แท็ก

#CICD

16 บทความ

LiteLLM เปิดผล RCA เหตุ 1.107.0 ถูกฝังมัลแวร์ — ต้นเหตุคือ master key ใน opencode.json ที่หลุดขึ้น repo สาธารณะตั้งแต่ 27 พ.ค. แต่ไม่เคยถูก revoke จน agent platform คืน token GitHub ระดับ owner ให้ผู้โจมตี
การแฮ็ก

LiteLLM เปิดผล RCA เหตุ 1.107.0 ถูกฝังมัลแวร์ — ต้นเหตุคือ master key ใน opencode.json ที่หลุดขึ้น repo สาธารณะตั้งแต่ 27 พ.ค. แต่ไม่เคยถูก revoke จน agent platform คืน token GitHub ระดับ owner ให้ผู้โจมตี

LiteLLM เผยแพร่ root cause analysis เมื่อ 23 ต.ค. 2026 ระบุว่า master key ของ LiteLLM Agent Platform ถูก commit ในไฟล์ opencode.json ขึ้น repo สาธารณะเมื่อ 27 พ.ค. และไม่เคยถูก revoke ผู้โจมตีใช้ key นี้เมื่อ 10 ต.ค. ดึง GitHub CLI token ของ org owner ออกมาจาก API ของ agent จากนั้นใช้ CI ขโมย token ของ maintainer อีก 2 คน แล้วรอ 11 วันจนทีมผ่อนกฎอนุมัติ release ก่อนลงมือ — คำอธิบายนี้แก้ข้อมูลช่วงแรกที่บอกว่า token หลุดจาก log

· อ่าน 6 นาที
GitHub เปิด package firewall สำหรับ npm (public preview) กั้น agent และ CI ไม่ให้ติดตั้งแพ็กเกจที่เพิ่งออกหรือแอบเพิ่ม install script — พร้อมให้ gh CLI ใช้ OAuth token แบบหมดอายุเองได้แล้ว
เครื่องมือนักพัฒนา

GitHub เปิด package firewall สำหรับ npm (public preview) กั้น agent และ CI ไม่ให้ติดตั้งแพ็กเกจที่เพิ่งออกหรือแอบเพิ่ม install script — พร้อมให้ gh CLI ใช้ OAuth token แบบหมดอายุเองได้แล้ว

20 ต.ค. 2026 GitHub เปิด package firewall (public preview, ฟรีช่วงพรีวิว, เฉพาะ Enterprise Cloud และเฉพาะ npm) เป็น registry ตัวกลางที่บล็อกมัลแวร์ เวอร์ชันอายุไม่ถึง 1 วัน และเวอร์ชันที่เพิ่งเพิ่ม install script ได้ตั้งแต่ค่าเริ่มต้น วันถัดมา gh CLI v2.103.0 ก็ให้เลือกใช้ OAuth token ที่หมดอายุในไม่กี่ชั่วโมงและ refresh เองได้ — ทั้งสองอย่างตรงกับช่องโหว่ที่เพิ่งถูกใช้ในเหตุ LiteLLM

· อ่าน 4 นาที
GitHub เปิดให้สั่ง Copilot code review ผ่าน REST/GraphQL API และเลือกระดับ effort ได้ทีละครั้ง — วันเดียวกันก็ปลด Claude Opus 4.7, Kimi K2.7 Code และ Gemini 3.5/3.6 Flash ออกจาก Copilot ทุกส่วน
เครื่องมือนักพัฒนา

GitHub เปิดให้สั่ง Copilot code review ผ่าน REST/GraphQL API และเลือกระดับ effort ได้ทีละครั้ง — วันเดียวกันก็ปลด Claude Opus 4.7, Kimi K2.7 Code และ Gemini 3.5/3.6 Flash ออกจาก Copilot ทุกส่วน

2 ต.ค. 2026 GitHub ประกาศว่าขอ Copilot code review ผ่าน REST และ GraphQL API ได้แล้ว พร้อมกำหนดระดับ effort ต่อคำขอได้ ใช้ได้ทุกแผนตั้งแต่ Pro ขึ้นไป และยืนยันว่า Balanced เป็นค่าเริ่มต้นตั้งแต่ 28 ก.ย. ส่วนอีกประกาศในวันเดียวกันปลด 4 โมเดลออกจาก Copilot ทันที ได้แก่ Gemini 3.5 Flash, Gemini 3.6 Flash, Kimi K2.7 Code และ Claude Opus 4.7

· อ่าน 4 นาที
Claude Code เพิ่ม claude plugin eval — วัดว่าปลั๊กอินและสกิลช่วยได้จริงไหมด้วยการรันเทียบกับ "ไม่มีปลั๊กอิน" ทุกเคส แต่ค่าดีฟอลต์ threshold 1.0 จะทำให้ CI แดงทันทีถ้าไม่สมบูรณ์แบบ
AI Skills

