Claude Code 2.1.214 แก้ Permission Bypass หลายจุด: เช็กลิสต์ก่อนปล่อย Agent ทำงานยาว

ถ้าคุณใช้ Claude Code แค่ถามโค้ดหรือแก้ไฟล์เล็ก ๆ release นี้อาจดูเป็นรายการ bug fix ยาว ๆ ครับ

แต่ถ้าคุณเริ่มปล่อย coding agent ทำงานกับ terminal, Docker, remote session, background task หรือ scheduled task เรื่องนี้สำคัญขึ้นทันที

Claude Code v2.1.214 แก้ behavior ของ permission check หลายจุดพร้อมกัน และเพิ่มสัญญาณสำหรับงานยาวกับ telemetry ด้วย

ประเด็นไม่ได้อยู่ที่ว่า Claude ฉลาดขึ้นแค่ไหน

ประเด็นคือ ชั้นที่ตัดสินว่า Agent ทำอะไรกับเครื่องเราได้ กำลังถูกแก้ให้แม่นขึ้น

1) เกิดอะไรขึ้นใน v2.1.214

Anthropic ปล่อย Claude Code v2.1.214 เป็น stable release เมื่อวันที่ 18 กรกฎาคม 2026 เวลา 01:20 UTC หรือ 08:20 น. ตามเวลาไทย

รายการเปลี่ยนแปลงยาวมาก แต่ถ้ามองจากงานจริง ผมแบ่งได้เป็น 4 กลุ่ม

กลุ่มที่ 1: Permission rule ต้องตรงกับ path ที่เราตั้งใจ

Release นี้แก้ rule แบบ single-segment dir/ เช่น Edit(src/)

ก่อนแก้ rule ลักษณะนี้อาจ auto-approve การเขียนไปยัง directory ชื่อ src ที่ซ้อนอยู่ตำแหน่งอื่นใน tree ไม่ได้จำกัดอยู่แค่ /src ตามที่คนตั้ง rule น่าจะเข้าใจ

หลังอัปเดต behavior ถูกจำกัดให้ตรงกับ path ใต้ current working directory มากขึ้น ส่วน hook condition ที่ต้องการ match ทุกระดับต้องเขียนเป็น /dir/ ให้ชัด

นี่เป็นตัวอย่างดีมากว่าความต่างเพียง src/ กับ /src/** ไม่ใช่เรื่อง syntax จุกจิกครับ มันคือขอบเขตสิทธิ์

กลุ่มที่ 2: Shell analyzer เลือก fail closed มากขึ้น

มีการแก้ permission check ของ Bash และ PowerShell หลายแบบ เช่น

• file-descriptor redirect ที่ Bash parse ต่างจาก permission analyzer
• zsh variable subscript และ modifier ใน [[ ]]
• help และ man บางรูปแบบที่มี option, command substitution หรือ path ที่ไม่ควรถูกมองว่าอ่านอย่างเดียว
• คำสั่งยาวเกิน 10,000 ตัวอักษร ซึ่งต่อไปจะถามก่อนแทนการ auto-approve
• permission-check bypass บน Windows PowerShell 5.1

คำว่า fail closed แปลแบบง่าย ๆ คือ ถ้าระบบวิเคราะห์ไม่มั่นใจ ให้หยุดถามคนก่อน แทนที่จะเดาว่าปลอดภัยแล้วปล่อยผ่าน

สำหรับ coding agent นี่เป็นค่าเริ่มต้นที่สมเหตุผลครับ เพราะ shell command หนึ่งบรรทัดสามารถรวม redirect, substitution และการเรียกโปรแกรมต่อกันหลายชั้นได้

กลุ่มที่ 3: Docker และ Remote Session ต้องรอคนให้ครบ

v2.1.214 เพิ่ม permission prompt สำหรับคำสั่ง docker รวมถึง Podman shim ที่ใช้ flag ชี้ไป daemon หรือ connection ภายนอก เช่น --url, --connection, --identity และ remote mode

เหตุผลคือคำสั่งที่หน้าตาเหมือน Docker ปกติอาจไม่ได้ทำงานกับ daemon ในเครื่องเดียวกัน

Release ยังแก้ remote session ที่ confirmation ฝั่ง local เคยตามไม่ทัน แล้ว session เดินต่อก่อนผู้ใช้กดยืนยัน

ถ้าทีมใช้ cloud worker, remote control หรือ background agent ประเด็นนี้สำคัญมากครับ เพราะระยะทางระหว่าง “คนเห็น prompt” กับ “agent เริ่มทำ” ต้องไม่มีช่องว่าง

