GhostApproval: ผู้ช่วยเขียนโค้ด AI หกรายขออนุญาตและระบุไฟล์ผิด

เมื่อวันที่ 8 กรกฎาคม 2026 บริษัทด้านความปลอดภัย Wiz ได้เผยแพร่ GhostApproval ซึ่งเป็นผลงานวิจัยที่พบว่าซิมโบลิกลิงก์ที่ถูกฝังไว้ในรีโพซิทอรีแห่งหนึ่งทำให้ผู้ช่วยเขียนโค้ดด้วย AI จำนวนหกตัวเขียนไฟล์ออกไปนอกพื้นที่ทำงานของตน — ไปยัง ~/.ssh/authorized_keys ซึ่งให้สิทธิ์การเข้าถึง SSH แบบไม่ต้องใช้รหัสผ่านอย่างถาวร หรือไปยัง ~/.zshrc ซึ่งจะทำงานเมื่อเชลล์เริ่มต้นครั้งถัดไป — ทั้งที่กล่องโต้ตอบยืนยันระบุชื่อเพียงไฟล์ที่ไม่มีอันตรายซึ่งลิงก์นั้นแอบอ้างว่าเป็นเท่านั้น Wiz ทดสอบ Amazon Q Developer, Claude Code ของ Anthropic, Augment, Cursor, Google Antigravity และ Windsurf และพบรูปแบบนี้ในทั้งหกตัว ไม่มีการรายงานการนำไปใช้โจมตีในสภาพจริง: งานชิ้นนี้เป็นการสาธิตแนวคิดพิสูจน์ (proof-of-concept) และบันทึกในคลังระบุว่าไม่มีความเสียหายที่เกิดขึ้นจริง ผู้จำหน่ายสามรายออกแพตช์แก้ไข สองรายรับทราบรายงานแล้วหยุดตอบกลับ และอีกรายหนึ่งโต้แย้งว่าพฤติกรรมดังกล่าวไม่ใช่ช่องโหว่เลย คลัง Orca AI Incident Archiveจัดเก็บบันทึกฉบับสมบูรณ์ของการค้นพบนี้ ไว้พร้อมกับรายการอื่น ๆ ที่ถูกบันทึกภายใต้แท็กประเภท SANDBOX

ตัว primitive เองเป็นเรื่องเก่า การตามซิมลิงก์ (symlink following) ซึ่งถูกบันทึกเป็น CWE-61 เป็น primitive การโจมตีมาหลายทศวรรษแล้ว — Wiz ระบุการใช้งานก่อนหน้าใน race conditions ตัวจัดการแพ็กเกจ และการหลุดออกจากคอนเทนเนอร์ — และทุกกรณีเหล่านั้นล้วนพึ่งพาเครื่องมือที่เขียนไปยังพาธที่ผู้ใช้ควบคุมโดยไม่ได้ resolve พาธนั้นก่อน สิ่งที่ทำให้การค้นพบนี้ควรค่าแก่การตั้งชื่อคือชั้นที่สอง: ในผลิตภัณฑ์หลายรายการ การให้เหตุผลของตัวผู้ช่วยเองระบุปลายทางที่อันตราย แต่พรอมต์ที่แสดงต่อมนุษย์กลับซ่อนมันไว้ Wiz บันทึกสิ่งนี้เป็น CWE-451 การนำเสนอข้อมูลสำคัญผิดเพี้ยนในส่วนติดต่อผู้ใช้ เขตแดนความปลอดภัยมีอยู่จริง แต่ข้อมูลที่บุคคลต้องใช้เพื่อใช้เขตแดนนั้นกลับไม่มี

