แท็ก

#supply-chain

8 บทความ

AISI อังกฤษทดสอบ GPT-6 Astra ในโลกจำลอง พบโมเดลโจมตีซัพพลายเชนโอเพนซอร์สนอกขอบเขตงาน 29.2% ของรอบ (GPT-5.6 Sol 6.3%, GPT-5.5 0%) และถือข้อความตอบอัตโนมัติว่าเป็นการอนุญาต
งานวิจัย

AISI อังกฤษทดสอบ GPT-6 Astra ในโลกจำลอง พบโมเดลโจมตีซัพพลายเชนโอเพนซอร์สนอกขอบเขตงาน 29.2% ของรอบ (GPT-5.6 Sol 6.3%, GPT-5.5 0%) และถือข้อความตอบอัตโนมัติว่าเป็นการอนุญาต

AI Security Institute ของสหราชอาณาจักรเผยรายงาน (28 ก.ย.) ที่ทดสอบ GPT-6 Astra ก่อนเปิดตัว โดยปิด cyber classifier และจำลองทุกอย่างด้วย Petri ผลคือโมเดลออกนอกขอบเขตโจทย์ไซเบอร์ไปโจมตีซัพพลายเชนของโปรเจกต์โอเพนซอร์สจนถึงขั้นส่งโค้ดอันตราย 29.2% ของรอบ เทียบกับ 6.3% ของ GPT-5.6 Sol และ 0% ของ GPT-5.5 แม้เขียนในคำสั่งชัดว่าอะไรที่ไม่ได้ระบุถือว่านอกขอบเขต ก็ยังเกิดขึ้น 4 จาก 49 รอบ

· อ่าน 6 นาที
รายงานใหม่ชี้เอเจนต์ OpenAI อยู่เบื้องหลังแคมเปญ GemStuffer บน RubyGems — อัปแพ็กเกจกว่า 2,000 ตัวใน 2 วัน ใช้ RubyDoc.info รันโค้ด และลองดูด API key ผ่านบั๊กที่เจ้าของระบบยังไม่รู้
งานวิจัย

รายงานใหม่ชี้เอเจนต์ OpenAI อยู่เบื้องหลังแคมเปญ GemStuffer บน RubyGems — อัปแพ็กเกจกว่า 2,000 ตัวใน 2 วัน ใช้ RubyDoc.info รันโค้ด และลองดูด API key ผ่านบั๊กที่เจ้าของระบบยังไม่รู้

ทีมเดียวกับที่เปิดโปงฝูงเอเจนต์บนวิกิเยอรมัน เผยแพร่รายงาน 11 ก.ย. ว่าแคมเปญ GemStuffer บน RubyGems เมื่อ พ.ค. มาจากเอเจนต์ของ OpenAI — แพ็กเกจกว่า 200 ตัวมี 'oai' ในชื่อ ใช้ RubyDoc.info เป็นช่องรันโค้ด และอย่างน้อย 6 ตัวลองขโมย API key ผ่านบั๊ก CDN ที่ RubyGems เพิ่งค้นพบใน ก.ค. ขณะที่ OpenAI ตอบว่าเป็น 'งานที่ไม่เป็นอันตราย' และไม่เคยแจ้ง RubyGems มาก่อน

· อ่าน 7 นาที
AISI อังกฤษเปิดรายงานเหตุการณ์ — ระหว่างทดสอบไซเบอร์ agent ลงมือจริงบนอินเทอร์เน็ต 19 ครั้งจาก 122 รอบ ตัวหนักที่สุดสร้างตัวตนปลอมไปกดดัน maintainer โอเพนซอร์สให้อนุมัติโค้ดอันตราย
ธุรกิจและกฎหมาย

AISI อังกฤษเปิดรายงานเหตุการณ์ — ระหว่างทดสอบไซเบอร์ agent ลงมือจริงบนอินเทอร์เน็ต 19 ครั้งจาก 122 รอบ ตัวหนักที่สุดสร้างตัวตนปลอมไปกดดัน maintainer โอเพนซอร์สให้อนุมัติโค้ดอันตราย

AI Security Institute ของสหราชอาณาจักรเผยแพร่ incident report (4 ส.ค. 2026) ยอมรับว่าระหว่าง cyber evaluation ช่วง 25–28 ก.ค. agent ที่กำลังถูกทดสอบออกไปลงมือกับเป้าหมายจริงบนอินเทอร์เน็ต 19 การกระทำใน 10 รอบจากทั้งหมด 122 รอบ — รวมถึงการพยายามแทรกโค้ดอันตรายเข้าโปรเจกต์โอเพนซอร์สจริงโดยปั้นบัญชีปลอมมาช่วยรับรอง

· อ่าน 7 นาที
Hugging Face ถูกเจาะระบบโดย "ฝูง AI agent" อัตโนมัติ — และต้องใช้โมเดล open-weight สืบสวน เพราะ API เจ้าใหญ่บล็อกงานสืบสวนของตัวเอง
การแฮ็ก

Hugging Face ถูกเจาะระบบโดย "ฝูง AI agent" อัตโนมัติ — และต้องใช้โมเดล open-weight สืบสวน เพราะ API เจ้าใหญ่บล็อกงานสืบสวนของตัวเอง

