ห้อง agent สีเขียวเข้มสองห้องเชื่อมด้วยสะพาน ACP มีประตูอนุมัติกลางทางและกล่องสิทธิ์อำพันวางผิดฝั่งหนึ่งใบ
aiagentsqwen-codesecuritychina-ai

Qwen Code 0.23.3 เพิ่ม ACP Delegation: ต่อ Agent ได้ แต่ต้องแยกสิทธิ์

พี่โชว์Engineering

การให้ agent หนึ่ง delegate ไปอีก agent ไม่ได้เพิ่มแค่ความสามารถ แต่เพิ่ม principal ที่ถือ context, tool และ credential ครับ Qwen Code 0.23.3 เพิ่มการส่ง subagent turn ไป external agent ผ่าน ACP โดยรองรับ Claude Code ก่อน พร้อม OpenAI Responses provider และการปรับ permission หลายจุด

หลักฐานที่ตรวจ

tag v0.23.3 อยู่ใน repository ทางการ QwenLM/qwen-code เผยแพร่ 10 กันยายน 2026 เป็น stable และระบุว่าไม่มี known breaking change Release มี SHA256SUMS และ digest ต่อ asset ทีมตรวจ changelog, source docs และ advisory metadata แบบอ่านอย่างเดียว ไม่รัน remote installer, package หรือ external agent

หน้า security advisories ของ repository ไม่มีรายการเผยแพร่ ณ วันที่ตรวจ Release แก้การอธิบาย deny rule สำหรับ shell compound/virtual operations, เก็บ host-trusted state ออกจาก writable container และส่ง shell execution config ไปยัง ACP invocation อย่างไรก็ตามการไม่มี advisory ไม่พิสูจน์ว่า dependency ทั้งหมดไร้ช่องโหว่

Sandbox docs ระบุว่าต้องเปิดด้วย -s, environment หรือ settings และโปรไฟล์ permissive-open ค่าเริ่มต้นหลังเปิด sandbox ยังอนุญาต outbound network ส่วน permission ใช้ priority deny มากกว่า ask มากกว่า allow และมี filter แยกสำหรับ MCP tools

สรุป: Qwen Code 0.23.3 ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ สำหรับ isolated canary ที่ตรึง digest, เปิด sandbox และจำกัด ACP/MCP/network อย่างชัดเจน

วิธีใช้ให้ปลอดภัยขึ้น

ดาวน์โหลด asset จาก release ทางการในเครื่องแยกและตรวจ SHA256SUMS เลือก container image แบบ version pin ไม่ใช้ latest เริ่มด้วย QWEN_SANDBOX และ network แบบ closed/proxied จำกัด mount ให้ workspace จำลอง read-write กับ config ที่จำเป็น read-only เท่านั้น

ปิด ACP external delegation ในรอบแรก ถ้าต้องใช้ ให้สร้าง credential คนละชุดต่อ agent จำกัด filesystem/network ของปลายทางเท่ากับหรือน้อยกว่าต้นทาง และบันทึกว่า context ใดถูกส่ง ห้ามสมมติว่า approval ที่ต้นทางครอบคลุม tool ของปลายทาง

กำหนด deny สำหรับ secret paths, package publish, git push และ destructive shell พร้อม exclude/disable MCP tools ที่ไม่ใช้ ตรวจ config ทุก scope เพราะ user, project และ system rules อาจ merge กัน และ sandbox ที่ mount ~/.qwen เพื่อคง auth หมายถึง credential directory อยู่ใน trust boundary ของ container

ความเสี่ยงคงเหลือ

ACP เพิ่ม supply chain และ policy translation ระหว่าง agent หากปลายทางตีความ shell config ต่างกันสิทธิ์อาจกว้างกว่าที่คาด โปรไฟล์ permissive-open ยังส่งข้อมูลออก network ได้ และ unknown shell command อาจอยู่นอก semantic file/network rules บางส่วน

รุ่นนี้มี surface ใหญ่ทั้ง web shell, daemon, MCP, ACP และ provider หลายราย แม้ tag มี checksum ก็ไม่รับประกัน runtime dependency หรือ model output ให้ canary แยก secret, ตรวจ audit log และหยุดเมื่อ permission prompt ไม่อธิบาย target ชัด

Recap

  • ตรวจ SHA256SUMS และตรึง asset/image version
  • เปิด sandbox พร้อม network closed หรือ proxy allowlist
  • แยก credential กับ policy ต่อ external agent
  • ปิด ACP/MCP ที่ยังไม่จำเป็น
  • audit permission rules ทุก scope หลังอัปเดต

เริ่ม canary ด้วย ACP ปิดและ repository สังเคราะห์ แล้วเปิด delegation หลังพิสูจน์ permission boundary ทีละชั้นครับ