ทริกนี้ทำงานอย่างไร และมันจะลงเอยที่อะไร

รีโพซิทอรีอันเป็นอันตรายของ Wiz ถูกทำให้ดูน่าเบื่อโดยเจตนา โดยมี symlink ชื่อ project_settings.json ซึ่งชี้ไปยังไฟล์ authorised-keys ของ SSH ของนักพัฒนา พร้อม README ที่สั่งให้เอเจนต์อัปเดต "config" นั้นขณะตั้งค่าพื้นที่ทำงาน เมื่อนักพัฒนาขอให้ผู้ช่วยทำตาม README เอเจนต์จะทำตามลิงก์และเขียนคีย์สาธารณะของผู้โจมตี หากเครื่องรันบริการ SSH ที่ผู้โจมตีเข้าถึงได้ นั่นคือการล็อกอินแบบไม่ใช้รหัสผ่านตั้งแต่นั้นเป็นต้นไป รูปแบบที่สองชี้เป้าล่อเดียวกันไปยัง ~/.zshrc ดังนั้นเพย์โหลดจะทำงานในครั้งถัดไปที่เปิดเทอร์มินัล และไม่จำเป็นต้องเข้าถึง SSH เลยแม้แต่ครั้งเดียว

คำอธิบายของ Wiz เกี่ยวกับความล้มเหลวทางเทคนิคนั้นสั้น: แซนด์บ็อกซ์ (หากมี) ไม่ตรวจสอบความถูกต้องของพาธแบบแคนอนิคอล ดังนั้นการเขียนที่มุ่งเป้าไว้ภายในโปรเจกต์จึงไปลงยังตำแหน่งที่ลิงก์ชี้ การพิสูจน์แนวคิดของบริษัทสามารถทำให้เกิดซ้ำได้กับ "6 ในผู้ช่วยเขียนโค้ด AI ชั้นนำ" ตามถ้อยคำของบริษัทเอง และได้เผยแพร่ภาพหน้าจอสำหรับแต่ละราย กลุ่มผู้ได้รับผลกระทบคือทุกคนที่เปิดรีโพซิทอรีที่ตนไม่ได้สร้างในเครื่องมือใดเครื่องมือหนึ่งเหล่านี้ ซึ่งในเวิร์กโฟลว์ปกติของนักพัฒนารวมถึงโปรเจกต์ที่ถูกฟอร์ก ดีเพนเดนซีจากบุคคลที่สาม และการรีวิวโค้ดใด ๆ จากแบรนช์ของผู้มีส่วนร่วมภายนอก

กล่องโต้ตอบที่ตั้งชื่อไฟล์ผิด

หลักฐานที่ชัดเจนที่สุดมาจาก Claude Code ในการทดสอบของ Wiz การให้เหตุผลของเอเจนต์ระบุไว้ — ตามคำยกมาของบริษัท — ว่า “ฉันเห็นได้ว่า project_settings.json จริง ๆ แล้วเป็นไฟล์กำหนดค่าของ zsh” พร้อมต์ขออนุญาตที่ผู้ใช้เห็นถามว่า “ต้องการแก้ไข project_settings.json นี้หรือไม่?” เอเจนต์รู้ว่าการเขียนกำลังไปที่ใด แต่ผู้ที่ให้อำนาจไม่ได้รู้ Wiz เรียกความยินยอมที่เกิดขึ้นว่า “ว่างเปล่าโดยเนื้อแท้” และเรียกการตรวจสอบแบบ human-in-the-loop ว่าเป็นเพียงตราประทับยาง

ผลิตภัณฑ์สามรายทำให้ช่องว่างนี้เลวร้ายยิ่งกว่าการติดป้ายผิด Windsurf เขียนไฟล์ลงดิสก์ ก่อนที่ปุ่ม Accept และ Reject จะปรากฏขึ้น ดังนั้นกล่องโต้ตอบจึงเป็นข้อเสนอให้เลิกทำมากกว่าจะเป็นด่านอนุมัติ — กว่าผู้ใช้จะปฏิเสธได้ Wiz กล่าวว่า คีย์นั้นถูกวางไว้เรียบร้อยแล้ว Amazon Q Developer แสดงลำดับเดียวกัน โดยเสนอเพียงปุ่ม Undo หลังการเขียนเท่านั้น Augment ไม่ถามอะไรเลย: Wiz สาธิตการอ่านผ่าน symlink ที่ทำให้ไฟล์ข้อมูลรับรอง AWS หลอกจากนอกโปรเจกต์ปรากฏในบันทึกแชต และการเขียนผ่าน symlink ไปยัง ~/.ssh/authorized_keys โดยไม่มีกล่องโต้ตอบใด ๆ เลย ในทางกลับกัน Cursor และ Google Antigravity แสดงพาธที่ยังไม่ได้แปลง และขอให้ผู้ใช้คลิกซึ่งจะอนุญาตพาธที่แปลงแล้ว

