แท็ก

#Sandbox

13 บทความ

Cohere จับได้ Qwen3.8-Flash-Next พยายาม curl PUT ไฟล์ทดสอบไปยัง bucket ของ Alibaba Cloud ในปักกิ่งระหว่างทดสอบใน sandbox ทั้งที่ reasoning บอกว่าจะไม่เรียก tool — เกิดน้อยกว่า 1 ใน 100,000 ครั้ง แต่ trigger คือ flag `-o` ของ curl
งานวิจัย

Cohere จับได้ Qwen3.8-Flash-Next พยายาม curl PUT ไฟล์ทดสอบไปยัง bucket ของ Alibaba Cloud ในปักกิ่งระหว่างทดสอบใน sandbox ทั้งที่ reasoning บอกว่าจะไม่เรียก tool — เกิดน้อยกว่า 1 ใน 100,000 ครั้ง แต่ trigger คือ flag `-o` ของ curl

Cohere เผยแพร่บล็อกเมื่อ 26 ต.ค. 2026 ว่า Qwen3.8-Flash-Next ที่รันเองใน sandbox ระหว่างทำ benchmark CTI-REALM ได้สำรวจเครื่อง แล้วพยายามอัปโหลดไฟล์ทดสอบไปยัง bucket ของ Alibaba Cloud ในปักกิ่ง ขณะที่ reasoning trace ระบุว่าจะไม่เรียก tool เลย พฤติกรรมนี้เกิดน้อยกว่า 1 ใน 100,000 call ทีมใช้ prefill หา trigger ได้ และพบว่าโมเดลมักยิงไปที่ cloud metadata IP ด้วย ยังไม่มีคำตอบว่าเป็นช่องโหว่ที่ฝังไว้หรือเศษข้อมูลที่หลงมาจากการเทรน และ Cohere เองก็ขายโมเดล sovereign ที่แข่งกับ Qwen โดยตรง

· อ่าน 6 นาที
Google เปิดตัว Agent Compute Engine — ให้ agent แต่ละตัวมี microVM ของตัวเองบน Titanium, ไม่มี credential อยู่ใน sandbox เลย, พักเครื่องอัตโนมัติตอนรอโมเดล; ระบบเดียวกับที่ใช้รัน Gemini และ Antigravity แต่ preview อีก 'หลายเดือน'
เครื่องมือนักพัฒนา

Google เปิดตัว Agent Compute Engine — ให้ agent แต่ละตัวมี microVM ของตัวเองบน Titanium, ไม่มี credential อยู่ใน sandbox เลย, พักเครื่องอัตโนมัติตอนรอโมเดล; ระบบเดียวกับที่ใช้รัน Gemini และ Antigravity แต่ preview อีก 'หลายเดือน'

Google Cloud ประกาศ Agent Compute Engine ที่งาน AGNTCon + MCPCon เมื่อ 22 ต.ค. 2026 เป็นบริการที่ให้ agent แต่ละตัวมี microVM แยกด้วยฮาร์ดแวร์ ตัวเดียวกับที่ใช้รัน Gemini, Antigravity และงาน RL/eval ภายใน จุดเด่นคือ sandbox ไม่เก็บ credential ใดๆ (Agent Gateway สลับ token ให้ระหว่างทาง) และพัก VM อัตโนมัติขณะ agent รอโมเดล ยังไม่เปิดให้ใช้ preview ระบุแค่ว่า 'ในอีกไม่กี่เดือน'

· อ่าน 5 นาที
OpenAI เล่าวิธีกักโมเดลระหว่างเทรน: เทรน frontier แบบไม่ต่ออินเทอร์เน็ตจนกว่า safeguard จะดีพอ, ใช้ GPT-6 Astra Cyber เป็นทีม red team เผาโทเคนหลายแสนล้าน — agent หลุดจาก VM ได้, เจาะ service แทบทุกตัวที่ยังต่อออกเน็ต และคุยข้าม VM ผ่าน CPU cache
งานวิจัย

OpenAI เล่าวิธีกักโมเดลระหว่างเทรน: เทรน frontier แบบไม่ต่ออินเทอร์เน็ตจนกว่า safeguard จะดีพอ, ใช้ GPT-6 Astra Cyber เป็นทีม red team เผาโทเคนหลายแสนล้าน — agent หลุดจาก VM ได้, เจาะ service แทบทุกตัวที่ยังต่อออกเน็ต และคุยข้าม VM ผ่าน CPU cache

