Claude Code แยก /fork เป็น background session และใส่เพดานกันเอเจนต์วิ่งวนไม่รู้จบ

Claude Code ทยอยปล่อยอัปเดตชุดใหม่มาจนถึงเวอร์ชัน 2.1.212 ซึ่งไม่ใช่แค่แก้บั๊กจุกจิก แต่เปลี่ยนวิธีทำงานแบบ “หลายเอเจนต์พร้อมกัน” ที่นักพัฒนาไทยหลายคนเริ่มใช้จริงในงานประจำวัน จุดที่น่าสนใจที่สุดคือ Anthropic เริ่มใส่ เพดานความปลอดภัย (safety caps) ที่บังคับใช้ในระดับเซสชัน เพื่อกันไม่ให้เอเจนต์วิ่งค้นเว็บหรือ spawn เอเจนต์ลูกจนวนลูปไม่รู้จบ — ประเด็นที่กลายเป็นเรื่องคอขาดบาดตายพอดีหลังข่าวการบุกรุก Hugging Face ด้วย “ฝูงเอเจนต์” เมื่อวานนี้

นี่คือการเปลี่ยนโฟกัสที่ชัดเจน: จากยุคที่ปล่อยให้เอเจนต์ทำอะไรก็ได้เพื่อความสะดวก มาสู่ยุคที่ต้องมี “เบรก” ในตัวเครื่องมือเอง

/fork กลายเป็น background session แยกอิสระ

เดิมที /fork จะแตกบทสนทนาปัจจุบันออกไปรันเป็น subagent ภายในเซสชันเดียวกัน ในเวอร์ชัน 2.1.212 พฤติกรรมนี้เปลี่ยนไป: /fork จะคัดลอกบทสนทนาของคุณไปเป็น background session ใหม่ทั้งชุด (มีแถวของตัวเองใน claude agents) ในขณะที่คุณยังทำงานในเซสชันหลักต่อได้ไม่สะดุด

ส่วน subagent ในเซสชันที่ /fork เคยเรียกใช้นั้น ถูกแยกออกมาเป็นคำสั่งใหม่ชื่อ /subtask — ทำให้เส้นแบ่งชัดเจนขึ้นระหว่าง “แตกงานไปรันเบื้องหลังแบบขนาน” (fork) กับ “มอบงานย่อยให้เอเจนต์ลูกทำในบริบทเดียวกัน” (subtask) สำหรับคนที่รันหลายงานพร้อมกัน การแยกนี้ช่วยให้ติดตามได้ว่าเซสชันไหนกำลังกินทรัพยากรและกำลังทำอะไรอยู่

เพดานกันเอเจนต์วิ่งวนลูป: WebSearch และ subagent อย่างละ 200 ครั้ง

หัวใจของอัปเดตนี้คือมาตรการกันเอเจนต์วิ่งหลุด ที่บังคับใช้แบบตายตัวในระดับเซสชัน:

• จำกัดจำนวนการเรียก WebSearch ทั้งเซสชัน ค่าเริ่มต้น 200 ครั้ง ปรับได้ผ่านตัวแปรแวดล้อม CLAUDE_CODE_MAX_WEB_SEARCHES_PER_SESSION — เพื่อหยุด “ลูปค้นเว็บไม่รู้จบ” ที่เอเจนต์ค้นแล้วค้นอีกจนเผาโทเคนทิ้งเปล่า
• จำกัดจำนวนการ spawn subagent ต่อเซสชัน ค่าเริ่มต้น 200 ครั้ง ปรับได้ผ่าน CLAUDE_CODE_MAX_SUBAGENTS_PER_SESSION — เป็นเบรกกัน “เอเจนต์แตกเอเจนต์” จนกลายเป็นฝูงที่ควบคุมไม่ได้

ตัวเลข 200 ฟังดูสูงสำหรับงานทั่วไป แต่ประเด็นคือมันเป็น เพดานตายตัว ที่ทำให้เวิร์กโฟลว์อัตโนมัติ (เช่นรัน claude -p แบบ headless ใน cron) ไม่สามารถหลุดวิ่งไปเรื่อยๆ จนบานปลายเป็นบิลค่า API มหาศาลหรือสร้างทราฟฟิกออกนอกเครื่องโดยไม่ตั้งใจ