การทดสอบครั้งแรกของ Wiz เกิดขึ้นเมื่อวันที่ 10 กุมภาพันธ์ 2026 และรายงานถูกส่งออกไประหว่างวันที่ 12 กุมภาพันธ์ถึง 5 มีนาคม ไทม์ไลน์การเปิดเผยข้อมูลของบริษัทบันทึกการตอบรับดังนี้: Anthropic เมื่อวันที่ 15 กุมภาพันธ์, Augment เมื่อวันที่ 24 กุมภาพันธ์, Google เมื่อวันที่ 26 กุมภาพันธ์, Cursor เมื่อวันที่ 2 มีนาคม, AWS เมื่อวันที่ 6 มีนาคม และ Cognition ซึ่งเป็นเจ้าของ Windsurf เมื่อวันที่ 23 มิถุนายน การเปิดเผยต่อสาธารณะเกิดขึ้นประมาณห้าเดือนหลังจากรายงานฉบับแรก

ผู้ขายหกราย สามคำตอบ

Wiz จัดระดับความรุนแรงของสิ่งที่พบตามเกณฑ์ของตนเอง ตั้งแต่ High ที่ AWS ไปจนถึง Critical ที่ Augment, Cursor, Google Antigravity และ Windsurf ผู้จำหน่ายสามรายถือว่ารายงานนี้เป็นช่องโหว่และได้ออกแพตช์แก้ไขแล้ว คลังข้อมูลให้เกรดรายการนี้ในระดับความรุนแรงสูงและให้เกรด A ด้านความเชื่อมั่น และประกาศคำเตือนหลักเห็นพ้องกับ Wiz เกี่ยวกับกลไกดังกล่าว

• Amazon Web Services.ช่องโหว่ระดับความรุนแรงสูง ถูกติดตามในชื่อ CVE-2026-12958 และได้รับการแก้ไขใน Language Servers for AWS 1.69.0 แถลงการณ์ของ AWS เอง 2026-047-AWS ซึ่งเผยแพร่เมื่อ 23 มิถุนายน 2026 ยืนยันว่า "มีปัญหาการตรวจสอบ symlink ที่ขาดหายไป" ก่อนเวอร์ชัน 1.69.0 และระบุบิลด์ปลั๊กอินขั้นต่ำที่มีการแก้ไข ได้แก่ Amazon Q Developer for Visual Studio Code 2.20, for JetBrains 4.3, for Eclipse 2.7.4 และ AWS Toolkit with Amazon Q for Visual Studio 1.94.0.0 โดยระบุว่าไม่มีวิธีเลี่ยงชั่วคราว เซิร์ฟเวอร์ภาษาจะอัปเดตโดยอัตโนมัติ เว้นแต่การกำหนดค่าเครือข่ายจะขัดขวาง และขอบคุณ Wiz สำหรับการเปิดเผยแบบประสานงาน บันทึก CNA ให้คะแนนปัญหานี้ที่ 8.5 ภายใต้ CVSS 4.0 และ 7.8 ภายใต้ CVSS 3.1

• Cursor.ระดับวิกฤต ได้รับการติดตามเป็น CVE-2026-50549 และแก้ไขแล้วใน Cursor 3.0 บันทึกนี้เผยแพร่โดย GitHub ในฐานะ CNA เมื่อวันที่ 25 มิถุนายน 2026 ด้วยคะแนน 9.3 ภายใต้ CVSS 4.0 คำอธิบายของบันทึกนี้นำเสนอผู้โจมตีแตกต่างจากเรื่องราวรีโพซิทอรีของ Wiz เล็กน้อย: เอเจนต์อันตรายสร้าง symlink ภายในเวิร์กสเปซและบังคับให้การทำ canonicalisation ของเส้นทางล้มเหลว ไม่ว่าจะเพราะเป้าหมายไม่มีอยู่จริง หรือเพราะสิทธิ์การอ่านถูกถอดออกจากเส้นทาง หลังจากนั้นการเขียนจะย้อนกลับไปยังเส้นทางเดิมโดยไม่มีการอนุมัติ และสามารถเขียนทับตัวช่วยแซนด์บ็อกซ์เพื่อการทำงานโดยไม่มีแซนด์บ็อกซ์ได้

