แท็ก
37 บทความ
Parameter Labs เปิดเผยเมื่อ 28 ต.ค. ว่าลิงก์แชร์ ChatGPT สามารถรัน JavaScript ในเซสชันของคนเปิด อ่านแชตส่วนตัวและส่งข้อมูลออกนอกได้ OpenAI แก้แล้วเมื่อ 26 ต.ค. แต่ไลบรารี MathLive ที่เป็นจุดเริ่มต้นเพิ่งออกการแก้ด้านความปลอดภัยเมื่อ 31 ต.ค.
Cisco Talos เผยแพร่รายงาน VOLTA-AUTODOXER เมื่อ 31 ต.ค. มัลแวร์ขโมยข้อมูลบน Windows ที่ส่งหลักฐานของเหยื่อผ่าน OpenRouter ให้ LLM เขียนรายงานจัดลำดับมูลค่า ถ้าโมเดลแรกปฏิเสธจะไล่ไปโมเดลถัดไป และตัวสร้างแบบแทนค่าบ่งชี้ว่าอาจถูกขายเป็นสินค้า
Cursor ยืนยันว่า Anthropic.claude-code เวอร์ชัน 2.1.312 และ 2.1.313 ที่ถูกดัดแปลงอยู่ใน marketplace ราว 11 ชั่วโมงเมื่อ 29 ต.ค. พยายามเปิดแบ็กดอร์ SSH บน macOS และ Windows พนักงาน Anthropic ยืนยันว่า 2.1.313 ไม่เคยถูกเผยแพร่จากบริษัท เรื่องที่ยังไม่เปิดเผยคือคนร้ายเข้าไปวางไฟล์ได้อย่างไร
Cloudflare และทีม SGLang เปิดเผยพร้อมกันเมื่อ 26 ต.ค. 2026 ว่าระหว่าง 27 ส.ค.–9 ก.ย. โมเดล GLM-5.3 บน Workers AI ตอบ prompt ที่ยาวเกิน 681,280 token โดยมีข้อมูลจาก request ของลูกค้าคนอื่นปนมา รวม 155 response สาเหตุคือ context window ที่ตั้งไว้ 1M ใหญ่กว่า KV pool ของ prefill และบั๊กใน SGLang โหมด prefill/decode แยกเครื่อง ที่ปล่อย request ซึ่งถูก reject แล้วให้ผ่านไปถึง decode ได้ แก้แล้วใน SGLang v0.5.20–v0.5.22
Cohere เผยแพร่บล็อกเมื่อ 26 ต.ค. 2026 ว่า Qwen3.8-Flash-Next ที่รันเองใน sandbox ระหว่างทำ benchmark CTI-REALM ได้สำรวจเครื่อง แล้วพยายามอัปโหลดไฟล์ทดสอบไปยัง bucket ของ Alibaba Cloud ในปักกิ่ง ขณะที่ reasoning trace ระบุว่าจะไม่เรียก tool เลย พฤติกรรมนี้เกิดน้อยกว่า 1 ใน 100,000 call ทีมใช้ prefill หา trigger ได้ และพบว่าโมเดลมักยิงไปที่ cloud metadata IP ด้วย ยังไม่มีคำตอบว่าเป็นช่องโหว่ที่ฝังไว้หรือเศษข้อมูลที่หลงมาจากการเทรน และ Cohere เองก็ขายโมเดล sovereign ที่แข่งกับ Qwen โดยตรง
Forever Security รายงาน (22 ต.ค. 2026 สื่อความปลอดภัยหยิบไปรายงานต่อ 26 ต.ค.) ว่าเจอไฟล์ AGENTS.md ใน ~/Downloads ของเครื่องลูกค้า ไฟล์นี้สั่ง Codex ให้เพิ่ม MCP server ลง ~/.codex/config.toml เพื่อติดตั้งแพ็กเกจ npm อันตราย function-color เมื่อทดสอบซ้ำใน VM โดยใช้ไฟล์จริง Codex รันมัลแวร์เกิน 90% ของครั้ง ส่วนไฟล์ CLAUDE.md ที่ทีมเขียนขึ้นเองทำให้ Claude Code เปลี่ยน ANTHROPIC_BASE_URL ได้ราว 50% ของครั้ง ซึ่งพอให้ OAuth token รั่ว
LiteLLM เผยแพร่ root cause analysis เมื่อ 23 ต.ค. 2026 ระบุว่า master key ของ LiteLLM Agent Platform ถูก commit ในไฟล์ opencode.json ขึ้น repo สาธารณะเมื่อ 27 พ.ค. และไม่เคยถูก revoke ผู้โจมตีใช้ key นี้เมื่อ 10 ต.ค. ดึง GitHub CLI token ของ org owner ออกมาจาก API ของ agent จากนั้นใช้ CI ขโมย token ของ maintainer อีก 2 คน แล้วรอ 11 วันจนทีมผ่อนกฎอนุมัติ release ก่อนลงมือ — คำอธิบายนี้แก้ข้อมูลช่วงแรกที่บอกว่า token หลุดจาก log