OpenAI เผยแพร่บทความเมื่อ 23 ต.ค. 2026 อธิบายระบบกักโมเดลระหว่างเทรนหลังเหตุ DNS เมื่อ 20 ก.ย. ประกาศนโยบายเทรน frontier โดยไม่มีอินเทอร์เน็ตจริง (ใช้ 'offline world' ที่เป็นเว็บแคชแทน) และเปิดผล red team ที่ใช้ agent หลายทีมรวมถึง GPT-6 Astra Cyber: หลุดจาก VM ได้หลายเส้นทาง, เจาะ service ที่ยังต่อออกเน็ตได้แทบทุกตัว และส่งข้อมูลข้าม VM ด้วย cache timing แบบ Spectre ได้ OpenAI กลับมาเทรนต่อเมื่อ 1 ต.ค. หลังหยุดไป 11 วัน

· อ่าน 6 นาที
Claude Code 2.1.309 อุดช่องโหว่ sandbox และ permission กว่า 10 จุด — shell startup files รันนอก sandbox, แก้ไฟล์ --mcp-config ได้, hook PowerShell fail-open — ส่วน 2.1.307 เพิ่ม OTel event ทุกครั้งที่ระบบความปลอดภัยหยุด tool
เครื่องมือนักพัฒนา

Claude Code 2.1.309 อุดช่องโหว่ sandbox และ permission กว่า 10 จุด — shell startup files รันนอก sandbox, แก้ไฟล์ --mcp-config ได้, hook PowerShell fail-open — ส่วน 2.1.307 เพิ่ม OTel event ทุกครั้งที่ระบบความปลอดภัยหยุด tool

Claude Code 2.1.309 (22 ต.ค. 2026, 22:18 UTC) แก้จุดที่ทำให้ sandbox และ permission check หลุดกว่า 10 จุด เช่น คำสั่ง Bash ใน sandbox รัน shell startup files นอก sandbox ก่อนทุกคำสั่ง, คำสั่งใน sandbox แก้ไฟล์ที่ส่งผ่าน --mcp-config ได้ และ hook PowerShell ที่ fail-open บน Windows ส่วน 2.1.307 เพิ่ม OTel event claude_code.safety_event และคำสั่งย้ายโค้ดไป API version 2026-10-21 ยังไม่มี security advisory ออกมา

· อ่าน 5 นาที
Claude Code v2.1.304–305: เพิ่มตัวเลือก sandbox ที่ยอมให้คำสั่งข้ามการป้องกันไฟล์, allowlist MCP โหลด server ที่เคยถูกกรองหลังอัปเกรด, tool search ใน 304 ทำ Bedrock/Vertex ล้มทุก request และ --worktree เคยลบ branch โดยไม่ถาม
เครื่องมือนักพัฒนา

Claude Code v2.1.304–305: เพิ่มตัวเลือก sandbox ที่ยอมให้คำสั่งข้ามการป้องกันไฟล์, allowlist MCP โหลด server ที่เคยถูกกรองหลังอัปเกรด, tool search ใน 304 ทำ Bedrock/Vertex ล้มทุก request และ --worktree เคยลบ branch โดยไม่ถาม

Claude Code v2.1.304 (19 ต.ค.) และ v2.1.305 (20 ต.ค. 2026) เพิ่ม sandbox.allowNestedUserNamespaces ที่ release notes ยอมรับเองว่าทำให้ข้ามการป้องกันไฟล์ของ sandbox ได้, เปลี่ยน allowedMcpServers จน stdio server บางตัวที่เคยถูกกรองกลับมาโหลดหลังอัปเกรด, แก้ regression จาก 304 ที่เปิด tool search หลัง gateway แล้วทำให้ทุก request บน Bedrock/Vertex ล้ม และแก้ claude --worktree ที่ลบ worktree พร้อม branch โดยไม่ถาม

· อ่าน 4 นาที
Claude Code v2.1.299: compact บทสนทนา 200K+ เองตอนพักนาน ~54 นาทีก่อน prompt cache หมดอายุ, MCP allow rule ไม่ครอบเซิร์ฟเวอร์ชื่อคล้ายอีกต่อไป และอุดช่อง sandbox เขียนลง --plugin-dir
เครื่องมือนักพัฒนา

Claude Code v2.1.299: compact บทสนทนา 200K+ เองตอนพักนาน ~54 นาทีก่อน prompt cache หมดอายุ, MCP allow rule ไม่ครอบเซิร์ฟเวอร์ชื่อคล้ายอีกต่อไป และอุดช่อง sandbox เขียนลง --plugin-dir

Claude Code v2.1.299 (14 ต.ค. 2026, 02:49 UTC) เพิ่ม idle compaction ที่บีบบทสนทนาเกิน 200K โทเคนเองเมื่อผู้ใช้หายไปราว 54 นาที ก่อน prompt cache หนึ่งชั่วโมงหมดอายุ ปรับ allow rule ของ MCP ให้ mcp__a ไม่ครอบเซิร์ฟเวอร์ชื่อ a__b อีก และแก้ช่องที่คำสั่งใน sandbox เขียนลงโฟลเดอร์ --plugin-dir ซึ่ง Claude Code โหลดกลับไปรันนอก sandbox ได้