กลุ่มที่ 4: งานยาวต้องมี heartbeat และ trace ที่ตามได้

นอกจาก permission แล้ว release นี้ยังเพิ่ม periodic progress heartbeat สำหรับ tool call ที่ทำงานนานและเคยเงียบไป

OpenTelemetry log event เพิ่ม message.uuid, client_request_id และ tool_source เพื่อช่วย correlate message กับที่มาของ tool ได้ละเอียดขึ้น

มีทั้งการแก้ stream-json ที่เคยถูกตัดตอน exit, การนับ cost/token ซ้ำ, scheduled task ที่ปฏิเสธ prompt ของตัวเอง และ background daemon/session หลายกรณี

ทั้งหมดนี้บอกภาพเดียวกันครับ: Coding agent กำลังขยับจาก interactive chat ไปสู่งานยาว งานเบื้องหลัง และงานที่ต่อกับระบบอื่นมากขึ้น

2) ทำไมคนทำงานควรสนใจ

หลายคนคิดว่า safety ของ AI อยู่ใน system prompt เช่น “ห้ามลบไฟล์” หรือ “ถามก่อน deploy”

Prompt ช่วยกำหนดพฤติกรรมครับ แต่ Anthropic ระบุชัดว่า permission rules ถูกบังคับใช้โดย Claude Code ไม่ใช่โดย model

คิดเหมือนออฟฟิศ:

• prompt คือคู่มือพนักงาน
• permission rule คือคีย์การ์ด
• sandbox คือห้องทดลองที่จำกัดความเสียหาย
• log คือกล้องและสมุดลงเวลา

เราไม่ควรแทนคีย์การ์ดด้วยป้ายเขียนว่า “กรุณาอย่าเข้าห้องนี้”

AI Agent ก็เหมือนกันครับ คำสั่งใน CLAUDE.md สำคัญ แต่ไม่ควรถูกใช้แทน permission, sandbox และ human approval

💡 ในความเห็นของผม release นี้มีค่ามากกว่า feature ที่ดูหวือหวาหลายตัว เพราะมันแก้ชั้นที่อยู่ระหว่างคำตอบของ model กับเครื่องจริง ถ้าชั้นนี้ตีความ command หรือ path ผิด ความฉลาดของ model ไม่ได้ช่วยให้ขอบเขตสิทธิ์กลับมาถูกเอง

3) ต้องหยุดใช้ Claude Code ไหม

ไม่ต้องครับ แต่ควรแยก 3 เรื่องออกจากกัน

Fact

Release note ทางการระบุว่ามีการแก้ permission-check bypass และ behavior ที่อาจ auto-approve กว้างกว่าที่ตั้งใจหลายจุด

Interpretation

ทีมที่ให้ Claude Code แตะ shell, Docker, remote sessions หรือ background jobs มีเหตุผลชัดเจนที่จะอัปเดตและตรวจ rules เร็วกว่าคนที่ใช้ read-only

Caveat

บทความนี้ไม่ได้สร้าง exploit เพื่อทดสอบ bypass เหล่านั้นเอง และ release เพิ่งออก ดังนั้นรายละเอียดผลกระทบเชิงลึกอาจมีการอัปเดตตามเอกสารภายหลัง

สิ่งที่ทำได้อย่างปลอดภัยตอนนี้คืออัปเดต ตรวจ configuration และใช้ disposable repo หรือ sandbox ทำ canary test

Operator Kit: Claude Code Permission Check 15 นาที

ใช้ checklist นี้ก่อนเริ่ม background, remote หรือ scheduled job รอบถัดไปครับ

นาที 0 ถึง 2: เช็กเวอร์ชันและขอบเขตงาน

• [ ] รัน claude --version และยืนยันว่าเป็น v2.1.214 หรือใหม่กว่า
• [ ] ระบุว่า session นี้ทำงานใน repo ไหน และ current working directory คืออะไร
• [ ] ถ้างานแตะ production, secret, deploy หรือ customer data ให้ย้ายไป isolated environment ก่อน

นาที 2 ถึง 5: เปิดดู Permission Rules

• [ ] ใช้ /permissions ดู allow, ask และ deny rules พร้อมไฟล์ต้นทาง
• [ ] หา rule ที่กว้าง เช่น Bash wildcard หรือ path แบบ dir/**
• [ ] ถามว่า rule นี้ตั้งใจให้ match เฉพาะ /dir หรือทุก dir ใน tree
• [ ] ลบ rule ที่ไม่มีเจ้าของหรือจำไม่ได้ว่ามาจากงานไหน

