Anthropic เปิด Mythos 5 ให้ฝั่งตั้งรับ — Claude Security สแกนหาช่องโหว่ในโค้ดเข้า public beta พร้อมกองทุน 35 ล้านดอลลาร์ปะช่องโหว่โอเพนซอร์ส

21 สิงหาคม 2026 Anthropic ประกาศขยายการเข้าถึงความสามารถด้านความมั่นคงไซเบอร์ของ Claude Mythos 5 โมเดลที่แรงที่สุดของบริษัท ไปยังกลุ่มที่เรียกว่า “ฝั่งตั้งรับ” (defenders) ผ่านสี่ช่องทางพร้อมกัน — และช่องทางที่นักพัฒนาสัมผัสได้เร็วที่สุดคือ Claude Security ที่เข้าสู่ public beta สำหรับลูกค้า Claude Enterprise แล้ววันนี้

ประเด็นที่ทำให้ข่าวนี้ต่างจากข่าว “AI ช่วยหาบั๊กความปลอดภัย” ทั่วไป อยู่ที่วิธีที่ Anthropic เลือก ไม่ ปล่อยโมเดล มากกว่าที่ปล่อยอะไรออกมา

สี่ช่องทางที่ประกาศ

1. ฝังเข้าเครื่องมือของพาร์ตเนอร์ — Mythos 5 จะไปอยู่ในผลิตภัณฑ์ความปลอดภัยของพาร์ตเนอร์เดิม ยังเป็นระยะเริ่มต้น พาร์ตเนอร์รายอื่นลงทะเบียนแสดงความสนใจได้
2. Claude Security — สแกนโค้ดเบสหาช่องโหว่และเสนอแพตช์ เข้า public beta สำหรับลูกค้า Enterprise
3. กองทุน Defender Advantage มูลค่า 35 ล้านดอลลาร์ — เครดิตสำหรับงานปะช่องโหว่และงานอัตโนมัติในโครงการโอเพนซอร์ส
4. ขยาย Cyber Verification Program — เปิดสิทธิ์ใช้งานแบบ dual-use ให้ผู้ตั้งรับที่ผ่านการตรวจสอบ ปัจจุบันครอบคลุมรุ่น Opus และ Sonnet โดยสิทธิ์เข้าถึง Mythos จะตามมา

Claude Security ทำงานยังไง

จากหน้า claude.ai/security ผู้ใช้เลือก repository ที่จะสแกน Claude จะไล่อ่านโค้ดเบสแล้วคืนผลลัพธ์ออกมาเป็นรายการช่องโหว่ โดยแต่ละรายการมี:

• หมวด CWE (Common Weakness Enumeration) — ระบุว่าเป็นช่องโหว่ประเภทไหนตามมาตรฐานสากล
• ระดับความรุนแรง (severity)
• ระดับความมั่นใจ (confidence) — ตัวนี้สำคัญ เพราะเป็นสัญญาณว่าอันไหนควรดูก่อน
• แพตช์ที่แนะนำ

แพตช์ทุกตัวต้องผ่านการรีวิวและอนุมัติจากคนก่อนจะถูกนำไปใช้ โดยเดินผ่าน Claude Code

ฝั่งค่าใช้จ่าย: การสแกนด้วย Mythos 5 คิดเงินเป็น token usage ตามปกติภายใต้แพลน Claude Enterprise เดิม ไม่มีค่า add-on แยก และไม่ต้องขอสิทธิ์เข้าถึงโมเดล Mythos ต่างหาก — จุดนี้เป็นสิ่งที่ Anthropic เน้นเอง

ทำไมต้องล็อกไว้แค่ “ผลลัพธ์”

ส่วนที่น่าสนใจที่สุดในประกาศคือสถาปัตยกรรมของการจำกัดสิทธิ์ Anthropic อธิบายว่าผู้ใช้ “รับได้เฉพาะ output ที่กำหนดไว้ เช่น แพตช์สำหรับช่องโหว่หรือการแจ้งเตือนด้านความปลอดภัย” ไม่ใช่การได้คุยกับโมเดลตรง ๆ และในฝั่งพาร์ตเนอร์ก็ต้องสร้างอินเทอร์เฟซเฉพาะทางที่ “ผู้ใช้จะไม่มีช่องทางที่จะสั่งโมเดลให้ไปพัฒนา exploit ได้”

พูดอีกอย่าง: Mythos 5 ไม่ได้ถูกปล่อยออกมาเป็นโมเดล แต่ถูกปล่อยออกมาเป็น artifact ตั้งรับ ที่รูปร่างถูกกำหนดไว้ล่วงหน้าแล้ว — คุณได้รายการช่องโหว่ ได้ diff ของแพตช์ แต่คุณไม่ได้ prompt

สิทธิ์เข้าถึงตัวโมเดล Mythos จริง ๆ ยังจำกัดอยู่แค่ผู้เข้าร่วม Cyber Verification Program และองค์กรใน Project Glasswing เท่านั้น

