500 Zero-Day ของ Claude Opus 4.6: สิ่งที่แพตช์ทั้งสามเผยให้เห็น

เมื่อวันที่ 5 กุมภาพันธ์ 2026 Frontier Red Team ของ Anthropic เผยแพร่งานวิจัยที่รายงานว่า Claude Opus 4.6 ซึ่งเปิดตัวในวันเดียวกัน ได้ค้นพบและตรวจสอบยืนยันช่องโหว่ความรุนแรงสูงมากกว่า 500 รายการในซอฟต์แวร์โอเพนซอร์ส — โดยไม่ต้องใช้เครื่องมือเฉพาะงาน โครง scaffolding ที่สร้างขึ้นเอง หรือการพรอมป์ต์เฉพาะทาง มีการอธิบายการค้นพบสามกรณีโดยละเอียด ได้แก่ การขาดการตรวจสอบขอบเขตสแตก (stack-bounds check) ใน Ghostscript, การเรียกstrcatหลายครั้งโดยไม่มีการตรวจสอบใน OpenSC และบัฟเฟอร์โอเวอร์โฟลว์ในตัวเข้ารหัส GIF ชื่อ CGIF ซึ่งขึ้นกับพฤติกรรมการบีบอัด LZW เมื่อพจนานุกรมเต็ม Anthropic กล่าวว่าทั้งสามกรณีได้รับการแพตช์โดยผู้ดูแลแล้ว และตามคำชี้แจงของบริษัท บั๊กเหล่านี้ถูกค้นพบ ตรวจสอบยืนยัน และรายงานแล้ว โพสต์ระบุว่าโครงการจำนวนมากได้รับการดูแลโดยทีมเล็ก ๆ หรืออาสาสมัครที่ไม่มีเจ้าหน้าที่ด้านความปลอดภัยโดยเฉพาะ ดังนั้นภาระในการรายงานและการแพตช์จึงตกอยู่กับพวกเขา รายการของคลังข้อมูลเองสำหรับการค้นพบนี้ ซึ่งถูกจัดระดับความรุนแรงเป็นข้อมูล (info) โดยไม่มีการบันทึกอันตรายที่แท้จริง ตั้งอยู่ในOrca AI Incident Archiveเคียงข้างบันทึกนโยบายและการเปิดเผยข้อมูลอื่น ๆ ของเดือนกุมภาพันธ์ 2026

สิ่งที่ Anthropic เผยแพร่จริง ๆ

โพสต์นี้มีชื่อว่า “การประเมินและบรรเทาความเสี่ยงที่เพิ่มขึ้นของช่องโหว่ 0-day ที่ค้นพบโดย LLM” และระบุว่าเป็นผลงานของ Frontier Red Team: Nicholas Carlini, Keane Lucas และ Evyatar Ben Asher ในฐานะผู้มีส่วนร่วมเท่าเทียมกัน โดยมี Newton Cheng, Hasnain Lakhani, David Forsythe และ Kyla Guru หน้านี้ระบุวันที่เผยแพร่ 5 กุมภาพันธ์ 2026 และมีบันทึกการแก้ไขลงวันที่ 6 กุมภาพันธ์ 2026 ซึ่งบันทึกว่ามีการอัปเดตรายชื่อผู้เขียน คลังเก็บข้อมูลอ้างอิงโพสต์นี้ที่ red.anthropic.com ซึ่งปัจจุบันเปลี่ยนเส้นทางไปยัง anthropic.com/research/zero-days

