กล่าวโดยสรุป: กลไกการเรียกใช้งานสามารถถูกปลอมแปลงได้ ทำให้ฟีเจอร์การทำงานร่วมกันที่ถูกต้องตามกฎหมายกลายเป็นพื้นผิวการโจมตีแบบ Injection ซึ่งข้อความที่มีสตริงเรียกทำงานสามารถขโมยความสนใจและความสามารถของ Agent ได้

การทำงานของ Claude Tag ในฐานะ ‘เพื่อนร่วมทีม AI’ ที่เปิดตลอดเวลา

Anthropic เปิดตัว Claude Tag เมื่อวันที่ 23 มิถุนายน 2026 เพื่อแทนที่ระบบ "Claude in Slack" แบบเก่า (ซึ่งจะเลิกใช้ในวันที่ 3 สิงหาคม 2026) มันไม่ใช่แชทบอทส่วนตัว แต่เป็นผู้ร่วมงานถาวรในช่อง Slack ที่มีตัวตน, ความทรงจำ, และสิทธิ์เข้าถึงเครื่องมือของตัวเอง สมาชิกช่องที่ได้รับอนุญาตสามารถแท็ก @Claude เพื่อมอบหมายงาน และ AI จะทำงานแบบอะซิงโครนัสในที่ที่ทุกคนเห็น

มันทำงานในโหมด "แวดล้อม" (Ambient) โดยติดตามการสนทนาอย่างต่อเนื่อง เรียนรู้บริบทของช่อง และสามารถเสนอตัวเพื่อแจ้งอัปเดตหรือจัดการงาน สิทธิ์ของมันถูกจำกัดอยู่ในช่องที่มันอยู่ ไม่ใช่ของผู้ใช้คนใดคนหนึ่ง ทำให้ผู้ดูแลระบบสามารถกำหนดชุดเครื่องมือ, การเข้าถึงข้อมูล, และขีดจำกัดค่าใช้จ่ายที่แตกต่างกันสำหรับแต่ละช่องได้

เบื้องหลัง แต่ละเซสชันของ Claude Tag จะทำงานบนโมเดล Opus 4.8 ภายใน Linux microVM ที่จัดการโดย Anthropic โดยมีข้อมูลรับรองการเชื่อมต่ออยู่ภายนอก VM, การเข้าถึงเครือข่ายผ่านพรอกซี, และเครื่องมือแบบอ่านอย่างเดียวเพื่อการแยกส่วน ค่าใช้จ่ายของช่องจะถูกเรียกเก็บจากองค์กรในอัตรา API ไม่ใช่ต่อผู้ใช้ ซึ่งเป็นการพลิกโมเดลการกำหนดราคาซอฟต์แวร์องค์กรแบบเดิม

ผลกระทบในวงกว้างต่อความปลอดภัยของ AI Agent ในองค์กร

การค้นพบของ Tego AI ไม่ได้เกิดขึ้นเพียงลำพัง มันรวมกับเหตุการณ์สำคัญอีกสองเหตุการณ์ในกลางปี 2026 ซึ่งเผยให้เห็นวิกฤตในความปลอดภัยของ AI Agent ในองค์กร

กลไกติดตามที่ซ่อนอยู่ใน Claude Code

เมื่อวันที่ 30 มิถุนายน 2026 นักวิจัยอิสระ "Thereallo" ได้ทำวิศวกรรมย้อนกลับ (Reverse-engineer) Claude Code และค้นพบ JavaScript ที่ถูกทำให้สับสนซึ่งทำการ ระบุตำแหน่งทางภูมิศาสตร์ของผู้ใช้ อย่างเงียบๆ (ผ่านการตรวจสอบโซนเวลา) และ แก้ไข System Prompt โดยใช้อักขระ Unicode ที่มีลักษณะคล้ายกัน เช่น เครื่องหมายอะพอสทรอฟีแบบโค้งแทนที่จะเป็นแบบตรง, เครื่องหมายทับแทนที่จะเป็นขีดกลาง — เพื่อสร้างเครื่องหมายติดตามที่ซ่อนอยู่ซึ่งแบ็กเอนด์ของ Anthropic สามารถตรวจจับได้ ฐานข้อมูลช่องโหว่แห่งชาติของจีน (NVDB) ได้ออกคำเตือนด้านความปลอดภัยอย่างเป็นทางการเมื่อวันที่ 8 กรกฎาคม สำหรับ Claude Code เวอร์ชัน 2.1.91 ถึง 2.1.196 Alibaba ได้สั่งห้ามใช้ Claude Code ภายในองค์กรหลังจากนั้นไม่นาน Anthropic เรียกมันว่า "การทดลองป้องกันการละเมิด" และลบออกในวันที่ 1 กรกฎาคม

