Claude Security อยู่ในช่วง Public Beta: “Scan to Fix” อ้างว่าทำอะไรได้บ้าง และไม่ได้อ้างอะไรบ้าง

ผลิตภัณฑ์ด้านความปลอดภัยของ Anthropic ตอนนี้เป็นเบต้าสาธารณะสำหรับ Claude Enterprise แล้ว และคำโปรยเพียงบรรทัดเดียวของมันคือลำดับขั้น ไม่ใช่คำคุณศัพท์: จากการสแกนไปจนถึงการแก้ไข ทำได้อย่างไร้รอยต่อ กลไกเบื้องหลังคำโปรยนั้นระบุไว้อย่างชัดเจนบนหน้าผลิตภัณฑ์ — Claude สแกนโค้ดเบสของคุณด้วย Claude Mythos ตรวจสอบสิ่งที่พบ และเสนอแพตช์ที่คุณสามารถรีวิวและอนุมัติได้ สามคำกริยา ชื่อโมเดลหนึ่งชื่อ และข้อจำกัดขอบเขตที่มองข้ามได้ง่าย: นี่คือเบต้า และเขียนขึ้นสำหรับลูกค้า Enterprise ไม่ใช่สำหรับใครก็ตามที่มีรีโพซิทอรีอยู่

คำถามที่น่าสนใจไม่เคยใช่หรือไม่ว่าโมเดลภาษาจะค้นหาช่องโหว่ได้หรือไม่ โมเดลทำแบบนั้นมาระยะหนึ่งแล้ว บางครั้งดีพอจนทำให้มนุษย์ที่เขียนโค้ดต้องอับอาย คำถามที่น่าสนใจคือสิ่งที่เกิดขึ้นระหว่างช่วงเวลาที่การค้นพบหนึ่งปรากฏขึ้นกับช่วงเวลาที่มันถูกปิด เพราะช่องว่างนั้นคือที่อยู่ของงานค้างด้านความปลอดภัย: คิวของปัญหาที่ดูเป็นไปได้ ซึ่งไม่มีใครจัดลำดับ มอบหมายให้ทุกคน และปิดลงได้ด้วยความบังเอิญ คำตอบของ Anthropic คือไปป์ไลน์ที่มีสี่ระยะ และแต่ละระยะสร้างข้อกล่าวอ้างที่สามารถตรวจสอบได้ด้วยตัวเอง

“การเปิดเบต้าสาธารณะสำหรับ Claude Enterprise” หมายถึงอะไร

บรรทัดที่ระบุความพร้อมใช้งานนั้นตรงไปตรงมาอย่างผิดปกติ และควรค่าแก่การยกมาอ้างมากกว่าการถอดความว่า พร้อมใช้งานในรูปแบบพับลิกเบต้าสำหรับ Claude Enterprise ด้านล่างมีปุ่มสองปุ่ม ได้แก่ ติดต่อฝ่ายขาย และอ่านบทแนะนำการใช้งาน ทั้งสองปุ่มไม่ใช่แบบฟอร์มสมัครใช้งาน ในทางปฏิบัติ นั่นหมายความว่าผู้ซื้อคือบริษัทที่มีข้อตกลง Enterprise อยู่แล้ว และมีทีมความปลอดภัยที่มีสถานะเพียงพอที่จะขอสแกนเนอร์ตัวใหม่ มากกว่าจะเป็นวิศวกรรายบุคคลที่ต้องการชี้บางสิ่งไปยังโปรเจกต์ส่วนตัว

ยังมีทางเลือกที่สองที่เบากว่า ปลั๊กอิน Claude Security สำหรับ Claude Code อยู่ในช่วงเบต้า มันเป็นซอฟต์แวร์อีกตัวหนึ่งที่มีแนวทางการติดตั้งใช้งานต่างออกไป — สแกน ตรวจสอบความถูกต้อง และแพตช์ภายใน Claude Code โดยที่โค้ดยังอยู่ในสภาพแวดล้อมของคุณ — และเป็นเวอร์ชันที่สำคัญสำหรับทีมซึ่งอุปสรรคไม่ใช่เรื่องงบประมาณ แต่เป็นกฎเกี่ยวกับสถานที่ที่อนุญาตให้ซอร์สโค้ดไปอยู่