วิธีสำคัญกว่าตัวเลขพาดหัว Anthropic กล่าวว่า บริษัทได้วางโมเดลไว้ในเครื่องเสมือน (virtual machine) ที่สามารถเข้าถึงเวอร์ชันล่าสุดของโปรเจกต์โอเพนซอร์ส พร้อมทั้งให้ยูทิลิตี้มาตรฐานและเครื่องมือที่นักวิจัยด้านความปลอดภัยที่เป็นมนุษย์จะใช้ เช่น ดีบักเกอร์และฟัซเซอร์ แต่ไม่ได้ให้คำแนะนำเกี่ยวกับวิธีใช้เครื่องมือเหล่านั้น และตามถ้อยคำในโพสต์ ระบุว่า “ไม่มีฮาร์เนสแบบกำหนดเองที่จะให้ความรู้เฉพาะทางแก่โมเดลเกี่ยวกับวิธีค้นหาช่องโหว่ได้ดีขึ้น” สิ่งที่ถูกทดสอบคือพฤติกรรมแบบพร้อมใช้ของโมเดล

ทีมจำกัดการค้นหาให้แคบลงเหลือบั๊ก memory corruption โดยให้เหตุผลว่า crash ยืนยันได้ง่ายกว่าข้อผิดพลาดเชิงตรรกะ Anthropic ระบุชัดเจนว่านี่เป็นตัวกรอง ไม่ใช่การรับประกัน: "ไม่ใช่อินพุตทั้งหมดที่ทำให้โปรแกรม crash จะเป็นช่องโหว่ระดับความรุนแรงสูง" ดังนั้น crash จึงถูกส่งกลับไปให้โมเดลวิจารณ์ ลบรายการซ้ำ และจัดลำดับความสำคัญใหม่ แล้วจึงส่งต่อให้คน "สำหรับรอบการค้นพบเริ่มต้นของเรา นักวิจัยความปลอดภัยของเราเองได้ตรวจสอบยืนยันแต่ละช่องโหว่และเขียนแพตช์ด้วยมือ เมื่อปริมาณสิ่งที่ค้นพบเพิ่มขึ้น เราจึงนำนักวิจัยความปลอดภัยภายนอก (ที่เป็นมนุษย์) เข้ามาช่วยในการตรวจสอบยืนยันและพัฒนาแพตช์" โพสต์ระบุว่า ระบบอัตโนมัติสำหรับแพตช์ยังอยู่ระหว่างการพัฒนา

บั๊กสามตัว และแพตช์ที่ตามมา

ตัวอย่างที่แสดงวิธีทำทั้งสามมีรูปแบบร่วมกัน คือ เครื่องมืออัตโนมัติได้ล้มเหลวไปแล้ว และโมเดลพบข้อบกพร่องโดยการให้เหตุผลเกี่ยวกับสิ่งอื่นที่ไม่ใช่การกลายพันธุ์ของอินพุต

• Ghostscript ซึ่งเป็นตัวแปลภาษา PostScript และ PDF การฟัซซิงแล้วตามด้วยการวิเคราะห์ด้วยมือไม่พบสิ่งใดเลย จากนั้นโมเดลได้อ่านประวัติ Git ของโปรเจกต์ พบคอมมิตหนึ่งที่โพสต์ระบุว่าได้เพิ่ม "stack bounds checking for MM blend values" ให้กับ Type 1 charstrings จึงให้เหตุผลว่าโค้ดก่อนคอมมิตนั้นมีช่องโหว่ และไปค้นหาจุดเรียกใช้อื่น ๆ ที่ไม่ได้รับการดูแลในลักษณะเดียวกัน พบหนึ่งจุดใน gdevpsfx.c — โพสต์อ้างถึงบรรทัดที่ 292 — และสร้างไฟล์ที่ทำให้โปรแกรมหยุดทำงาน ข้อมูลในรีโพซิทอรีสนับสนุนเรื่องนี้: คอมมิต 87486fb801 โดย Chris Liddell ลงวันที่ 5 กันยายน 2025 มีชื่อว่า "Type 1 charstrings: add stack bounds checking for MM blend values" การแก้ไขในภายหลังโดย Ken Sharp คอมมิต 4e392a82 ลงวันที่ 26 มกราคม 2026 เพิ่มการตรวจสอบขอบเขตทันทีก่อนการเรียกใช้จุดนั้นในตัวแปลงฟอนต์ โดยถูกยื่นภายใต้ Bug 709080 ซึ่งรายงานมีชื่อว่า “Ghostscript Incomplete fix for Type 1 MM blend stack bounds check” คอมมิตเมื่อวันที่ 13 กุมภาพันธ์ 2026 ได้ขยายการตรวจสอบขอบเขตในตัวแปลงเดียวกัน ไม่มีข้อความคอมมิตใดระบุว่าใครเป็นผู้รายงานบั๊ก

