อัปเดต
Security
Datasette ออกแพตช์ความปลอดภัย หลังใช้ AI ตรวจโค้ดเจอบั๊กสุดเนียน
Simon Willison เปิดวิธีทำงานใหม่ ใช้โมเดล AI ช่วยออดิตโค้ด แล้วให้คนสองคนแยกกันเขียนเทสต์กับแก้บั๊ก
ทีมข่าว เอไอไทย.com
⏱ อ่าน 3 นาที
ถ้าโมเดล AI ช่วยหาช่องโหว่ในโค้ดได้เนียนขนาดนี้ คำถามคือทีมเล็กๆ ที่ไม่มีงบทำ security audit แบบเดิมจะรอดยังไง
วันนี้ Datasette ปล่อยเวอร์ชันแพตช์ความปลอดภัยสองตัวรวด คือ 1.0a39 กับ 0.65.4 แยกกันอัปเดตคนละสาย — ตัวหนึ่งสำหรับสาย alpha ปัจจุบัน อีกตัวสำหรับสายเสถียร 0.65.x ที่ยังมีคนใช้อยู่
พูดง่ายๆ คือถ้าคุณรัน Datasette อยู่บนเว็บสาธารณะ ต้องรีบอัปเดต โดยเฉพาะกรณีที่อินสแตนซ์นั้นมีทั้งตารางสาธารณะและตารางส่วนตัวปนกันอยู่ในระบบเดียว — อันนี้คือจุดที่แพตช์นี้เข้ามาแก้โดยตรง
เรื่องนี้เริ่มจาก Sevban Dönmez แจ้งปัญหาความปลอดภัยเข้ามา จากนั้น Alex Garcia กับ Simon Willison ก็ลงมือออดิตโค้ด Datasette แบบละเอียด ด้วยความช่วยเหลือของโมเดล AI สามตัว ได้แก่ Claude Fable 5.1, GPT-5.6 และ GPT-6 Astra
หลังเจอบั๊กแล้ว ทั้งคู่ใช้เวลาเกือบหนึ่งสัปดาห์ในการช่วยกันรีวิวและแก้ไข พร้อมกับบอกว่าบั๊กบางตัวนั้น "ละเอียดอ่อนมาก" จนต้องใช้สายตาหลายชั้นในการจับ — และยืนยันว่าจะฝังกระบวนการออดิตความปลอดภัยด้วยโมเดล frontier เข้าไปในงานพัฒนาทุกส่วนนับจากนี้
จุดที่น่าสนใจคือวิธีแบ่งงานที่ Alex Garcia คิดขึ้นมา ทั้งคู่ทำงานใน private repository ร่วมกัน แทนที่จะนั่งแก้พร้อมกันหมด สำหรับปัญหาส่วนใหญ่ เขาแบ่งงานกันแบบนี้ — คนหนึ่งเขียน automated test ที่จำลองปัญหาให้เห็นชัด อีกคนเขียนโค้ดแก้
แยกบทบาทเขียนเทสต์–แก้โค้ด
คนหนึ่งสร้าง automated test ที่ชี้ให้เห็นปัญหา อีกคนลงมือแก้ ทำให้มีมนุษย์สองคนเห็นปัญหานั้นแยกกัน
ใช้โมเดล AI หลายตัวช่วยออดิต
Claude Fable 5.1, GPT-5.6 และ GPT-6 Astra ถูกใช้เป็นเครื่องมือหาช่องโหว่ในโค้ด ก่อนที่คนจะเข้ามารีวิวซ้ำ
มี coding agent ต่างโมเดลรันคู่ขนาน
นอกจากมนุษย์สองคนแล้ว ยังมีเอเจนต์ที่รันโมเดลต่างกันช่วยตรวจสอบเพิ่มอีกชั้น
มุมมองของผมคือ วิธีนี้แก้จุดอ่อนคลาสสิกของทีมเล็กได้ตรงจุด — ปกติแล้วถ้าคนเดียวเขียนโค้ดคนเดียวรีวิวเอง มันจะเกิด blind spot เพราะสมองคิดเหมือนเดิม แต่การบังคับให้คนหนึ่งเขียนเทสต์ อีกคนแก้ ทำให้มีคนสองคนต้องเข้าใจปัญหานั้นจริงๆ ก่อนจะปิดงานได้
ที่น่าสนใจกว่านั้นคือการยอมรับว่าโมเดล frontier กลายเป็นส่วนหนึ่งของกระบวนการ security audit แล้ว ไม่ใช่ของเล่นทดลอง — Simon เขียนตรงๆ ว่าจะใส่เข้าไปในงานพัฒนาทุกอย่างต่อจากนี้ นี่คือสัญญาณว่าการออดิตโค้ดด้วย AI กำลังกลายเป็นมาตรฐานของทีมพัฒนา ไม่ใช่แค่ทางเลือก
ข่าวนี้ไม่ได้สำคัญแค่เพราะ Datasette ออกแพตช์ แต่เพราะมันโชว์ว่า workflow ความปลอดภัยของทีมเล็กกำลังเปลี่ยนไปแล้ว — ใช้ AI ช่วยหาบั๊ก แล้วใช้คนสองคนยืนยันไขว้กัน ใครที่ยังออดิตโค้ดด้วยตาเปล่าคนเดียว ถึงเวลาทบทวนวิธีทำงานแล้วจริงๆ
ที่มา: Simon Willison's Weblog — อ่านต้นฉบับ
ความคิดเห็น 6
กำลังโหลดความคิดเห็น...