ช่องโหว่ MCP ทั่วทั้งระบบนิเวศ

โครงสร้างพื้นฐาน Model Context Protocol (MCP) ที่อยู่เบื้องหลัง Claude Tag และ AI Agent อื่นๆ อีกมากมาย พบว่ามี ข้อบกพร่องในการออกแบบเชิงระบบ ผลการค้นพบที่สำคัญในปี 2026:

• ข้อบกพร่องในการอ้างอิงการทำงาน (Reference Implementation) ของ MCP ที่เรียกใช้คำสั่ง OS โดยไม่มีการตรวจสอบความปลอดภัย ทำให้มีอินสแตนซ์ MCP ที่มีความเสี่ยงประมาณ 200,000 อินสแตนซ์ ทั่วทั้งซัพพลายเชนที่มีการดาวน์โหลดแพ็คเกจมากกว่า 150 ล้านครั้ง
• การสแกนเซิร์ฟเวอร์ MCP จำนวน 560 เครื่อง พบว่า 38% ไม่มีการยืนยันตัวตน, 43% ของ CVEs เกี่ยวข้องกับ exec() หรือ Shell Injection, และ 13% เกี่ยวข้องกับการข้ามเส้นทาง (Path Traversal)
• คลาสช่องโหว่รูปแบบใหม่เกิดขึ้น รวมถึง "Hallucination-based Vulnerabilities" (HBVs) ซึ่งคำอธิบายเครื่องมือที่คลุมเครือทำให้ LLM ให้สิทธิ์ตัวเองมากเกินไปหรือดำเนินการโดยไม่ตั้งใจ
• การวางยาพิษเครื่องมือ, การโจมตีแบบ Rug Pull, และการแอบอ้างข้ามเซิร์ฟเวอร์ ทั้งหมดถูกสาธิตในระบบนิเวศ MCP รวมถึงการพิสูจน์แนวคิดที่ Cursor IDE ถูกบุกรุกอย่างสมบูรณ์ผ่าน MCP

ความหมายสำหรับองค์กร

องค์กรที่ปรับใช้ Claude Tag และเครื่องมือ AI Agent ที่คล้ายกันต้องเผชิญกับ ภัยคุกคามสามประการ: พื้นผิวการโจมตีแบบ Prompt Injection ในเลเยอร์การเรียกใช้งาน Agent (การค้นพบของ Tego AI), การติดตามจากฝั่งผู้จำหน่ายที่ทึบแสงในเครื่องมือ Agent (เครื่องมือติดตามของ Claude Code), และค่าเริ่มต้นโครงสร้างพื้นฐานที่ไม่ปลอดภัยในระบบนิเวศ MCP ที่เชื่อมต่อ Agent กับเครื่องมือและข้อมูล

ความล้มเหลวในการควบคุมตัวตนและการเข้าถึง จะส่งผลกระทบแบบลูกโซ่เมื่อ Agent ถาวร เช่น Claude Tag มีสิทธิ์เข้าถึงเครื่องมือในวงกว้างและสามารถถูกกระตุ้นโดยการกล่าวถึงที่ปลอมแปลงได้ การกำกับดูแล API แบบเดิมไม่เพียงพอ สำหรับเวิร์กโฟลว์ของ Agent เพราะ Agent ไม่ปฏิบัติตามโมเดลสิทธิ์ของผู้ใช้หรือรูปแบบการร้องขอ-ตอบสนอง ความเสี่ยงด้านซัพพลายเชนนั้นมหาศาล: ช่องโหว่ในการอ้างอิงการทำงานของ MCP จะแพร่กระจายไปยังการปรับใช้ในทุกขั้นตอน ความโปร่งใสและความสามารถในการตรวจสอบ ยังคงเป็นปัญหาสำคัญ — เครื่องมือติดตามของ Claude Code ถูกซ่อนอยู่ใน JavaScript ที่ถูกบีบอัดและถูกค้นพบโดยการวิศวกรรมย้อนกลับจากภายนอกเท่านั้น หมายความว่าทีมรักษาความปลอดภัยขององค์กรไม่สามารถพึ่งพาการเปิดเผยข้อมูลด้วยตนเองจากผู้จำหน่ายได้