การสแกนจะไม่หยุด

พฤติกรรมแรกที่มีการบันทึกไว้คือการสแกนครั้งแรกแบบเจาะลึก: Claude รันมันหนึ่งครั้งทั่วทั้งโค้ดเบส แล้วจากนั้นก็สแกนต่อเนื่องเมื่อโค้ดเปลี่ยนแปลง นี่เป็นประโยคสั้น ๆ ที่มีผลลัพธ์ในทางปฏิบัติครั้งใหญ่ การสแกนเพียงครั้งเดียวเปรียบเสมือนภาพถ่าย แต่โค้ดเบสไม่ใช่ภาพถ่าย มันเป็นเหมือนสภาพอากาศ ข้อค้นพบที่ถูกต้อง ณ วันที่ตรวจสอบ และถูกแก้ไขไปเพียงครึ่งเดียวโดยการ merge ตามมาสามครั้งนั้น ย่ำแย่กว่าการไม่มีข้อค้นพบเลยด้วยซ้ำ เพราะมันดึงความสนใจไปจากผู้ที่ต้องกลับมาอ่านมันซ้ำ

การสแกนแบบต่อเนื่องยังเป็นส่วนของผลิตภัณฑ์ที่ปลอมแปลงได้ยากที่สุดด้วย โดยต้องให้สแกนเนอร์เข้าใจว่าการเปลี่ยนแปลงใดสำคัญ ซึ่งเป็นทักษะที่แตกต่างจากการค้นหาช่องโหว่ในทรีแบบสแตติก หน้านี้ไม่ได้อธิบายว่าการจัดลำดับความสำคัญนั้นทำงานอย่างไร และบทความนี้จะไม่คาดเดาเกี่ยวกับเรื่องดังกล่าว

มิติเดียวที่ข้อกล่าวอ้างมีความเฉพาะเจาะจง

Anthropic อ้างว่า {{1}}Claude Security ติดตามการไหลของข้อมูลข้ามไฟล์และรีโพซิทอรี เพื่อค้นหาช่องโหว่ที่สแกนเนอร์แบบจับคู่รูปแบบอาจตรวจจับไม่ได้{{/1}} {{2}}นั่นคือข้อกล่าวอ้างที่ตรวจสอบได้มากที่สุดในคำอธิบายผลิตภัณฑ์ทั้งหมด เพราะระบุถึงกลไกแทนที่จะเป็นผลลัพธ์{{/2}}

การจับคู่รูปแบบ (pattern matching) ตามชื่อของมันคือการมองหารูปแบบที่รู้กันว่าไม่ปลอดภัย เช่น การเรียกฟังก์ชันที่มีอาร์กิวเมนต์ที่ปนเปื้อน สตริงที่ถูกต่อเข้าไปในคิวรี หรือ API ที่รู้กันว่าไม่ปลอดภัย มันเร็ว มันถูก และนั่นคือเหตุผลที่สแกนเนอร์แบบดั้งเดิมมีชื่อเสียงในสองเรื่องพร้อมกัน — คือการจับบั๊กประเภทเดียวกันได้ทุกที่ที่มันปรากฏ และการถล่มทีมด้วยผลการตรวจพบที่กลายเป็นว่าเข้าถึงไม่ได้จริง ทางเลือกอีกทางคือการติดตามค่าหนึ่งตั้งแต่จุดที่มันเข้าสู่ระบบไปจนถึงจุดที่มันถูกใช้งาน ข้ามพรมแดนระหว่างไฟล์และบริการต่าง ๆ นั่นคือที่ที่บั๊กตัวจริงซ่อนอยู่ และเป็นจุดที่การวิเคราะห์มีต้นทุนสูงขึ้นด้วย เพราะเครื่องมือต้องถือบริบทมากกว่าที่จะพอดีอยู่ในฟังก์ชันเดียว

อย่างไรก็ตาม โปรดสังเกตการใช้ถ้อยคำที่เลี่ยงการยืนยันในประโยคนี้ อาจตรวจไม่พบ นั่นคือคำที่ถูกต้องเมื่อผู้ขายไม่มีเกณฑ์มาตรฐานใด ๆ ที่จะใช้อ้างอิง และนี่ก็เป็นเหตุผลที่ควรทดสอบข้อกล่าวอ้างนี้กับโค้ดเบสของคุณเอง แทนที่จะยอมรับว่าเป็นคุณสมบัติของผลิตภัณฑ์

