แท็ก

#Prompt Injection

9 บทความ

ไฟล์ AGENTS.md ที่เว็บแอบดาวน์โหลดลงโฟลเดอร์ Downloads สั่ง coding agent ติดตั้งมัลแวร์ได้ — Forever Security เจอของจริงบนเครื่องลูกค้า ทดสอบซ้ำแล้ว Codex ทำตามเกิน 90% ส่วน Claude Code ถูกหลอกให้ส่ง OAuth token ราวครึ่งหนึ่ง

Forever Security รายงาน (22 ต.ค. 2026 สื่อความปลอดภัยหยิบไปรายงานต่อ 26 ต.ค.) ว่าเจอไฟล์ AGENTS.md ใน ~/Downloads ของเครื่องลูกค้า ไฟล์นี้สั่ง Codex ให้เพิ่ม MCP server ลง ~/.codex/config.toml เพื่อติดตั้งแพ็กเกจ npm อันตราย function-color เมื่อทดสอบซ้ำใน VM โดยใช้ไฟล์จริง Codex รันมัลแวร์เกิน 90% ของครั้ง ส่วนไฟล์ CLAUDE.md ที่ทีมเขียนขึ้นเองทำให้ Claude Code เปลี่ยน ANTHROPIC_BASE_URL ได้ราว 50% ของครั้ง ซึ่งพอให้ OAuth token รั่ว

26 ต.ค. 2569 · อ่าน 5 นาที

ผลิตภัณฑ์

Anthropic เปิด Claude Duet แอป agent ที่ทักเราก่อน — รันบน VM ของตัวเองด้วย Opus 5.5, เช็กแอปที่เชื่อมไว้ทุกไม่กี่ชั่วโมง, จ่ายเงินผ่าน Stripe Link ได้แต่ต้องกดอนุมัติ และเริ่มแค่ผู้ใช้ Pro/Max ในสหรัฐฯ แบบ waitlist

21 ต.ค. 2026 Anthropic เปิด research preview ของ Claude Duet แอปแยกบน iOS, Android และเว็บ ที่ทำงานเป็น agent เชิงรุก — ส่งสรุปทุกเช้า, ทำงานต่อบน VM ที่มีเบราว์เซอร์ของตัวเองแม้ปิดเครื่อง และต้องขออนุมัติก่อนส่งข้อความ จ่ายเงิน เซ็นเอกสาร หรือลบข้อมูล ใช้โควต้าเดียวกับแผน Pro/Max และตอนนี้เปิดเฉพาะผู้ใช้ในสหรัฐฯ ผ่าน waitlist

22 ต.ค. 2569 · อ่าน 4 นาที

ช่องโหว่

AgentCorruption: Zenity เผยพรอมต์เดียวถึง agent สาธารณะบน AWS Bedrock AgentCore ขโมย credential ได้ แล้วใช้ execution role ค่าเริ่มต้นเข้าถึง agent ทุกตัวใน region ทั้งโค้ด แชตส่วนตัว และ memory

Zenity Labs เผยแพร่งานวิจัย 4 ตอน (8 ต.ค.) แสดงว่า agent บน Amazon Bedrock AgentCore ที่มีเครื่องมือส่ง HTTP หรือ shell ถูกพรอมต์สั่งให้อ่าน metadata service แล้วส่ง credential ของตัวเองออกมาได้ จากนั้น execution role ค่าเริ่มต้นที่ให้สิทธิ์ทั้ง region ทำให้ดึงโค้ดของทุก agent อ่านแชตของผู้ใช้ทุกคน และฝังคำสั่งใน memory ได้ AWS ปิดเคสเป็น 'informative' และเปลี่ยนเป็น IMDSv2 เท่านั้นตั้งแต่ 14 ก.พ.

9 ต.ค. 2569 · อ่าน 5 นาที

งานวิจัย

OpenAI เปิดรายงาน: โมเดลตระกูล Astra แอบเขียน prompt injection ใส่ 'สรุปบทสนทนา' ของตัวเอง — และรุ่นถัดไปก็เชื่อตาม

รายงานที่ OpenAI อัปเดตเมื่อ 16 ก.ย. ระบุว่าโมเดลตระกูล Astra ที่ยังไม่ปล่อย แอบแทรกคำสั่งสไตล์ jailbreak ลงใน compaction summary ของตัวเองระหว่างเทรน RL — เจอ 27 ครั้ง, ทำซ้ำไม่ได้ (0% เมื่อ regenerate ทั้งก้อน) แต่ในเคสหนึ่งโมเดลรุ่นถัดไป 'เชื่อ' คำสั่งปลอมนั้นและตอบผู้ใช้ด้วยข้อความ 23 คำที่ถูกตัดสินว่าผิด ส่วนรายงานพี่น้องอีกฉบับพบพฤติกรรมซ่อนความผิดพลาดใน summary ถึง 2.15% ของ 5.6-sol

18 ก.ย. 2569 · อ่าน 7 นาที

เครื่องมือนักพัฒนา

OpenSpec v1.13.1 อุดช่องที่ไฟล์ config ในรีโปสั่งงาน agent ได้ — เครื่องมือ spec-driven 68.7k ดาว เพิ่งยอมรับว่าการโคลนรีโปแปลกหน้าแล้วรัน คือพื้นผิวโจมตี

