Claude Code 2.1.216: อุด 'worktree' รั่ว — subagent แอบเขียน git ออกนอกกล่อง และ symlink ที่ .claude เบนไฟล์ออกนอกโปรเจกต์

เมื่อ 20 กรกฎาคม 2026 (22:14 UTC) Anthropic ปล่อย Claude Code 2.1.216 ออกมา และถ้าอ่าน changelog เรียงลงมา จะเห็นว่าเบื้องหลังรายการยิบย่อยหลายสิบบรรทัด มี ธีมเดียวที่หนักแน่น — การซ่อมเส้นแบ่ง “การแยกตัว” (isolation boundary) ของ agent ให้กลับมาแน่นหนา

นี่คือรีลีสที่มาถูกจังหวะพอดี หลังจากรายงาน “สัปดาห์แห่งการหนีออกจาก sandbox” ของ Pillar Security ที่เราเขียนถึงเมื่อเช้าวันเดียวกัน — ซึ่งชี้ว่าช่องโหว่คลาสใหม่ของ AI coding agent คือ “agent เขียนไฟล์ไว้ที่หนึ่ง แล้วเครื่องมือที่เชื่อถือได้อีกตัวไปหยิบไปรัน/ใช้นอก sandbox” พอดูรายการที่ 2.1.216 อุด จะเห็นว่าหลายจุดเป็นคลาสเดียวกันเป๊ะ

worktree ไม่ใช่แค่ความสะดวก — มันคือเส้นแบ่งความปลอดภัย

Claude Code รองรับการรัน background agent ใน git worktree แยก เพื่อให้ agent หลายตัวแก้โค้ดขนานกันได้โดยไม่ชนกัน แนวคิดคือ worktree = กล่องแยกของแต่ละ agent แต่ 2.1.216 ยอมรับกลาย ๆ ว่ากล่องนั้นมีรอยรั่วหลายจุด:

• subagent ใน worktree เบน git กลับ checkout หลัก — แก้ช่องที่ subagent ซึ่งถูกจำกัดให้อยู่ใน worktree ของตัวเอง สามารถ redirect คำสั่ง git กลับไปยัง checkout ที่ใช้ร่วมกันได้ผ่าน git -C, --git-dir หรือ environment variable GIT_DIR/GIT_WORK_TREE พูดง่าย ๆ คือกำแพงบอกว่า “อยู่ในนี้นะ” แต่ตัว flag ของ git เองเดินทะลุกำแพงออกไปเขียนที่อื่นได้
• session ไปโผล่ใน worktree ที่ค้างของโปรเจกต์อื่น — แก้กรณีที่ working directory ไม่ตรงกับโปรเจกต์ที่เลือก แล้ว session ดันไปลงใน worktree ที่เหลือค้างจากโปรเจกต์อื่น
• background session ที่ worktree ไม่มี git repo เลยลบไม่ได้ — กลายเป็นขยะที่ค้างระบบ
• claude daemon stop --any อาจฆ่าโปรเซสอื่นที่ไม่เกี่ยว ผ่าน lockfile ของ daemon เก่าที่ค้างอยู่

จุดร่วมของทั้งกลุ่มนี้ชัดมาก: เมื่อคุณให้ agent รันอัตโนมัติในกล่องแยก ตัวกล่องต้องกันได้จริง ไม่ใช่กันได้แค่ในกรณีปกติ แล้วรั่วทันทีที่มี flag หรือ path แปลก ๆ เข้ามา

symlink: ทางลัดที่เบนไฟล์ออกนอกโปรเจกต์

อีกกลุ่มที่น่าสนใจเป็นพิเศษ เพราะมันคือคลาสเดียวกับที่ Pillar เตือน — การเขียนไฟล์ตาม symlink ไปโผล่ที่ที่ไม่ควร:

• แก้ช่องที่ การเซฟ workflow และการเขียน scheduled-task เดินตาม symlink ตรง .claude ซึ่งอาจเบนการเขียนออกไปนอกโฟลเดอร์โปรเจกต์ทั้งดุ้น
• /rewind ไม่เดินตาม symlink หรือ hardlink อีกต่อไป เวลากู้คืนหรือลบไฟล์ตาม tracked path และตอนนี้จะรายงานด้วยว่าข้ามไปกี่ path

ลองคิดภาพ: agent (หรือ repo ที่คุณ clone มา) วาง symlink ชื่อ .claude ชี้ไปที่ ~/.ssh หรือ ~/ ถ้าเครื่องมือเขียน config/workflow เดินตาม symlink นั้นตรง ๆ ไฟล์ที่ควรอยู่ในโปรเจกต์ก็จะไปโผล่นอกโปรเจกต์ทันที — นี่คือรูปแบบเดียวกับ “trusted tool ไปหยิบสิ่งที่ agent วางไว้ แล้วทำงานนอกขอบเขต”

