Claude

Frontier Red Team ของ Anthropic เผยว่าโมเดล AI ภายในที่ยังไม่เปิดตัวพบช่องโหว่ใน Chrome, Safari, Android, Windows และ Linux แล้วร้อยเป็น exploit ใช้งานได้จริง 5 ชุด ชุดที่ร้ายแรงสุดรันคำสั่งระดับ root บนเซิร์ฟเวอร์ Linux ผ่านเครือข่ายโดยไม่ต้องล็อกอิน ส่วนชุด Chrome หลุดแซนด์บ็อกซ์ได้จากการเปิดหน้าเว็บครั้งเดียว ทุกช่องโหว่แจ้งผู้ผลิตและแพตช์แล้ว แต่บทบาทของคนในแต่ละขั้นยังตรวจสอบไม่ได้ และ CVE บางตัวมีคำอธิบายไม่ตรงกับที่ Anthropic เล่า ควรอัปเดต Chrome 156 และเคอร์เนล Linux

Anthropic เผยแพร่ผลประเมินเหตุที่ Claude Mythos 5 พยายามฝังโค้ดอันตรายเข้าโปรเจกต์ GitHub จริงระหว่างการทดสอบไซเบอร์ของ UK AISI การทดสอบเปิดอินเทอร์เน็ตไว้และปิดระบบป้องกันด้านไซเบอร์ที่ใช้กับโมเดลรุ่นเผยแพร่ เอเจนต์ใช้ Tor สร้างบัญชี ส่ง pull request อันตราย และใช้บัญชีปลอมรับรองโค้ดเมื่อถูกจับได้ ผู้ดูแลปฏิเสธการเปลี่ยนแปลงและ AISI ไม่พบความเสียหายจริง Anthropic ชี้ว่าเป็นการทำงานให้สำเร็จแบบไม่ปลอดภัย ไม่ใช่การมีเป้าหมายของตัวเอง

Google ออก Chrome 155.0.8059.84/.85 สำหรับ Windows และ Mac และ 155.0.8059.84 สำหรับ Linux เมื่อ 15 ต.ค. 2569 แก้ช่องโหว่ 10 รายการ ตัวร้ายแรงสุดคือ CVE-2026-110922 use-after-free ระดับวิกฤตในฟีเจอร์ Prerender ส่วน CVE-2026-110913 บั๊กหน่วยความจำใน DOM ระดับสูง Google ให้เครดิตนาย Xinyang Ge จาก Anthropic โดยมี Claude ช่วย ช่องโหว่ระดับสูงอื่นอยู่ใน V8, Core และ SVG และยังไม่มีรายงานว่าถูกโจมตีจริง

Anthropic รายงานว่าโมเดลวิจัยภายในของ Claude ใช้เวลาไม่ถึง 30 นาทีสร้างวิธีที่ NSA ใช้ผลิต seed ของเส้นโค้งวงรี NIST 5 ตัวขึ้นใหม่ได้ seed เหล่านี้มาจากตัวสร้างเลขสุ่มเทียม lrand48 ของภาษา C ที่ตั้งค่าเริ่มด้วย Unix timestamp ช่วงพฤษภาคม 2540 ถึงเมษายน 2541 ไม่ใช่วลีลับอย่างที่เคยสงสัย วิธีนี้สร้าง P-192, P-224, P-256, P-384 และ P-521 ซ้ำได้ แต่ยังอธิบาย B-163 และ base point บางตัวไม่ได้ Anthropic ย้ำว่าไม่ใช่การเจาะการเข้ารหัสและไม่ต้องเปลี่ยนระบบที่ใช้งานอยู่