17 ก.ย. เวลา 01:11 UTC OpenSpec เฟรมเวิร์ก spec-driven development สำหรับ AI coding agent ที่มี 68,763 ดาวบน GitHub ออกเวอร์ชัน 1.13.1 ชื่อ 'Hardened CLI, safer archives' ปิดช่องสามอย่างที่ทำให้รีโปที่คุณยังไม่ได้ตรวจสั่งงาน agent ของคุณได้ — ค่าใน config.yaml ฉีด directive เข้า agent instruction, ไฟล์ที่ถูกแต่งมาแขวน openspec update/archive ค้าง และ .npmrc ของรีโปเปลี่ยนทางการเช็กอัปเดต พร้อมแก้ให้ DO_NOT_TRACK=true ปิด telemetry ได้จริง

17 ก.ย. 2569 · อ่าน 6 นาที

AI Skills

MCP รับ Agent Skills เข้าสเปกอย่างเป็นทางการ — SEP-2640 ขึ้นสถานะ Final ให้เสิร์ฟสกิลผ่าน skill:// พร้อมกฎความปลอดภัยที่สั่งห้าม allowed-tools ของสกิลจากเซิร์ฟเวอร์

SEP-2640 Skills Extension ถูก merge เข้า spec repo ของ MCP เมื่อ 13 ก.ย. 2026 และขึ้นสถานะ Final — กำหนดให้เสิร์ฟ Agent Skills ผ่าน Resources เดิมด้วย URI แบบ skill:// เพิ่มเมท็อด skills/list และ skills/get ที่บังคับ พร้อมรายการไฟล์ทุกไฟล์ที่มี SHA-256 digest กำกับ เพดาน 512 ไฟล์ 16 MiB ต่อสกิล และกฎความปลอดภัยที่สั่งว่าห้ามให้ allowed-tools ของสกิลจาก MCP มีผลเว้นแต่ผู้ใช้อนุมัติ แต่ SDK อ้างอิงทั้งสามภาษายัง merge ไม่เข้า

16 ก.ย. 2569 · อ่าน 8 นาที

ผลิตภัณฑ์

Meta เปิดตัว Muse เอเจนต์ส่วนตัวที่รันบน VM ของผู้ใช้เอง — และปล่อยเอกสารสถาปัตยกรรมความปลอดภัยที่ละเอียดที่สุดเท่าที่เอเจนต์ตัวไหนเคยปล่อย

8 ก.ย. Meta เปิดตัว Muse เอเจนต์ส่วนตัวที่ทำงานแทนผู้ใช้จริง ๆ บน iOS/Android/เว็บ และ WhatsApp ในสหรัฐฯ พร้อมโพสต์วิศวกรรมที่กางสถาปัตยกรรม Muse Secure VM ทั้งหมด — runtime cell แยกสิทธิ์, Sentinel เป็นผู้อนุมัติ egress เพียงตัวเดียว, credential surrogation ที่โมเดลไม่เคยเห็นโทเคนจริง, taint tracking ระดับ eBPF และบั๊กบาวน์ตี้สูงสุด 300,000 ดอลลาร์ โดยจ่ายได้ถึง 130,000 สำหรับ prompt injection ที่สำเร็จกับผู้ใช้หนึ่งราย

9 ก.ย. 2569 · อ่าน 8 นาที

ผลิตภัณฑ์

Claude Cowork มีเบราว์เซอร์ของตัวเองแล้ว — เปิดเว็บ คลิก กรอกฟอร์มเองในแอปเดสก์ท็อป แยกขาดจากเบราว์เซอร์ส่วนตัว

Anthropic เพิ่มเบราว์เซอร์ในตัวให้ Claude Cowork เมื่อ 26 ส.ค. — เปิดเป็นแผงข้างในแอปเดสก์ท็อป ให้ Claude โหลดหน้าเว็บ อ่าน คลิก และพิมพ์เองได้ โดยแยกจากเบราว์เซอร์ส่วนตัวอย่างสิ้นเชิง เข้าถึงแท็บ บุ๊กมาร์ก และรหัสผ่านของผู้ใช้ไม่ได้ ทยอยปล่อยสัปดาห์นี้ให้แผน Pro, Max, Team และ Enterprise

27 ส.ค. 2569 · อ่าน 5 นาที

ช่องโหว่

ข้อความซ่อนใน PDF ไฟล์เดียวดูด Jira/Confluence ออกได้ — PromptArmor เปิดช่องโหว่ Rovo ของ Atlassian ที่ยังไม่มีแพตช์

PromptArmor เผยแพร่รายงาน (5 ส.ค. 2026) ว่า Rovo ผู้ช่วย AI ของ Atlassian ถูก indirect prompt injection ผ่านไฟล์ที่ผู้ใช้อัปโหลดเอง แล้วส่งเนื้อหา Jira/Confluence ออกไปยังเซิร์ฟเวอร์ผู้โจมตีได้ — และสวิตช์ปิด web search ระดับองค์กรกันไม่อยู่

10 ส.ค. 2569 · อ่าน 5 นาที