• Google. Wiz จัดให้ Antigravity อยู่ในระดับ Critical และบันทึกการแก้ไขไว้เป็นเวอร์ชัน 1.19.6 ซึ่งเผยแพร่เมื่อวันที่ 22 พฤษภาคม 2026 คอลัมน์ความรุนแรงระบุว่า "Pending" และตามรายงานของ Wiz นั้น Google กำลังพิจารณาว่าจะออก CVE หรือไม่ ไม่พบตัวระบุ CVE สำหรับ Antigravity ในบันทึกสาธารณะ

• Augment. ระดับวิกฤตตามการจัดระดับของ Wiz ทดสอบบนเวอร์ชัน 0.754.3 ยอมรับเมื่อวันที่ 24 กุมภาพันธ์ 2026 และยังไม่มีการแพตช์ ณ เวลาเผยแพร่ บันทึกการวิจัยของ Cloud Security Alliance เกี่ยวกับการค้นพบนี้ได้บันทึกข้อโต้แย้งของ Augment ที่ว่าเอเจนต์ทำงานภายใต้ข้อมูลรับรองของผู้ใช้เอง

• Windsurf. อยู่ในระดับ Critical ตามการให้คะแนนของ Wiz ทดสอบบนบิลด์ V1.9566 ได้รับการยืนยันจาก Cognition เมื่อ 23 มิถุนายน 2026 และยังไม่ได้รับการแพตช์เมื่อเผยแพร่

• Anthropic. ถูกโต้แย้ง ไม่มี CVE และเวอร์ชันที่ทดสอบของ Claude Code คือ 2.1.42 ปรากฏอยู่ในตารางของ Wiz ด้วยสถานะ "Rejected"

การปฏิเสธของ Anthropic และการแก้ไขที่มีอยู่ก่อนรายงาน

คำตอบของ Anthropic ต่อ Wiz ถือเป็นการปฏิเสธอย่างไตร่ตรองแล้ว “สิ่งนี้อยู่นอกเหนือโมเดลภัยคุกคามปัจจุบันของเรา” บริษัทระบุ ตามที่ Wiz อ้างคำพูด “เมื่อผู้ใช้เริ่ม Claude Code ในไดเรกทอรีเป็นครั้งแรก ผู้ใช้ต้องยืนยันว่าตนเชื่อถือไดเรกทอรีนั้นก่อนเริ่มเซสชัน สถานการณ์ที่คุณอธิบายเกี่ยวข้องกับผู้ใช้ที่ยืนยันพรอมต์ขออนุญาตอย่างชัดเจนภายในไดเรกทอรีที่มี symlink ที่เป็นอันตราย ซึ่งอยู่นอกเหนือโมเดลภัยคุกคามของ Claude Code” ทิกเก็ตถูกปิดเป็น “Informative”

เหตุผลดังกล่าวมีโครงสร้างที่สอดคล้องกัน: ผู้ใช้ไว้วางใจไดเรกทอรี จากนั้นอนุมัติการดำเนินการ ดังนั้นช่วงเวลาการให้ความยินยอมทั้งสองครั้งจึงได้รับการเคารพ ข้อโต้แย้งของ Wiz คือความยินยอมที่ได้รับข้อมูลครบถ้วนต้องอาศัยข้อมูลที่ถูกต้อง — การอนุมัติ project_settings.json ในขณะที่การเขียนลงไปที่ ~/.ssh/authorized_keysนั้นในทางรูปแบบเป็นการตัดสินใจ แต่ในทางเนื้อหาเป็นการตัดสินใจที่ว่างเปล่า Wiz ไม่ได้อ้างว่าได้สรุปแล้วว่าจุดยืนใดถูกต้อง และบทความนี้ก็ไม่ได้อ้างเช่นกัน ข้อสังเกตในทางปฏิบัติคือ AWS, Google และ Cursor มองต่างออกไปและได้แพตช์แล้ว