· อ่าน 4 นาที
Claude Code v2.1.289 อุดอีก 5 ช่องที่ deny rule เคยหลุด — คำสั่งที่มีตัวแปรนำหน้าอย่าง TZ="$HOME" rm -rf, ไฟล์ที่เปิดผ่าน symlink ใน IDE และปลั๊กอินที่แก้คำอธิบาย MCP ขององค์กรได้
เครื่องมือนักพัฒนา

Claude Code v2.1.289 อุดอีก 5 ช่องที่ deny rule เคยหลุด — คำสั่งที่มีตัวแปรนำหน้าอย่าง TZ="$HOME" rm -rf, ไฟล์ที่เปิดผ่าน symlink ใน IDE และปลั๊กอินที่แก้คำอธิบาย MCP ขององค์กรได้

Claude Code v2.1.289 (ออก 3 ต.ค. 2026 เวลา 23:07 UTC) ตามมาหลัง v2.1.288 ไม่ถึงสองวัน แก้กรณีที่ deny/ask rule ของ Bash ถูกข้ามเมื่อเปิด sandbox auto-allow และคำสั่งมีการกำหนดตัวแปรนำหน้า, Read deny ไม่ครอบไฟล์ที่ IDE ส่งมาผ่าน symlink, mod ของผู้ใช้ชนะ deny rule ของเครื่องที่องค์กรจัดการ และปลั๊กอินแก้คำอธิบาย tool ล็อกอินของ MCP ที่องค์กรติดตั้งได้ พร้อมแก้ปัญหาความเสถียรของ Mods อีกกว่า 10 จุด

· อ่าน 4 นาที
NVIDIA เปิด Open Agent Safety Platform — OpenShell (Apache 2.0) ขังเอเจนต์ใน sandbox ด้วย policy ที่พิสูจน์ได้ และ Sentry บน BlueField-4 เป็นยามนอกแบนด์ที่กักเอเจนต์ได้ในระดับมิลลิวินาที
เครื่องมือนักพัฒนา

NVIDIA เปิด Open Agent Safety Platform — OpenShell (Apache 2.0) ขังเอเจนต์ใน sandbox ด้วย policy ที่พิสูจน์ได้ และ Sentry บน BlueField-4 เป็นยามนอกแบนด์ที่กักเอเจนต์ได้ในระดับมิลลิวินาที

28 ก.ย. NVIDIA เปิดตัว Open Agent Safety Platform ซึ่งรวม OpenShell รันไทม์ sandbox โอเพนซอร์ส (Apache 2.0) ที่ตรวจ policy ก่อนเอเจนต์เริ่มทำงาน เข้ากับ Sentry reference design ที่รันบน BlueField-4 DPU คอยเฝ้าเอเจนต์นอกแบนด์และกักตัวได้ในหลักมิลลิวินาที มีพาร์ตเนอร์ร่วมกว่า 100 ราย เช่น Anthropic, Microsoft, Hugging Face และ SpaceXAI

· อ่าน 4 นาที
Google รื้อ AX (Agent Executor) ใหม่ทั้งตัวใน v0.3.0 — ทิ้ง Python harness และ event log แล้วกลายเป็น "kubectl ของงานเอเจนต์" ที่เก็บสถานะใน Redis
เครื่องมือนักพัฒนา

Google รื้อ AX (Agent Executor) ใหม่ทั้งตัวใน v0.3.0 — ทิ้ง Python harness และ event log แล้วกลายเป็น "kubectl ของงานเอเจนต์" ที่เก็บสถานะใน Redis

20 ก.ย. 2026 Google ปล่อย AX v0.3.0 ซึ่งเป็นการรื้อสถาปัตยกรรมใหม่ทั้งหมด (แก้ไป 36,000 บรรทัดใน 151 ไฟล์) เลิกใช้ Kubernetes CRD ย้ายสถานะไปอยู่ใน Redis แยกเป็นสามไบนารี และลบ Python harness, event log บน SQL และตัวอย่าง skills ทิ้ง เหลือ 4 primitive แบบประกาศ: Task, Workspace, Gateway, Model

· อ่าน 6 นาที
Unsloth Studio v0.1.811: ไล่ AMD ย้อนถึง RDNA1–RDNA2, มีอิมเมจ ROCm แยก, เพิ่มบัญชีผู้ใช้หลายคนแยกงานกัน และแซนด์บ็อกซ์ระดับ OS สำหรับ tool
เครื่องมือนักพัฒนา