• OpenSC ซึ่งเป็นยูทิลิตี้บรรทัดคำสั่งสำหรับข้อมูลบัตรสมาร์ตการ์ด ในที่นี้ โมเดลค้นหาการเรียกใช้ฟังก์ชันที่มีความเสี่ยงและพบการดำเนินการ strcat ต่อเนื่องกันซึ่งเขียนลงในบัฟเฟอร์ขนาด 4096 ไบต์ชื่อ filename หลังจากมีการคำนวณขนาดที่ลบความยาวของสตริงอินพุตออก แต่จากนั้นก็ต่อสตริงเพิ่มเติมโดยไม่ตรวจสอบซ้ำ โพสต์ระบุว่า fuzzer ที่มีอยู่แทบไม่เคยไปถึงเส้นทางนั้นเพราะเงื่อนไขเบื้องต้นที่เกี่ยวข้อง คอมมิต 33ab343a5c ของ OpenSC เมื่อวันที่ 19 มกราคม 2026 ได้เพิ่มการตรวจสอบว่าสตริงที่ต่อท้ายมีความยาว 64 ไบต์พอดี และพูลรีเควสต์ #3554 ซึ่งถูก merge เมื่อวันที่ 25 มกราคม 2026 ได้แทนที่การเรียก strcat ที่เหลือทั่วทั้งโปรเจกต์ด้วย strlcat; ผู้เขียนเรียกฟังก์ชันนี้ว่า "แม่เหล็กดูดเครื่องมือวิเคราะห์แบบสแตติกและ CVE ใด ๆ"

• CGIF ซึ่งเป็นตัวเข้ารหัส GIF ไลบรารีนี้ตั้งสมมติฐานว่าข้อมูลที่บีบอัดแล้วจะเล็กกว่าข้อมูลอินพุตที่ไม่บีบอัดเสมอ ซึ่งแทบจะจริงทุกกรณี โมเดลให้เหตุผลว่า LZW สร้างพจนานุกรมขนาดคงที่ และเมื่อพจนานุกรมเต็ม รหัสเคลียร์ที่แทรกเข้าไปในสตรีมอาจทำให้เอาต์พุต "ที่บีบอัดแล้ว" ยาวกว่าอินพุตได้ ดังนั้นบัฟเฟอร์ที่จัดขนาดสำหรับ N+2 รหัสอาจรับข้อมูลได้มากกว่า N+1 โพสต์ระบุว่าแม้จะมีความครอบคลุมของไลน์และสาขาถึง 100 เปอร์เซ็นต์ ก็อาจไม่เปิดเผยปัญหานี้ เพราะต้องใช้ลำดับการดำเนินการที่เฉพาะเจาะจง พูลรีเควสต์ #84 ของ CGIF ซึ่งถูก merge เมื่อวันที่ 19 มกราคม 2026 และเผยแพร่ในวันเดียวกันเป็น v0.5.1 แก้ไขปัญหานี้พอดี: "รหัสเคลียร์สำหรับรีเซ็ตหายไปจากการคำนวณขอบเขตบนของขนาดข้อมูล LZW"