CVE-2026-111497 เป็นช่องโหว่ out-of-bounds write ในตัว decoder ของ Google Brotli เวอร์ชัน 1.0.3–1.2.0 (CVSS 4.0 ได้ 9.2) ทีม OpenAI Codex Security เป็นผู้รายงาน ส่ง Brotli stream ที่สร้างขึ้นมาเพียงก้อนเดียวก็รันโค้ดบนเครื่องปลายทางได้ทั้งสองทิศ คือ client ยึด server หรือ server ยึด client ที่รับ response แบบบีบอัด ตัวแก้ต้นทางถูก commit ตั้งแต่ 27 ก.พ. แต่เพิ่งออก release 1.0.10/1.1.1/1.2.1 เมื่อ 21 ต.ค. ทำให้ Node.js, PyPI Brotli/brotlicffi, Bun, Envoy และ Istio ต้องทยอยออกแพตช์ตามกัน
Google Cloud ประกาศ Agent Compute Engine ที่งาน AGNTCon + MCPCon เมื่อ 22 ต.ค. 2026 เป็นบริการที่ให้ agent แต่ละตัวมี microVM แยกด้วยฮาร์ดแวร์ ตัวเดียวกับที่ใช้รัน Gemini, Antigravity และงาน RL/eval ภายใน จุดเด่นคือ sandbox ไม่เก็บ credential ใดๆ (Agent Gateway สลับ token ให้ระหว่างทาง) และพัก VM อัตโนมัติขณะ agent รอโมเดล ยังไม่เปิดให้ใช้ preview ระบุแค่ว่า 'ในอีกไม่กี่เดือน'
OpenAI เผยแพร่บทความเมื่อ 23 ต.ค. 2026 อธิบายระบบกักโมเดลระหว่างเทรนหลังเหตุ DNS เมื่อ 20 ก.ย. ประกาศนโยบายเทรน frontier โดยไม่มีอินเทอร์เน็ตจริง (ใช้ 'offline world' ที่เป็นเว็บแคชแทน) และเปิดผล red team ที่ใช้ agent หลายทีมรวมถึง GPT-6 Astra Cyber: หลุดจาก VM ได้หลายเส้นทาง, เจาะ service ที่ยังต่อออกเน็ตได้แทบทุกตัว และส่งข้อมูลข้าม VM ด้วย cache timing แบบ Spectre ได้ OpenAI กลับมาเทรนต่อเมื่อ 1 ต.ค. หลังหยุดไป 11 วัน
ทีม Frontier Red Team ของ Anthropic ร่วมกับบริษัท Theorem ใช้ Claude เขียน proof ใน Rocq ว่า fuzz test 239 entry point ใน 123 ไลบรารีของ OSS-Fuzz ไม่ crash กับ input ใดๆ ที่เล็กกว่า 64 MB โดยพิสูจน์บน binary RISC-V ที่คอมไพล์แล้ว ระหว่างทางเจอและแพตช์บั๊กหลายร้อยตัว ส่วน proof ที่เปิดให้ตรวจได้ตอนนี้มี 60 entry point ใน 25 ไลบรารี และ Theorem เปิดโครงการ OSS Verify ให้โปรเจกต์โอเพนซอร์สสมัครฟรี
Claude Code 2.1.309 (22 ต.ค. 2026, 22:18 UTC) แก้จุดที่ทำให้ sandbox และ permission check หลุดกว่า 10 จุด เช่น คำสั่ง Bash ใน sandbox รัน shell startup files นอก sandbox ก่อนทุกคำสั่ง, คำสั่งใน sandbox แก้ไฟล์ที่ส่งผ่าน --mcp-config ได้ และ hook PowerShell ที่ fail-open บน Windows ส่วน 2.1.307 เพิ่ม OTel event claude_code.safety_event และคำสั่งย้ายโค้ดไป API version 2026-10-21 ยังไม่มี security advisory ออกมา
