ท่อ HTTP MCP ในห้องมืดมีซองคำขอสะสมจนท่อแอ่น โดยแคลมป์อำพันกำลังปิดจุดค้างและประตู consent อยู่ด้านหลัง
aiagentclaude-codeanthropicsecuritymcppermissionsnews

Claude Code 2.1.293 แก้ HTTP MCP กินหน่วยความจำและ consent ของ background agent: อัปเดตก่อน session ยาว

พี่โชว์Engineering

Anthropic ออก Claude Code 2.1.293 เมื่อ 7 ตุลาคม 2026 พร้อมแก้ HTTP MCP connection ที่เก็บทุก request ไว้จนกว่าจะปิด connection ทำให้ session ยาวกินหน่วยความจำต่อเนื่องครับ รุ่นนี้ยังแก้ consent ของ background agent ที่ใช้ bypass permissions, การโหลด path-scoped rules ผ่านคำสั่ง shell อ่านไฟล์ และความสอดคล้องของ tool availability ใน subagent

release ยังเพิ่ม Claude Haiku 5.5 เป็น default Haiku, agentType ในสถานะ subagent และ isDeferred สำหรับ tool จาก mods จุดร่วมคือ agent runtime มี state มากขึ้นทั้ง model, tools, plugins, memory และ background session จึงต้องดู boundary มากกว่ารายการ UI fixes

ผมตรวจ publisher repository, release/commit, asset digests กับ signed checksum manifest, npm integrity, security docs และ advisories แบบอ่านอย่างเดียว ไม่ติดตั้งหรือรัน package/binary/plugin/MCP ผลคือ ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ 2026-10-08 สำหรับ canary ที่จำกัดสิทธิ์

สรุป 30 วินาที

  • tag v2.1.293 ชี้ commit 79babc372d64101f981bd2b52c3dbe588596dc56
  • macOS arm64 archive SHA-256 คือ 957caf0a59eb7ab6f839bd1153f93dc770b2b42fa56fd188766edfb10542fa7c
  • release มี SHASUMS256.txt digest 740d7004... และ signature asset digest bd4b8cbe...; ผู้ใช้ยังต้อง verify signature กับ trusted key ไม่ใช่เห็นไฟล์ .sig แล้วถือว่าจบ
  • npm integrity ของ 2.1.293 เริ่ม sha512-PfPSvsd0zH1R...
  • memory leak ของ HTTP MCP request history ถูกแก้ เหมาะกับ session/daemon ที่ต่อ connection นาน
  • background agents ที่เสนอ bypass ต้องขอ consent ก่อน และแจ้งหาก session ไม่ใช้ bypass ตามที่คาด
  • path-scoped rules กับ nested CLAUDE.md โหลดเมื่อเปิดไฟล์ผ่าน cat, head, tail, sed หรือ grep แล้ว ลดช่องว่างระหว่าง Read tool กับ Bash tool

ทำไมเกี่ยวกับคุณ

MCP connection อาจอยู่หลายชั่วโมงและส่ง request หลายพันครั้ง หาก client เก็บ request ทุกอัน หน่วยความจำโตตามจำนวน tool call แม้แต่ request ที่เสร็จแล้ว ผลคือ desktop/daemon ช้า, ถูก OOM หรือกระทบ agent อื่นบนเครื่องเดียว ไม่ต้องมี attacker ก็เกิด incident ได้

แต่ memory fix ไม่ใช่ประเด็นเดียว การอ่านไฟล์ผ่าน shell กับ Read tool ควรโหลด policy path เดียวกัน มิฉะนั้น agent อาจเห็นกฎเมื่อใช้เครื่องมือหนึ่ง แต่ไม่เห็นเมื่อใช้ sed -n อีกเครื่องมือ เหมือนพนักงานเห็นป้ายห้ามเข้าตอนใช้ประตูหน้า แต่ประตูข้างไม่มีป้าย ทั้งสองทางยังเข้าแฟ้มเดียวกัน

Background session ยิ่งซับซ้อน เพราะผู้ใช้ไม่ได้มอง prompt ทุกวินาที Consent ที่บันทึกใน local settings หรือ --settings ต้องถูกแปลเหมือนกันระหว่าง foreground/background หาก UI เสนอ bypass แต่ worker ไม่ใช้ หรือใช้โดยไม่ขอ ผู้ใช้จะเข้าใจ authority ผิดทั้งคู่

