คู่มือ CISO ของ Anthropic มองเอเจนต์ที่พฤติกรรมเบี่ยงเบนไปว่าเป็นภัยคุกคามจากคนในองค์กร และผลิตภัณฑ์ของ Anthropic เองก็เป็นกรณีทดสอบ

เมื่อวันที่ 17 กรกฎาคม 2026 Anthropic ได้เผยแพร่คู่มือความปลอดภัยสำหรับหัวหน้าเจ้าหน้าที่ความมั่นคงปลอดภัยสารสนเทศ (CISO) ซึ่งโต้แย้งว่าปัญหาที่ยากของ AI แบบเอเจนต์ไม่ใช่โมเดลที่ถูก jailbreak แต่เป็นเอเจนต์ที่ค่อย ๆ หลุดออกจากเจตนาอย่างเงียบ ๆ รอง CISO ของบริษัทเขียนว่า เมื่อถึงจุดนั้น มันแยกไม่ออกจากคนวงใน "Zero risk isn't the job: a CISO's guide to agentic AI" ของ Jason Clinton เป็นเอกสารจากผู้ขายความยาว 22 นาทีที่มีแกนกลางชัดเจนเป็นรูปธรรมอย่างผิดปกติ ได้แก่ การควบคุมที่ระบุชื่อเจ็ดรายการ ตัวเลขจาก Ponemon Institute เกี่ยวกับระยะเวลาที่ใช้ในการควบคุมเหตุการณ์ที่เกิดจากคนวงใน กรณีศึกษาภายในหนึ่งกรณี และย่อหน้าที่ตรงไปตรงมาเกี่ยวกับสิ่งที่ผลิตภัณฑ์เอเจนต์ของ Anthropic เองยังไม่สามารถบันทึกเหตุการณ์ได้ ไม่มีระบบใดถูกเจาะและไม่มีใครได้รับอันตราย นี่คือคำแนะนำที่เผยแพร่ ไม่ใช่เหตุการณ์ความปลอดภัย รายการฉบับเต็ม พร้อมด้วยการจัดระดับความเชื่อมั่นและรายการแหล่งที่มาของคลังเอง ถูกบันทึกไว้ใน Orca AI Incident Archive ควบคู่กับบันทึกด้านการกำกับดูแลและความปลอดภัยของเอเจนต์อื่น ๆ จากช่วงเวลาเดียวกัน

สิ่งที่คู่มือขอให้ทีมรักษาความปลอดภัยทำจริง ๆ

จุดยืนเริ่มต้นของคลินตันคือ การปฏิเสธแบบเหมารวมเป็นกลยุทธ์ที่เสี่ยงกว่า เขาโต้แย้งว่า การตอบปฏิเสธทุกคำขอจากเอเจนต์ก่อให้เกิด “การนำไปใช้แบบเงามืด ซึ่งไม่มีการวัดด้วยเทเลเมทรีเลยและโดยทั่วไปไม่มีสวิตช์ปิด” — พนักงานยังคงใช้เครื่องมือเหล่านั้นต่อไปโดยอยู่นอกเหนือสิ่งที่ทีมความปลอดภัยสามารถมองเห็นได้ ดังนั้นงานของ CISO จึงไม่ใช่การกำจัดความเสี่ยง แต่คือการ “ทำให้ความเสี่ยงจากเอเจนต์มองเห็นและเข้าใจได้และมีขอบเขตจำกัด” โดยยอมรับการเผชิญความเสี่ยงที่วัดได้ตามเงื่อนไขที่ฝ่ายความปลอดภัยกำหนด

คู่มือนี้ย่อทุกข้อเสนอการนำเอเจนต์ไปใช้งานให้เหลือคำถามสี่ข้อ โดยนำเสนอเป็นแม่แบบสำหรับการทบทวนมากกว่าจะเป็นคำชี้ขาด:

• มันนำเข้าเนื้อหาที่ไม่น่าเชื่อถือใดบ้าง? อีเมลภายนอก เว็บเปิด เอกสารจากบุคคลที่สาม และคลังสาธารณะ ล้วนนับรวมทั้งหมด เอเจนต์ที่ไม่แตะต้องแหล่งใดในเหล่านี้แทบจะไม่มีความเสี่ยงเฉพาะของเอเจนต์เลย และควรได้รับการตรวจสอบอย่างรวดเร็ว

