Harness ปล่อยเอเจนต์ AI เพื่อสแกน, จัดลำดับความสำคัญ, และแก้ไขช่องโหว่ด้วยความเร็วระดับเครื่อง

Harness, บริษัทแพลตฟอร์มการส่งมอบซอฟต์แวร์จากซานฟรานซิสโก, เปิดตัวชุดเอเจนต์ความปลอดภัย AI เมื่อวันที่ 19 สิงหาคม 2026 — AI SAST, การจัดลำดับความสำคัญและการแก้ไขโดยเอเจนต์, Zero-Day Agent เฉพาะทาง, และการแพตช์เสมือน — ซึ่งออกแบบมาเพื่อลดช่องว่างระหว่างการค้นพบช่องโหว่และการส่งมอบการแก้ไขจากหลายสัปดาห์เหลือเป็นชั่วโมง

การโน้มน้าวอ้างอิงจากความไม่สมดุลที่ผู้ป้องกันกำลังพ่ายแพ้ไปเรื่อย ๆ ในโพสต์วิศวกรรมของ Harness ที่อธิบายการเปิดตัวนี้ บริษัทอ้างอิงรายงาน Edgescan 2026 Vulnerability Statistics Report ซึ่งระบุค่าเฉลี่ย 55 วันในการแก้ไขช่องโหว่ เมื่อเทียบกับระยะเวลาของผู้โจมตี (ที่ติดตามโดย Zero Day Clock) ที่สามารถทำการโจมตีครั้งแรกได้ภายในหกชั่วโมงหลังการเปิดเผย แม้จะมีการเขียนการแก้ไขแล้ว รายงาน DORA 2025 ยังระบุระยะเวลาจากคอมมิตถึงการผลิตเกินหนึ่งสัปดาห์ ผู้ป้องกันกำลังพยายามปิดช่องว่างที่วัดเป็นชั่วโมงด้วยกระบวนการที่ใช้เวลาหลายสัปดาห์

โมเดลแนวหน้าตอนนี้กดดันทั้งสองด้านของช่องว่างนั้น การสแกนโดยใช้ LLM แสดงผลลัพธ์ที่พบมากกว่าการวิเคราะห์แบบสถิติโดยธรรมชาติอย่างมาก — พันธมิตรใน Project Glasswing ของ Anthropic ซึ่งให้ผู้ร่วมงานด้านความปลอดภัยเข้าถึงโมเดล Claude Mythos Preview เพื่อค้นหาช่องโหว่ในซอฟต์แวร์สำคัญ พบว่ามีช่องโหว่เพิ่มประมาณ 10 เท่าในการทดสอบ อย่างไรก็ตาม การมองเห็นโดยไม่มีการประมวลผลก็แค่ทำให้คิวงานยาวขึ้น: Comcast ซึ่งเป็นผู้เข้าร่วม Project Glasswing พบว่า 44% ของผลลัพธ์ LLM ที่มีความรุนแรงระดับวิกฤตและสูงเป็นผลบวกเท็จ และเพียง 36% ของผลลัพธ์วิกฤตและ 33% ของผลลัพธ์ระดับสูงเท่านั้นที่ยืนยันว่าเป็นช่องโหว่ที่สามารถโจมตีได้

“เรามาถึงจุดที่โมเดล AI เดียวกันที่ช่วยให้ลูกค้าของเราส่งซอฟต์แวร์ได้เร็วขึ้นนั้นก็เป็นสิ่งที่ผู้โจมตีใช้เพื่อค้นหาและโจมตีช่องโหว่ได้เร็วขึ้นเช่นกัน” Rahul Sood, ผู้จัดการทั่วไปด้านความปลอดภัยแอปพลิเคชันของ Harness กล่าวในประกาศของบริษัท “วิธีเดียวที่จะปิดช่องว่างนั้นคือทำให้ความปลอดภัยเป็นส่วนสำคัญระดับแรกของกระบวนการส่งมอบเอง”