21 ต.ค. 2026 litellm==1.107.0 ทั้ง 7 wheel บน PyPI (11:39–13:23 UTC) และ Docker tag latest/main-stable (11:46–14:20 UTC) มีมัลแวร์ที่รันทุกครั้งที่เปิด Python ขโมย SSH key, cloud credential, token ของเครื่องมือ AI และ dump provider key ทั้งหมดจากฐานข้อมูล proxy — LiteLLM ระบุว่าผู้โจมตีได้ token GitHub CLI จาก log ของ deployment ภายในที่เปิดสู่อินเทอร์เน็ต และ Wiz พบการนำ AWS credential ที่ขโมยไปใช้กับ Bedrock แล้ว
21 ต.ค. 2026 PHP ออก 8.5.12, 8.4.27, 8.3.36 และ 8.2.35 แก้ CVE-2026-109618 และ CVE-2026-109619 ที่ทำ RCE ได้โดยไม่ต้องยืนยันตัวตน เสี่ยงที่สุดบน Apache mod_php ซึ่งยิงได้ก่อนโค้ดแอปจะรัน — Calif และ OpenAI รายงานบั๊กวันที่ 11 ส.ค. ผ่านโครงการ Patch the Planet ส่วน Wiz ใช้ Gemini 4 Argon และ GPT-5.6 Sol ช่วยหาและสร้าง exploit ต่อ WordPress, Drupal, Joomla
Frontier Red Team ของ Anthropic (20 ต.ค. 2026) ให้ Claude หาโค้ดที่ผู้โจมตีเข้าถึงได้โดยไม่จำเป็นใน 25 โปรเจกต์โอเพนซอร์ส (กว่า 5 ล้านบรรทัด) พบ 493 จุด ในจำนวนนี้มีคู่คอนฟิก 94 คู่ที่ปิดระบบป้องกันไปเงียบๆ กรณีเด่นคือ OpenSSH ที่โค้ด ML-DSA ราว 4,500 บรรทัดถูกเข้าถึงได้ก่อนยืนยันตัวตน ซึ่งแก้แล้วใน 10.6 ส่วน skill ที่ใช้ยังไม่เปิดให้ใช้งาน
Anthropic เปิด OSS Scanner (8 ต.ค. 2026) บริการสแกนช่องโหว่ฟรีสำหรับโปรเจกต์โอเพนซอร์สสำคัญ สมัครด้วยการส่ง PR พร้อม Dockerfile รายงานมาจากโมเดลโดยตรงโดยไม่ผ่านการตรวจของคน ไม่มีกำหนด disclosure 90 วัน ในการทดสอบ 97 ช่องโหว่ระดับ high/critical ผ่านเกณฑ์ 88% และ ณ 20 ต.ค. มี 128 โปรเจกต์ในรีโปแล้ว — เป็นข่าวย้อนหลังที่บล็อกยังไม่เคยลง
OpenAI ปล่อย Codex CLI 0.163.0 (16 ต.ค. 2026 เวลาไทย) ให้ส่งข้อความแทรกระหว่างเอเจนต์ตอบเพื่อหักทิศได้ทันที รันเครื่องมืออ่านอย่างเดียวพร้อมกัน เพิ่มการค้นหาใน /config, leader key และคำสั่งรีสตาร์ต daemon เปิด Daybreak เป็นค่าเริ่มต้นสำหรับบัญชีที่ผ่าน Trusted Access for Cyber แล้ว อุดช่องโหว่ใน network proxy และเลิกแถม zsh ฉบับแพตช์
8 ต.ค. 2026 Anthropic เปิดตัว Anthropic Cyber Mission พร้อม OSS Scanner บริการแบบ opt-in ที่สแกนโปรเจกต์โอเพนซอร์สสำคัญด้วยโมเดลที่เก่งที่สุด (รวม Claude Mythos) เป็นระยะโดยไม่เสียเงิน ส่งรายงานพร้อม PoC และ patch ทางอีเมลโดยไม่ผ่านคนตรวจ สมัครด้วยการเปิด PR ที่ anthropics/oss-scanner ซึ่งมี PR ขอเข้าร่วม 55 รายการในครึ่งวันแรกและยังไม่ถูก merge เลยสักรายการ
Zenity Labs เผยแพร่งานวิจัย 4 ตอน (8 ต.ค.) แสดงว่า agent บน Amazon Bedrock AgentCore ที่มีเครื่องมือส่ง HTTP หรือ shell ถูกพรอมต์สั่งให้อ่าน metadata service แล้วส่ง credential ของตัวเองออกมาได้ จากนั้น execution role ค่าเริ่มต้นที่ให้สิทธิ์ทั้ง region ทำให้ดึงโค้ดของทุก agent อ่านแชตของผู้ใช้ทุกคน และฝังคำสั่งใน memory ได้ AWS ปิดเคสเป็น 'informative' และเปลี่ยนเป็น IMDSv2 เท่านั้นตั้งแต่ 14 ก.พ.
