Claude Code 2.1.214 อุดช่องโหว่ระบบ permission รวดเดียว 6 จุด — allowlist ที่คุณคิดว่าปลอดภัย อาจอนุมัติเกินที่ตั้งใจ

Anthropic ปล่อย Claude Code 2.1.214 เมื่อ 18 กรกฎาคม 2026 (01:20 UTC) และถ้าอ่าน changelog เรียงลงมาจะเห็นรูปแบบชัดมาก — จาก 11 รายการในรีลีสนี้ 6 รายการเป็นการอุดช่องที่ระบบตรวจสอบ permission อนุมัติคำสั่งโดยไม่ถาม ทั้งที่ไม่ควรอนุมัติ

นี่ไม่ใช่รีลีสฟีเจอร์ มันคือรีลีสที่ยอมรับกลาย ๆ ว่า ในยุคที่ agent รันคำสั่งเองได้ ชั้น permission คือ security boundary จริง ๆ ตัวเดียวที่เหลืออยู่ — และ boundary นั้นมีรอยรั่วอยู่หลายจุดพร้อมกัน

ช่องที่ถูกอุด — และทำไมมันน่ากังวลกว่าที่คิด

รายการที่กระทบคนไทยที่ใช้ Claude Code ทำงานจริงมากที่สุดคือข้อแรก:

• Edit(src/**) อนุมัติเกินขอบเขต — allow rule แบบ single-segment อย่าง dir/** เคยอนุมัติการเขียนไฟล์ในโฟลเดอร์ชื่อ dir/ ที่ไหนก็ได้ในต้นไม้ไฟล์ ไม่ใช่แค่ <cwd>/dir ตามที่คนตั้งกฎเข้าใจ. ใครที่ใส่ Edit(src/**) ไว้ใน settings เพื่อ “ให้มันแก้แค่ในซอร์ส” — ความหมายจริงกว้างกว่านั้น
• bypass บน Windows PowerShell 5.1 — คำสั่งที่รันผ่าน session PowerShell 5.1 เลี่ยงการตรวจ permission ได้
• file-descriptor redirect — รูปแบบ redirect ที่ bash ตีความไม่ตรงกับตัววิเคราะห์ permission ตอนนี้ fail closed (ถามก่อน) แทนที่จะปล่อยผ่าน
• คำสั่งยาวเกิน 10,000 ตัวอักษร — เดิมตัวตรวจตัดสินพลาด ตอนนี้บังคับถามเสมอ
• zsh variable subscript/modifier ใน [[ ]] — เคยถูกมองเป็นข้อความเฉย ๆ ตอนนี้ต้องขออนุมัติ
• help / man บางรูปแบบ — ไม่ auto-approve แล้ว เพราะสามารถแฝง option อันตราย, command substitution หรือ backslash path ได้

มีอีกข้อที่เกี่ยวกับการทำงานระยะไกล: permission prompt บน remote session ที่เคยดำเนินต่อได้ก่อนกล่องยืนยันฝั่งเครื่องผู้ใช้จะขึ้น ก็ถูกแก้ — สำคัญสำหรับคนที่สั่ง agent จากมือถือ

ของใหม่: EndConversation และ heartbeat

นอกจากงานอุดรอยรั่ว รีลีสนี้เพิ่ม เครื่องมือ EndConversation — Claude สามารถ จบ session เอง ได้เมื่อเจอผู้ใช้ที่ใช้ถ้อยคำรุนแรงมากหรือพยายาม jailbreak ซ้ำ ๆ (ความสามารถแบบเดียวกับที่ claude.ai มีตั้งแต่ปี 2025)

และเรื่องเล็กแต่คนรอมานาน — progress heartbeat สำหรับ tool call ที่รันนาน จากเดิมที่เงียบหายไปเฉย ๆ จนไม่รู้ว่าค้างหรือยังทำงานอยู่ ส่วนไฟล์ memory ได้ timestamp modified แบบ ISO เพิ่มใน frontmatter

