โต๊ะทำงานกับห้องตรวจปลายสะพานในป่าสีเขียวเข้ม โดยป้ายอำพันหลุดจากราวสะพาน
aiagentclaude-codetoolingsecurity

Claude Code 2.1.278: auto mode ใช้ classifier ฝั่ง server มากขึ้น ต้องตรวจขอบเขตเอง

พี่โชว์Engineering

ให้ agent ทำงานยาว ๆ โดยไม่กดอนุมัติทุกคำสั่งสะดวกครับ แต่คำว่า auto ไม่ได้บอกว่าเครื่องมือถูกขังไว้ที่ไหน Claude Code v2.1.278 ออกวันที่ 19 กันยายน 2026 และเปลี่ยน auto mode สำหรับ Claude API/Enterprise รวมถึง Bedrock, Vertex, Foundry และ gateway ให้ใช้ classifier ฝั่ง server เป็นค่าเริ่มต้นในกลุ่มที่ระบุ พร้อมแถว /status บอกว่า session นี้ใช้ classifier ฝั่งใด ประกาศระบุว่าจะไม่คิดค่า classifier overhead ในเส้นทางใหม่นี้ และเตือนเมื่อ fallback ที่มีค่าใช้จ่าย

classifier คือด่านที่ประเมินความเสี่ยงของการเรียก tool เหมือนเจ้าหน้าที่ดูใบงานก่อนเปิดประตู แต่ย้ายเจ้าหน้าที่ไปอยู่ฝั่ง server ไม่ได้ทำให้ประตูทุกบานล็อกโดยอัตโนมัติ ต้องอ่านสิทธิ์ของ filesystem, shell, network และ MCP ที่ตั้งอยู่บนเครื่องด้วย

หลักฐานที่ตรวจ

  • release จาก anthropics/claude-code เป็น tag v2.1.278, commit bf7d404, stable/immutable; ดาวน์โหลด claude-darwin-arm64.tar.gz มาเทียบ SHA-256 ของไบต์จริงด้วย shasum -a 256 ได้ d16dc23a4e27155a59cdc35251eccd7fa30ed46482c51af1c33e71b14d790f6b ตรงทั้ง SHASUMS256.txt และ GitHub release API แต่ยังไม่ได้ verify ไฟล์ลายเซ็น .sig หรือรัน installer
  • คู่มือ permissions บอกว่า Manual mode ขออนุมัติ shell, edit และ web fetch บางชนิด; read ภายใน working directory ไม่ถาม ส่วน MCP มี rule ของตัวเอง Auto mode ย้ายการตัดสินใจบางส่วนให้ classifier จึงควรตรวจ mode จริงใน /permissions และ /status
  • คู่มือ sandbox ระบุว่า sandboxed Bash เขียนได้ใน working directory/temp, network domain ใหม่ต้องผ่าน prompt หรือ classifier แต่ อ่านไฟล์ได้กว้างโดยค่าเริ่มต้น รวมถึงบาง credential files และ subprocess รับ environment variables จาก parent ได้ หาก sandbox เริ่มไม่ได้ ค่าเริ่มต้นเตือนแล้วรัน unsandboxed; ตั้ง sandbox.failIfUnavailable หากองค์กรต้องการหยุดจริง
  • advisory ทางการ ระบุช่องโหว่ sandbox escape ระดับ High ใน 2.1.38 ถึงก่อน 2.1.163 และแก้ใน 2.1.163 รุ่น 2.1.278 อยู่นอกช่วงนั้น การดู advisory นี้และหน้า advisory รวมไม่ใช่การ audit dependency ทั้งต้นไม้

เส้นทางอัปเดตควร pin เวอร์ชันจาก publisher ที่ตรวจได้ ใช้ package manager หรือ asset ที่ตรงระบบ และเทียบ checksum/ลายเซ็นกับ artifact ก่อนใช้จริง หลีกเลี่ยง remote installer แบบ pipe เข้า shell โดยไม่อ่าน เราไม่ได้เปิด session ของ Claude Code ใน checkout นี้

วิธีใช้ให้ปลอดภัยขึ้น

เริ่มด้วย Manual mode ในงานที่มีข้อมูลลับ ตั้ง deny rule สำหรับ path ของ credential และ MCP ที่ไม่จำเป็น ใช้ sandbox.credentials เพื่อตัด environment variables/ไฟล์ secret ที่ subprocess เห็น และกำหนด sandbox.failIfUnavailable: true เมื่อ sandbox เป็นเงื่อนไขบังคับ เปิด network domain เฉพาะที่ต้องใช้ ตรวจ MCP server ก่อนเพิ่มและไม่ให้ rule กว้างแบบอนุมัติทุก tool

ถ้าเลือก auto mode ให้ดู /status ว่าใช้ server classifier จริงและตรวจ log การกระทำทุกครั้งก่อน merge คำเตือนเรื่อง fallback เป็นเรื่องราคาและเส้นทางตัดสินใจ ไม่ใช่หลักฐานว่าคำสั่งนั้นปลอดภัย

ความเสี่ยงคงเหลือ

แม้ classifier กรองการกระทำ แต่การอ่านไฟล์ credential และการสืบทอด environment ยังเป็นช่องทางข้อมูลรั่วถ้าไม่ตั้ง policy เพิ่ม Sandbox อาจ fallback เป็น unsandboxed ตามค่าเริ่มต้น, MCP server ภายนอกมีความเสี่ยงของตน และการเทียบ checksum ยังไม่ยืนยันลายเซ็นหรือความปลอดภัยของ dependency ทั้งหมด จึงสรุปเพียง ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ สำหรับการรายงาน release พร้อมเงื่อนไขข้างต้น

Recap

  • 2.1.278 เปลี่ยนเส้นทาง classifier ของ auto mode ใน provider ที่ประกาศ
  • ดู mode และ classifier จริงใน /permissions กับ /status
  • บล็อก credential read/environment และให้ sandbox fail closed หากจำเป็น
  • ตรวจ checksum/signature ก่อนอัปเดตและ review การทำงานก่อน merge