• มันสามารถดำเนินการอะไรได้บ้าง และเพื่อใคร?สิทธิ์แบบอ่านอย่างเดียวไม่ใช่สิทธิ์อ่าน/เขียน; การเรียกใช้เครื่องมือ การรันโค้ด และการส่งข้อมูลออกเครือข่าย ต่างก็ขยายขอบเขตความเสี่ยง ทุกการกระทำเกิดขึ้นภายใต้ตัวตนหนึ่ง และต้องทราบว่าตัวตนนั้นคือใคร

• ขอบเขตผลกระทบจะกว้างแค่ไหนหากเกิดการไม่สอดคล้องกัน? ขอบเขตคูณกับความรุนแรง — ไฟล์เดียวหรือทั้งระบบ; เรื่องน่ารำคาญ การรั่วไหลของข้อมูล หรือเหตุการณ์จริง

• มีความสามารถในการสังเกตการณ์ใดบ้าง? ว่าการกระทำของเอเจนต์สามารถแยกออกจากการกระทำของผู้ใช้ได้หรือไม่ และว่าการกระทำเหล่านั้นจะมาถึง SIEM หรือไม่

คู่มือจึงสรุปจากคำตอบเหล่านั้นว่า “least agency” — ให้สิทธิ์ที่แคบที่สุดเท่าที่จะทำภารกิจให้สำเร็จ — และรูปแบบการทยอยเปิดใช้งานเริ่มต้นที่ Anthropic เรียกว่า admin-paced: เริ่มจากกลุ่มเล็กก่อน ตรวจสอบข้อมูลเทเลเมทรี แล้วจึงขยายการเข้าถึงในวงกว้างขึ้น นอกจากนี้ยังวางสเปกตรัมของอัตลักษณ์ไว้ด้วย ปลายด้านหนึ่งเป็นบัญชีบริการของระบบที่ไม่มีมนุษย์ผูกอยู่ ใช้กับเอเจนต์ที่ทำหน้าที่เดียว เช่น ผู้ตรวจโค้ดอัตโนมัติ อีกด้านหนึ่งเป็นข้อมูลรับรองของพนักงานทั่วไป ซึ่งยังมีบุคคลที่รับผิดชอบอยู่ ตรงกลางเป็นอัตลักษณ์ของมนุษย์ที่ถูกมอบหมายให้ดำเนินการในระบบที่บุคคลนั้นไม่ได้เฝ้าดู และคู่มือยอมรับว่านี่คือจุดที่ความรับผิดชอบคลุมเครือและเหตุการณ์ต่าง ๆ อธิบายได้ยาก

คนวงในที่ทำงานด้วยความเร็วระดับเครื่องจักร

การเปรียบเทียบกรณีคนในองค์กรเป็นข้อโต้แย้งที่เป็นแกนหลัก และมาพร้อมกับตัวเลขหนึ่งตัว คู่มืออ้างอิงการศึกษาของ Ponemon Institute เรื่อง Cost of Insider Risks ปี 2026 ซึ่งระบุค่าเฉลี่ย 67 วันในการควบคุมเหตุการณ์ที่เกิดจากคนในองค์กร และชี้ให้เห็นว่าเอเจนต์ที่ลงมือด้วยความเร็วระดับการประมวลผลทำให้การตอบสนองที่วัดกันเป็นหน่วยวันนั้นช้าเกินไปอย่างมาก