Claude Code เพิ่ม claude plugin eval — วัดว่าปลั๊กอินและสกิลช่วยได้จริงไหมด้วยการรันเทียบกับ "ไม่มีปลั๊กอิน" ทุกเคส แต่ค่าดีฟอลต์ threshold 1.0 จะทำให้ CI แดงทันทีถ้าไม่สมบูรณ์แบบ

Claude Code v2.1.269 (11 ก.ย. 19:17 UTC) เปิดคำสั่ง claude plugin eval ให้คนเขียนปลั๊กอินและสกิลรันชุดเทสต์ที่ให้คะแนนซ้ำได้ โดยทุกเคสรันสองแขน — มีปลั๊กอินกับไม่มีปลั๊กอิน — แล้วรายงานส่วนต่าง Δ ว่าปลั๊กอินเพิ่มอะไรจริง มี grader 6 แบบ (4 แบบฟรี) รองรับ mock MCP server และมีรหัส exit สำหรับ CI — ไบนารี v2.1.268 มีคำสั่งนี้อยู่แล้วแต่ล็อกไว้เป็น early access รายองค์กร

· อ่าน 7 นาที
Anthropic เพิ่ม ant apply — ประกาศ agent, skill, environment, memory store และ deployment เป็นไฟล์ในรีโปแล้ว sync ขึ้น API พร้อม lockfile แบบ Terraform
เครื่องมือนักพัฒนา

Anthropic เพิ่ม ant apply — ประกาศ agent, skill, environment, memory store และ deployment เป็นไฟล์ในรีโปแล้ว sync ขึ้น API พร้อม lockfile แบบ Terraform

ant CLI v1.30.0 (3 ก.ย.) เพิ่มคำสั่ง ant apply ที่ทำให้ agent, skill, environment, memory store และ deployment บน Claude API กลายเป็นไฟล์ในรีโปที่ผ่านรีวิวเหมือนโค้ด พร้อม claude-lock.json — แต่มันยัง adopt ทรัพยากรที่สร้างจาก Console ไม่ได้ และไม่มีการล็อกไฟล์ state

· อ่าน 7 นาที
Claude Code 2.1.243 เปิดให้ตั้ง prompt cache TTL เองแยกระหว่างบทสนทนาหลักกับ subagent — พร้อมบีบไบนารีจาก 340MB เหลือ 75MB และลดแรมต่อเซสชัน 40–70MB
เครื่องมือนักพัฒนา

Claude Code 2.1.243 เปิดให้ตั้ง prompt cache TTL เองแยกระหว่างบทสนทนาหลักกับ subagent — พร้อมบีบไบนารีจาก 340MB เหลือ 75MB และลดแรมต่อเซสชัน 40–70MB

Claude Code 2.1.243 ขึ้น npm ช่วงเช้าวันที่ 25 ส.ค. 2026 ตามเวลาไทย เป็น release ที่มีเนื้อยาวที่สุดในรอบสัปดาห์ — ของใหม่ที่สำคัญที่สุดคือ promptCacheTtl และ subagentPromptCacheTtl ที่ให้ผู้ใช้ API key และคลาวด์โปรวายเดอร์คงแคช 1 ชั่วโมงบนบทสนทนาหลักขณะที่ subagent อยู่ที่ 5 นาที พร้อมงานปรับขนาดไบนารีและหน่วยความจำที่เห็นผลทันทีบนเครื่องจริง

· อ่าน 6 นาที
Cursor เปลี่ยนเอเจนต์จาก "สั่งแล้วรอ" เป็น "เฝ้าแล้วตื่นเอง" — subscriptions ผูกกับ PR และ Slack, /goal ที่ยึดเป้าหมายจนจบ และ subagent ที่ได้เครื่องเสมือนของตัวเอง
เครื่องมือนักพัฒนา

Cursor เปลี่ยนเอเจนต์จาก "สั่งแล้วรอ" เป็น "เฝ้าแล้วตื่นเอง" — subscriptions ผูกกับ PR และ Slack, /goal ที่ยึดเป้าหมายจนจบ และ subagent ที่ได้เครื่องเสมือนของตัวเอง

19 ส.ค. 2026 Cursor อัปเดต cloud agent ครั้งใหญ่: agent สมัครติดตาม PR, เธรด Slack หรือ scheduled task แล้วตื่นขึ้นมาทำงานเองเมื่อมีเหตุการณ์, คำสั่ง /goal ให้ยึดเป้าหมายระยะยาวจนสำเร็จ, และ subagent แต่ละตัวได้เครื่องเสมือนพร้อมสำเนาโปรเจกต์ของตัวเองเพื่อรันขนานกันได้จริง