การยกระดับด้านกฎระเบียบกำลังดำเนินการอยู่แล้ว โดย NVDB ของจีนได้ออกคำเตือนในระดับรัฐ และองค์กรอย่าง Alibaba ก็ออกคำสั่งห้ามอย่างเด็ดขาด ภาพรวมคือ ความปลอดภัยของ AI Agent ในองค์กรในปี 2026 จำเป็นต้องมีแนวทางใหม่โดยพื้นฐาน—แนวทางที่ปฏิบัติต่อ Agent ถาวรในฐานะโครงสร้างพื้นฐานที่สำคัญพร้อมการควบคุมตัวตน, การเข้าถึง, และซัพพลายเชนที่เข้มงวด

ประเด็นสำคัญ

• ทริกเกอร์ที่ปลอมแปลงได้: Claude Tag ตอบสนองต่อข้อความ @Claude ที่เป็นตัวอักษร แม้จะมาจากแหล่งอัตโนมัติ ทำให้เกิดการโจมตีแบบ Prompt Injection
• สถาปัตยกรรมแบบเปิดตลอดเวลา: Claude Tag เป็นเพื่อนร่วมทีม AI ถาวรที่จำกัดขอบเขตในช่อง โดยทำงานบน Opus 4.8 ภายใน microVM และเรียกเก็บค่าใช้จ่ายในอัตรา API
• ภัยคุกคามสามประการ: ช่องโหว่ของ Tego รวมกับเครื่องมือติดตามที่ซ่อนอยู่ใน Claude Code และข้อบกพร่องของโครงสร้างพื้นฐาน MCP เชิงระบบ ทำให้เกิดภูมิทัศน์ความเสี่ยงที่รุนแรงสำหรับองค์กร
• จำเป็นต้องมีมาตรการป้องกันเชิงรุก: จำกัดการเข้าถึงต่อช่อง, ตรวจสอบการกระทำของ Agent, อัปเกรดเป็นข้อกำหนด MCP ปี 2026, และดำเนินการตรวจสอบความปลอดภัยเป็นประจำ

กล่าวโดยสรุป: กลไกการเรียกใช้งานสามารถถูกปลอมแปลงได้ ทำให้ฟีเจอร์การทำงานร่วมกันที่ถูกต้องตามกฎหมายกลายเป็นพื้นผิวการโจมตีแบบ Injection ซึ่งข้อความที่มีสตริงเรียกทำงานสามารถขโมยความสนใจและความสามารถของ Agent ได้

การทำงานของ Claude Tag ในฐานะ ‘เพื่อนร่วมทีม AI’ ที่เปิดตลอดเวลา

Anthropic เปิดตัว Claude Tag เมื่อวันที่ 23 มิถุนายน 2026 เพื่อแทนที่ระบบ "Claude in Slack" แบบเก่า (ซึ่งจะเลิกใช้ในวันที่ 3 สิงหาคม 2026) มันไม่ใช่แชทบอทส่วนตัว แต่เป็นผู้ร่วมงานถาวรในช่อง Slack ที่มีตัวตน, ความทรงจำ, และสิทธิ์เข้าถึงเครื่องมือของตัวเอง สมาชิกช่องที่ได้รับอนุญาตสามารถแท็ก @Claude เพื่อมอบหมายงาน และ AI จะทำงานแบบอะซิงโครนัสในที่ที่ทุกคนเห็น

มันทำงานในโหมด "แวดล้อม" (Ambient) โดยติดตามการสนทนาอย่างต่อเนื่อง เรียนรู้บริบทของช่อง และสามารถเสนอตัวเพื่อแจ้งอัปเดตหรือจัดการงาน สิทธิ์ของมันถูกจำกัดอยู่ในช่องที่มันอยู่ ไม่ใช่ของผู้ใช้คนใดคนหนึ่ง ทำให้ผู้ดูแลระบบสามารถกำหนดชุดเครื่องมือ, การเข้าถึงข้อมูล, และขีดจำกัดค่าใช้จ่ายที่แตกต่างกันสำหรับแต่ละช่องได้