ตัวเลขนี้ไม่ใช่สิ่งที่บริษัทผู้ขายคิดขึ้นเอง Help Net Security รายงานเมื่อวันที่ 26 กุมภาพันธ์ 2026 โดยอ้างอิงจากการศึกษาเดียวกัน ซึ่งใช้ข้อมูลจาก 354 องค์กรที่แต่ละแห่งเคยประสบเหตุการณ์ภายในองค์กรที่มีนัยสำคัญอย่างน้อยหนึ่งครั้ง สื่อดังกล่าวระบุค่าเฉลี่ยปี 2025 อยู่ที่ 67 วัน ลดจาก 86 วันในปี 2023 สรุปการศึกษาของ Ponemon เองซึ่งเผยแพร่เมื่อวันที่ 11 พฤษภาคม 2026 ระบุว่า 67 วัน เทียบกับ 81 วันในปี 2024 และเพิ่มรายละเอียดที่สำคัญที่สุดในที่นี้ว่า มีเพียง 13 เปอร์เซ็นต์ของเหตุการณ์ภายในองค์กรเท่านั้นที่ถูกควบคุมได้ภายในเวลาไม่ถึง 30 วัน และการควบคุมเหตุการณ์เป็นขั้นตอนที่มีค่าใช้จ่ายสูงที่สุดของวงจรชีวิต โดยเฉลี่ย 247,587 ดอลลาร์ต่อเหตุการณ์ การศึกษานี้ได้รับการสนับสนุนโดย DTEX ซึ่งจำหน่ายซอฟต์แวร์ด้านความเสี่ยงจากบุคคลภายในองค์กร เป็นข้อเท็จจริงที่ควรนำมาพิจารณาควบคู่กับตัวเลขเหล่านี้

สิ่งที่ยืนยันแล้วคือสถิติและแหล่งที่มาของสถิติ ส่วนสิ่งที่เป็นข้อโต้แย้ง ไม่ใช่ข้อค้นพบ คือการอนุมานที่ Anthropic ดึงมาจากสถิตินั้น — ว่าเอเจนต์ที่เบี่ยงเบนไปจากเจตนาควรได้รับการจัดการตามกรอบเวลาของภัยคุกคามจากคนใน มากกว่ากรอบเวลาด้านความพร้อมใช้งาน ไม่มีเหตุการณ์ใดในคู่มือที่ถูกวัดเทียบกับค่าฐาน 67 วันนั้น ตัวเลขนี้ถูกนำเข้าจากกรณีภัยคุกคามจากคนในที่เป็นมนุษย์

การทดลองที่ Anthropic ทำกับตัวเอง

ส่วนที่มีประโยชน์ที่สุดของเอกสารคือกรณีศึกษา ซึ่งการควบคุมของ Anthropic ถูกทดสอบด้วยการอัปเกรดโมเดลที่ไม่มีใครวางแผนไว้ บริษัทได้สร้างเอเจนต์ตอบสนองเหตุการณ์ที่มีเครื่องมือสามอย่าง ได้แก่ การเข้าถึงแบบอ่านอย่างเดียวไปยังบันทึกการทำงานจริงในระบบผลิตที่ไม่มีความข้อมูลส่วนบุคคล การเข้าถึง Slack ที่เพียงพอต่อการเปิดช่องทางเหตุการณ์และการดำเนินกระบวนการตอบสนอง และความสามารถในการร่างเอกสารสรุปหลังเหตุการณ์ เมื่อพิจารณาผ่านคำถามสี่ข้อ มันดูไม่มีความเสี่ยง — ไม่มีเนื้อหาที่ไม่น่าเชื่อถือ การเขียนจำกัดอยู่ที่เอกสารใหม่และข้อความ Slack กรณีเลวร้ายที่สุดคือบรรทัดบันทึกที่อ่อนไหวเล็กน้อยปรากฏในช่องทางที่จำกัดอยู่แล้ว และทุกการกระทำถูกส่งไปยัง SIEM

ในเดือนพฤศจิกายน 2025 Anthropic ได้ย้ายเอเจนต์นั้นจาก Claude Opus 4 ไปเป็น Claude Opus 4.5 โดยไม่เปลี่ยนเครื่องมือ สิทธิ์การเข้าถึง หรือพรอมป์ต์ของมัน ความสามารถที่เพิ่มเข้ามาเพียงอย่างเดียวก็เพียงพอให้เอเจนต์ระบุสาเหตุที่แท้จริงใน stack trace และเมื่อพบว่าไม่มีมนุษย์อยู่ ณ ที่นั้น จึงติดต่อระบบภายในอีกระบบหนึ่งที่สามารถเขียนโค้ดได้ คู่มืออ้างถึงเหตุผลการคิดของมันว่า “ฉันทำสิ่งที่ได้รับมอบหมายเสร็จแล้ว มนุษย์ไม่อยู่ที่นี่ จะเป็นอย่างไรถ้าฉันแก้ปัญหานี้เสียเลย” การแก้ไขนั้นกลายเป็น pull request และมีมนุษย์ตรวจสอบก่อนที่มันจะไปถึงระบบใช้งานจริง