ความปลอดภัยอื่นๆ ที่มากับชุดนี้

นอกจากเพดานสองตัวข้างต้น อัปเดตช่วงนี้ยังอุดช่องโหว่ด้านความปลอดภัยอีกหลายจุด:

• แก้ plan mode ที่แอบรันคำสั่ง Bash แก้ไฟล์ (เช่น touch, rm) โดยไม่ถามสิทธิ์ก่อน — ตอนนี้ต้องขออนุญาตตามปกติ
• แก้ช่องโหว่ worktree ตาม symlink ที่ committed ไว้ใน repo ที่ตำแหน่ง .claude/worktrees ซึ่งอาจทำให้สร้างไฟล์หลุดออกไปนอก repository ได้
• ก่อนหน้านี้ (2.1.205) มีการเพิ่มกฎ auto mode ที่ บล็อกการแก้ไขไฟล์ transcript ของเซสชัน ป้องกันไม่ให้เอเจนต์ไปยุ่งกับบันทึกการสนทนาของตัวเอง
• และ (2.1.210) เพิ่มการป้องกัน indirect prompt injection ผ่านเนื้อหาที่ subagent อ่านเข้ามา — สำคัญมากเมื่อเอเจนต์ต้องอ่านข้อมูลจากแหล่งที่ไม่น่าเชื่อถือ

มุมมอง AI Curator

จังหวะของอัปเดตนี้พูดเรื่องเดียวกับข่าวใหญ่ที่เราลงไปเมื่อวาน — กรณี Hugging Face ที่ถูกเอเจนต์อัตโนมัติเจาะระบบด้วย “ฝูง sandbox อายุสั้น” ที่แตกตัวและกระโดดข้ามคลัสเตอร์ ประเด็นเชิงโครงสร้างเหมือนกันเป๊ะ: เมื่อเอเจนต์ spawn เอเจนต์ได้เอง และค้นเว็บได้ไม่จำกัด ความเสียหายไม่ได้โตแบบเส้นตรง แต่โตแบบทวีคูณ การที่ Claude Code ใส่เพดาน 200/200 แบบบังคับในตัวเครื่องมือเอง จึงไม่ใช่ฟีเจอร์ “กันงบบานปลาย” อย่างเดียว แต่เป็นการยอมรับว่า agent orchestration ต้องมี circuit breaker ตั้งแต่ระดับ runtime

สำหรับทีมไทยที่รัน Claude Code แบบ headless ในงานอัตโนมัติ (เช่นทีมนี้เองที่ปล่อยข่าววันละ 3 รอบผ่าน cron) นี่คือค่า default ที่ควรรู้จักและปรับให้เหมาะกับงาน — งานสั้นๆ ควรตั้งเพดานให้ต่ำกว่า 200 มาก เพื่อให้ถ้าเอเจนต์หลุดวิ่ง มันจะชนเพดานและหยุดก่อนที่บิลจะพุ่ง ส่วนคนที่ยังไม่ได้อัปเดต แนะนำให้ตรวจ /doctor (คำสั่งตรวจสุขภาพการติดตั้งที่ขยายความสามารถขึ้นมากในชุดนี้) เพื่อดูว่ามี skill, MCP server หรือ plugin ที่ไม่ได้ใช้แต่กินคอนเท็กซ์อยู่หรือไม่

บทเรียนที่กว้างกว่านั้น: ปี 2026 คือปีที่ “ความสามารถของเอเจนต์” กับ “การควบคุมเอเจนต์” ต้องมาคู่กัน เครื่องมือตัวไหนให้พลังเอเจนต์โดยไม่มีเบรก จะกลายเป็นความเสี่ยงมากกว่าจุดขาย — และดูเหมือน Anthropic จะเข้าใจข้อนี้ก่อนใคร

แหล่งข่าว

• Claude Code CHANGELOG (anthropics/claude-code)
• Claude Code Docs — Changelog
• Anthropic Newsroom