การแก้ไขเหล่านั้นถูกนำไปใช้ก่อนงานวิจัยจะเผยแพร่ — CGIF และ OpenSC เมื่อวันที่ 19 มกราคม 2026, OpenSC อีกครั้งเมื่อวันที่ 25 มกราคม, Ghostscript เมื่อวันที่ 26 มกราคม — และ Anthropic ระบุในโพสต์ว่าบริษัทได้ "เริ่มรายงานข้อบกพร่องเหล่านี้แล้ว และกำลังเห็นแพตช์ชุดแรกของเราเริ่มถูกนำไปใช้" ก่อนจะเผยแพร่ต่อสาธารณะ รีโพซิทอรีบันทึกการเปลี่ยนแปลงโค้ด แต่ไม่ได้บันทึกว่าใครเป็นผู้ยื่นรายงาน ดังนั้นความเชื่อมโยงระหว่างสิ่งที่โมเดลค้นพบกับคอมมิตเฉพาะเหล่านี้จึงขึ้นอยู่กับคำบอกเล่าของ Anthropic และความใกล้เคียงระหว่างข้อบกพร่องที่อธิบายไว้กับ diff

The researcher who said the OpenSC bug was not real

Public scrutiny of the individual findings did not start and end with Anthropic. On 14 February 2026 K. Reid Wightman, an industrial security researcher posting as @reverseics on infosec.exchange, published a review of the OpenSC example arguing the bug could not be triggered: the input string was already checked to be 64 bytes at line 5138, he wrote, which capped the buffer at 4095 bytes including the terminator. "I spent about an hour looking at the code to debunk their finding," he wrote.

He edited the same post on 17 February 2026 to withdraw the challenge. "Looks like the version of code I was looking at, already had a fix for anthropic-discovered bug(s)," the edit reads, before conceding the arithmetic: "but yes without the strlen() check on 'fp' the overflow could actually be triggered. The humble pie has been eaten." The check he had relied on was the one added to OpenSC on 19 January 2026 — before Anthropic published, and before most readers would have gone looking. The archive does not flag the record as disputed, and here the challenge was retracted by the person who raised it.

OpenSC's own maintainers answered the same question in their tracker. In discussion #3575, opened on 17 February 2026 by a user asking whether Anthropic's claims were legitimate, OpenSC maintainer frankmorgner replied the same day: "We received two bug reports from anthropic, which were both verified by humans." He said the fixes were in pull request #3554 and would be in the next release, and that commit 33ab343 was "a change that was introduced after anthropic reported the problem."

ครึ่งหนึ่งด้านธรรมาภิบาล: การตรวจสอบ การบล็อก และ 90 วัน

สิ่งที่ทำให้บันทึกนี้เป็นบันทึกเชิงนโยบายมากกว่าบันทึกการวิจัยโดยตรงคือครึ่งหลังของโพสต์ ควบคู่ไปกับการเปิดตัวโมเดล Anthropic กล่าวว่าได้เปิดตัวโพรบเฉพาะด้านไซเบอร์ที่วัดค่าการเปิดใช้งานภายในโมเดลขณะที่โมเดลสร้างคำตอบ และได้อัปเดตเวิร์กโฟลว์การบังคับใช้ของตนให้ใช้การตรวจจับโดยอิงโพรบ เรื่องนี้ไปไกลกว่าการตรวจจับ: "เราอาจใช้การแทรกแซงแบบเรียลไทม์ รวมถึงการบล็อกทราฟฟิกที่เราตรวจพบว่าเป็นอันตราย" Anthropic ยอมรับต้นทุน — "สิ่งนี้จะสร้างแรงเสียดทานต่อการวิจัยที่ชอบด้วยกฎหมายและงานป้องกันบางส่วน" — และกล่าวว่าตนต้องการร่วมงานกับชุมชนวิจัยด้านความปลอดภัยในเรื่องนี้ ไม่มีการเผยแพร่อัตราการตรวจจับ อัตราความผิดพลาด หรือกระบวนการอุทธรณ์

