Claude Code 2.1.287 เพิ่ม Mods และอุดช่องสิทธิ์หลายจุด—plugin ที่ลึกขึ้นต้องมี boundary ที่ลึกตาม

Claude Code 2.1.287 ออกวันที่ 1 ตุลาคม 2026 พร้อม Claude Mods ที่เพิ่มพฤติกรรมเชิงลึกให้เครื่องมือ, side agent ในตัว และการแก้จุดเกี่ยวกับ MCP, symlink, คำสั่งลบไฟล์กับ permission ceiling รุ่นนี้มีทั้งของใหม่ที่ขยายความสามารถและ bug fix ที่ย้ำว่าขอบเขตสิทธิ์ของ coding agent ซับซ้อนจริงครับ

ผมตรวจ release ทางการ, metadata ของ แพ็กเกจ npm, checksum ของ asset และ security advisories โดยไม่รัน installer, plugin หรือ binary รุ่นนี้ ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ เพราะ publisher, repository, tag, provenance และ patch status ตรวจสอบย้อนกลับได้ แต่การเปิด Mods หรือ MCP ยังต้องประเมินผู้เขียนและ permission แยกครับ

สรุป 30 วินาที

• 2.1.287 เพิ่ม Claude Mods สำหรับปรับพฤติกรรมและเพิ่ม side agent ในตัว ความสามารถประกอบชิ้นส่วนได้มากขึ้น แต่ plugin/module กลายเป็น code และ instruction ที่ต้องผ่าน trust review
• release แก้กรณีคำสั่งลบที่อันตรายให้ถามเสมอ, แก้ permission ceiling ของ MCP tool ที่ชื่อพิเศษอย่าง __proto__, และให้การเขียนผ่าน symlink ไปยังตำแหน่งสำคัญหรือนอก workspace ต้องขออนุมัติ
• มีการแก้ telemetry ที่ prompt_text ซ้ำจนต้อง mask/drop ทุกตำแหน่งที่ prompt ถูกปิดบัง เรื่องนี้เตือนว่าการตั้ง redaction ที่ field เดียวอาจไม่พอเมื่อ schema เปลี่ยน
• มี prompt สำหรับ MCP URL และการแก้ plugin/remote/MCP หลายจุด การเพิ่ม connector ทำให้ agent เข้าถึงระบบได้มากขึ้น จึงต้องตรวจ URL, auth, tool schema และ egress
• asset macOS arm64 มี SHA-256 43b83…d6ef; npm metadata มี integrity/signature; advisories ที่กระทบ CLI ล่าสุดมี patched range ต่ำกว่า 2.1.287 ตามข้อมูลวันที่ตรวจ ส่วน advisory Desktop เป็นอีกผลิตภัณฑ์ ไม่ควรเหมารวม
• อัปเดตได้เมื่อ pin version, ตรวจ provenance, ทดสอบ plugin/MCP ใน sandbox, ปิด telemetry ที่ไม่จำเป็นหรือยืนยัน redaction และคง human approval สำหรับ shell/network/write ที่เสี่ยง

ทำไมเรื่องนี้เกี่ยวกับคุณ

คำว่า Mod ฟังเหมือนส่วนเสริมเล็กๆ แต่ใน coding agent มันอาจเปลี่ยนวิธีคิด เพิ่ม instruction ต่อเครื่องมือ หรือเชื่อมแหล่งข้อมูลใหม่ เปรียบเหมือนจ้างช่างแล้วอนุญาตให้ช่างพาผู้รับเหมาช่วงเข้าบ้าน ผู้รับเหมาช่วงเก่งอาจทำให้งานเสร็จเร็วขึ้น แต่เจ้าของบ้านต้องรู้ว่าเขาได้กุญแจห้องไหนและเอาอุปกรณ์อะไรเข้ามา