สิ่งที่เอเจนต์ทำจริง ๆ

ชั้นสแกนถูกออกแบบให้แยกแยะระหว่างการวิเคราะห์เชิงกำหนดและเชิงความน่าจะเป็นอย่างเจตนา ซึ่งเป็นการเลือกออกแบบที่โดดเด่นในช่วงที่อุตสาหกรรมให้ความสนใจอย่างมากต่อการใช้ LLM กับฐานโค้ด Harness’s AI SAST ผสานเครื่องยนต์ dataflow เชิงกำหนดกับชั้นความเชื่อมั่น AI ที่จำแนกแต่ละผลการค้นหาเป็นความเสี่ยงที่ยืนยัน, ความเสี่ยงที่เป็นไปได้, หรือปลอดภัยตามบริบท การเปรียบเทียบของบริษัทกับชุดข้อมูล OWASP Java ระบุว่าชั้นนี้ลดผลบวกเท็จได้ 79% (จาก 454 เหลือ 95) และเพิ่มความแม่นยำจาก 74% เป็น 93% ในขณะที่รักษาการเรียกคืนไว้ที่ 91% สำหรับ insecure direct object reference (คลาสการควบคุมการเข้าถึงที่เสียหายซึ่งการวิเคราะห์ dataflow ไม่สามารถมองเห็นได้ เนื่องจากไม่มีอินพุตที่ผิดรูปแบบให้จับคู่) Harness อ้างว่ามีการเรียกคืน 71% ที่ความแม่นยำ 99% ในชุดข้อมูล 390 กรณีของ Go, Java, และ Python นี่คือข้อมูลเปรียบเทียบของผู้จำหน่ายที่รายงานด้วยตนเอง แต่ข้อโต้แย้งพื้นฐานนั้นมั่นคง: ตัวสแกนเชิงความน่าจะเป็นที่ให้ผลลัพธ์ต่างกันเมื่อสแกนโค้ดเดียวกันสองครั้ง พร้อมค่าบริการต่อโทเคนต่อการสแกน ไม่เหมาะกับการตรวจสอบต่อเนื่องใน CI/CD Harness จึงจัดตำแหน่งการสแกน LLM ให้เหมาะกับการล่าแบบครั้งเดียวและเสนอ LLM Scan Orchestration สำหรับทีมที่ต้องการรันสแกนเนอร์ LLM ของตนเองโดยตรงในสายการทำงาน

ต่อมาด้านล่าง Triage Agent จัดลำดับความสำคัญของผลลัพธ์โดยรวม CVSS, EPSS, และการวิเคราะห์การเข้าถึง: Harness ตอนนี้สามารถติดตามเส้นทางการเรียกไปยังฟังก์ชันที่มีช่องโหว่เฉพาะเจาะจง ทำให้การพึ่งพาถูกระบุเฉพาะเมื่อฟังก์ชันนั้นสามารถเข้าถึงได้เท่านั้น จากนั้น Remediation Agent จะเขียนการแก้ไข, ตรวจสอบความถูกต้องในสายการทำงานเพื่อหลีกเลี่ยงการทำลายการสร้าง, และเปิด pull request ที่ได้รับการตรวจสอบโดยมนุษย์ นักพัฒนายังคงมีอำนาจการผสาน

Zero-Day Agent เป็นส่วนที่มุ่งตรงไปที่ปัญหาเวลาเจ็ดชั่วโมง (หกชั่วโมง) มันเฝ้าติดตาม zero‑day ที่เพิ่งเปิดเผยใหม่, ระบุทุกอาร์ติแฟคต์และสายการทำงานที่ได้รับผลกระทบทั่วทั้งสภาพแวดล้อมของลูกค้า (การแมป blast‑radius ที่บริษัทกล่าวว่าลดจากหลายวันเป็นไม่กี่วินาที) และสร้างการแก้ไขที่ตรวจสอบแล้วพร้อมรีวิว, ข้ามคิวการจัดลำดับความสำคัญโดยสมบูรณ์ การแพตช์เสมือนครอบคลุมช่วงเวลาที่เหลืออยู่: เมื่อการทดสอบ API พบช่องโหว่, Harness จะปรับใช้กฎป้องกันบนเว็บแอปพลิเคชันและชั้นการปกป้อง API ของตนโดยไม่ต้องเปลี่ยนโค้ด, ปกป้องการผลิตภายในไม่กี่นาทีขณะที่กำลังเขียนการแก้ไขถาวร, จากนั้นลบแพตช์เมื่อการแก้ไขถูกส่งมอบ