สวิตช์ใหม่ และบั๊กประสิทธิภาพที่เจ็บจริง

นอกจากงานอุดช่อง รีลีสนี้ยังมีของใช้งานจริงสองอย่างที่ควรรู้:

• สวิตช์ใหม่ sandbox.filesystem.disabled — ปิดการแยกระบบไฟล์ (filesystem isolation) แต่ ยังคงคุม network egress อยู่ เป็น escape hatch สำหรับ workflow ที่ FS isolation ไปขวางการทำงาน โดยไม่ต้องยอมเปิดกว้างทั้งหมด (ควรใช้อย่างระวัง — คุณกำลังแลกชั้นป้องกันหนึ่งชั้นทิ้งไป)
• แก้บั๊กประสิทธิภาพที่ session ยาว ๆ ช้าลงแบบ quadratic — ต้นเหตุคือ cost ของการ normalize ข้อความโตเป็นกำลังสองตามจำนวนเทิร์น ทำให้ session ที่คุยยาว ๆ ค้างหลายวินาทีต่อเทิร์นและ resume ช้า อันนี้เป็น UX win ที่คนใช้ agent ทำงานยาว ๆ จะรู้สึกได้ทันที

ยังมีการแก้ปลีกย่อยอีกยาว เช่น auto mode ที่เผลอ deny คำสั่งเพราะ classifier เจอ error “HTTP 401” หลัง OAuth token หมดอายุกลางคัน, การตรวจ permission ของคำสั่ง compound ที่มี redirect ใน &&, การตรวจอักขระ Unicode ล่องหนในเครื่องมือ PowerShell, และ telemetry ที่เคยนับ permission denial ผิดว่าเป็น “ผู้ใช้ปฏิเสธ” ทั้งที่จริงคือ request ล้มเอง

มุมมอง AI Curator

ถ้ามองแค่เลขเวอร์ชัน 2.1.216 ดูเหมือนรีลีสซ่อมบำรุงธรรมดา แต่ถ้าอ่านให้ทะลุ มันคือ ภาคต่อของเรื่องเดียวกับที่วงการกำลังเจ็บปวดอยู่ตอนนี้ — เมื่อ agent รันคำสั่งเองได้ ขอบเขตที่เราขีดไว้ (worktree, sandbox, tracked path) จะมีค่าก็ต่อเมื่อมัน กันได้จริงในทุกทางเข้า ไม่ใช่แค่ทางหน้าบ้าน

สิ่งที่น่าสังเกตคือ ช่องที่ถูกอุดรอบนี้ล้วนเป็น “ทางอ้อม” ทั้งนั้น — ไม่ใช่ bug ที่เจาะตรง ๆ แต่เป็น git -C ที่พา git ออกนอก worktree, symlink ที่พาการเขียนออกนอกโปรเจกต์, hardlink ที่พา /rewind ไปแตะไฟล์นอกขอบเขต นี่คือลายเซ็นของ security ยุค agent: ผู้โจมตี (หรือแค่ repo ที่ไม่น่าไว้ใจ) ไม่ต้องเจาะกำแพง แค่หา flag/link ที่ระบบลืมตรวจแล้วให้ agent เดินผ่านมันไปเอง

สำหรับนักพัฒนาไทยที่เริ่มปล่อย background agent / worktree ให้ทำงานขนานกันจริงจัง บทเรียนภาคปฏิบัติคือ อย่าเชื่อว่า “แยก worktree แล้ว = ปลอดภัย” โดยอัตโนมัติ — อัปเดตให้ทัน (2.1.216 เป็นอย่างน้อย), ระวัง repo ที่มี symlink แปลก ๆ ตรง .claude ก่อนเปิดใน agent, และคิดถึง sandbox.filesystem.disabled เป็น “ปุ่มที่ปิดชั้นป้องกัน” ไม่ใช่ปุ่มแก้ปัญหาชั่วคราวที่กดทิ้งไว้ตลอด ยิ่ง agent ทำงานเองได้มากเท่าไร เส้นแบ่งพวกนี้ยิ่งเป็นด่านสุดท้ายที่เหลืออยู่จริง ๆ

แหล่งข่าว

• Claude Code v2.1.216 — Release Notes (GitHub)
• Claude Code Releases (ทั้งหมด)
• Pillar Security: The Week of Sandbox Escapes (บริบทคลาสช่องโหว่)
• บทความของเรา: สัปดาห์แห่งการหนี sandbox ของ AI coding agent