นักพัฒนาได้ความคล่องตัวจาก side agent และ behavior ที่ปรับได้ ทีมแพลตฟอร์มได้ช่องทางแจก workflow มาตรฐาน แต่ทีม security ต้องขยาย inventory จาก “ใช้ Claude Code เวอร์ชันไหน” เป็น “โหลด Mods อะไร ต่อ MCP ไหน และ tool แต่ละตัวมีสิทธิ์อะไร” หากไม่มี inventory เหตุการณ์ผิดปกติจะหา root cause ยาก เพราะพฤติกรรมอาจมาจาก core, mod, remote instruction หรือ MCP server ก็ได้

bug fix เรื่อง symlink กับ destructive command สำคัญต่อทุกคน แม้ไม่ได้ใช้ Mods เพราะ repository สามารถมี symlink ที่ชี้ออกนอก workspace ได้ การมอง path จากชื่อที่เห็นอย่างเดียวไม่พอ ระบบต้อง resolve ปลายทางจริงก่อนอนุญาตเขียน ส่วนคำสั่งลบควรถามเสมอเพราะการเดา intent ผิดครั้งเดียวมีต้นทุนสูง

ทำงานยังไง: ร้านเครื่องมือที่มีหัวต่อหลายชั้น

ตัว CLI หลักเหมือนสว่านไฟฟ้า Mods เหมือนหัวต่อที่เปลี่ยนว่าสว่านทำอะไรได้ Side agent เหมือนช่างผู้ช่วย และ MCP server เหมือนตู้เครื่องมือที่อยู่อีกห้อง ต่อของเหล่านี้แล้วงานเร็วขึ้น แต่สวิตช์นิรภัยของสว่านไม่สามารถควบคุมตู้เครื่องมือทุกใบได้โดยอัตโนมัติ

Claude Mods เพิ่ม instruction หรือ behavior ให้ระบบ งานแรกก่อนติดตั้งคือดู publisher, source, version, dependency และ permission หาก mod อ่านไฟล์หรือเรียก network ได้ ต้องถือเป็นซอฟต์แวร์ ไม่ใช่ข้อความตกแต่ง ห้ามดึงจาก URL แล้วรันทันทีใน repository จริง

Side agent ช่วยแยกงานย่อยและทำคู่ขนาน แต่ delegation ไม่ควรขยาย authority ผู้ช่วยควรได้สิทธิ์เท่าที่ subtask ต้องใช้ ไม่รับ secret ทั้งชุดจาก parent โดยปริยาย และผลลัพธ์ต้องกลับมาผ่าน review เดิม ความเร็วที่ได้จากหลาย agent จะไม่มีประโยชน์หาก audit บอกไม่ได้ว่า action มาจากตัวไหน

MCP เป็นมาตรฐานเชื่อม agent กับเครื่องมือภายนอก เช่น issue tracker, database หรือ browser แต่ MCP server กำหนด tool schema และอาจรับ credential ของระบบจริง การแก้ permission ceiling ของชื่อ __proto__ ใน release นี้ชี้ว่าชื่อ tool และโครงสร้าง object ก็เป็น attack surface ได้ ทีมควร allowlist server และ tool ตาม identity ไม่ใช่อนุญาตทุกอย่างเพราะต่อผ่านโปรโตคอลเดียวกัน

Symlink boundary ต้องดู canonical path สมมติ agent เขียน workspace/logs/current แต่ current ชี้ไปโฟลเดอร์นอก workspace ถ้าตรวจเฉพาะข้อความ path การเขียนอาจหลุดกรอบ fix รอบนี้เพิ่ม prompt สำหรับกรณีสำคัญ แต่ทีมควรให้ sandbox ของระบบปฏิบัติการเป็นกำแพงชั้นที่สองด้วย

Telemetry redaction เปรียบเหมือนเอาปากกาดำทับชื่อในสำเนาเอกสาร ถ้ามีสำเนาสองชุดแต่ทับเพียงชุดแรก ชื่อยังรั่วจากอีกชุดได้ release ระบุปัญหา prompt_text ซ้ำและต้อง mask/drop ทุกที่ที่ prompt ถูก mask ทีมจึงต้อง test telemetry schema หลัง upgrade ไม่ใช่เชื่อ config เก่าตลอดไป

หลักฐานที่ตรวจ

ต้นทางแรกคือ release v2.1.287 ของ repository anthropics/claude-code ซึ่งลงรายการ feature และ security-relevant fixes รอบนี้ ต้นทางที่สองคือ npm @anthropic-ai/claude-code รุ่นตรงกัน มี integrity กับ registry signature ใช้ตรวจ provenance ของแพ็กเกจ

asset claude-darwin-arm64.tar.gz มี SHA-256 ใน release metadata เป็น 43b83…d6ef ผมตรวจ metadata เท่านั้น ไม่ดาวน์โหลดและไม่ execute การมี checksum ช่วยจับไฟล์ไม่ตรงกับที่ publisher ประกาศ แต่ไม่ได้แทน code review หรือ runtime sandbox