การตรวจสอบเชิงปรปักษ์ และแบบจำลองภัยคุกคามที่คุณแก้ไขได้

ขั้นที่สองคือขั้นที่ตอบโจทย์ปัญหาผลบวกลวงที่ทุกทีมด้านความปลอดภัยรู้ดี ข้อค้นพบทุกข้อต้องผ่านการตรวจสอบเชิงปรปักษ์ก่อนที่จะถึงทีม มีบางสิ่งพยายามหักล้างข้อค้นพบก่อนที่มนุษย์จะได้เห็น: เพื่อแสดงว่าอินพุตไม่สามารถไปถึงซิงก์ได้จริง หรือเส้นทางนั้นถูกป้องกันอยู่ที่ต้นทาง หรือโค้ดที่กำลังพิจารณาเป็นโค้ดที่ไม่ได้ใช้งาน

ครึ่งหลังของประโยคเดียวกันนั้นเป็นสิ่งที่ถูกมองข้าม แต่จริง ๆ แล้วเป็น Decisions ด้านการออกแบบที่น่าสนใจที่สุดบนหน้านี้ แบบจำลองภัยคุกคามที่ทีมของคุณแก้ไขได้จะเป็นตัวกำหนดว่าสิ่งใดควรถูกflag ในทางปฏิบัติ นั่นหมายความว่าคำจำกัดความของ "ความเกี่ยวข้อง" อยู่ในมือของลูกค้า เครื่องสแกนที่ตัดสินระดับความรุนแรงด้วยตัวเองมักผิดอยู่เสมอ เพราะความรุนแรงขึ้นอยู่กับบริบท ปลายทางที่ไม่มีการยืนยันตัวตนในเครื่องมือผู้ดูแลระบบภายในนั้นเป็นปัญหาที่ต่างจากปลายทางเดียวกันบนอินเทอร์เน็ตสาธารณะ และไม่มีผู้จำหน่ายรายใดรู้ได้ว่ากำลังดูอันไหนอยู่ การปล่อยให้แก้ไขแบบจำลองภัยคุกคามได้คือการยอมรับอย่างตรงไปตรงมาในเรื่องนั้น

มันยังสร้างงานเพิ่มด้วย แบบจำลองภัยคุกคามที่ไม่มีใครดูแลจะกลายเป็นตัวกรองที่ซ่อนสิ่งที่ไม่มีใครนึกถึง ซึ่งตรงกันข้ามกับจุดประสงค์ของสแกนเนอร์ ทีมที่จะได้ประโยชน์จากสิ่งนี้คือทีมที่ปฏิบัติต่อแบบจำลองภัยคุกคามเป็นเอกสารที่มีชีวิตซึ่งมีเจ้าของ เช่นเดียวกับที่พวกเขาปฏิบัติต่อ runbook

แพตช์คือหน่วยของผลลัพธ์

ข้อค้นพบทุกข้อมีแพตช์ที่แนะนำให้ทีมตรวจสอบและอนุมัติ และ Claude จะทำเครื่องหมายว่าข้อค้นพบนั้นได้รับการแก้ไขแล้วเมื่อการแก้ไขถูกนำไปใช้งาน ประโยคนี้มีข้อกล่าวอ้างสองข้อที่สมควรแยกออกจากกัน

ประการแรกคือ ผลลัพธ์ของการสแกนคือการเปลี่ยนแปลง ไม่ใช่ตั๋วงาน นี่คือความแตกต่างระหว่างการบอกวิศวกรว่าโค้ดของพวกเขามีปัญหา กับการบอกพวกเขาว่าโค้ดที่แก้ไขแล้วมีหน้าตาอย่างไร มันย่อส่วนงานส่วนที่ไม่น่าสนุกที่สุดของงานความปลอดภัย — การทำความเข้าใจโค้ดของคนอื่นให้ดีพอที่จะแก้ไขโดยไม่ทำให้สิ่งที่โค้ดนั้นทำอยู่พัง — และมันย่อส่วนงานนั้นให้กับคนที่เข้าใจโค้ดน้อยที่สุด นั่นก็คือความเสี่ยงเช่นกัน: แพตช์ที่ดูเหมือนถูกต้องและผ่านการรีวิวเพราะผู้รีวิวเหนื่อย คือบั๊กใหม่ที่มาพร้อมเครื่องหมายถูกสีเขียว