โพสต์ยังโต้แย้งว่าปฏิทินการเปิดเผยข้อมูลนั้นเองกลายเป็นปัญหาแล้ว โดยระบุว่า "กรอบเวลา 90 วันตามมาตรฐานอุตสาหกรรมอาจไม่เพียงพอต่อความเร็วและปริมาณของบั๊กที่ LLM ค้นพบ" และเตือนว่าโมเดล "อาจแซงความเร็วและขนาดของแม้แต่นักวิจัยมนุษย์ผู้เชี่ยวชาญในไม่ช้า" นี่คือผู้จำหน่ายที่โต้แย้งว่าบรรทัดฐานซึ่ง它将ถูกตัดสินเทียบด้วยนั้นจำเป็นต้องถูกแทนที่ และเป็นส่วนหนึ่งของบันทึกที่มีผลกระทบไกลที่สุด

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

เมื่อวันที่ 20 กุมภาพันธ์ 2026 Anthropic ได้เปิด Claude Code Security เป็นการทดลองวิจัยแบบจำกัดสำหรับลูกค้า Enterprise และ Team โดยมีสิทธิ์เข้าถึงแบบเร่งด่วนฟรีสำหรับผู้ดูแลโครงการโอเพนซอร์ส — ความสามารถนี้ถูกนำออกมาเป็นผลิตภัณฑ์ภายในสิบห้าวันหลังการวิจัย VentureBeat รายงานการเปิดตัวและระบุว่าได้สอบถาม Anthropic เกี่ยวกับอัตราผลบวกลวงก่อนและหลังการตรวจสอบตนเอง จำนวนช่องโหว่ที่เปิดเผยซึ่งมีแพตช์นำขึ้นแล้วเทียบกับที่ยังอยู่ระหว่างการคัดแยก และมาตรการป้องกันที่แยกแยะการใช้โดยผู้โจมตีออกจากการใช้โดยผู้ป้องกัน โดยรายงานว่าหัวหน้านักวิจัยของโครงการไม่พร้อมให้สัมภาษณ์ และบริษัทปฏิเสธที่จะเปิดเผยกลไกเฉพาะในการตรวจจับผู้โจมตี

แพตช์ก็ยังคงเคลื่อนที่ต่อไปเช่นกัน และไม่ได้ไปในทิศทางเดียวเสมอไป การแก้ไขของ CGIF สำหรับการจัดสรรหน่วยความจำที่ Anthropic อธิบายไว้เปิดตัวใน v0.5.1 เมื่อวันที่ 19 มกราคม 2026; เมื่อวันที่ 21 กุมภาพันธ์ 2026 pull request #103 ได้แก้ไข integer overflow แบบ 32 บิตที่เกิดจากการคำนวณการจัดสรรเดียวกันนั้น โดยเผยแพร่เป็น v0.5.2 ในวันถัดมาสำหรับ GIF ที่มีขนาดสูงสุด 65,535 x 65,535 พิกเซล ปรากฏว่าการซ่อมแซมการคำนวณขอบเขตนั้นเองก็เป็นแหล่งกำเนิดเล็ก ๆ ของบั๊กเกี่ยวกับขอบเขตเช่นกัน

การอ่านตัวเลขอย่างถูกต้อง

ประโยคของ Anthropic เองคือ “ช่องโหว่ระดับความรุนแรงสูงมากกว่า 500 รายการ” Axios ซึ่งบริษัทให้ข้อมูลเป็นเจ้าแรก อธิบายรายการเหล่านี้ในวันที่เผยแพร่่ว่าเป็น “ช่องโหว่ซีโรเดย์ที่ไม่เคยรู้จักมาก่อนมากกว่า 500 รายการ” โดยแต่ละรายการได้รับการตรวจสอบยืนยันโดยสมาชิกทีมของ Anthropic หรือนักวิจัยด้านความปลอดภัยภายนอก คำอธิบายทั้งสองชี้ไปที่ชุดเดียวกัน แต่มีเพียงคำอธิบายเดียวที่เป็นถ้อยคำของผู้พัฒนา และทั้งสองไม่ได้มาพร้อมรายการ การแมป CVE หรือการกระจายระดับความรุนแรง จำนวนนับเป็นของ Anthropic ระดับความรุนแรงเป็นของ Anthropic และสามโครงการที่กล่าวถึงโดยละเอียดในโพสต์เป็นเพียงโครงการเดียวที่สาธารณชนตรวจสอบได้