ทำงานยังไง: state ต้องมีเจ้าของและอายุ

HTTP MCP client ส่ง request, เก็บ promise/correlation และรับ response เมื่อ implementation ลืมปล่อย record หลัง settle collection จะโตแบบไม่ bounded รุ่นนี้ระบุว่า connection เคยเก็บทุก request จนปิด จึงแก้ lifecycle ของ request state หลักปฏิบัติทั่วไปคือเก็บเฉพาะ in-flight และข้อมูล audit ที่มี retention limit แยกกัน

Tool availability เป็น state อีกชุด Subagent อาจมี --tools หรือ host policy ที่ตัด SendMessage ออก แต่ prompt ยังสั่งให้ใช้ tool นั้น รุ่นนี้แก้คำแนะนำไม่ให้ model วางแผนกับเครื่องมือที่ไม่มี ลด loop/error แต่ทีมต้องระวัง plugin/mod ที่เปลี่ยน tool set กลาง session

isDeferred ให้ mod เลือกว่าจะประกาศ schema ตั้งแต่ต้นหรือซ่อนไว้หลัง tool search การประกาศมากขึ้นช่วย discoverability แต่เพิ่ม prompt surface และโอกาส prompt injection จาก tool description Publisher/plugin review จึงต้องครอบ schema, hooks และ update channel ไม่ใช่แค่ชื่อ extension

Path-scoped rules ทำงานเมื่อ runtime รู้ว่า shell command กำลังอ่านไฟล์ รุ่นนี้รองรับคำสั่งทั่วไปเพิ่ม แต่ shell language กว้างมาก มี alias, pipeline, script และ subprocess ที่อาจอ่านไฟล์โดย engine ระบุไม่ครบ กฎ repository จึงเป็น guidance ชั้นหนึ่ง ไม่ใช่ sandbox enforcement ชั้นสุดท้าย

หลักฐานที่ตรวจ

release 2.1.293 เป็น immutable release ใน repository ทางการและบอกรายการ fix ข้างต้น พร้อม asset digest สำหรับแต่ละ platform Commit/tag ตรงกับ metadata ที่ตรวจจาก GitHub API

npm package 2.1.293 ให้ registry integrity อีกช่องทาง Distribution แบบ native archive และ npm ไม่ควรถูกเหมารวมว่า bytes เดียวกัน ทีมต้อง pin และ verify channel ที่เลือกจริง

security documentation อธิบาย permission/sandbox boundary และ advisories เป็นช่อง disclosure วันที่ตรวจไม่พบ known high/critical advisory สาธารณะที่ระบุว่า 2.1.293 กระทบโดยไม่มี mitigation แต่สถานะอาจเปลี่ยนภายหลัง

ผมไม่ได้ verify signature cryptographically เพราะไม่ได้ดาวน์โหลด artifact/key และไม่รัน installer การตรวจบันทึกว่ามี checksum/signature assets กับ digest ใด ไม่อ้างว่าตรวจลายเซ็นผ่านแล้ว นี่เป็น provenance review ไม่ใช่ binary analysis

เงินและผลกระทบ

การแก้ MCP retention ลดความเสี่ยง memory growth ของ session ยาว แต่ทีมควรวัด RSS, request count, reconnect และ leak slope ก่อน/หลัง เพราะ memory ยังมาจาก transcript, tool output, browser, plugin และ model context ได้ การอัปเดตแล้วกราฟยังขึ้นไม่แปลว่า fix ไม่ทำงานทันที

Haiku 5.5 default อาจเปลี่ยน latency/cost ของ subagent งานบางแบบ ขณะ context เกิน 100k มีราคาอีกช่วงหนึ่ง ต้อง pin model สำหรับ benchmark ก่อนเทียบ release อย่าให้ CLI upgrade และ model changeเกิดพร้อมกันจนไม่รู้ว่าสาเหตุมาจากไหน

สิ่งที่ยังไม่ชัดและแหล่งข่าวพูดไม่ตรงกัน

Release note บอกว่า HTTP MCP connection เก็บทุก request แต่ไม่ระบุ version แรกที่ได้รับผล, growth rate, protocol/server แบบใด หรือจำนวน request ที่เริ่มกระทบ เราจึงรู้กลไกระดับหนึ่ง แต่ประเมิน capacity planning จาก changelog อย่างเดียวไม่ได้

คำว่า signed checksum asset ยังต้องรู้ signing key, verification command, trust root และ revocation policy Release page แสดง digest ของไฟล์ signature แต่ digest ไม่เท่ากับการพิสูจน์ผู้ลงนาม องค์กรควรเก็บ verification log เมื่อ mirror artifact