ข้อกล่าวอ้างที่สองเกี่ยวกับการปิดงาน Claude จะทำเครื่องหมายว่าสิ่งที่ตรวจพบได้รับการแก้ไขแล้วเมื่อการแก้ไขถูกนำออกเผยแพร่ ดังนั้นสิ่งที่ตรวจพบจึงถูกปิดแทนที่จะพอกพูนขึ้นมา Backlog ไม่ใช่ความล้มเหลวของการตรวจจับ แต่เป็นความล้มเหลวของการทำบัญชี: ช่องโหว่เดียวกันถูกรายงานเจ็ดครั้งจากการสแกนเจ็ดรอบ และคิวก็เพิ่มเร็วเกินกว่าที่ใครจะระบายได้ การติดตามสิ่งที่ตรวจพบไปจนถึงคอมมิตที่แก้ไขมันคือกลไกที่ทำให้ตัวสแกนแบบต่อเนื่องพอทนได้แทนที่จะทำให้ท้อใจ

Anthropic ระบุชัดเจนว่ามนุษย์ยังคงอยู่ในขั้นตอนการทำงาน โดยทุกแพตช์ต้องได้รับการตรวจทานและอนุมัติ ผู้ใดนำสิ่งนี้ไปใช้งานควรถือประโยคนั้นเป็นประโยคแกนหลักที่แบกรับความหมาย ไม่ใช่ข้อความปฏิเสธความรับผิดที่อยู่ด้านล่าง

สองรีลีส หนึ่งทิศทาง

Claude Security ไม่ได้เปิดตัวมาโดยลำพัง Anthropic เปิดตัว Code Review ในสถานะพร้อมใช้งานทั่วไปเมื่อวันที่ 15 ตุลาคม 2026 และความสามารถในการสแกนต่อเนื่องพร้อมการติดตามการแก้ไขของ Claude Security ก็เปิดตัวเมื่อวันที่ 21 ตุลาคม 2026 ในรูปแบบเบต้าสาธารณะสำหรับ Claude Enterprise เมื่อพิจารณาทั้งสองเรื่องร่วมกัน สิ่งนี้บ่งบอกถึงทิศทางว่า การรีวิวกำลังเปลี่ยนจากด่านที่การเปลี่ยนแปลงต้องผ่านในตอนท้าย ไปสู่กระบวนการที่ดำเนินไปควบคู่กับการเปลี่ยนแปลงขณะที่ถูกเขียนขึ้น ช่วงเวลาระหว่างสองวันนั้นสั้นพอที่ผลิตภัณฑ์ทั้งสองควรได้รับการประเมินเป็นเรื่องราวเดียวเกี่ยวกับทิศทางของงานด้านความปลอดภัย ไม่ใช่การเปิดตัวสองครั้งที่ไม่เกี่ยวข้องกัน

สิ่งที่ไม่ถูกเปิดเผย และตัวเลขที่จะชี้ขาดเรื่องนี้

รายการสิ่งที่ไม่ทราบตรงนี้ยาวกว่ารายการข้อกล่าวอ้าง และนั่นเป็นเรื่องปกติสำหรับ public beta มากกว่าจะเป็นเรื่องอื้อฉาว การสแกนครอบคลุมฐานโค้ดมากน้อยเพียงใดไม่มีการเผยแพร่ ระยะเวลาการสแกนไม่มีการเผยแพร่ อัตราผลบวกลวงไม่มีการเผยแพร่ เกณฑ์มาตรฐานการตรวจจับไม่มีการเผยแพร่ ไม่มีการประเมินที่เป็นอิสระ ราคาต่อที่นั่งไม่มีการเผยแพร่ และรายการภาษาที่รองรับก็ไม่มีการเผยแพร่เช่นกัน