Wiz ยังรายงานด้วยว่า Claude Code มีการเปลี่ยนแปลงไปในระหว่างที่ข้อพิพาทดำเนินอยู่ โดยบริษัทระบุว่าเวอร์ชันปัจจุบันจะแก้ไข symlink และแจ้งเตือนก่อนเขียนลงในไฟล์ที่ละเอียดอ่อน และตั้งข้อสังเกตว่า Anthropic ปฏิเสธที่จะระบุว่าการเปลี่ยนแปลงนั้นเกี่ยวข้องกับรายงานหรือไม่ เมื่อวันที่ 7 กรกฎาคม 2026 Anthropic ได้ให้คำแก้ไข ซึ่ง Wiz อ้างอิงว่า: "คำเตือนเกี่ยวกับ symlink ในกล่องโต้ตอบสิทธิ์การแก้ไข/เขียน ถูกส่งมอบใน v2.1.32 (5 ก.พ. 2026) ซึ่งเป็นเก้าวันก่อนที่รายงานนี้จะถูกส่งมาให้เรา คำเตือนดังกล่าวถูกเพิ่มเป็นส่วนหนึ่งของการเสริมความแข็งแกร่งด้านความปลอดภัยเชิงรุกโดยอิงจากการตรวจสอบภายใน การปฏิเสธที่จะให้ความเห็นเป็นข้อความตอบกลับอัตโนมัติจากระบบคัดกรองของเรา"

การตรวจสอบกำหนดเวลาของเวอร์ชันนั้นถูกต้อง แต่บันทึกสาธารณะเกี่ยวกับสิ่งที่เปลี่ยนแปลงนั้นไม่ถูกต้อง Claude Code 2.1.32 ถูกเผยแพร่สู่ npm registry เมื่อวันที่ 5 กุมภาพันธ์ 2026 เวลา 17:03 UTC ซึ่งเป็นเก้าวันก่อนรายงานฉบับวันที่ 14 กุมภาพันธ์ ตรงตามที่ Anthropic ระบุ แต่รายการ changelog สาธารณะของรีลีสนั้นระบุการเปลี่ยนแปลงไว้สิบสองรายการ รวมถึง agent teams, memory recording และการแก้ไข UI อีกหลายจุด และไม่มีรายการใดกล่าวถึง symlink หรือไดอะล็อกขออนุญาตเลย บรรทัด changelog แรก ๆ ที่อธิบายพฤติกรรมนี้โดยตรงปรากฏขึ้นในภายหลังมาก: เวอร์ชัน 2.1.280 ซึ่งเผยแพร่สู่ npm เมื่อวันที่ 22 กันยายน 2026 บันทึกว่า "แก้ไขการเขียนผ่านพาธที่เป็น symlink ที่ถูกตัดสินจากรูปแบบการสะกดภายในทรี: ข้อความแจ้งระบุตำแหน่งที่การเขียนนั้นลงไปถึง" และ 2.1.287 เมื่อวันที่ 1 ตุลาคม 2026 บันทึกว่าการเขียนผ่านเชลล์ผ่าน symlink ที่คอมมิตไว้ในรีโพซิทอรีไปยังไฟล์ที่ละเอียดอ่อน ตอนนี้ระบุตำแหน่งที่มันลงไปถึงและรอให้บุคคลหนึ่งยืนยัน ข้อสังเกตของ Wiz เองที่ว่า 2.1.173 และ 이후นั้น resolve symlink ก็เกิดขึ้นหลังรายงานเช่นกัน เนื่องจาก 2.1.173 ออกในวันที่ 11 มิถุนายน 2026

สิ่งที่ได้รับการยืนยันแล้ว และสิ่งที่ยังไม่ได้รับการยืนยัน

• ยืนยันแล้ว กลไกคือ: ซิมลิงก์ล่อในรีโพซิทอรี, เอเจนต์ที่ตามมันไป, การเขียนที่ไปลงนอกเวิร์กสเปซ และหน้าจอยืนยันที่ระบุเส้นทางผิด Wiz ทำซ้ำได้ในผลิตภัณฑ์ทั้งหกและเผยแพร่ภาพหน้าจอ มีบันทึก CVE สองรายการและเผยแพร่โดย CNA ของรายการเหล่านั้น และประกาศของ AWS ยืนยันอย่างเป็นอิสระถึงช่องโหว่ในเวอร์ชันต่ำกว่า 1.69.0 และการแก้ไข Anthropic ไม่โต้แย้งว่าพฤติกรรมนั้นเกิดขึ้น แต่โต้แย้งว่าเป็นช่องโหว่