Permission docs อธิบาย model ส่วน release แก้ behavior หลาย surface ทั้ง cloud, remote control, mods, apps gateway และ agents เราไม่ได้ทดสอบทุก surface จึงห้ามสรุปว่า consent consistency ครบทุก path

Revert ของ cloud scheduled wakeup fix แปลว่าบาง behavior ที่ตั้งใจแก้ใน 2.1.290 ถูกถอย ทีมที่พึ่ง /loop หรือ scheduled tasks หลัง container restart ต้องอ่านบรรทัดนี้และทดสอบ ไม่เลือกเฉพาะ bullet ที่ดูเป็น improvement

วิธีใช้ให้ปลอดภัยขึ้น

Pin 2.1.293 และ verify archive checksum/signature กับ key ที่องค์กรอนุมัติ หรือ pin npm integrity ใน lock/mirror ห้ามรัน installer URL แบบลอยและห้ามให้ auto-update ข้าม canary โดยไม่มี inventory

เปิด MCP เฉพาะ server ที่ review แล้ว จำกัด filesystem/network/secret ต่อ server ตั้ง timeout, max response, request concurrency และ monitor RSS ต่อ connection ทดสอบ session ยาวด้วย synthetic server ที่ไม่แตะ credential

ปิด bypass permissions เป็น default สำหรับ background/remote session ใช้ allow rule แคบและกำหนด approval สำหรับ shell, write, network, plugin install, publish และ external messages แยกกัน

Pin plugin/mod publisher และ version ตรวจ hook/script/schema ก่อนเปิด isDeferred: false จำกัด tool description จากแหล่งไม่ไว้ใจ และปิด marketplace ใน managed environment หากไม่จำเป็น

ใช้ OS/container sandbox เป็น enforcement หลัก ส่วน CLAUDE.md/path rule เป็น policy guidance ทดสอบ read ผ่าน Read tool, cat, sed, script, symlink และ nested directory ว่ากฎ/deny ให้ผลตรงกัน

ความเสี่ยงคงเหลือ

Agent ยังทำงานด้วยสิทธิ์ user, shell และ connector ที่ได้รับ MCP/plugin สามารถขยาย authority, ส่งข้อมูลออก network หรือเก็บ token นอก boundary ที่ CLI เห็น Prompt injection จาก repository, web, issue, tool output และ synced skill ยังชักนำ action ที่กฎอนุญาตได้

Memory leak อื่นอาจอยู่ใน transcript/browser/plugin และ session ยาวมีความเสี่ยง state stale/credential recovery Path-scoped rule detection ไม่สามารถแทนการบังคับ filesystem ทุก command Signature/provenance ไม่ตรวจ bytes ที่กำลังจะติดตั้งจนกว่าองค์กรจะ verify จริง

ควรทำอะไร

ทีม platform ควร canary ด้วย workload ที่เปิด HTTP MCP ต่อหลายชั่วโมง วัด RSS และ in-flight count, kill supervisor, reconnect, background session, expired login และ deny paths ทุกแบบ เก็บ baseline รุ่นก่อนเพื่อยืนยัน slope ไม่ใช่ดู memory snapshot จุดเดียว

ผู้ใช้ทั่วไปอัปเดตผ่าน channel ที่ตรวจได้ แล้ว review permission/plugin/MCP list ก่อน resume session เก่า หากงาน scheduled สำคัญให้ทดสอบ restart/container loss เพราะ release นี้ revert behavior บางส่วน

ผมมองว่ารุ่นนี้มีค่ากับทีมที่ใช้ agent ยาว ๆ มากกว่าคนที่เปิด command ครั้งเดียว แต่การลด leak จะคุ้มก็ต่อเมื่อเราไม่เปิด plugin/MCP กว้างเพื่อแลกความสะดวก

Recap

  • Pin channel และ verify checksum/signature/integrity จริง
  • วัด memory slope ของ HTTP MCP session ยาว
  • background bypass ต้องมี consent และ audit
  • ทดสอบ path rules ผ่าน Read และ shell read paths
  • review mods/plugins/tool schema เป็น code ที่มี authority
  • อ่าน reverted scheduled-wakeup behavior ก่อนพึ่ง automation
  • รุ่นนี้ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ ไม่ใช่การรับประกันว่าไม่มีความเสี่ยง