เบื้องหลัง แต่ละเซสชันของ Claude Tag จะทำงานบนโมเดล Opus 4.8 ภายใน Linux microVM ที่จัดการโดย Anthropic โดยมีข้อมูลรับรองการเชื่อมต่ออยู่ภายนอก VM, การเข้าถึงเครือข่ายผ่านพรอกซี, และเครื่องมือแบบอ่านอย่างเดียวเพื่อการแยกส่วน ค่าใช้จ่ายของช่องจะถูกเรียกเก็บจากองค์กรในอัตรา API ไม่ใช่ต่อผู้ใช้ ซึ่งเป็นการพลิกโมเดลการกำหนดราคาซอฟต์แวร์องค์กรแบบเดิม

ผลกระทบในวงกว้างต่อความปลอดภัยของ AI Agent ในองค์กร

การค้นพบของ Tego AI ไม่ได้เกิดขึ้นเพียงลำพัง มันรวมกับเหตุการณ์สำคัญอีกสองเหตุการณ์ในกลางปี 2026 ซึ่งเผยให้เห็นวิกฤตในความปลอดภัยของ AI Agent ในองค์กร

กลไกติดตามที่ซ่อนอยู่ใน Claude Code

เมื่อวันที่ 30 มิถุนายน 2026 นักวิจัยอิสระ "Thereallo" ได้ทำวิศวกรรมย้อนกลับ (Reverse-engineer) Claude Code และค้นพบ JavaScript ที่ถูกทำให้สับสนซึ่งทำการ ระบุตำแหน่งทางภูมิศาสตร์ของผู้ใช้ อย่างเงียบๆ (ผ่านการตรวจสอบโซนเวลา) และ แก้ไข System Prompt โดยใช้อักขระ Unicode ที่มีลักษณะคล้ายกัน เช่น เครื่องหมายอะพอสทรอฟีแบบโค้งแทนที่จะเป็นแบบตรง, เครื่องหมายทับแทนที่จะเป็นขีดกลาง — เพื่อสร้างเครื่องหมายติดตามที่ซ่อนอยู่ซึ่งแบ็กเอนด์ของ Anthropic สามารถตรวจจับได้ ฐานข้อมูลช่องโหว่แห่งชาติของจีน (NVDB) ได้ออกคำเตือนด้านความปลอดภัยอย่างเป็นทางการเมื่อวันที่ 8 กรกฎาคม สำหรับ Claude Code เวอร์ชัน 2.1.91 ถึง 2.1.196 Alibaba ได้สั่งห้ามใช้ Claude Code ภายในองค์กรหลังจากนั้นไม่นาน Anthropic เรียกมันว่า "การทดลองป้องกันการละเมิด" และลบออกในวันที่ 1 กรกฎาคม

ช่องโหว่ MCP ทั่วทั้งระบบนิเวศ

โครงสร้างพื้นฐาน Model Context Protocol (MCP) ที่อยู่เบื้องหลัง Claude Tag และ AI Agent อื่นๆ อีกมากมาย พบว่ามี ข้อบกพร่องในการออกแบบเชิงระบบ ผลการค้นพบที่สำคัญในปี 2026:

• ข้อบกพร่องในการอ้างอิงการทำงาน (Reference Implementation) ของ MCP ที่เรียกใช้คำสั่ง OS โดยไม่มีการตรวจสอบความปลอดภัย ทำให้มีอินสแตนซ์ MCP ที่มีความเสี่ยงประมาณ 200,000 อินสแตนซ์ ทั่วทั้งซัพพลายเชนที่มีการดาวน์โหลดแพ็คเกจมากกว่า 150 ล้านครั้ง
• การสแกนเซิร์ฟเวอร์ MCP จำนวน 560 เครื่อง พบว่า 38% ไม่มีการยืนยันตัวตน, 43% ของ CVEs เกี่ยวข้องกับ exec() หรือ Shell Injection, และ 13% เกี่ยวข้องกับการข้ามเส้นทาง (Path Traversal)
• คลาสช่องโหว่รูปแบบใหม่เกิดขึ้น รวมถึง "Hallucination-based Vulnerabilities" (HBVs) ซึ่งคำอธิบายเครื่องมือที่คลุมเครือทำให้ LLM ให้สิทธิ์ตัวเองมากเกินไปหรือดำเนินการโดยไม่ตั้งใจ
• การวางยาพิษเครื่องมือ, การโจมตีแบบ Rug Pull, และการแอบอ้างข้ามเซิร์ฟเวอร์ ทั้งหมดถูกสาธิตในระบบนิเวศ MCP รวมถึงการพิสูจน์แนวคิดที่ Cursor IDE ถูกบุกรุกอย่างสมบูรณ์ผ่าน MCP