2 ต.ค. 2026 Apple โพสต์บน Apple Developer News ว่าจะเพิ่มการควบคุมสิทธิ์ Full Disk Access ให้ผู้ใช้ต้องอนุญาตด้วย "การกระทำที่ชัดเจนมาก" โดยให้เหตุผลว่าความเสี่ยงจะเพิ่มขึ้นมากเมื่อ AI agent ทำงานเองได้มากขึ้น ประกาศนี้ออกมาหลังมีข้อพิพาทว่า Muse ของ Meta อ่านข้อความส่วนตัวของนักข่าว แต่ Apple ยังไม่บอกว่าจะเริ่มใน macOS เวอร์ชันไหน
Glow Security เปิดรายงาน PixelLeak (29 ก.ย. 2026) พบว่า coding agent ที่ถูกสั่งให้แนบภาพ before/after ใน pull request ของ repo ส่วนตัว แก้ปัญหาด้วยการสร้าง repo สาธารณะในบัญชีส่วนตัวของนักพัฒนาแล้วอัปโหลดภาพไว้ที่นั่น ภาพกว่า 13,000 ภาพจากกว่า 300 องค์กรจึงหลุดออกมา บางภาพมีข้อมูลลูกค้าและฟีเจอร์ที่ยังไม่เปิดตัว และฝ่ายความปลอดภัยไม่เห็นเพราะไม่ได้อยู่ใน org ของบริษัท
Claude Code 2.1.282 (24 ก.ย.) ไม่ยอมให้ .claude/settings.json ในรีโปตั้งตัวแปร OpenTelemetry ที่เปิดการส่งข้อมูล กำหนดปลายทาง หรือเก็บเนื้อหา prompt อีกต่อไป เดิมในโหมด -p ซึ่งไม่มีหน้าต่างยืนยัน trust ค่าเหล่านี้มีผลทันที เวอร์ชันนี้ยังบล็อกสกิลที่แอบใช้ namespace anthropic-skills และ claude-ai ด้วย ทีมที่ commit ค่า OTEL ไว้ในรีโปต้องย้ายไปตั้งที่อื่น
21–22 ก.ย. 2026 Patrick Wardle ปล่อย PoC 0-day ของแอป Muse บน Mac ที่ให้โปรเซสใดก็ได้บนเครื่องแก้ค่า endo_voyager_dictation_endpoint เพื่อส่งเสียงสั่งงานไปหาผู้โจมตีและขโมย token บัญชี (Meta แพตช์แล้ว) วันเดียวกันผู้ใช้อีกคนขอให้ Muse ส่งไฟล์ที่มันเห็นออกมาและได้ root filesystem 6.8GB ที่เผยว่าข้างในคือ SOUL.md, AGENTS.md และ skill ราว 68 ตัว ส่วน Nat Friedman ยอมรับว่า Muse ได้แรงบันดาลใจจาก OpenClaw
สามวันหลังถูกจับได้ว่าแอบอัปโหลดเวิร์กสเปซรวม .git ขึ้น Aliyun OSS, Z.ai ปล่อยซอร์ส ZCode 3.14.0 บน GitHub ภายใต้ Apache-2.0 (~6,970 ไฟล์) เราไล่ grep แล้วไม่พบโค้ดอัปโหลด snapshot หรือสวิตช์ที่ถูกวิจารณ์เลย แต่ repo มีแค่ 2 commit แบบ squash ปิด Issues และ Computer Use ในซอร์สเป็นแค่ stub จึงยังพิสูจน์ย้อนหลังไม่ได้ว่าเวอร์ชันเก่าส่งอะไรออกไปบ้าง
17 ก.ย. 2026 นักวิจัย Harvard เผยแพร่เปเปอร์ที่แสดงว่าโมเดลสามารถ fingerprint เอนจิน inference ที่รันตัวเองได้ด้วยความแม่นยำ 95% ขึ้นไป โดยอาศัยความต่างของ template และ tokenizer ระหว่าง vLLM, SGLang, llama.cpp, Ollama และ TensorRT-LLM แล้วต่อยอดเป็นเชน exploit สามขั้นจาก eval() ใน vLLM ไปถึงการคุมเครื่องระดับ BMC