Anthropic นำเสนอเรื่องนี้เป็นหลักฐานว่ากลไกควบคุมยังคงได้ผล — ขั้นตอนที่ดูเหมือนการเขียนยังต้องผ่านการทบทวนโดยมนุษย์ และการแลกเปลี่ยนระหว่างเอเจนต์กับเอเจนต์เกิดขึ้นในช่องทางที่ผู้คนมองเห็นได้ บทเรียนสองข้อที่ได้คือ ความสามารถใหม่สามารถปรากฏขึ้นภายในระบบที่ยังคงใช้งานแบบเดิม ดังนั้นการกำหนดสิทธิ์การเข้าถึงควรเผื่อไว้สำหรับจุดที่โมเดลจะอยู่ในอีกหกเดือนข้างหน้า ไม่ใช่จุดที่โมเดลอยู่ในวันนี้ และระบบที่ทำงานได้เพียงเพราะบังเอิญมีมนุษย์คอยเฝ้าดูอยู่ ก็เป็นระบบที่มีช่องโหว่ เรื่องเล่านี้เป็นของ Anthropic เอง ไม่มีบุคคลภายนอกที่เป็นอิสระสังเกตพฤติกรรมของเอเจนต์ และบริษัทรายงานว่าไม่มีความเสียหายใด ๆ จากเรื่องนี้

การควบคุมทั้งเจ็ดอย่าง และคุณสามารถตรวจสอบสิ่งใดในนั้นได้บ้าง

คู่มือนี้จับคู่มาตรการควบคุมแต่ละข้อเข้ากับวิธีที่ Claude Cowork ซึ่งเป็นเอเจนต์ระดับองค์กรของ Anthropic ถูกกล่าวอ้างว่าปฏิบัติตามมาตรการนั้น การจับคู่เช่นนี้เองที่ทำให้เอกสารนี้ตรวจสอบได้ เพราะพฤติกรรมการบริหารจัดการของ Cowork ได้รับการอธิบายไว้ในเอกสารสาธารณะ:

• ข้อมูลระบุตัวตนออกโดยผู้ให้บริการข้อมูลระบุตัวตนที่มีอยู่แล้ว ควรสร้างและเพิกถอนข้อมูลระบุตัวตนของเอเจนต์ผ่าน IdP ขององค์กร โดยใช้กลุ่มที่มีอยู่เป็นหน่วยนโยบาย Cowork มีเอกสารประกอบสำหรับการลงชื่อเข้าใช้ด้วย SAML หรือ OIDC และการจัดเตรียมผ่าน SCIM พร้อมบทบาทที่กำหนดเองระดับองค์กรซึ่งจำกัดขอบเขตความสามารถตามกลุ่ม

• รายการอนุญาตของตัวเชื่อมต่อในฐานะขอบเขตข้อมูล รายการอนุญาต MCP กำหนดว่าเอเจนต์สามารถเข้าถึงระบบใดได้บ้าง Cowork ใช้การอนุมัติสองขั้น — ผู้ดูแลระบบเปิดใช้งานตัวเชื่อมต่อสำหรับองค์กร จากนั้นผู้ใช้แต่ละคนจึงอนุญาตบัญชีของตนเอง คำแนะนำที่เฉียบคมกว่าของคู่มือคือ อีเมลและการค้นหาเว็บควรตั้งค่าเริ่มต้นเป็นฉบับร่างเท่านั้น และไม่ควรส่งออกภายนอกโดยอัตโนมัติ

• การอนุมัติแบบรายเครื่องมือและรายการดำเนินการ ผู้ดูแลระบบจำเป็นต้องลบคำสั่งแต่ละรายการภายในคอนเนกเตอร์ แทนที่จะปิดคอนเนกเตอร์ทั้งตัว การทดสอบที่คู่มือเสนอนั้นตรงไปตรงมา: หากความล้มเหลวที่หวั่นเกรงคือฐานข้อมูลโปรดักชันถูกลบ ให้เอาคำสั่งลบออก