การวิเคราะห์อิสระที่ตามมามักรับตัวเลขนั้นตามมูลค่าที่ปรากฏและโต้เถียงกันว่ามันหมายความว่าอะไร มิตช์ แอชลีย์แห่ง Futurum Group เขียนเมื่อวันที่ 24 กุมภาพันธ์ 2026 ว่าผลลัพธ์นี้ "มีความสำคัญมากกว่าสำหรับสิ่งที่วิธีการเผยให้เห็น มากกว่าตัวจำนวน" และข้อจำกัดที่แท้จริงนั้นอยู่ปลายน้ำ: "การทำให้ช่องโหว่ปรากฏมากขึ้นเร็วขึ้นไม่ได้ทำให้พื้นผิวการโจมตีเล็กลง มันสร้างคิวที่ยาวขึ้นต่อหน้าขั้นตอนปลายน้ำที่ไม่สามารถรองรับปริมาณนั้นได้" นั่นเป็นการวิพากษ์วิจารณ์ไปป์ไลน์การเปิดเผย มากกว่าตัวข้อค้นพบ และมันชี้ไปยังประเด็นเดียวกับที่ Anthropic ยกขึ้นมาเกี่ยวกับหน้าต่าง 90 วัน

สิ่งที่บันทึกไม่ได้ยืนยัน

คลังเก็บข้อมูลให้คะแนนบันทึกนี้ที่ระดับความเชื่อมั่น A ระดับความรุนแรง info โดยไม่มีบันทึกความเสียหายจริงและไม่มีสถานะข้อโต้แย้ง การให้คะแนนนั้นเกี่ยวกับว่าบันทึกเหตุการณ์นี้ทำไว้ดีเพียงใด ไม่ใช่เกี่ยวกับว่าข้อกล่าวอ้างพื้นฐานได้รับการตรวจสอบอย่างละเอียดเพียงใด และความแตกต่างนี้ควรค่าแก่การยึดถือไว้ ไม่มีใครนอก Anthropic ที่ตรวจยืนยัน 500 รายการนี้ ไม่มีการเผยแพร่อัตราผลบวกลวง แพตช์ของสามโปรเจกต์ที่ระบุชื่อนั้นเป็นของจริงและระบุวันที่ได้ และเป็นหลักฐานยืนยันที่แข็งแกร่งที่สุดเท่าที่มี — แต่แพตช์เหล่านั้นยืนยันเพียงสามตัวอย่าง ไม่ใช่ทั้งหมด

สิ่งที่เหลืออยู่ก็คือประกาศที่มีเอกสารประกอบอย่างครบถ้วน ซึ่งมีแกนกลางที่ตรวจสอบได้และส่วนที่เหลือที่ตรวจสอบไม่ได้: ผู้ขายที่รายงานความสามารถหนึ่ง สามดิฟจากต้นน้ำที่ตรงกับคำอธิบายของมันเกี่ยวกับบั๊ก และเจตนาที่ระบุไว้ชัดเจนว่าจะกำกับดูแลการนำความสามารถนั้นไปใช้ในทางที่ผิดในระดับชั้นโมเดล คลังจัดเก็บสิ่งนี้ไว้เป็นนโยบาย ซึ่งเป็นชั้นวางที่ถูกต้อง ข้อกล่าวอ้างเกี่ยวกับความสามารถจะถูกคลี่คลายโดยใครก็ตามที่เผยแพร่แพตช์ที่สี่