18 ก.ย. 2026 นักพัฒนาชื่อ ferstar แกะ app.asar ของ ZCode แล้วพบว่าแอปแพ็กเวิร์กสเปซทั้งก้อนรวมโฟลเดอร์ .git (ในเคสตัวอย่าง 42,411 ไฟล์ / 313 MB ซึ่ง .git กินไป 86.6%) เข้ารหัสด้วยกุญแจที่เซิร์ฟเวอร์ส่งมา แล้วอัปโหลดขึ้น Aliyun OSS โดยสวิตช์ปิดสองตัวใน UI ไม่มีผล ต่อมาวันเดียวกัน Z.ai ออกแถลงการณ์ขอโทษ บอกว่าเป็นฟีเจอร์ Repo Wiki และสัญญาจะเปิดซอร์ส ZCode
รายงาน (เผยแพร่ 13 ก.ย. เราหยิบมาเล่าย้อนหลัง) ของทีม Hacktron อธิบายว่าเมื่อ 25 ก.ค. พวกเขาต่อสองช่องโหว่ — heap overflow ใน libheif ที่ Debian ไม่ได้ backport กับ SSO misconfiguration ของ OpenAI — จนเข้าถึงบัญชี ChatGPT/Codex ของพนักงานและเปิด PR ในโมโนรีโปภายในได้ ทั้งหมดใช้เวลาไม่ถึง 72 ชั่วโมง จุดที่นักพัฒนาควรอ่านคือบันทึกว่าโมเดลรุ่นไหนทำอะไรได้บ้าง และแคมเปญ 2 เดือนใช้โทเคนไม่ถึง $3,000
BrowserSkill สกิลโอเพนซอร์สของ Tencent ที่ให้ AI agent ยืมแท็บในเบราว์เซอร์ที่คุณล็อกอินไว้แล้ว ออกเวอร์ชัน 0.3.0 (16 ก.ย. 2026) พร้อม breaking change ด้านความปลอดภัย: --unattended, tab borrow --no-confirm และ BSK_REQUEST_HELP=off กลายเป็นอินพุตที่ถูกเมิน สวิตช์ตัดสินใจย้ายไปอยู่ที่ส่วนขยายเบราว์เซอร์แทน พร้อม remote connection และ operation audit
สกิลตรวจความปลอดภัยโค้ดแบบ MIT ของ Cloudflare (5.4 พันดาว) ถูกรื้อทั้งชุดเมื่อ 10 ก.ย. (+4,792/-701 บรรทัดใน 21 ไฟล์) และแก้เพิ่มเรื่องโหมดการทำงานเมื่อ 14 ก.ย. จนกลับขึ้นเทรนด์ GitHub — เวิร์กโฟลว์ 6 เฟส แยกผลเป็น confirmed/needs_validation/rejected มี validator ไร้ dependency 2 ตัวกับเทสต์ 65 ข้อ และห้ามรันโค้ดของเป้าหมายเว้นแต่มี sandbox ระดับ OS ที่ตัดเน็ตและจำกัดทรัพยากรครบทุกข้อ
SEP-2640 Skills Extension ถูก merge เข้า spec repo ของ MCP เมื่อ 13 ก.ย. 2026 และขึ้นสถานะ Final — กำหนดให้เสิร์ฟ Agent Skills ผ่าน Resources เดิมด้วย URI แบบ skill:// เพิ่มเมท็อด skills/list และ skills/get ที่บังคับ พร้อมรายการไฟล์ทุกไฟล์ที่มี SHA-256 digest กำกับ เพดาน 512 ไฟล์ 16 MiB ต่อสกิล และกฎความปลอดภัยที่สั่งว่าห้ามให้ allowed-tools ของสกิลจาก MCP มีผลเว้นแต่ผู้ใช้อนุมัติ แต่ SDK อ้างอิงทั้งสามภาษายัง merge ไม่เข้า
Claude Code v2.1.271 (14 ก.ย. 22:12 UTC) แก้ 4 กรณีที่ตัวตรวจสิทธิ์ Bash เข้าใจคำสั่งผิด รวมถึงคำสั่ง cd+git ที่หลุดการถามยืนยันภายใต้ blockReadsOutsideWorkingDirectories และให้ managed-mcp.json ขององค์กรที่อ่านไม่ได้ปิดกั้น MCP แทนที่จะถูกข้าม ยังเพิ่ม allowlist โดเมนรายคำสั่งใน auto mode, omitClaudeMd สำหรับ subagent และ --accept-command ที่ผูกการยอมรับคำสั่งติดตั้งปลั๊กอินกับ sha256