ความสามารถทั้งหกพร้อมใช้งานแล้วในแพลตฟอร์ม Harness, โดยเอเจนต์การแก้ไขและ Zero‑Day ทำงานบนระบบการกำกับดูแลของสายการทำงานที่มีอยู่แล้ว: ประตูนโยบาย, การอนุมัติ, และห่วงโซ่การควบคุมความรับผิดชอบบนทุกอาร์ติแฟคต์

การเตรียมตัวของ Harness สู่ AppSec เชิงเอเจนต์

การเปิดตัวนี้ต่อเนื่องจากโค้งความปลอดภัยที่เริ่มต้นเมื่อ Harness รวมกับบริษัทด้านความปลอดภัย API Traceable ในเดือนกุมภาพันธ์ 2025 ซึ่งทำให้ผู้ร่วมก่อตั้ง Traceable Sanjay Nagaraj รับหน้าที่ดูแลธุรกิจความปลอดภัยแอปพลิเคชันของบริษัทที่รวมกัน ในเดือนกรกฎาคม 2026 บริษัทได้ปล่อย Agent DLC, ชั้นการกำกับดูแลสำหรับวงจรชีวิตการพัฒนาเอเจนต์ AI: การสแกนขั้นพื้นฐาน, รายการส่วนประกอบ AI, การค้นหาเอเจนต์, และไฟร์วอลล์ AI ที่บังคับใช้นโยบายต่อต้านการฉีดคำสั่งและการใช้เครื่องมือผิดวิธีในเวลารัน ไม่กี่วันต่อมา บริษัทได้ขยายความร่วมมือกับ Kong เพื่อผลักดันการค้นหาและการปกป้อง AI เข้าสู่ AI Gateway ของ Kong, ทำรายการทุกโมเดล, เซิร์ฟเวอร์ MCP, และเครื่องมือที่ผ่านทางนั้น

Unite.AI ได้ติดตามความเร่งนี้ในด้านการโจมตีเช่นเดียวกัน, ตั้งแต่ Claude แปลงเกณฑ์วัดไซเบอร์เป็นการบุกรุกจริงสามครั้ง ไปจนถึงการศึกษาของ IBM ที่พบว่า AI มีส่วนร่วมในหนึ่งในสี่ของการละเมิดที่เป็นอันตราย, และในด้านการป้องกัน, โมเดลการป้องกันไซเบอร์ Daybreak ของ OpenAI ที่เปิดตัวบน Amazon Bedrock การเดิมพันของ Harness คือว่าท่อการแก้ไข, ไม่ใช่แค่การตรวจจับ, คือจุดที่ความเร็วระดับเครื่องต้องมาถึงต่อไป

ว่าเอเจนต์ที่เขียนการแก้ไขของตนเองจะได้รับความเชื่อมั่นจากองค์กรหรือไม่ จะขึ้นอยู่กับโครงสร้างการตรวจสอบที่ล้อมรอบพวกเขา, ซึ่งบทเรียนนี้ได้รับการย้ำเมื่อ Copilot Autofix ทำให้เกิดการฉีดเชลล์ในสาย CI/CD ของ Snowflake คำตอบของ Harness คือเชิงสถาปัตยกรรม: เอเจนต์เสนอ, สายการทำงานตรวจสอบ, และมนุษย์ทำการผสาน