ต่อเนื่องจากสองสัปดาห์ที่ผ่านมา

ถ้าตามบล็อกนี้มาจะเห็นว่าเรื่องนี้ไม่ได้มาเดี่ยว ๆ:

• 2.1.210 — hardening เรื่อง indirect prompt injection
• 2.1.211 — แก้ permission preview ที่ถูกปลอมด้วยอักขระ bidirectional-override / zero-width
• 2.1.212 (เราเขียนถึงเมื่อวาน) — เพิ่มเพดานต่อ session: WebSearch 200 ครั้ง, subagent spawn 200 ครั้ง กันลูป agent วิ่งหนี
• 2.1.214 — อุดช่อง permission 6 จุด

สี่รีลีสติดกัน ทิศทางเดียวกันหมด

มุมมอง AI Curator

สิ่งที่ควรอ่านจากรีลีสนี้ไม่ใช่ “Claude Code มีบั๊ก” แต่คือ allowlist ของ coding agent ได้กลายเป็นไฟล์ config ที่มีน้ำหนักด้านความปลอดภัยเทียบเท่า firewall rule ไปแล้ว — และคนส่วนใหญ่ยังเขียนมันด้วยความรู้สึก ไม่ได้เขียนด้วยความเข้าใจ semantics ที่แท้จริง

ข้อ Edit(src/**) คือตัวอย่างที่เจ็บที่สุด เพราะมันไม่ใช่ช่องโหว่ที่ต้องมีผู้โจมตี — มันคือ ช่องว่างระหว่างสิ่งที่กฎเขียนไว้ กับสิ่งที่คนเขียนกฎคิดว่ามันแปลว่าอะไร ทีมที่ตั้ง allowlist กว้าง ๆ เพื่อลดจำนวน prompt กวนใจ (ซึ่งแทบทุกทีมทำ) คือทีมที่ได้รับผลกระทบตรง ๆ

สำหรับทีมไทยที่เพิ่งเริ่มเอา coding agent เข้า workflow จริงจังในปีนี้ ข้อเสนอแนะรูปธรรมสามข้อ:

1. อัปเดตเป็น 2.1.214 ทันที — ช่องเหล่านี้ไม่มี workaround ในเวอร์ชันเก่า
2. เปิด settings.json อ่าน allow rule ทุกบรรทัดใหม่ โดยถามว่า “กฎนี้ครอบคลุมอะไรบ้างจริง ๆ” ไม่ใช่ “ฉันตั้งใจให้มันครอบคลุมอะไร” — โดยเฉพาะ pattern แบบ dir/**
3. อย่าใช้ allowlist แทน sandbox — permission rule ลดแรงเสียดทาน แต่ไม่ใช่ isolation. งานที่เสี่ยงจริงควรรันใน container หรือ worktree แยก

และภาพใหญ่ที่เชื่อมกับข่าว Hugging Face ถูกเจาะโดยฝูง agent เมื่อ 16 ก.ค. — อุตสาหกรรมกำลังเรียนรู้พร้อมกันว่า ความเร็วที่ agent ทำงานได้ แซงหน้าความสามารถของมนุษย์ในการตรวจทานสิ่งที่มันขออนุญาตไปแล้ว การที่ Anthropic เลือก fail closed (ถามไว้ก่อน) ในหลายเคสของรีลีสนี้ — ยอมแลก prompt ที่กวนใจขึ้น กับความปลอดภัย — เป็นการตัดสินใจที่ถูกทิศ แม้จะทำให้ประสบการณ์ใช้งานสะดุดขึ้นเล็กน้อยก็ตาม

แหล่งข่าว

• Claude Code Releases — v2.1.214 (GitHub)
• Claude Code CHANGELOG.md (ต้นทาง raw)
• Claude Code Documentation — Anthropic