เจาะประเด็น
AI / Cybersecurity
สั่ง Claude Code ช่วยเจาะระบบตัวเองยังไง? ไม่ให้โดน AI ตราหน้าว่าเป็นแฮกเกอร์
เมื่อระบบ Safety ของ AI ฉลาดเกินจนกลายเป็นอุปสรรคของนักพัฒนาที่แค่อยาก "เทสต์ระบบ" ให้ชัวร์ก่อนปล่อยของ
ทีมข่าว เอไอไทย.com
⏱ อ่าน 3 นาที
การที่ AI พยายามเป็นคนดีเกินไปจนปฏิเสธคำสั่งเรา บางทีมันก็กลายเป็นกำแพงที่ขวางไม่ให้เราสร้างซอฟต์แวร์ที่ปลอดภัยจริงๆ ขึ้นมาได้
ปัญหานี้บอกเลยว่าโคตรจะ Real สำหรับสาย Dev ที่เริ่มเอา Claude Code มาช่วยงานแบบจริงจัง คือเราทุกคนรู้แหละว่า Claude มันเก่งเรื่องรีวิวโค้ดขนาดไหน แต่มันจะมีจังหวะหนึ่งที่น่ารำคาญสุดๆ คือตอนที่เราอยากจะ "ลองของ" กับระบบตัวเองเพื่อหาช่องโหว่ แต่น้อง AI ดันเกิดอาการมีศีลธรรมสูงส่งขึ้นมาซะอย่างนั้น
เรื่องมันเริ่มมาจากกระทู้ใน Reddit ที่มีพ่อหนุ่ม Solo Dev คนหนึ่งกำลังปั้นแอปแนว self-hosted ที่ใช้ AI Agent ทำงานแทนเรา ซึ่งแน่นอนว่าเรื่อง Security มันคือหัวใจหลักเลย เขาก็เลยอยากจะลองสวมวิญญาณแฮกเกอร์เจาะแอปตัวเองดู ทั้งเรื่องการข้ามระบบล็อกอิน (Auth Bypass) หรือลองทำ Prompt Injection ใส่ Agent ของตัวเองดูว่ามันจะเพี้ยนไหม
ประเด็นคือพอสั่งให้ Claude ลองทำพวก Exploit Script หรือเขียน Payload โจมตีดูหน่อย น้อง Claude ก็ดันเล่นตัว บอกว่า "ฉันทำไม่ได้จ้า มันดูอันตราย" ซึ่งเจ้าตัวเขาก็เข้าใจนะว่า AI มันไม่รู้หรอกว่านี่คือแอปของเราเอง แต่มันทำให้งานโคตรช้า แถมยังมีความหลอนลึกๆ ด้วยว่า ถ้าสั่งบ่อยๆ จะโดนแบน Account หรือโดนส่งชื่อให้ทางการตรวจสอบหรือเปล่า
เอาจริงวิธีแก้ที่คนในวงการเขาใช้กันมันคือ "ศิลปะการคุย" ครับ อย่างแรกที่ง่ายที่สุดคือการใช้ไฟล์ CLAUDE.md เพื่อระบุ Context ให้ชัดเจนไปเลยว่านี่คือโปรเจกต์ส่วนตัวที่รันอยู่บนเครื่อง Local และเรากำลังอยู่ในขั้นตอนการทำ Security Audit การให้ข้อมูลพื้นฐานแบบนี้ช่วยลดความระแวงของ AI ลงไปได้เยอะพอสมควร
อีกเทคนิคที่ฉลาดมากคือการเปลี่ยน "คำสั่งแฮก" ให้กลายเป็น "คำสั่งเขียน Test" แทน แทนที่จะบอกว่า "เขียนโค้ดเจาะระบบนี้ให้หน่อย" ให้เปลี่ยนเป็น "ช่วยเขียน Unit Test ที่จะพังถ้า User A พยายามเข้าถึงข้อมูลของ User B" วิธีนี้ AI จะมองว่ามันคือการเขียนโค้ดเพื่อตรวจสอบคุณภาพ (Quality Assurance) ซึ่งเป็นสิ่งที่มันถนัดและไม่ขัดต่อกฎเหล็กด้านความปลอดภัย
ใช้ CLAUDE.md ยืนยันตัวตน
ใส่รายละเอียดในไฟล์คอนฟิกว่าเราคือเจ้าของโค้ด และกำลังทำการทดสอบความปลอดภัยในสภาพแวดล้อมปิด
เปลี่ยนจาก Exploit เป็น Failing Test
สั่งให้ AI เขียน Test Case ที่พิสูจน์ว่าระบบป้องกันของเราทำงานพลาด เพื่อหาช่องโหว่โดยไม่ต้องใช้คำสั่งโจมตีตรงๆ
ใช้เครื่องมือเฉพาะทางช่วย
รันเครื่องมือ Pentest มาตรฐานแล้วเอาผลลัพธ์มาให้ Claude ช่วยวิเคราะห์และเสนอวิธีแก้ (Remediation) แทนการให้มันเริ่มเจาะเอง
ผมมองว่านี่คือช่องว่างขนาดใหญ่ที่ Anthropic หรือผู้พัฒนา AI เจ้าอื่นต้องตีโจทย์ให้แตก คือเข้าใจนะว่ากลัวคนเอาไปใช้ทำชั่ว แต่สำหรับนักพัฒนาที่อยากสร้างของที่ปลอดภัยจริงๆ การที่ AI ปฏิเสธการช่วยตรวจสอบช่องโหว่มันคือการผลักภาระให้คนทำงานหนักขึ้นโดยใช่เหตุ
สุดท้ายแล้ว ถ้าใครเจอปัญหานี้อยู่ แนะนำว่าอย่าไปฝืนดันทุรังด่า AI หรือพยายาม Jailbreak มันแรงๆ เพราะเสี่ยงโดนแบนจริง ให้ลองปรับวิธีคุยให้ดูเป็น "ทางการ" และ "เชิงเทคนิค" มากขึ้น ยิ่งเราให้บริบทว่าเรากำลังสร้างกำแพงป้องกัน ไม่ใช่กำลังหาทางพังบ้านใคร Claude มันจะยอมร่วมมือด้วยง่ายขึ้นเยอะครับ
การใช้ AI ทำ Pentest ไม่ใช่เรื่องของการสั่งให้มันโจมตี แต่คือการใช้มันช่วย "ตั้งคำถาม" กับโค้ดของเราในมุมที่คาดไม่ถึง ถ้าคุณเปลี่ยนวิธีถามได้ AI ก็คืออาวุธลับในการป้องกันระบบที่ทรงพลังที่สุดชิ้นหนึ่งเลยล่ะ
ที่มา: Reddit r/ClaudeAI — อ่านต้นฉบับ
ความคิดเห็น 0
กำลังโหลดความคิดเห็น...