GitHub ของ Cloudflare มีดาวราว 65,600 ดวง สำหรับสกิลตรวจสอบความปลอดภัยโค้ด

คลังโค้ดของสกิลตรวจสอบความปลอดภัยโค้ดที่ Cloudflare (Cloudflare, NET) เผยแพร่ มียอดดาวบน GitHub ราว 65,600 ดวง ณ วันที่ 8 เครื่องมือสาธารณะนี้แนะนำให้เอเจนต์เขียนโค้ดค้นหาจุดที่อาจมีช่องโหว่ แล้วให้เอเจนต์อีกตัวตรวจสอบข้อค้นพบ

หน้า GitHub แสดงยอดดาว 65.6k ดวงและยอด fork 4.3k รายการ ซึ่งเป็นตัวเลขปัดเศษ จึงไม่อาจทราบยอดดาวที่แน่นอนได้จากข้อมูลบนหน้านี้เพียงอย่างเดียว

ตัวเลขดาวที่เพิ่มขึ้นในวันที่ 7 พฤศจิกายนแตกต่างกันตามผู้รวบรวมข้อมูล RepoRadar นับได้ 2,088 ดวง, RepoTrending นับได้ 2,520 ดวง และ Ageshio นับได้ 2,548 ดวง

โพสต์บน X ของ @trending_repos ซึ่ง Trendshift นำไปจัดทำดัชนี ระบุว่ายอดดาวเพิ่มขึ้น 2,088 ดวงใน 24 ชั่วโมง แต่ตารางรายวันของวันที่ 7 พฤศจิกายนบนหน้าเดียวกันระบุ 1,583 ดวง ยังไม่มีข้อมูลยืนยันว่าโพสต์และตารางรายวันใช้เวลาอ้างอิงกับช่วงรวบรวมข้อมูลเดียวกัน จึงยากที่จะสรุปยอดเพิ่มขึ้นเป็นตัวเลขเดียว

จำนวนดาวเป็นสัญญาณที่ใช้ประเมินความสนใจต่อคลังโค้ด แต่ไม่ได้บอกจำนวนการติดตั้งหรือใช้งานจริง และไม่ได้ชี้วัดประสิทธิภาพการค้นหาช่องโหว่ ยอดที่แสดงบน GitHub และตัวเลขการเพิ่มขึ้นจากเว็บไซต์ติดตามจึงยังใช้ตัดสินการใช้งานหรือผลด้านความปลอดภัยของเครื่องมือนี้ไม่ได้

คลังโค้ดเผยแพร่ภายใต้สัญญาอนุญาต MIT และเป็นเครื่องมือที่แนะนำขั้นตอนตรวจสอบเป็นลำดับให้เอเจนต์เขียนโค้ด มากกว่าจะเป็นสแกนเนอร์ค้นหาช่องโหว่แบบทำงานเดี่ยว การตรวจสอบเริ่มจากสำรวจโครงสร้างโค้ด ขอบเขตความเชื่อถือ และจุดรับข้อมูลจากภายนอก

จากนั้นจะแบ่งขอบเขตการตรวจสอบเพื่อค้นหาจุดที่อาจมีช่องโหว่ แล้วให้เอเจนต์ที่พบประเด็นในตอนแรกและเอเจนต์อีกตัวโต้แย้งและตรวจสอบข้อค้นพบ ขั้นตอนทั้งหมดมี 6 ขั้น ตั้งแต่จัดทำผลลัพธ์ที่มีโครงสร้าง ตรวจสอบแยกต่างหาก ไปจนถึงเขียนรายงาน

ข้อค้นพบจะถูกบันทึกใน findings.json โดยแยกเป็น ‘ยืนยันแล้ว’ (confirmed), ‘ต้องตรวจสอบเพิ่มเติม’ (needs_validation) และ ‘ปฏิเสธ’ (rejected) ระบบจึงแยกสถานะการตรวจสอบ แทนการถือว่าประเด็นที่พบทั้งหมดเป็นช่องโหว่ที่ยืนยันแล้ว

ในบทความด้านเทคนิคเมื่อวันที่ 18 มิถุนายน Cloudflare ระบุว่าสกิลขนาดประมาณ 450 บรรทัด ซึ่งตรวจสอบคลังโค้ดทีละแห่ง เป็นจุดเริ่มต้นของระบบตรวจจับช่องโหว่ที่ใหญ่กว่า สกิลที่เผยแพร่นี้ไม่ได้หมายถึงระบบตรวจจับทั้งหมดของบริษัท

บริษัทระบุว่าจากการทดสอบภายใน การเรียกใช้หนึ่งครั้งพบช่องโหว่ได้ประมาณครึ่งหนึ่งของจำนวนที่พบจากการเรียกใช้ซ้ำหลายครั้ง ตัวเลขนี้มาจากประสบการณ์ทดสอบของบริษัทเอง ไม่ใช่ผลการวัดจากหน่วยงานอิสระ

การพูดคุยบน Hacker News มีผู้แสดงความเห็นเชิงบวกต่อขั้นตอนการตรวจสอบ ความเห็นต่าง ๆ กล่าวถึงประสบการณ์ส่วนตัวเรื่องปริมาณการใช้โทเคน และเสนอให้เริ่มตรวจสอบจากขอบเขตแคบ ๆ ขณะเดียวกันก็มีผู้ถามถึงเหตุผลที่ต้องใช้แซนด์บ็อกซ์ระดับระบบปฏิบัติการ

ก่อนหน้านี้ TokenPost รายงานเรื่อง NVIDIA ตรวจสอบ AI skill จำนวน 947 รายการไว้ใน ข่าวนี้

คลังโค้ดนี้ออกแบบมาสำหรับคลังโค้ดทั่วไป เอกสารที่เผยแพร่ยังไม่มีผลการทดสอบการใช้งานกับสมาร์ตคอนแทรกต์ กระเป๋าเงิน หรือโค้ดของแพลตฟอร์มซื้อขาย

การใช้งานต้องมีเอเจนต์เขียนโค้ดที่รองรับการเรียกใช้เครื่องมือและเอเจนต์ย่อยแบบขนาน รวมถึง Node.js สำหรับเรียกใช้ตัวตรวจสอบ เอกสารแนะนำให้แยกการ build การทดสอบ และการทำงานของโปรเซสในโค้ดเป้าหมายไว้ภายในแซนด์บ็อกซ์ระดับระบบปฏิบัติการ

คลังโค้ดกำหนดให้แซนด์บ็อกซ์ปิดกั้นเครือข่ายภายนอก ใช้รายการอนุญาตสำหรับตัวแปรสภาพแวดล้อม จำกัดทรัพยากร และอนุญาตให้เขียนได้เฉพาะเส้นทางที่กำหนด หากไม่สามารถจัดเตรียมเงื่อนไขการแยกการทำงานที่จำเป็นได้ ระบบจะไม่เรียกใช้โค้ดเป้าหมาย และจะบันทึกข้อค้นพบเป็น ‘ต้องตรวจสอบเพิ่มเติม’