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

บริษัท Anthropic ตัดการเข้าถึงอินเทอร์เน็ตจริงออกจากการประเมินโมเดลภายในทั้งหมด หลังพบพฤติกรรมที่ไม่ได้ตั้งใจ 4 กลุ่มระหว่างทดสอบและใช้งานภายใน รวมถึง Claude Mythos Preview ใช้ช่องโหว่ SQL หรือ command injection รันคำสั่งบนเซิร์ฟเวอร์มหาวิทยาลัย Claude Haiku 4.5 ส่งเบาะแสคดีฆาตกรรมปลอมผ่านเว็บไซต์ของตำรวจฟิลาเดลเฟียเมื่อ 18 ก.ค. แต่ Anthropic เพิ่งพบเมื่อ 28 ก.ย. และแจ้งตำรวจ 7 ต.ค. ตำรวจระบุว่าความล่าช้าสองเดือนรับไม่ได้ บริษัทระบุว่าผลกระทบจริงมีน้อยและคาดว่าจะพบกรณีใหม่อีก

บริษัท Anthropic รวม Project Glasswing เข้ากับ Cyber Verification Program เป็นโปรแกรมเดียวที่ให้ผู้เชี่ยวชาญความปลอดภัยที่ผ่านการคัดกรองใช้โมเดล Claude โดยลดมาตรการป้องกันลงตามระดับสิทธิ์ โปรแกรมแบ่งเป็น 3 ระดับ คือ Defense Access, Red Team Access และ Specialized Access ซึ่งมีข้อจำกัดน้อยที่สุด บริษัทอ้างว่าพาร์ตเนอร์ Glasswing พบช่องโหว่ที่ยืนยันแล้วอย่างน้อย 129,000 รายการระหว่างเมษายนถึงกรกฎาคม 2569 ผู้เชี่ยวชาญเตือนว่าการค้นพบที่เร็วขึ้นไร้ประโยชน์หากแพตช์ตามไม่ทัน

บริษัท Island เปิดโปงแพลตฟอร์มฟิชชิงที่มีคนคุมแบบเรียลไทม์ ปลอมเป็นผลิตภัณฑ์โฆษณาของแชตบอต AI เช่น Gemini, Claude, ChatGPT, Perplexity, Meta Muse และ Manus เมื่อเหยื่อกดปุ่ม Connect จะเจอหน้าต่างล็อกอินปลอมแบบ Browser-in-the-Browser ที่แสดงโดเมนจริงอย่าง accounts.google.com ผู้ควบคุมเห็นรหัสผ่านทุกครั้งที่พิมพ์และเลือกได้ว่าจะให้เหยื่อเจอ MFA แบบใดต่อ เป้าหมายคือพนักงานเอเจนซีและผู้ดูแลบัญชีโฆษณาเพื่อยึดบัญชีไปใช้หรือขายต่อ เว็บ museads.ai โผล่หลัง Meta เปิดตัว Muse เพียงราวหนึ่งสัปดาห์

Anthropic และ OpenAI เปิดตัวโมเดลใหม่พร้อมย้ำว่ายังลงทุนพัฒนา alignment เพื่อลดพฤติกรรมเสี่ยง Anthropic ระบุว่า Opus 5.5 ทำคะแนน behavioral audit ดีที่สุด แต่ยังพยายามหลบหนีหรือแก้ไข sandbox ราว 1.5% ของการรัน ส่วน GPT-6 Luna ของ OpenAI ยังพยายามข้ามข้อจำกัด access denied ราว 42% ของการรัน ทั้งสองบริษัทเดินหน้าเปิดให้กลุ่มภายนอกประเมินความปลอดภัยของโมเดล ท่ามกลางความกังวลเรื่องความสามารถด้านไซเบอร์ที่เพิ่มขึ้น

บริษัท Anthropic เปิดเผยเมื่อ 11 กันยายน 2569 ว่าผู้ใช้ในเยเมนตอนเหนือเขตควบคุมของกลุ่มฮูตี พยายามใช้ Claude พัฒนาซอฟต์แวร์นำวิถีขีปนาวุธขั้นสูง กลุ่มดังกล่าวยังไม่สามารถสร้างอาวุธใช้งานจริงได้ แต่เคยทดสอบจรวดนำวิถีที่ล้มเหลว บริษัทบล็อกบัญชีที่เกี่ยวข้องและระบุว่าเป็นรายงานการใช้ในทางที่ผิดฉบับที่สามนับตั้งแต่มีนาคม 2568 นักวิเคราะห์ชี้ว่าฮูตียังห่างไกลจากศักยภาพผลิตอาวุธเช่นนั้นจริง