ชิ้นคำสั่งเรขาคณิตไร้อักษรเคลื่อนผ่านประตูสิทธิ์ โดยมีชิ้นตะขอสีอำพันถูกแคลมป์หยุดไว้
aiagentssecuritymistral-vibepermissions

Mistral Vibe 2.25.5: ปิดช่องว่างระหว่าง approval กับเครื่องมือจริง

พี่โชว์Engineering

หน้าต่างถามอนุญาตมีค่าเฉพาะเมื่อเครื่องมือทุกเส้นทางยอมผ่านหน้าต่างเดียวกันครับ Mistral Vibe 2.25.5 เน้นอุดรอยต่อเหล่านี้: MCP/connector tools ใช้ permission system, session log จำกัดเจ้าของไฟล์, shell approval แคบลง และ redirect หรือ heredoc ไม่ได้อาศัย approval กว้างแบบเดิม

ให้นึกถึงบัตรผ่านอาคาร ต่อให้ประตูหน้ามี รปภ. แต่ประตูส่งของเปิดค้าง อาคารก็ยังไม่ปลอดภัย Release นี้จึงมีคุณค่าตรงทำให้ tool หลายชนิดอยู่ใต้กติกาเดียวกันมากขึ้น ไม่ใช่เพราะทำให้ agent “ปลอดภัยแน่นอน”

หลักฐานที่ตรวจ

  • Official tag v2.25.5 เผยแพร่ 18 กันยายน 2026 ระบุว่า MCP และ connector ถาม permission เป็นค่าเริ่มต้น, glob เปิด/ปิด tool ครอบคลุม MCP, session_logging: false ถูกเคารพ และ home/log files จำกัด owner-only
  • Release ยังแก้การสร้าง/cleanup worktree ไม่ให้รัน repository Git hooks หรือ filesystem monitor, เพิ่ม hooks ใน subagent และบังคับถามแยกเมื่อ WebFetch redirect ข้าม origin รวมถึงไม่ตรวจ Git config ภายในโปรเจกต์เองโดยอัตโนมัติ
  • ตรวจ metadata ของ asset macOS arm64 zip พบ SHA-256 556663cbb36edbbf8e79b6e0bbf062e41450c6043619a37e297f2dad54dae537; ไม่ได้แตกไฟล์ ติดตั้ง หรือรัน binary/installer
  • เอกสาร safety และ permission ยืนยันว่า permission rule มีผลต่อการตัดสินใจเรียก tool แต่ผู้ใช้ยังต้องกำหนด scope เอง ตรวจ MAI-2026-003 และหน้า security ของ repository แล้ว ไม่พบ high/critical ที่ประกาศว่ากระทบ 2.25.5 โดยไม่มี mitigation ณ วันที่ตรวจ

การตรวจ install/update path จำกัดอยู่ที่ release metadata, checksum และเอกสารทางการ ไม่ใช้ repository จริง private network หรือ credentials และไม่รัน remote installer

วิธีใช้ให้ปลอดภัยขึ้น

อัปเดตบนเครื่องทดลองก่อน จากนั้นตั้ง default เป็น ask สำหรับ shell, network, MCP และ connector จำกัด working directory ให้เป็น worktree ชั่วคราว ไม่อนุญาต home, SSH agent, cloud config หรือ production secret ตรวจ rules ที่ใช้ glob ให้แน่ใจว่าไม่กว้างจนจับ executable คนละตัว และอย่า approve command ที่มี redirection, pipeline หรือไฟล์ argument ที่ยังไม่เห็นค่า

ปิด session logging เมื่อไม่จำเป็น แต่ยังต้องตรวจว่า log เก่าถูกจัดการตาม retention ขององค์กร สำหรับ WebFetch ให้ยืนยันปลายทางใหม่ทุกครั้งที่ข้าม origin และ pin MCP server ทั้ง package/version กับ command line อย่าให้ agent เพิ่ม server เองจากข้อความใน repository

ความเสี่ยงคงเหลือ

Permission prompt ยังพึ่งการตัดสินใจของคนและความถูกต้องของ parser คำสั่ง Tool ที่ได้รับอนุญาตอาจอ่านข้อมูลมากเกิน scope ผ่าน symlink, child process หรือ network redirect ที่คาดไม่ถึง การตั้ง log owner-only ลดผู้ใช้ร่วมเครื่องที่อ่านได้ แต่ไม่ป้องกัน process ที่ทำงานด้วยบัญชีเดียวกัน Checksum จาก publisher ไม่ใช่ independent signature สรุปได้เพียงว่า ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ ภายใต้ config แบบ least privilege

Recap

  • อัปเดต 2.25.5 เพื่อรับ permission และ logging hardening
  • ตั้ง MCP/connector/shell/network เป็น ask แล้วแคบ scope ต่อ tool
  • แยก worktree และไม่ส่ง home หรือ secret เข้า agent
  • ตรวจ redirect, redirection และ glob ทุกครั้งก่อนอนุมัติ