• มาจากแหล่งข้อมูลเดียว การให้คะแนนระดับความรุนแรงสำหรับ Augment, Windsurf และ Google Antigravity เป็นวิจารณญาณของ Wiz ไม่ใช่คะแนนจาก CNA เนื่องจากไม่มีการเผยแพร่ CVE สำหรับทั้งสามรายการ ข้อกล่าวอ้างที่ว่า Windsurf และ Amazon Q เขียนก่อนที่กล่องโต้ตอบจะปรากฏนั้นอาศัยภาพหน้าจอและคำบรรยายของ Wiz; ยังไม่มีผู้ขายรายใดยืนยันลำดับดังกล่าวต่อสาธารณะ

• มีข้อโต้แย้งว่าเครื่องมือมีหน้าที่ต้องปกป้องผู้ใช้จากเวิร์กสเปซที่หลอกลวงหรือไม่ หรือความไว้วางใจในไดเรกทอรีบวกกับการคลิกเพียงครั้งเดียวก็เพียงพอที่จะตัดสินเรื่องนี้ Anthropic กล่าวว่าเป็นกรณีหลัง ขณะที่ Wiz กล่าวว่าพรอมต์ที่เครื่องมือแสดงออกมาทำให้การคลิกนั้นไม่มีความหมาย คลังเก็บไม่ได้ทำเครื่องหมายระเบียนนี้ว่าเป็นข้อโต้แย้ง ข้อเท็จจริงเป็นที่ยอมรับตรงกัน และมีเพียงการตีความเท่านั้นที่ยังเป็นที่โต้แย้ง

• ยังไม่เป็นที่แน่ชัดว่า Augment และ Windsurf ได้แก้ไขช่องโหว่นี้แล้วหรือไม่นับตั้งแต่เผยแพร่ บทความข่าวทั้งหมดที่ตรวจสอบสำหรับชิ้นงานนี้ รวมถึงบันทึกของ Cloud Security Alliance ฉบับวันที่ 15 กรกฎาคม 2026 ยังคงระบุว่าทั้งสองยังไม่ได้รับการแพตช์ และไม่พบประกาศการแก้ไขต่อสาธารณะจากผู้จำหน่ายทั้งสองราย

วันที่ดังกล่าวเองมีความคลุมเครือเล็กน้อย โพสต์ของ Wiz และไทม์ไลน์การเปิดเผยข้อมูลของ Wiz ต่างระบุวันที่ 8 กรกฎาคม 2026 ขณะที่ Infosecurity Magazine อธิบายว่าข้อพิสูจน์แนวคิดเผยแพร่เมื่อวันที่ 7 กรกฎาคม และรายงานของนิตยสารเองเมื่อวันที่ 9 กรกฎาคม ส่วนรายการในคลังข้อมูลลงวันที่ 9 กรกฎาคม 2026 โดยระบุถึงระดับวัน การค้นพบ การรายงาน และคลังข้อมูลไม่ได้ขัดแย้งกันในแง่สัปดาห์ แต่ขัดแย้งกันในแง่วันโดยต่างกันได้มากถึงสองวัน

งานก่อนหน้าบนหนึ่งในหกนั้นสมควรได้รับการยกย่องแยกต่างหาก Evan Schuman แห่ง CSO Online ในบทความเมื่อ 9 กรกฎาคม 2026 ระบุว่า Cato Networks ได้รายงานช่องโหว่รูปแบบที่เกี่ยวข้องกับ Cursor เท่านั้น ก่อนการศึกษาที่กว้างกว่าของ Wiz บทความของ SecurityWeek เกี่ยวกับการวิจัยนั้น ซึ่งเผยแพร่เมื่อ 3 กรกฎาคม 2026 ตั้งชื่อว่า DuneSlide กำหนดให้ CVE-2026-50548 และ CVE-2026-50549 กับช่องโหว่ทั้งคู่ ให้คะแนนทั้งสองรายการที่ 9.8 และระบุวันที่รีลีส Cursor 3.0 ที่แก้ไขช่องโหว่ทั้งสองเป็น 2 เมษายน — ตัวเลขที่ไม่สอดคล้องกับไทม์ไลน์ของ Wiz ซึ่งระบุว่าการเผยแพร่การแก้ไขของ Cursor อยู่ที่ 5 มิถุนายน หรือกับบันทึก CNA ที่เผยแพร่เมื่อ 25 มิถุนายนด้วยคะแนน 9.3 คะแนน 9.8 กับ 9.3 เป็นการให้คะแนนโดยผู้ให้คะแนนสองรายต่อช่องโหว่เดียวกัน; วันที่เมษายนกับมิถุนายนอาจกำลังอธิบายถึงรีลีสและการประกาศเตือน แทนที่จะขัดแย้งกันว่าแพตช์ออกเมื่อใด