ข้อสังเกตที่ต้องบันทึกไว้ตามตรง: ประกาศฉบับนี้ไม่มีตัวเลข ไม่มีอัตราการตรวจพบ ไม่มี false positive rate ไม่มี benchmark เทียบกับ SAST เจ้าอื่น มีแต่คำอธิบายกลไก

มุมมอง AI Curator

ตัวเลขที่หายไปคือสิ่งที่ควรพูดถึงก่อน ทีมที่เคยรัน static analysis จริงจะรู้ว่าปัญหาของเครื่องมือกลุ่มนี้ไม่เคยเป็น “หาไม่เจอ” แต่เป็น “เจอเยอะเกินจนไม่มีใครอ่าน” SAST ที่ยิง finding มาพันรายการโดยที่แปดร้อยรายการเป็น false positive มีค่าเท่ากับศูนย์ เพราะทีมจะปิดมันทิ้งภายในสองสัปดาห์ การที่ Anthropic ใส่ confidence rating มาในทุก finding บอกว่าพวกเขารู้ปัญหานี้ แต่การไม่ประกาศตัวเลขว่า confidence สูงแล้วถูกจริงกี่เปอร์เซ็นต์ ทำให้ยังตัดสินไม่ได้ว่าแก้ปัญหาได้จริงไหม ใครจะรับมาใช้ควรวัด precision บนโค้ดเบสตัวเองในเดือนแรก ก่อนจะเปิดให้ทีมทั้งทีมเห็น dashboard

โมเดลคิดเงินก็เป็นรายละเอียดที่มีผลกับการตัดสินใจจริง การคิดตาม token แทนที่จะเป็นค่า seat หรือค่า add-on รายปี แปลว่า ต้นทุนแปรผันตามขนาดโค้ดเบสและความถี่ในการสแกน ทีมที่อยากรันทุก PR ควรประเมินก่อนว่าค่าใช้จ่ายต่อเดือนจะอยู่ตรงไหน เพราะการสแกน monorepo ขนาดใหญ่ทุกครั้งที่มีคน push ไม่ใช่ของฟรี ในทางกลับกัน โมเดลนี้เป็นมิตรกับทีมเล็กที่สแกนเดือนละครั้งมากกว่าการซื้อ license เครื่องมือ enterprise แบบเดิม

แต่ประเด็นระยะยาวที่สำคัญกว่าเรื่องราคาคือ รูปแบบการปล่อยความสามารถ ที่ Anthropic กำลังทดลอง — ปล่อย “ผลลัพธ์ของโมเดล” แทน “ตัวโมเดล” เพราะความสามารถหาช่องโหว่กับความสามารถเขียน exploit คือความสามารถเดียวกัน แค่กลับด้าน วิธีนี้แก้ปัญหา dual-use ได้จริงในระดับหนึ่ง แต่ก็สร้างการพึ่งพาแบบใหม่ขึ้นมาด้วย: องค์กรที่ใช้ Claude Security ไม่ได้เป็นเจ้าของความสามารถนั้น เป็นแค่ผู้เช่าท่อส่งผลลัพธ์ วันที่ Anthropic เปลี่ยนเงื่อนไข ปรับราคา หรือปิด beta ความสามารถนั้นหายไปพร้อมกัน ต่างจากการซื้อเครื่องมือมาติดตั้งเองที่อย่างน้อยยังรันต่อได้

สำหรับไทยและ SEA มุมที่เจ็บที่สุดคือเงื่อนไข Claude Enterprise องค์กรไทยส่วนใหญ่ที่ต้องการงานนี้มากที่สุด — ทีมความปลอดภัยของธนาคารขนาดกลาง โรงพยาบาล หน่วยงานรัฐ บริษัทที่มีระบบ legacy เขียนไว้เมื่อสิบปีก่อนและไม่มีใครกล้าแตะ — คือกลุ่มที่ไม่ได้อยู่บนแพลน Enterprise และมักไม่มี security engineer เต็มเวลาแม้แต่คนเดียว กองทุน Defender Advantage 35 ล้านดอลลาร์เป็นสัญญาณที่ดีว่า Anthropic เห็นช่องว่างนี้ แต่มันพุ่งไปที่โครงการโอเพนซอร์ส ไม่ใช่องค์กรเล็กในประเทศกำลังพัฒนา ผลลัพธ์สุทธิที่ต้องจับตาจึงไม่ใช่ “โลกปลอดภัยขึ้นไหม” แต่คือ ช่องว่างระหว่างองค์กรที่จ่ายไหวกับจ่ายไม่ไหวจะกว้างขึ้นหรือแคบลง เพราะฝ่ายโจมตีไม่ได้รอใครอัปเกรดแพลน

แหล่งข่าว

• Anthropic — Bringing the cybersecurity capabilities of Claude Mythos 5 to more defenders (21 ส.ค. 2026)
• The New Stack — Anthropic brings Mythos 5 to its Claude Security vulnerability scanner
• The Decoder — Anthropic puts its most powerful model Claude Mythos 5 to work for cyber defense