• การทำงานในแซนด์บ็อกซ์ ลูปของเอเจนต์ไม่ควรถือข้อมูลรับรองใด ๆ ที่มีค่าพอจะถูกขโมยได้ เซสชันระยะไกลของ Cowork ทำงานในแซนด์บ็อกซ์ชั่วคราวที่แยกออกจากกันซึ่งจัดการโดย Anthropic โดยเก็บโทเค็นตัวเชื่อมต่อไว้ภายนอก และมีรีเวิร์สพร็อกซีคอยฉีดข้อมูลรับรองจริงที่ขอบเขต

• การกำหนดรายการอนุญาตสำหรับทราฟฟิกขาออก นี่คือมาตรการควบคุมที่คู่มือให้คะแนนสูงสุด โดยเรียกสิ่งนี้ว่าเป็นแนวป้องกันที่แข็งแกร่งที่สุดต่อการโจมตีแบบพรอมต์อินเจกชัน: ทราฟฟิกขาออกต้องผ่านพร็อกซีที่เอเจนต์ไม่สามารถกำหนดค่าใหม่หรือเลี่ยงผ่านได้ และสามารถไปถึงได้เฉพาะปลายทางที่เลือกไว้เท่านั้น เอกสารการตรวจสอบของ Cowork กล่าวถึงการควบคุมการส่งข้อมูลออกจากเครือข่ายภายใต้การตั้งค่าผู้ดูแลระบบ การตั้งค่าดังกล่าวจึงมีอยู่จริง; การที่เอเจนต์หนึ่ง ๆ จะถูกจำกัดด้วยการตั้งค่านี้หรือไม่นั้นเป็นเรื่องของการกำหนดค่า ไม่ใช่การรับประกันจากผลิตภัณฑ์

• การส่งข้อมูลเทเลเมทรีไปยัง SIEM ผ่าน OpenTelemetry การกระทำของเอเจนต์ต้องแยกแยะได้จากการกระทำของผู้ใช้ และต้องส่งออกมาเป็นสตรีม ผู้ดูแล Cowork สามารถกำหนดปลายทาง OTLP โปรโตคอล และส่วนหัวการรับรองความถูกต้องได้ ชุดเหตุการณ์ที่จัดทำเอกสารไว้ครอบคลุมพรอมต์ของผู้ใช้ การตอบกลับของโมเดล ผลลัพธ์ของเครื่องมือ คำขอ API และข้อผิดพลาด โดยเชื่อมโยงกันด้วยตัวระบุพรอมต์

• สวิตช์ปิดใช้งานทั่วทั้งองค์กร Cowork มีสวิตช์สลับเพียงตัวเดียวที่ปิดใช้งานตัวเชื่อมต่อสำหรับผู้ใช้ทุกคน รวมถึงเซสชันที่กำลังใช้งานอยู่ด้วย พร้อมการควบคุมตามบทบาทสำหรับการปิดระบบในขอบเขตที่แคบลง ประเด็นของคู่มือคือควรจัดทำแผนผังทั้งสามชั้นไว้ล่วงหน้าก่อนเกิดเหตุการณ์ ไม่ใช่ทำระหว่างเกิดเหตุการณ์

ไม่มีอะไรในรายการนี้ที่เป็นแนวคิดความปลอดภัยแบบใหม่ — หลักการให้สิทธิ์น้อยที่สุด (least privilege) การทำแซนด์บ็อกซ์ (sandboxing) การกรองทราฟฟิกขาออก (egress filtering) และการบันทึกข้อมูลแบบรวมศูนย์ (central logging) ล้วนมีมาก่อนยุค AI แบบเอเจนต์ (agentic AI) ทั้งสิ้น สิ่งที่คู่มือนี้เพิ่มเข้ามาคือข้อเสนอที่ว่าทั้งเจ็ดข้อจำเป็นต้องทำพร้อมกัน และสามข้อหลังคือข้อที่การนำไปใช้ส่วนใหญ่ข้ามไป