· อ่าน 5 นาที
เมื่อ AI "ซ่อม" โค้ดแล้วเปิดช่องแทน — Copilot Autofix ทำให้ repo ของ Snowflake ถูกเจาะจน token Jira หลุด
การแฮ็ก

เมื่อ AI "ซ่อม" โค้ดแล้วเปิดช่องแทน — Copilot Autofix ทำให้ repo ของ Snowflake ถูกเจาะจน token Jira หลุด

Wiz เปิดเผย 17 ส.ค. 2026 ว่า PR ที่มี "Copilot Autofix powered by AI" เป็น co-author ได้แทนที่โค้ดที่ปลอดภัยด้วยแพตเทิร์นที่มีช่องโหว่ script injection ใน workflow ของ Snowflake จนดึง token เข้า Jira ภายในของบริษัทออกมาได้ — และระบบรีวิวความปลอดภัยด้วย AI ของ GitHub เองก็ไม่จับ

· อ่าน 6 นาที
Cursor เปิดตัว Origin — โฮสต์โค้ดเองในเอดิเตอร์ ท้าชน GitHub วันเดียวกับที่ GitHub ล่มหนัก
เครื่องมือนักพัฒนา

Cursor เปิดตัว Origin — โฮสต์โค้ดเองในเอดิเตอร์ ท้าชน GitHub วันเดียวกับที่ GitHub ล่มหนัก

Cursor ประกาศ 17 ส.ค. 2026 ว่าเอดิเตอร์ของตัวเองโฮสต์ repo ได้แล้วผ่านฟีเจอร์ Origin — มีแท็บ Codebase, PR, และ sync สองทางกับ GitHub เริ่ม early beta กับผู้ใช้แพลนเสียเงินทุกคน และบังเอิญออกวันเดียวกับที่ GitHub เกิดเหตุขัดข้องระดับ critical

· อ่าน 5 นาที
llama.cpp เริ่มออกเวอร์ชันจริงจังแล้ว — v0.1.0 ถึง v0.1.2 ภายใน 24 ชั่วโมง หลังใช้เลข build มาตลอดหลายปี
เครื่องมือนักพัฒนา

llama.cpp เริ่มออกเวอร์ชันจริงจังแล้ว — v0.1.0 ถึง v0.1.2 ภายใน 24 ชั่วโมง หลังใช้เลข build มาตลอดหลายปี

llama.cpp ติดแท็ก v0.1.0 และ v0.1.1 เมื่อ 17 ส.ค. 2026 และออก v0.1.2 พร้อม release note อัตโนมัติเมื่อ 18 ส.ค. — จุดเริ่มต้นของการเลิกให้ผู้ใช้อ้างอิงเลข build แบบ b10485 ที่เปลี่ยนวันละหลายสิบครั้ง แม้จะยังติดสถานะ pre-release อยู่

· อ่าน 5 นาที
Steve Yegge ประกาศเลิกทำ harness แบบใช้ซ้ำ แล้วบอกว่า CI/CD จะตายภายในปีหน้า — พร้อมเปิดตัวเลขจริง 175-250 commit ต่อวัน และค่า token เดือนละ $87,000
ความเห็น

Steve Yegge ประกาศเลิกทำ harness แบบใช้ซ้ำ แล้วบอกว่า CI/CD จะตายภายในปีหน้า — พร้อมเปิดตัวเลขจริง 175-250 commit ต่อวัน และค่า token เดือนละ $87,000

เรียงความ 'The Shape of Things to Come, Part 1' ของ Steve Yegge (3 ส.ค.) เล่าว่า harness เดิมของเขาพังเพราะ Opus 4.7 แล้วสรุปสามคำทำนาย: harness แบบใช้ซ้ำจะขายไม่ออก, human code review จบภายในปีหน้า และ merge queue จะถูกแทนด้วยการโยน commit ทั้งกองลง main ทีเดียว

· อ่าน 7 นาที
Cisco ปล่อย Antares โมเดลเปิด 350M/1B ล่าช่องโหว่ในโค้ดจริง — ตัว 1B ทำคะแนนชนะ GLM-5.2 ที่ใหญ่กว่า 753 เท่า
โมเดลใหม่

Cisco ปล่อย Antares โมเดลเปิด 350M/1B ล่าช่องโหว่ในโค้ดจริง — ตัว 1B ทำคะแนนชนะ GLM-5.2 ที่ใหญ่กว่า 753 เท่า