ความหมายสำหรับองค์กร

องค์กรที่ปรับใช้ Claude Tag และเครื่องมือ AI Agent ที่คล้ายกันต้องเผชิญกับ ภัยคุกคามสามประการ: พื้นผิวการโจมตีแบบ Prompt Injection ในเลเยอร์การเรียกใช้งาน Agent (การค้นพบของ Tego AI), การติดตามจากฝั่งผู้จำหน่ายที่ทึบแสงในเครื่องมือ Agent (เครื่องมือติดตามของ Claude Code), และค่าเริ่มต้นโครงสร้างพื้นฐานที่ไม่ปลอดภัยในระบบนิเวศ MCP ที่เชื่อมต่อ Agent กับเครื่องมือและข้อมูล

ความล้มเหลวในการควบคุมตัวตนและการเข้าถึง จะส่งผลกระทบแบบลูกโซ่เมื่อ Agent ถาวร เช่น Claude Tag มีสิทธิ์เข้าถึงเครื่องมือในวงกว้างและสามารถถูกกระตุ้นโดยการกล่าวถึงที่ปลอมแปลงได้ การกำกับดูแล API แบบเดิมไม่เพียงพอ สำหรับเวิร์กโฟลว์ของ Agent เพราะ Agent ไม่ปฏิบัติตามโมเดลสิทธิ์ของผู้ใช้หรือรูปแบบการร้องขอ-ตอบสนอง ความเสี่ยงด้านซัพพลายเชนนั้นมหาศาล: ช่องโหว่ในการอ้างอิงการทำงานของ MCP จะแพร่กระจายไปยังการปรับใช้ในทุกขั้นตอน ความโปร่งใสและความสามารถในการตรวจสอบ ยังคงเป็นปัญหาสำคัญ — เครื่องมือติดตามของ Claude Code ถูกซ่อนอยู่ใน JavaScript ที่ถูกบีบอัดและถูกค้นพบโดยการวิศวกรรมย้อนกลับจากภายนอกเท่านั้น หมายความว่าทีมรักษาความปลอดภัยขององค์กรไม่สามารถพึ่งพาการเปิดเผยข้อมูลด้วยตนเองจากผู้จำหน่ายได้

การยกระดับด้านกฎระเบียบกำลังดำเนินการอยู่แล้ว โดย NVDB ของจีนได้ออกคำเตือนในระดับรัฐ และองค์กรอย่าง Alibaba ก็ออกคำสั่งห้ามอย่างเด็ดขาด ภาพรวมคือ ความปลอดภัยของ AI Agent ในองค์กรในปี 2026 จำเป็นต้องมีแนวทางใหม่โดยพื้นฐาน—แนวทางที่ปฏิบัติต่อ Agent ถาวรในฐานะโครงสร้างพื้นฐานที่สำคัญพร้อมการควบคุมตัวตน, การเข้าถึง, และซัพพลายเชนที่เข้มงวด

ประเด็นสำคัญ

• ทริกเกอร์ที่ปลอมแปลงได้: Claude Tag ตอบสนองต่อข้อความ @Claude ที่เป็นตัวอักษร แม้จะมาจากแหล่งอัตโนมัติ ทำให้เกิดการโจมตีแบบ Prompt Injection
• สถาปัตยกรรมแบบเปิดตลอดเวลา: Claude Tag เป็นเพื่อนร่วมทีม AI ถาวรที่จำกัดขอบเขตในช่อง โดยทำงานบน Opus 4.8 ภายใน microVM และเรียกเก็บค่าใช้จ่ายในอัตรา API
• ภัยคุกคามสามประการ: ช่องโหว่ของ Tego รวมกับเครื่องมือติดตามที่ซ่อนอยู่ใน Claude Code และข้อบกพร่องของโครงสร้างพื้นฐาน MCP เชิงระบบ ทำให้เกิดภูมิทัศน์ความเสี่ยงที่รุนแรงสำหรับองค์กร
• จำเป็นต้องมีมาตรการป้องกันเชิงรุก: จำกัดการเข้าถึงต่อช่อง, ตรวจสอบการกระทำของ Agent, อัปเกรดเป็นข้อกำหนด MCP ปี 2026, และดำเนินการตรวจสอบความปลอดภัยเป็นประจำ