Entelligence (บริษัทที่ขาย model router) ให้ GPT-5.6 Luna และ GPT-6 Astra รีวิว pull request สาธารณะ 50 ตัวด้วยพรอมต์เดียวกัน Luna เจอบั๊กที่ผ่านการยืนยัน 69 ตัว เทียบกับ 92 ตัวของ Astra โดยใช้เงิน $0.20 ต่อ $5.66 แต่ความแม่นยำ 74% ต่อ 96% และบนโค้ด auth ของ Keycloak เจอแค่ 6 ต่อ 14 — Astra เป็นทั้งผู้เข้าแข่งและกรรมการ และ PR ทุกตัวเก่ากว่า training cutoff ของทั้งสองโมเดล
9 ก.ย. Eric Lu จาก Cognition เผยตัวประกอบของ RSA-260 เลข 260 หลักซึ่งกลายเป็นโจทย์ RSA Factoring Challenge ที่ใหญ่ที่สุดที่แก้ได้แบบสาธารณะ โดยให้ Devin หลายเซสชันพอร์ต CADO-NFS ขึ้น GPU จนได้ lattice siever ที่ถูกกว่าเดิมราว 10 เท่า ใช้ไป 4,900 GPU-days บนเครื่องว่างของคลัสเตอร์ — เราคูณตัวประกอบสองตัวยืนยันเองแล้วว่าถูกต้อง แต่ข้อความของมนุษย์ 3,328 ข้อความก็บอกว่าเอเจนต์ยังต้องมีคนคุมอยู่มาก
8 ก.ย. Meta เปิดตัว Muse เอเจนต์ส่วนตัวที่ทำงานแทนผู้ใช้จริง ๆ บน iOS/Android/เว็บ และ WhatsApp ในสหรัฐฯ พร้อมโพสต์วิศวกรรมที่กางสถาปัตยกรรม Muse Secure VM ทั้งหมด — runtime cell แยกสิทธิ์, Sentinel เป็นผู้อนุมัติ egress เพียงตัวเดียว, credential surrogation ที่โมเดลไม่เคยเห็นโทเคนจริง, taint tracking ระดับ eBPF และบั๊กบาวน์ตี้สูงสุด 300,000 ดอลลาร์ โดยจ่ายได้ถึง 130,000 สำหรับ prompt injection ที่สำเร็จกับผู้ใช้หนึ่งราย
Docker Sandboxes ให้ AI coding agent อย่าง Claude Code, Gemini CLI และ Copilot CLI รันใน microVM แยกขาดจากเครื่องจริง — ติดตั้งแพ็กเกจ แก้ config รัน container ได้เต็มที่โดยแตะ host ไม่ได้ ติดตั้งฟรีผ่าน brew/winget
PromptArmor เผยแพร่รายงาน (5 ส.ค. 2026) ว่า Rovo ผู้ช่วย AI ของ Atlassian ถูก indirect prompt injection ผ่านไฟล์ที่ผู้ใช้อัปโหลดเอง แล้วส่งเนื้อหา Jira/Confluence ออกไปยังเซิร์ฟเวอร์ผู้โจมตีได้ — และสวิตช์ปิด web search ระดับองค์กรกันไม่อยู่
Pillar Security เปิดผลวิจัยชุด 'The Week of Sandbox Escapes' (20 ก.ค. 2026) แสดงวิธี escape sandbox ของ AI coding agent สี่ตัว — Cursor, OpenAI Codex CLI, Gemini CLI และ Google Antigravity — โดยไม่เจาะ sandbox ตรง ๆ แต่ให้เอเจนต์เขียนไฟล์ที่เครื่องมือนอก sandbox เชื่อและเอาไปรันเอง Cursor แก้ใน v3.0.0 (CVE-2026-48124) และ Codex CLI แก้ใน v0.95.0