที่เปิดใช้และปรับ policy ได้ ไม่ควรสมมติว่า default จำกัดการอ่านทุกตำแหน่งบนเครื่องเท่ากับ container ที่แยกจริง สำหรับ repository อ่อนไหวให้เปิด sandbox, ลด filesystem/network scope และรันด้วย OS account ที่ไม่มี secret เกินงาน

โหมดไม่มี permission prompts ปลอดภัยกว่าการ auto-approve สำหรับ unattended job เพราะสิ่งที่ต้องถามถูก deny แต่ job อาจ fail เงียบหรือวน retry ต้องตั้ง timeout, failure alert และตรวจ exit status ส่วน managed MCP ที่ไม่รับ local command ลดการ inject process ผ่าน config กลาง แต่ remote HTTP/SSE server ยังเห็นข้อมูลที่ส่งออก จึงต้อง allowlist endpoint และยืนยัน TLS/identity

rollout ที่แนะนำ

รุ่นนี้ผ่าน safety gate สำหรับ canary เมื่อ verify signature/checksum, ใช้ managed settings ที่อ่าน-only สำหรับ agent, เปิด sandbox และไม่ให้ token production แก่ job เริ่มด้วย dry-run ที่ตั้ง --permission-prompts none แล้วจงใจเรียก action ต้องห้าม ยืนยันว่า deny และแจ้งเตือนจริง

ความเสี่ยงคงเหลือคือ read scope ที่กว้างเกินจำเป็น, remote MCP exfiltration และ policy drift ระหว่าง managed กับ user settings จัดเก็บ effective config เป็น artifact ของทุก run เพื่อ audit

Recap

2.1.259 เพิ่ม fail-closed behavior ที่มีประโยชน์กับ automation แต่ไม่แทน OS isolation ตรวจ signature/hash, เปิด sandbox, allowlist MCP และทดสอบ denied action ก่อนนำไปใช้แบบไม่มีคนเฝ้าครับ