ในบรรดาสิ่งเหล่านั้น benchmark การตรวจจับที่ยังขาดหายไปคือสิ่งที่เปลี่ยนการตัดสินใจซื้อ หากไม่มีสิ่งนี้ “ตรวจจับสิ่งที่สแกนเนอร์แบบจับคู่แพตเทิร์นพลาดไป” ก็เป็นข้อกล่าวอ้างเชิงทิศทางที่ไม่สามารถนำไปเปรียบเทียบกับสแกนเนอร์ที่มีอยู่ในงบประมาณแล้วได้ รายการภาษาที่รองรับเป็นอันดับที่สอง: พื้นที่เก็บโค้ดที่ใช้หลายภาษา (polyglot repository) เป็นกรณีปกติในบริษัททุกขนาด และสแกนเนอร์ที่ยอดเยี่ยมในสามภาษาแต่ไม่มีในอีกห้าภาษาที่เหลือ ก็คือสแกนเนอร์ที่ให้ภาพของขอบเขตความเสี่ยงที่ทำให้เข้าใจผิด

ไม่มีข้อใดในนี้หมายความว่าผลิตภัณฑ์ใช้งานไม่ได้ มันหมายความว่าการประเมินจะต้องดำเนินการโดยผู้ซื้อ ด้วยโค้ดของผู้ซื้อ’เอง และเดโมจะทำหน้าที่นั้นไม่ได้

แล้วจะประเมินมันยังไงดีล่ะ

หากทีมของคุณกำลังจะลองใช้มัน การทดลองที่มีประโยชน์ไม่ใช่รีโพซิทอรีใหม่ที่จงใจฝังจุดอ่อนไว้ แต่คือรีโพซิทอรีที่มีประวัติอยู่แล้ว เช่น บริการที่เคยเกิดเหตุการณ์เมื่อปีที่แล้ว ไลบรารีที่มีช่องโหว่ที่รู้กันอยู่ซึ่งใช้เวลาสองสัปดาห์กว่าจะปิดได้ หรือโมดูลที่ทุกคนรู้สึกหวั่น ๆ อยู่เล็กน้อย จงให้การสแกนตรวจรีโพซิทอรีนั้น แล้วเปรียบเทียบสิ่งที่พบกับสิ่งที่ทีมของคุณบันทึกไว้แล้ว การวัด recall กับปัญหาที่รู้อยู่แล้วนั้นทำได้ แม้ผู้ขายจะยังไม่ได้เผยแพร่ benchmark ก็ตาม เพราะ ground truth อยู่ในระบบติดตามเหตุการณ์ของคุณเอง

ประการที่สอง จับตาดูโมเดลภัยคุกคาม หากสิ่งแรกที่ทีมของคุณทำคือปิดหมวดหมู่ส่วนใหญ่เพื่อลดคิวลง แสดงว่าคุณได้เรียนรู้ว่าโมเดลเริ่มต้นไม่สอดคล้องกับความเสี่ยงที่ทีมของคุณแบกรับอยู่จริง และคุณควรแก้ไขโมเดลแทนที่จะแก้ไขตัวกรอง ประการที่สาม วัดขั้นตอนที่สำคัญ: ใช้เวลานานเท่าใดตั้งแต่มีสิ่งที่ตรวจพบปรากฏขึ้นจนถึงแพตช์ถูก merge ตัวเลขนั้นเป็นของทีมคุณ เทียบข้ามเครื่องมือได้ และเป็นตัวเลขที่ผลิตภัณฑ์อ้างว่าสามารถขยับได้จริง

ตำแหน่งที่เราเตอร์ตั้งอยู่ และตำแหน่งที่มันไม่ได้อยู่

ขอบเขตนี้ควรระบุให้ชัดเจน Claude Security เป็นแอปพลิเคชันของ Anthropic เราไม่ได้เป็นผู้โฮสต์ เราไม่ได้ขายมัน และเราไม่สามารถบอกคุณได้ว่ามันพบหรือไม่พบสิ่งใดในรีโพซิทอรีของคุณ สแกนเนอร์ทำงานบน Claude Mythos และเราไม่ได้อ้างว่าเป็นผู้โฮสต์โมเดลนั้น