หน้า advisory ของ repository มีรายการ high severity หลายรายการในรุ่นเก่า โดย affected range ที่ประกาศได้รับ patch ก่อน 2.1.287 รายการ low ที่ใหม่กว่าอย่าง CVE-2026-103012 ระบุ affected ต่ำกว่า 2.1.260 รุ่นนี้จึงอยู่นอกช่วงตาม advisory ณ วันที่ตรวจ ส่วน advisory บางรายการเจาะจง Claude Desktop ไม่ใช่ CLI ต้องแยก product ก่อนสรุป

ผมตรวจเอกสาร security ของ Anthropic เพื่อเทียบ permission model และแนวทาง sandbox กับ release note หลักฐานรวมชี้ว่ารุ่นนี้มีต้นทางและสถานะ patch ที่ตรวจได้ จึง ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ 2026-10-02 โดยมีเงื่อนไขว่าทุก Mod, MCP server และ remote source ต้องผ่าน gate ของตัวเอง

เงินและผลกระทบ

Mods กับ side agent อาจลดเวลาสร้าง workflow ซ้ำและกระจายงานค้นคว้า แต่เพิ่มต้นทุน inventory, review และ incident response หากแต่ละทีมติดส่วนเสริมเองโดยไม่มี catalog ความเร็วรายคนอาจแลกกับความเสี่ยงองค์กรที่มองไม่เห็น

metric ควรรวมเวลาถึง patch ที่ reviewer ยอมรับ จำนวน tool call ต่อ outcome, permission escalation, plugin/MCP failure, redaction test และ incident จาก side effect ไม่ใช่วัดแค่จำนวน task ที่ agent ปิดได้ การติดตั้ง mod หนึ่งตัวควรมี owner, version pin, risk tier และวันทบทวนเหมือน dependency สำคัญ

สิ่งที่ยังไม่ชัดและแหล่งข่าวพูดไม่ตรงกัน

release note บอกว่ามี Mods และ side agent แต่รายละเอียด trust boundary ของ mod แต่ละชนิดขึ้นกับเอกสารและ config จริง เราไม่ควรสรุปว่า mod ทั้งหมดรันใน sandbox เดียวกันหรือได้สิทธิ์เท่ากันโดยไม่ได้ตรวจ artifact

advisory list บอกช่องโหว่ที่เปิดเผยแล้ว ไม่ครอบคลุม zero-day, private report ที่ยัง embargo หรือพฤติกรรมเสี่ยงจาก plugin ภายนอก การที่ core 2.1.287 อยู่นอก affected range ไม่ได้ส่งสถานะเดียวกันให้ MCP server และ dependencies ของ mod

fix เรื่อง destructive command, symlink และ telemetry เป็นหลักฐานว่ารุ่นนี้แข็งแรงขึ้นในจุดเหล่านั้น ขณะเดียวกันก็เป็นหลักฐานว่าพื้นผิวซับซ้อนและเคยมี edge case ทีมต้องทดสอบ policy ของตัวเอง ไม่ควรแปล patch note เป็น “ปัญหาหมดแล้ว”

signature/integrity ของ npm กับ checksum asset เป็นคนละกลไก หลักฐานของ install path ผ่าน npm ไม่เหมือน binary tarball ทีมต้องบันทึก channel ที่ใช้จริง และยังไม่ควรใช้ remote installer ที่เปลี่ยน latest โดยไม่ pin