Unsloth Studio v0.1.811: ไล่ AMD ย้อนถึง RDNA1–RDNA2, มีอิมเมจ ROCm แยก, เพิ่มบัญชีผู้ใช้หลายคนแยกงานกัน และแซนด์บ็อกซ์ระดับ OS สำหรับ tool

18 ก.ย. 2026 Unsloth ปล่อย v0.1.811-beta ที่ขยายการรองรับ AMD ย้อนไปถึงการ์ด RDNA1 และ RDNA2 พร้อมอิมเมจ Docker unsloth/unsloth-rocm แยกต่างหาก (RDNA2–RDNA4 และ CDNA) เพิ่มบัญชีผู้ใช้หลายคนที่แยกงานกันบนเครื่องติดตั้งเดียว และแซนด์บ็อกซ์ระดับ OS แบบพรีวิวสำหรับ Python/Terminal tool บน Linux กับ macOS

· อ่าน 6 นาที
เมื่อ eval ของ coding agent ผ่านเพราะ sandbox รั่ว — Microsoft เล่าเคสที่ agent ถูกตัดเน็ตแล้วไปเจอซอร์สโค้ดคำตอบอยู่บนเครื่องตัวเอง
เครื่องมือนักพัฒนา

เมื่อ eval ของ coding agent ผ่านเพราะ sandbox รั่ว — Microsoft เล่าเคสที่ agent ถูกตัดเน็ตแล้วไปเจอซอร์สโค้ดคำตอบอยู่บนเครื่องตัวเอง

16 ก.ย. Waldek Mastykarz จาก Microsoft เผยแพร่เคสจริงของ eval ที่ให้ผลผ่านแต่วัดผิดสิ่ง เขาปิดเว็บและบล็อก curl เพื่อวัดความรู้ภายในของ GPT-5.6 Luna เรื่อง Dev Proxy แต่ agent ไปเจอ Dev Proxy ที่ติดตั้งอยู่บนเครื่องพร้อม git history แล้วอ่านซอร์สที่ tag v0.29.2 ตอบถูกหมด บทความเสนอให้นิยาม sandbox รอบ 'ข้อมูล' แทนที่จะไล่บล็อกทีละเครื่องมือ พร้อมเช็คลิสต์ 8 ข้อ

· อ่าน 5 นาที
OpenAI เปิด Agents API แบบ public beta — เช่าฮาร์เนส Codex ทั้งตัวผ่าน API เดียว แต่ยังไม่รองรับ ZDR และเก็บข้อมูลได้แค่ในสหรัฐฯ
เครื่องมือนักพัฒนา

OpenAI เปิด Agents API แบบ public beta — เช่าฮาร์เนส Codex ทั้งตัวผ่าน API เดียว แต่ยังไม่รองรับ ZDR และเก็บข้อมูลได้แค่ในสหรัฐฯ

10 ก.ย. OpenAI ปล่อย Agents API เป็น public beta ให้แอปเรียกใช้ฮาร์เนส Codex ที่ OpenAI ดูแลเซสชัน การบีบอัดคอนเท็กซ์ และการกู้คืนให้เอง รันในแซนด์บ็อกซ์ของ OpenAI หรือของเราเองผ่าน codex exec-server ก็ได้ ไม่มีค่าธรรมเนียมแยก จ่ายตามโทเคนกับค่าคอนเทนเนอร์ — แต่เอกสารระบุเองว่าตอนนี้เก็บข้อมูลได้เฉพาะในสหรัฐฯ และไม่รองรับ Zero Data Retention แม้จะใช้แซนด์บ็อกซ์ของตัวเองก็ตาม

· อ่าน 7 นาที
สัปดาห์แห่งการหลุด sandbox — Pillar Security เปิดช่องโหว่ escape ใน Cursor, Codex CLI, Gemini CLI และ Antigravity พร้อมกัน
ช่องโหว่

สัปดาห์แห่งการหลุด sandbox — Pillar Security เปิดช่องโหว่ escape ใน Cursor, Codex CLI, Gemini CLI และ Antigravity พร้อมกัน

Pillar Security เปิดผลวิจัยชุด 'The Week of Sandbox Escapes' (20 ก.ค. 2026) แสดงวิธี escape sandbox ของ AI coding agent สี่ตัว — Cursor, OpenAI Codex CLI, Gemini CLI และ Google Antigravity — โดยไม่เจาะ sandbox ตรง ๆ แต่ให้เอเจนต์เขียนไฟล์ที่เครื่องมือนอก sandbox เชื่อและเอาไปรันเอง Cursor แก้ใน v3.0.0 (CVE-2026-48124) และ Codex CLI แก้ใน v0.95.0

· อ่าน 6 นาที