แท่น worktree แยกส่วนเชื่อมรางไปยังเครื่อง host โดยมีสมอยึดสีอำพันแตกร้าวอยู่หนึ่งจุด
aiagentssecurityqwen-codesandbox

Qwen Code 0.24.3: ขยาย sandbox แล้วอย่าลืมรอยต่อกับ host

พี่โชว์Engineering

Sandbox เปรียบเหมือนห้องช่างที่ปิดประตู แต่ทันทีที่เราเจาะช่องให้หยิบเครื่องมือจากภายนอก ขอบเขตความปลอดภัยจะย้ายมาอยู่ตรงช่องนั้นครับ Qwen Code 0.24.3 เพิ่ม runtime tools ผ่าน bwrap, host settings allowlist และการ reuse base tree สำหรับ review worktree จึงน่าสนใจตรง “รอยต่อ” มากกว่าจำนวนฟีเจอร์

รุ่นนี้ยังเพิ่ม hosted harness protocol และปรับ privacy ของการเชื่อม Chrome ส่วน one-shot headless เปลี่ยนไปใช้ pipe backend ประเด็นสำคัญคือความสามารถเหล่านี้เชื่อม process, browser หรือข้อมูลจาก host เข้ากับ agent มากขึ้น หาก policy แยกไม่ชัด sandbox ที่ดูแน่นอาจยังส่งข้อมูลหรือสิทธิ์ออกทาง integration ได้

หลักฐานที่ตรวจ

  • Release ทางการของ QwenLM/qwen-code เป็น stable tag v0.24.3 เผยแพร่ 21 กันยายน 2026 และโยงการเปลี่ยนแปลงไปยัง PR ใน repository เดียวกัน ตรวจ asset cli.js จาก metadata ของ GitHub release พบ SHA-256 3bb959afba4eb36673e15cdad0266104255b37d1ed885bd0a994420bdfd3dc1f; ไม่ได้รันไฟล์หรือ remote installer
  • PR #11540 อธิบายเส้นทางให้ runtime tools ทำงานผ่าน bwrap พร้อม host allowlist ส่วน PR #12269 เก็บหลักฐาน merge-base นอก sandbox ด้วย host-side lease เพื่อ reuse base tree ข้าม review worktree
  • Settings ทางการ และ approval modes แสดงว่า sandbox, tool permissions และโหมดอนุมัติเป็นการควบคุมคนละชั้น ต้องกำหนดแต่ละชั้น ไม่ควรถือว่าเปิดอย่างหนึ่งแล้วแทนอีกอย่าง
  • หน้า security advisories ไม่มี advisory ที่กระทบ stable นี้ ณ วันที่ตรวจ แต่ issue #8136 เรื่อง credential ใน provider URL และ #7770 เรื่อง MCP proxy ที่เปิดสู่อินเทอร์เน็ตยังเป็นความเสี่ยงที่ต้องหลีกเลี่ยง

เส้นทางติดตั้งที่ตรวจเป็นแบบอ่านอย่างเดียว: official release asset, digest และเอกสารจาก publisher ไม่ได้ติดตั้ง dependency, เปิด browser session, รัน tool หรือส่ง credential ให้รุ่นนี้

วิธีใช้ให้ปลอดภัยขึ้น

เริ่มจาก workspace ที่ไม่มี secret และเปิด filesystem แบบ allowlist เฉพาะโฟลเดอร์งาน จำกัด runtime tools เป็นรายการจำเป็น ห้าม mount socket, home directory หรือ credential store เข้า sandbox โดยปริยาย การต่อ Chrome ควรใช้ profile แยกที่ไม่มี session สำคัญ และปิด integration เมื่อจบงาน

MCP และ hosted harness ต้อง bind เฉพาะ loopback หรือเครือข่ายที่ยืนยันตัวตน ตั้ง approval ให้ถามก่อน shell, network, write และ tool ที่ข้ามไป host ตรวจ project settings, hooks และ memory ก่อน trust repository ใหม่ และ pin เวอร์ชันพร้อม checksum ในระบบแจกจ่ายภายใน

ความเสี่ยงคงเหลือ

การ allowlist ผิดหนึ่งรายการอาจเปิดเส้นทางจาก sandbox ไปยัง host ได้ และ approval classifier ไม่ใช่ security boundary แบบบังคับ Issue credential redaction และ MCP exposure ยังไม่ควรถือว่าหายไป Digest ยืนยันว่าไฟล์ตรงกับ publisher แต่ไม่ได้พิสูจน์ supply chain ของ dependency หรือพฤติกรรมตอนรัน สรุปได้เพียงว่า ผ่านเกณฑ์คัดกรอง ณ วันที่ตรวจ เมื่อใช้นโยบายจำกัดสิทธิ์ข้างต้น

Recap

  • แยก sandbox, approval และ host allowlist เป็นสามชั้น
  • อย่า mount credential หรือ browser profile หลักเข้าพื้นที่ agent
  • pin 0.24.3 และตรวจ digest ก่อนกระจายไฟล์
  • คุม MCP/harness ไม่ให้ออกอินเทอร์เน็ตโดยไม่มี auth