วิธีใช้ให้ปลอดภัยขึ้น

1. pin core ที่ 2.1.287 และ pin Mod/MCP ทุกตัวด้วย version หรือ commit ที่ตรวจแล้ว
2. สร้าง catalog ระบุ publisher, source, checksum, owner, permission, network domain, secret scope และวัน review ของส่วนเสริม
3. ทดลองใน repository จำลองที่มี symlink ชี้ออกนอก workspace, คำสั่งลบ, prompt injection และ canary secret เพื่อยืนยันว่า policy ถามหรือบล็อกถูกจุด
4. เริ่ม MCP แบบ read-only เปิดเฉพาะ tool จำเป็น ตรวจ schema รวมชื่อ property พิเศษ และแยก credential ต่อ server
5. ปิด network เป็นค่าเริ่มต้นหรือใช้ egress proxy allowlist ห้ามให้ mod ดาวน์โหลดแล้ว execute code โดยตรง
6. ตรวจ telemetry payload หลัง upgrade ด้วยข้อมูลจำลอง ยืนยันว่า prompt และ secret ถูก mask/drop ทุก field ไม่ใช่เฉพาะชื่อเดิม
7. ให้ side agent รับ context เท่าที่งานย่อยต้องใช้ ไม่ส่ง environment และ credential ทั้งหมดจาก parent
8. บังคับ test, lint, secret scan, review และ branch protection เหมือน patch ที่คนเขียน

ความเสี่ยงคงเหลือ

publisher ของ mod หรือ MCP server อาจถูกยึดบัญชี dependency อาจเปลี่ยน หรือ remote endpoint อาจตอบไม่เหมือนวันที่ review แม้ pin client แล้ว server-side behavior ยังเปลี่ยนได้ จึงต้องมี network log, rate limit และ kill switch

prompt injection จาก issue, repository หรือเว็บสามารถพยายามหลอกให้ agent ใช้ tool ที่ถูกอนุญาตอย่างถูก syntaxแต่ผิด intent allowlist เพียงอย่างเดียวไม่รู้ว่า action สอดคล้องกับงานหรือไม่ ต้องมี approval และ validation ที่ผูกกับข้อมูลธุรกิจ

telemetry อาจรั่ว metadata แม้ content ถูก redaction เช่นชื่อ repository, path หรือเวลาทำงาน ทีม privacy ต้องประเมิน metadata ด้วย และ human reviewer อาจพลาดเพราะ output จำนวนมากหรือ approval fatigue

ควรทำอะไร

ผู้ใช้เดี่ยวควรอัปเดต core ก่อนโดยยังปิด Mod ใหม่ แล้วเปิดทีละตัวหลังอ่าน source และ permission ทีมแพลตฟอร์มควรทำ internal catalog กับ policy preset องค์กรกำกับสูงควร require signed artifact เมื่อมี, private registry, egress proxy, secret broker และ audit ที่รวม parent/side agent identity

ถ้ากำลังใช้รุ่นที่อยู่ใน affected range ของ advisory ให้เร่งวางแผนอัปเดต แต่ไม่ข้าม staging หรือ provenance check หาก Mod สำคัญยังไม่รองรับ 2.1.287 ให้ลดสิทธิ์หรือปิดชั่วคราว แทนการตรึง core ไว้ในรุ่นเปราะโดยไม่มี mitigation

Recap

• ตรวจรุ่น 2.1.287 จาก tag, npm integrity/signature, asset checksum และ advisories แล้ว
• รุ่นนี้ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ ไม่ใช่คำรับรองว่าปลอดภัยแน่นอน
• ถือ Mod และ MCP เป็น dependency ที่มี code, permission และ supply-chain risk
• ทดสอบ destructive command, symlink escape, tool name edge case และ telemetry redaction
• จำกัด side agent ให้เท่ากับ subtask และเก็บ identity/tool trace แยก
• pin ทุกส่วน ใช้ read-only ก่อน และเปิด network/secret เท่าที่จำเป็น
• รักษา CI, review, secret scan และ branch protection สำหรับ output ของ agent
• เตรียม kill switch และ manual fallback เมื่อ plugin หรือ remote server ผิดปกติ

2.1.287 เป็นอัปเดตที่มีเหตุผลทั้งด้านความสามารถและการอุดขอบครับ แต่ยิ่งระบบประกอบชิ้นส่วนได้ลึก การตรวจ trust chain ก็ต้องลึกตาม ถ้าทีมตอบได้ว่า mod มาจากไหน ได้สิทธิ์อะไร ส่งข้อมูลไปไหน และปิดอย่างไร ความยืดหยุ่นจะเป็นข้อได้เปรียบ ไม่ใช่ช่องว่างระหว่างปลั๊กอินสองชั้นครับ