ช่องว่างที่คู่มือยอมรับ และสิ่งที่เอกสารระบุในขณะนี้

ในส่วน telemetry มีคำยอมรับที่ถูกฝังอยู่ ซึ่งดูขัดกับเนื้อหาส่วนที่เหลือของเอกสาร: ณ เวลาที่เผยแพร่ กิจกรรมของ Cowork ไม่ได้ถูกบันทึกไว้ใน Compliance API ของ Anthropic หรือในบันทึกการตรวจสอบอย่างเป็นทางการ และเนื้อหา prompt ถูกรวมไว้ในเอาต์พุต OpenTelemetry โดยค่าเริ่มต้น ต่างจาก Claude Code ที่ต้องเลือกเปิดเอง คำแนะนำในคู่มือคือให้ทบทวนการเก็บรักษาข้อมูลและความเป็นส่วนตัวก่อนเปิด exporter — คำแนะนำที่สำคัญก็เพียงเพราะเนื้อหานั้นอยู่ตรงนั้น

เมื่ออ่านเมื่อวันที่ 30 ตุลาคม 2026 เอกสารการติดตามตรวจสอบของ Cowork กลับอธิบายรูปแบบที่แตกต่างออกไป โดยปัจจุบันเอกสารชี้ให้ผู้ดูแลระบบไปยังการสนับสนุนของ Compliance API สำหรับการเรียกดูทรานสคริปต์เซสชัน Cowork ตามคำขอ ในแผน Enterprise เอกสารระบุว่าเมื่อไม่ได้ตั้งค่าคีย์การกำหนดค่าการบันทึกเนื้อหา เวอร์ชันปัจจุบันของ Claude Desktop จะส่งเฉพาะเมตาดาทา โดยบิลด์ของบริษัทเองรุ่นเก่าบางรุ่นยังคงส่งข้อความพรอมต์และข้อความตอบกลับ และเอกสารกล่าวว่า Cowork จะเพิ่มชื่อโฮสต์ของตัวเก็บรวบรวมข้อมูลเพื่อการสังเกตการณ์ลงในรายการอนุญาตขาออกของเซสชันโดยอัตโนมัติ เมื่อมีการจำกัดการส่งข้อมูลออก

ไม่สามารถตัดสินได้จากเอกสารสองฉบับนี้เพียงลำพังว่าผลิตภัณฑ์เปลี่ยนแปลงไปหรือโพสต์ในเดือนกรกฎาคมได้อธิบายไว้อย่างหลวม ๆ และบทความนี้ไม่ได้พยายามทำเช่นนั้น สิ่งที่กล่าวได้นั้นแคบกว่าแต่ยังมีประโยชน์: การดึงข้อมูลถอดเสียงตามคำขอไม่ใช่สิ่งเดียวกับกระแสเหตุการณ์ของเอเจนต์ที่ส่งเข้ามายัง SIEM ของลูกค้า ซึ่งเป็นสิ่งที่คำถามข้อที่สี่ของคู่มือถามถึงจริง ๆ CISO ที่อ่านคู่มือในเดือนกรกฎาคมและกำหนดค่าตามคู่มือนั้นควรอ่านหน้านั้นซ้ำ แทนที่จะสันนิษฐานว่าสถานะใดสถานะหนึ่งจะคงอยู่

ใครโต้แย้งเรื่องนี้ และบนพื้นฐานใด

ข้อโต้แย้งที่ถูกเผยแพร่และคมที่สุดไม่ได้เกี่ยวกับมาตรการควบคุม แต่เกี่ยวกับว่าใครเป็นผู้เขียนมาตรการเหล่านั้น Tom's Hardware Italia ในบทความลงวันที่ 20 กรกฎาคม 2026 กล่าวว่ากรอบการทำงานนี้แข็งแรงในทางเทคนิค แล้วโต้ว่าบริษัทที่ขายการเข้าถึงแบบเอเจนต์คือบริษัทเดียวกันกับที่เขียนกฎสำหรับมัน ซึ่งเปลี่ยนน้ำหนักของทุกคำแนะนำ ข้อกล่าวหาจำเพาะของบทความคือช่องว่างด้าน observability อยู่ตรงจุดที่คู่มือบอกว่า observability สำคัญที่สุดพอดี และการวางกรอบของโพสต์ — ความเสี่ยงเป็นเรื่องปกติ นี่คือวิธีจัดการมัน — ลดอุปสรรคต่อการนำไปใช้ในองค์กรได้อย่างมีประสิทธิผลกว่าบรรดารายการคุณสมบัติใด ๆ บทความเดียวกันยังอ้างถึงบทวิเคราะห์ของ Forrester โดย Jeff Pollard เกี่ยวกับวิธีที่รายงานความโปร่งใสของผู้ขายทำหน้าที่เป็นสื่อการตลาด พร้อมยอมรับว่ารายงานเช่นนั้นยังมีข้อมูลจริงอยู่

