เกิดอะไรขึ้น
ผู้พัฒนาปล่อยแพตช์ความปลอดภัยสำหรับ cohttp 6.3.0 ของ OCaml เพื่อแก้ path traversal โดยรายงานบั๊กเดิมได้รับทาง Slack จาก Jane Street และถูกค้นพบด้วย Claude Fable เมื่อผู้พัฒนาเปิด PR สาธารณะ cohttp#1145 เซิร์ฟเวอร์เริ่มพบการสแกน percent-encoded traversal sequences ภายในประมาณ 10 นาที ขณะเดียวกันผู้พัฒนาใช้ DeepSeek V4 Pro ตรวจสอบโค้ดและสร้าง exploit ทดสอบเซิร์ฟเวอร์ท้องถิ่นได้ภายในไม่ถึงนาที
ทำไมเรื่องนี้สำคัญ
เพราะข้อมูลเพียงทิศทางกว้าง ๆ ของบั๊กทำให้เอเจนต์ AI หาช่องโหว่ได้เร็ว งานวิจัยที่อ้างถึงระบุว่า GPT-4 agent exploit 87% ของชุดทดสอบ 15 ช่องโหว่เมื่อมีคำอธิบาย CVE และ 7% เมื่อไม่มี ขณะที่ค่าเฉลี่ยเวลาถึง exploit เป็น -7 วัน และกรณี marimo CVE-2026-39987 ถูกโจมตีครั้งแรกหลังประกาศ 9 ชั่วโมง ทำให้ทีมพัฒนาโอเพนซอร์สต้องปรับกระบวนการตอบสนองความปลอดภัย
ผลกระทบที่น่าจับตา
-
สำหรับนักพัฒนา: วงจรแก้บั๊กโอเพนซอร์สสั้นลง: การเปิดเผย PR หรือบริบทเพียงเล็กน้อยทำให้ระบบอัตโนมัติสร้าง exploit ได้เร็ว ผู้ดูแลต้องลดการพึ่งพาความลับและเร่งการแจ้งเตือน/แพตช์
-
สำหรับธุรกิจ: ความเสี่ยงจากซัพพลายเชนซอฟต์แวร์: องค์กรที่ใช้ไลบรารีโอเพนซอร์สต้องติดตามแพตช์และพฤติกรรมเครือข่ายใกล้ชิดขึ้น เพราะการโจมตีเริ่มก่อนแพตช์ในหลายกรณี
-
สำหรับผู้อ่าน: มาตรฐานความปลอดภัยโอเพนซอร์ส: ชุมชนโอเพนซอร์สต้องปรับกระบวนการ embargo และการสื่อสารสาธารณะ เพราะข้อมูลกว้าง ๆ เพียงอย่างเดียวเพียงพอให้ระบบ AI หาช่องโหว่ได้
มุมมองของทันเทค
บทวิเคราะห์: ข่าวนี้ชี้ว่าช่องว่างระหว่าง ‘รู้ว่ามีบั๊ก’ กับ ‘มี exploit’ กำลังหายไป เมื่อ AI agent สามารถแปลงคำอธิบายกว้าง ๆ เป็นโค้ดโจมตีได้ภายในนาที องค์กรและชุมชนโอเพนซอร์สต้องออกแบบกระบวนการใหม่ เช่น แยกการสื่อสารภายใน, จำกัดข้อมูลสาธารณะ, เร่ง patch และเตรียม incident response แบบ assume breach
สรุปในประโยคเดียว
ผู้พัฒนา cohttp พบว่าแค่เปิด PR แก้ path traversal ก็ถูกสแกนช่องโหว่ภายใน 10 นาที และ AI สร้าง exploit ได้ในไม่ถึงนาที ทำให้กระบวนการ embargo แบบเดิมต้องถูกทบทวน