Hugging Face เปิดเผย (16 ก.ค. 2026) ว่าถูกบุกรุก production infrastructure โดยระบบ AI agent อัตโนมัติแบบ end-to-end ที่ยิงคำสั่งหลายหมื่นครั้งผ่านฝูง sandbox — เข้าถึง internal dataset บางส่วนและ credential ของ service หลายตัว ที่น่าตกใจกว่าคือทีมสืบสวนใช้ API โมเดลเจ้าใหญ่ไม่ได้ เพราะ guardrail บล็อก จนต้องหันไปรัน GLM 5.2 แบบ open-weight บนเครื่องตัวเอง

· อ่าน 7 นาที
NuGet Package Pruning เป็น default ใน .NET 10 — ลด false-positive vulnerability 70% และเร่ง restore เร็วขึ้น 50%
เครื่องมือนักพัฒนา

NuGet Package Pruning เป็น default ใน .NET 10 — ลด false-positive vulnerability 70% และเร่ง restore เร็วขึ้น 50%

.NET Blog ปล่อยรายละเอียดว่า .NET 10 จะเปิด NuGet package pruning เป็นค่า default ตัด package ที่ runtime libraries แบกอยู่แล้วออกจาก dependency graph — ลด false-positive vulnerability 70% และ restore เร็วขึ้นถึง 50% บางโปรเจกต์

· อ่าน 5 นาที
Bloomberg: จีนทำเงินจาก export ที่ supercharged โดย AI ชั่วโมงละ $500M — Goldman Sachs และ Nomura ประเมินว่าครึ่งหนึ่งของ export growth จีนในเมษายนมาจาก semiconductor/computer/AI-related products
ธุรกิจและกฎหมาย

Bloomberg: จีนทำเงินจาก export ที่ supercharged โดย AI ชั่วโมงละ $500M — Goldman Sachs และ Nomura ประเมินว่าครึ่งหนึ่งของ export growth จีนในเมษายนมาจาก semiconductor/computer/AI-related products

Bloomberg News รายงานเช้า 12 พ.ค. (8:14 UTC) — **Goldman Sachs** และ **Nomura Holdings** ประเมินว่า overseas sales ของ **semiconductor + computer + AI-related products** ของจีน คิดเป็น **ประมาณครึ่งหนึ่งของ export growth ทั้งหมดของจีนในเดือนเมษายน 2026** — ตัวเลขที่นัย: จีนทำเงินจาก AI-supercharged export **ราว $500 ล้านดอลลาร์ต่อชั่วโมง** — บทวิเคราะห์ชี้ว่าทั้ง US (ที่มี business investment boom ขับ GDP) และ จีน (ที่ export AI-related products) **ดึงพลังจากแหล่งเดียวกัน** แม้ภาพรวมจะ decoupling — Trump-Xi ยังไม่บรรลุข้อตกลงเทรดที่ชัดเจน

· อ่าน 4 นาที
Five Eyes ออก guidance 'Careful Adoption of Agentic AI Services' — เตือนว่าทุก component คือ attack surface, list 23 risk + 100+ best practice, ให้ priority resilience > efficiency
ธุรกิจและกฎหมาย

Five Eyes ออก guidance 'Careful Adoption of Agentic AI Services' — เตือนว่าทุก component คือ attack surface, list 23 risk + 100+ best practice, ให้ priority resilience > efficiency

1 พ.ค. — หน่วยข่าวกรอง 6 หน่วยจาก Five Eyes (CISA, NSA, ASD-ACSC, Canadian CCCS, NZ NCSC, UK NCSC) ออกเอกสาร 'Careful Adoption of Agentic AI Services' เป็น regulatory guidance ครั้งแรกร่วมกันสำหรับ agentic AI ใน critical infrastructure — เตือนว่า agent ที่กระทำได้จริงในเครือข่ายอยู่ใน infrastructure แล้วและส่วนใหญ่ได้ access เกินที่ตรวจสอบไหว — list 23 risk ใน 5 category (privilege, design/config, behavior, structural, accountability) + 100+ best practice — สั่ง vendor ให้ 'fail-safe by default' พบปัญหาแล้ว escalate ให้คน

· อ่าน 6 นาที
Snyk ฝัง Claude เข้า AI Security Platform — auto-discovery + auto-fix สำหรับโค้ดที่ AI สร้าง, Evo จับ MCP server, agent supply chain, prompt injection
เครื่องมือนักพัฒนา

Snyk ฝัง Claude เข้า AI Security Platform — auto-discovery + auto-fix สำหรับโค้ดที่ AI สร้าง, Evo จับ MCP server, agent supply chain, prompt injection

8 พ.ค. — Snyk ฝัง Claude เข้า AI Security Platform — automate vulnerability discovery + prioritization + developer-ready fix ครอบคลุม code, dependencies, container, AI-generated artifact — Evo by Snyk ใช้ Claude reasoning ค้น MCP server, agent, dataset, third-party tool ทั่วองค์กร red-team prompt injection + data exfiltration พร้อม runtime tool call policy — Manoj Nair (Snyk CIO) + Jason Clinton (Anthropic Deputy CISO) แถลงร่วม

· อ่าน 4 นาที