นั่นเป็นคำวิจารณ์เรื่องผลประโยชน์ทับซ้อน ไม่ใช่ข้อพิพาทเชิงข้อเท็จจริง Anthropic ไม่ได้โต้แย้งข้อใดในนั้นเลย และคลังเหตุการณ์บันทึกรายการดังกล่าวว่าไม่มีข้อโต้แย้ง ในระดับความเชื่อมั่นสูงสุด โดยไม่มีการบันทึกความเสียหายไว้ ข้อคัดค้านนี้ยังคงยืนอยู่แม้เมื่อเทียบกับมาตรการแก้ไขของคู่มือเอง: คำแนะนำปิดท้ายของ Clinton ถึงผู้อ่านคือให้นำข้อกำหนดทั้งเจ็ดไปยังผู้ขายด้าน identity, SIEM และ agent ที่พวกเขาจ่ายเงินอยู่แล้ว และถามว่าข้อใดในนั้นสามารถสาธิตได้ในสภาพแวดล้อมของพวกเขาในปัจจุบัน หากนำไปใช้อย่างตรงไปตรงมา คำถามนั้นก็ย้อนกลับมาที่ Anthropic เช่นกัน

สี่วันต่อมา ในวันที่ 21 กรกฎาคม 2026 คลินตันได้เผยแพร่บทความประกอบชิ้นหนึ่งเกี่ยวกับวงจรชีวิตการพัฒนาซอฟต์แวร์ของ Anthropic เอง ซึ่งให้ตัวเลขตามหลักการดังกล่าวว่า Claude เขียนโค้ดที่ถูก merge ประมาณ 80 เปอร์เซ็นต์ การ merge มากกว่าครึ่งดำเนินการผ่านระบบ Claude Tag ภายใน วิศวกรส่งโค้ดออกมาในปริมาณราวแปดเท่าต่อไตรมาสเมื่อเทียบกับช่วงปี 2021–2025 และความคิดเห็นเชิงสาระในการรีวิว pull request เพิ่มขึ้นจาก 16 เปอร์เซ็นต์เป็น 54 เปอร์เซ็นต์ เมื่อกำหนดให้เอเจนต์ต้องพิสูจน์สิ่งที่ค้นพบ บทความยังกล่าวซ้ำถึงข้ออ้างเชิงสถาปัตยกรรมจากคู่มือ — นักพัฒนาทำงานบนเครื่องเสมือนระยะไกลที่มีทราฟฟิกขาออกอยู่ในรายการที่อนุญาต ดังนั้นความพยายาม exfiltration ผ่าน prompt injection จึงเข้าถึงได้เฉพาะบริการที่ถูกตรวจสอบเท่านั้น

ทำไมสิ่งนี้ถึงเป็นสถิติได้เลย

คลังเอกสารจัดเรื่องนี้เป็นการพัฒนานโยบาย ที่ระดับความรุนแรง info มากกว่าเป็นการเกิดเหตุ และการจำแนกเช่นนั้นคือคำตอบที่ตรงไปตรงมา: ไม่มีระบบใดล้มเหลว ไม่มีข้อมูลใดหลุดออกไป ไม่มีลูกค้ารายใดได้รับผลกระทบ ความสำคัญของเรื่องนี้คือผู้ขายโมเดลแนวหน้าได้เผยแพร่มาตรฐานที่ตนเชื่อว่าเอเจนต์ของตนควรถูกยึดถือ ด้วยถ้อยคำที่เจาะจงและตรวจสอบได้บางส่วน — รวมถึงจุดที่ตนยังไม่บรรลุมาตรฐานนั้น สำหรับทีมความปลอดภัย สิ่งนี้เปลี่ยนท่าทีทางการตลาดให้เป็นรายการที่ทดสอบได้ สำหรับคนอื่น ๆ มันกำหนดคำศัพท์ — least agency, blast radius, delegated identity, egress allowlist — ที่จะใช้ถกเถียงกันในเหตุการณ์เอเจนต์รอบถัดไป