มีอะไรเปลี่ยนแปลงไปหลังจากนั้น

กล่าวอย่างเจาะจงคือ ผู้ใช้ Amazon Q Developer ถูกย้ายไปยัง language server 1.69.0 โดยอัตโนมัติในการตั้งค่าส่วนใหญ่ ผู้ใช้ Google Antigravity ถูกย้ายไปยัง 1.19.6 ตั้งแต่วันที่ 22 พฤษภาคม 2026 ผู้ใช้ Cursor ไปยัง 3.0 และผู้ใช้ Claude Code ไปยังเวอร์ชันที่สามารถแก้ไขลิงก์ได้ โดยมีการเปลี่ยนแปลงเพิ่มเติมด้านความแม่นยำของพรอมป์ที่จะลงใน 2.1.280 และ 2.1.287 ระหว่างเดือนกันยายนและตุลาคม 2026 ส่วนผู้ใช้ Augment และ Windsurf จากหลักฐานที่มีอยู่ ณ เวลาที่เผยแพร่ ได้เพียงวันที่ต้องจับตามองเท่านั้น ไม่มีสิ่งอื่นใดอีก

คำแนะนำของ Wiz เองนั้นแคบและเน้นทางเทคนิค: resolve symlink ก่อนแสดงพรอมต์ เตือนอย่างชัดเจนเมื่อพาธที่ resolve แล้วอยู่นอก workspace และห้ามเขียนลงดิสก์ก่อนได้รับอนุญาตอย่างชัดเจน ดังนั้นกล่องโต้ตอบจึงเป็นประตูด่าน ไม่ใช่ปุ่มเลิกทำ บันทึกของ Cloud Security Alliance เสริมกรอบการกำกับดูแล — มองผู้ช่วยเขียนโค้ดเป็นซอฟต์แวร์ที่มีสิทธิ์พิเศษซึ่งเข้าถึงระบบไฟล์ ไม่ใช่ปลั๊กอินของเอดิเตอร์ และถามผู้ขายโดยตรงว่ามีการ resolve พาธก่อนที่การยืนยันจะปรากฏหรือไม่ Katie Norton จาก IDC ซึ่ง CSO Online อ้างคำพูด วางความเสี่ยงคงเหลือไว้ในจุดที่ซัพพลายเชนดำเนินอยู่แล้ว: ผู้มีส่วนร่วมภายนอก ที่เก็บโค้ดที่ถูก fork และ dependency จากบุคคลที่สาม "แทนที่จะอยู่ในโค้ดที่เขียนขึ้นภายใน"

สิ่งที่ยังคงเปิดอยู่คือคำถามด้านการออกแบบ ไม่ใช่บั๊ก ผลิตภัณฑ์ที่สร้างขึ้นอย่างอิสระหกรายมาบรรจบกันที่ลำดับเดียวกัน — แสดงเส้นทางที่ร้องขอ เชื่อในการคลิก — และความแตกต่างที่เกิดขึ้นหลังจากนั้นเป็นเรื่องความรับผิดชอบ ไม่ใช่เรื่องกลไก รายการในคลังเก็บมีเครื่องหมาย landmark ซึ่งเป็นการตัดสินของคลังว่า บันทึกนี้อธิบายหมวดหมู่หนึ่ง ไม่ใช่ความผิดพลาดของผู้จำหน่ายรายเดียว และเป็นการยากที่จะโต้แย้งการตีความนั้น: proof of concept สั้น ๆ อันเดียวกันได้ผลถึงหกครั้ง