สิ่งที่เราทำคือรันโมเดล เอนด์พอยต์เดียวที่เข้ากันได้กับ OpenAI คีย์เดียว มีโมเดลมากกว่า 200 โมเดลอยู่เบื้องหลัง ราคาตามรายการของผู้ให้บริการถูกส่งผ่านโดยไม่มีการบวกเพิ่ม และมีการ failover อัตโนมัติข้ามผู้ให้บริการเมื่อมีรายใดรายหนึ่งสะดุด Claude Opus 5.5 อยู่ในแคตตาล็อกนั้นในราคา $4.00 ต่อหนึ่งล้านโทเคนอินพุต และ $20.00 ต่อหนึ่งล้านโทเคนเอาต์พุต พร้อมบริบท 1M โทเคน และการอ่านแคชที่ $0.20 ต่อหนึ่งล้าน นั่นเป็นข้อเท็จจริงเกี่ยวกับแคตตาล็อกของเรา ไม่ใช่คำกล่าวอ้างเกี่ยวกับสแกนเนอร์

จุดที่สิ่งนี้เข้ามาเกี่ยวข้องคือส่วนของโปรแกรมความปลอดภัยที่ไม่ใช่สแกนเนอร์ ได้แก่ เครื่องมือภายในที่สรุปผลการตรวจพบหนึ่งพันรายการให้อยู่ในรูปแบบที่มนุษย์สามารถคัดกรองได้ เอเจนต์ที่ร่างประกาศคำแนะนำด้านความปลอดภัย และขั้นตอนการตรวจทานที่ทีมต้องการสร้างขึ้นโดยอิงกฎของตนเอง สิ่งเหล่านี้เป็นการเรียกโมเดลแบบปกติ และเราเตอร์เป็นวิธีที่สมเหตุสมผลในการทำโดยไม่ต้องฮาร์ดโค้ดผู้ให้บริการรายใดรายหนึ่ง routing DSL มีความสำคัญเมื่อขั้นตอนหนึ่งต้องการโมเดลขนาดเล็กสำหรับปริมาณงานมาก และขั้นตอนถัดไปต้องการโมเดลที่รอบคอบสำหรับการตัดสินใจ การสลับไปใช้ระบบสำรองอัตโนมัติมีความสำคัญเมื่อการเรียกนั้นอยู่ภายในไปป์ไลน์ที่ทำงานตอนตีสามและไม่มีใครเฝ้าดู

สิ่งที่เบต้าจริง ๆ แล้วกำลังขอให้คุณไว้วางใจ

ถอดกรอบการนำเสนอออกไป แล้วผลิตภัณฑ์นี้ก็เดิมพันสามอย่าง อย่างแรกคือโมเดลที่ให้เหตุผลเหนือโค้ดจะค้นพบสิ่งที่การจับคู่รูปแบบค้นพบไม่ได้ อย่างที่สองคือการตรวจสอบรอบที่สองเชิงปรปักษ์นั้นเพียงพอที่จะลดเสียงรบกวนลง อย่างที่สามคือการค้นพบจะถือว่าเสร็จสมบูรณ์ก็ต่อเมื่อแพตช์ถูกส่งออกและคิวปิดตามหลังไปแล้ว เดิมพันข้อที่สามเป็นข้อที่หรูหราน้อยที่สุดและมีแนวโน้มจะถูกต้องมากที่สุด เพราะมันเป็นข้อความเกี่ยวกับกระบวนการ ไม่ใช่เกี่ยวกับสติปัญญา

การเดิมพันแรกคือสิ่งที่ต้องทดสอบ Anthropic ได้เผยแพร่กลไกนี้ — การติดตามเส้นทางการไหลของข้อมูลข้ามไฟล์และรีโพซิทอรี — และไม่ได้เผยแพร่ตัวเลขใดที่แสดงว่ามันทำงานได้ดีเพียงใด นั่นไม่ใช่เหตุผลที่จะปฏิเสธผลิตภัณฑ์ แต่เป็นเหตุผลที่จะรันมันกับรีโพซิทอรีที่คุณรู้ประวัติอยู่แล้ว และตัดสินมันจากสิ่งที่ค้นพบซึ่งคุณตรวจสอบได้ ไม่ใช่จากสิ่งที่ดูน่าประทับใจในการสาธิต