นาที 5 ถึง 8: ทำ Safe Canary Test

ทำใน repo ทิ้งได้, worktree แยก หรือ container เท่านั้น

• [ ] ทดสอบแก้ไฟล์ใต้ path ที่อนุญาต แล้วดูว่า behavior ตรงกับที่คาด
• [ ] ทดสอบ path ชื่อเดียวกันที่อยู่นอก scope ว่าระบบถามหรือปฏิเสธ
• [ ] ทดสอบ command ยาวหรือ redirect แบบ harmless ว่าระบบถามก่อน
• [ ] ทดสอบ Docker remote flag แบบไม่เชื่อม production ว่ามี prompt

จุดประสงค์ไม่ใช่หาช่องเจาะครับ แต่คือพิสูจน์ว่า configuration ของทีมทำงานตรงกับความเข้าใจ

นาที 8 ถึง 11: เช็ก Remote และ Background Flow

• [ ] confirmation ฝั่ง local ต้องมาก่อน action เสมอ
• [ ] tool call ยาวต้องมี progress heartbeat ไม่เงียบจนคนเดาว่าค้าง
• [ ] background session ต้องหยุด, เปิดต่อ และลบได้ตามที่ทีมคาด
• [ ] scheduled task ต้องรับ prompt ที่ตั้งไว้และสร้าง output ที่ review ได้

นาที 11 ถึง 13: เช็ก Telemetry Privacy

Claude Code เก็บ OpenTelemetry แบบ opt-in แต่ถ้าเปิดรายละเอียดเพิ่ม ข้อมูลอาจรวม prompt, response, command, path และ tool content ได้

• [ ] เปิดเฉพาะ metric/log ที่ต้องใช้จริง
• [ ] อย่าเปิด OTEL_LOG_TOOL_DETAILS, OTEL_LOG_TOOL_CONTENT หรือ raw API bodies โดยไม่ทบทวนข้อมูลอ่อนไหว
• [ ] ตั้ง retention, access และ redaction ที่ telemetry backend
• [ ] ใช้ tool_source, message.uuid และ client_request_id เพื่อหาที่มาของ action แทนการเก็บ content ทุกอย่าง

นาที 13 ถึง 15: บันทึก Permission Contract

คัดลอก template นี้ไว้กับ repo หรือ runbook ของทีม

Workflow:
Agent / version:
Workspace / cwd:
Allowed paths:
Allowed commands:
Always ask:
Denied actions:
Remote or background mode:
Sandbox boundary:
Proof before done:
Human owner:
Last tested:

ถ้าตอบช่องใดไม่ได้ อย่าเพิ่งเพิ่มสิทธิ์ครับ ลด scope ให้เล็กลงก่อน

5) ตัวอย่างกับทีมเล็ก

สมมติทีมต้องให้ Claude Code ช่วยแก้หน้า checkout และรัน test

ขอบเขตที่สมเหตุผลอาจเป็น:

• อ่าน repo ได้
• แก้เฉพาะ src/checkout/ และ test ที่เกี่ยวข้อง
• รัน unit test กับ typecheck
• ห้ามอ่าน .env
• ห้าม push, deploy หรือเชื่อม Docker daemon ภายนอก
• ต้องส่ง diff, test result และ unresolved risks ให้คน review

นี่ไม่ได้ทำให้ Agent ช้าลงแบบไร้เหตุผลครับ มันทำให้ทีมรู้ว่า automation จบตรงไหน และความรับผิดชอบของคนเริ่มตรงไหน

สรุป

Claude Code v2.1.214 ไม่ได้มี headline แบบ model ใหม่หรือ benchmark พุ่งครับ แต่เป็น release ที่ทีมใช้ coding agent จริงควรสนใจ

เพราะมันแก้ permission analyzer หลายจุด, ทำ remote confirmation ให้ตรงลำดับ, เพิ่ม prompt สำหรับ Docker remote flags และทำให้งานยาวสื่อสารสถานะกับ telemetry ได้ดีขึ้น

ในความเห็นของผม สิ่งที่ควรทำวันนี้ไม่ใช่ตกใจและปิด AI ทั้งหมด

ให้ อัปเดต, ตรวจ rule, ทำ canary test และบันทึก Permission Contract

Coding agent ที่ไว้ใจได้ ไม่ใช่ตัวที่ไม่เคยถามครับ แต่คือตัวที่ถามถูกจังหวะ และทำงานได้เฉพาะในขอบเขตที่เราตั้งใจจริง