Google เปิดตัว Mantis: ชุดเครื่องมือ AI ช่วยตรวจจับและแก้ช่องโหว่โค้ด
Google เปิดตัว Mantis ชุดเครื่องมือโอเพนซอร์สแบบแยกส่วนสำหรับ Coding Agents ที่ช่วยค้นหา ทำซ้ำ และแก้ไขช่องโหว่ความปลอดภัยได้อย่างแม่นยำ
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- Mantis ไม่ใช่สแกนเนอร์ทั่วไป แต่เป็นชุดคำสั่ง Slash Commands สำหรับ Coding Agents
- แบ่งการทำงานเป็นขั้นตอน ตั้งแต่เรียนรู้ประวัติโค้ด ค้นหา ไปจนถึงพิสูจน์และแพตช์
- ทำงานร่วมกับเฟรมเวิร์กยอดนิยมอย่าง Gemini CLI และ Google ADK ได้ทันที
- ใช้ gVisor หรือ Virtual Machine ที่ตัดการเชื่อมต่ออินเทอร์เน็ตในการจำลองการโจมตี
Google ได้ประกาศเปิดตัว Mantis ชุดเครื่องมือโอเพนซอร์สแบบแยกส่วน (Modular Skills Toolkit) ที่ถูกออกแบบมาเพื่อให้ Coding Agents สามารถปฏิบัติงานด้านความปลอดภัยได้อย่างครบวงจร ตั้งแต่การค้นหา วิเคราะห์ ทำซ้ำ ไปจนถึงการจัดทำแพตช์แก้ไขช่องโหว่ในซอร์สโค้ด โดยตัวเครื่องมือนี้ไม่ได้ถูกสร้างมาให้เป็นเพียงแค่สแกนเนอร์โค้ดแบบกดปุ่มแล้วปล่อยทิ้งไว้ แต่เป็นชุดคำสั่งแบบ Slash Commands ที่เอเจนต์ปัจจุบันสามารถโหลดไปใช้งาน พร้อมกฎข้อบังคับที่รัดกุมเกี่ยวกับการรันโค้ด
ในแง่ของการนำไปใช้งานจริง นักพัฒนาสามารถโคลนโปรเจกต์นี้และนำไปรันร่วมกับ Gemini CLI, Antigravity CLI, Google ADK หรือเฟรมเวิร์กของเอเจนต์อื่นๆ ที่เทียบเคียงกันได้ทันทีสำหรับการประเมินผลในระดับท้องถิ่นและภายในองค์กร แต่ยังไม่แนะนำสำหรับการใช้งานในระบบจริงบน Production ในตอนนี้
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
โครงสร้างการทำงานของ Mantis จะถูกเผยแพร่ในรูปแบบไดเรกทอรีทักษะแยกDrจากกัน โดยถูกเรียกใช้งานผ่านคำสั่ง Slash Commands และทำงานเชื่อมโยงกันเป็นลำดับขั้น ซึ่งผู้ดูแลระบบสามารถใช้คำสั่งขั้นสูงอย่าง /mantis-meta-agent เพื่อควบคุมลูปการทำงานทั้งหมดในเซสชันเดียวได้ โดยขั้นตอนการทำงานจะแบ่งออกเป็นระยะต่างๆ ดังนี้ครับ
- ระยะเริ่มต้น (เรียนรู้เป้าหมาย): ประกอบด้วยคำสั่ง
/mantis-historyสำหรับดึงประวัติการแก้ไขในอดีต,/mantis-summarizeเขียนแผนผังไดเรกทอรี,/mantis-architectureสร้างฐานความรู้ Markdown,/mantis-threat-modelกำหนดขอบเขตความน่าเชื่อถือ และ/mantis-planสร้างโรดแมปเป้าหมาย - ระยะกลาง (ค้นหาและคัดกรอง): ใช้
/mantis-researcherกวาดไฟล์ตามแผน ก่อนจะส่งต่อให้/mantis-dedupe,/mantis-reviewและ/mantis-criticช่วยตัดรายการที่ซ้ำซ้อนและกรองปัญหาที่ไม่เกิดขึ้นจริงในรุ่นที่ปล่อยให้ใช้งานออกไป - ระยะท้าย (พิสูจน์และแก้ไข): ใช้
/mantis-reproduceเพื่อรันเพย์โหลดภายใน gVisor หรือ VM ที่ปิดการเชื่อมต่อเน็ตเวิร์ก,/mantis-chainรวมกลุ่มช่องโหว่,/mantis-patchลงมือแก้ไขและตรวจสอบ,/mantis-calibrateให้คะแนนความเสี่ยงตั้งแต่ระดับ 1 ถึง 10,/mantis-reflectบันทึกบทเรียน และ/mantis-reportสรุปผลรายงาน
นอกจากนี้ยังมีคำสั่งใหม่อย่าง /mantis-advise ที่ทำหน้าที่สลับกระบวนการทำงาน โดยจะทำการสืบค้นโมเดลภัยคุกคาม สายพันธุ์บั๊กในอดีต และรูปแบบแพตช์ที่ได้รับการยืนยันแล้วก่อนที่นักพัฒนาจะลงมือเขียนโค้ด เพื่อป้องกันไม่ให้ข้อผิดพลาดประเภทเดิมกลับมาเกิดขึ้นซ้ำอีกในระบบ
การที่ Mantis เลือกใช้วิธีการเผยแพร่สัญญาการติดต่อระหว่างขั้นตอน (Inter-stage contracts) ถือเป็นแนวทางที่ชาญฉลาดมากในทางวิศวกรรมซอฟต์แวร์ เนื่องจากมันช่วยแก้ปัญหาความไม่แน่นอนของโมเดลภาษาขนาดใหญ่ (LLM) ที่มักจะคาดเดายากในการสั่งงานผ่าน Shell Commands การบังคับให้เอเจนต์ทำงานผ่านสคริปต์ที่กำหนดขอบเขตชัดเจนพร้อมระบบจำลองความปลอดภัยอย่าง gVisor จึงช่วยลดความเสี่ยงที่ AI จะเผลอรันคำสั่งที่เป็นอันตรายต่อระบบโครงสร้างพื้นฐานโดยไม่ตั้งใจ
ที่มา: MarkTechPost
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น