Cisco Foundation AI ปล่อยโมเดลเปิด Antares-350M และ Antares-1B ภายใต้ Apache 2.0 ที่ทำงานเป็น terminal agent ไล่หาไฟล์ที่มีช่องโหว่ใน repo จริง โดยตัว 1B ทำ File F1 ได้ 0.209 สูงกว่า GLM-5.2 (753B) ที่ได้ 0.186 และมีค่ารันทั้งเบนช์มาร์กเพียง $0.71 เทียบกับ $141 ของ GPT-5.5

· อ่าน 7 นาที
GitHub Copilot code review อ่านคำสั่งจาก head branch แล้ว — และเริ่มอ่าน CLAUDE.md, GEMINI.md, AGENTS.md ของคุณด้วย
เครื่องมือนักพัฒนา

GitHub Copilot code review อ่านคำสั่งจาก head branch แล้ว — และเริ่มอ่าน CLAUDE.md, GEMINI.md, AGENTS.md ของคุณด้วย

GitHub ประกาศ (17 ก.ค. 2026) ปรับ Copilot code review หลายจุด: อ่าน custom instructions จาก head branch ของ PR แทน base branch จึงแก้กติกาแล้วทดสอบได้ในสาขาเดียวโดยไม่ต้อง merge ก่อน, เริ่มอ่านไฟล์ REVIEW.md / GEMINI.md / CLAUDE.md ด้วย, ตั้งค่า environment ผ่าน copilot-code-review.yml ได้ และเปิด network firewall เป็นค่าเริ่มต้นให้ทุก repository

· อ่าน 4 นาที
จะวัดผล agent skill ที่เรียก API จริงได้อย่างไรโดยไม่เผาเงินและไม่ทำข้อมูลจริงพัง — Microsoft เสนอให้เอา Dev Proxy มาคั่น
AI Skills

จะวัดผล agent skill ที่เรียก API จริงได้อย่างไรโดยไม่เผาเงินและไม่ทำข้อมูลจริงพัง — Microsoft เสนอให้เอา Dev Proxy มาคั่น

Waldek Mastykarz จาก Microsoft เขียน (17 ก.ค. 2026) ถึงปัญหาที่คนเขียน agent skill เจอเวลาจะทำ eval กับ skill ที่เรียก API จริง — ค่า API บานปลาย, PATCH/DELETE ไปแก้ข้อมูลจริง และผลรันไม่นิ่งเพราะ state เปลี่ยน — แล้วเสนอทางออกด้วย Dev Proxy ที่ดักทราฟฟิก HTTP ตอบแทน API จริงโดย skill ยังเรียก URL เดิมไม่ต้องแก้อะไรเลย

· อ่าน 5 นาที
Google เสนอวิธีคุม system prompt ที่บวมจนแก้ไม่ไหว — คอมไพล์ prompt เหมือนคอมไพล์โค้ด จับ error ตั้งแต่ตอน build
เครื่องมือนักพัฒนา

Google เสนอวิธีคุม system prompt ที่บวมจนแก้ไม่ไหว — คอมไพล์ prompt เหมือนคอมไพล์โค้ด จับ error ตั้งแต่ตอน build

วิศวกร SRE ของ Google เขียนบน Google Developers Blog (16 ก.ค. 2026) เสนอแนวทาง 'modular prompt transpilation' — เลิกมองว่า system prompt เป็นข้อความก้อนเดียว แล้วหันมาแตกเป็นไฟล์ย่อย ประกอบด้วย template แล้ว transpile เป็น artifact ที่ตรวจสอบได้ตอน build เพื่อให้ตัวแปรหาย import ผิด และ dependency วนลูป ถูกจับได้ก่อน deploy ไม่ใช่ตอนรันจริง

· อ่าน 5 นาที
GitHub Copilot CLI รันใน GitHub Actions ได้โดยไม่ต้องใช้ PAT อีกต่อไป — auth ด้วย GITHUB_TOKEN ในตัว ตัด secret ที่ต้องเก็บทิ้ง
เครื่องมือนักพัฒนา

GitHub Copilot CLI รันใน GitHub Actions ได้โดยไม่ต้องใช้ PAT อีกต่อไป — auth ด้วย GITHUB_TOKEN ในตัว ตัด secret ที่ต้องเก็บทิ้ง

GitHub ประกาศให้ Copilot CLI ยืนยันตัวตนใน GitHub Actions ได้ด้วย GITHUB_TOKEN ในตัว workflow แทนการต้องเก็บ Personal Access Token (PAT) ไว้เป็น secret — แค่ให้สิทธิ์ copilot-requests: write ก็รัน coding agent ใน pipeline ได้ ตัดภาระด้านความปลอดภัยของ token อายุยาวออกไปทั้งก้อน

· อ่าน 4 นาที