https://x.com/castby9arm/status/1989971744673997302?t=WqP-oXfaUVF203E_YJ8mNQ&s=19

ย่อๆคือ ให้ ssh กับ ai เพื่อไปแก้ไขปัญหาแทนให้

เหมือนโยนกุญแจบ้านให้ AI ละบอกว่าไขบ้านเข้าไปดูให้หน่อยว่าเกิดไรขึ้น หลังจากนั้นก็บอก AI ว่าแก้ปัญหาให้หน่อยนะ

แถมยังมีความกล้าที่ปล่อยให้ AI มันแก้เองด้วยนะ จริงๆ ใน production ถ้ารู้ root cause แล้ว ควรแก้ด้วยตัวเองหรือไม่ก็ส่งให้คนที่รู้แก้ให้

ถึงเจ้าของโพสจะมาแก้ทีหลังว่าอันนี้มีแค่ wordpress หรือใดๆก็ตาม แต่วิธีคิดในการใช้ AI แก้ปัญหาถือว่าผิดอย่างแรง

เพราะปกติ AI มันจะมีสิ่งที่เรียกว่า AI Hallucination หรืออาการหลอน การปล่อยให้มันงานเองบนเครื่อง Production เราไม่มีทางรู้เลยว่ามันทำอะไรไปบ้าง มันไม่เหมือนการแก้โค้ดในเครื่องที่มันจะมี version control คอยดู log อยู่ว่า AI แก้อะไรไป

รวมๆมันคือการใช้ AI ผิดวิธีนั่นแหละครับ มันควรจบตั้งแต่ AI หา root cause ให้ ที่เหลือเราก็ไปแก้เองได้ ไม่ได้ยากอะไรขนาดนั้น

ไม่ใช่คนในวงการนี้ งงครับ 55

ให้ AI remote ไปที่เครื่อง server เพื่อแก้ปัญหาให้เลยครับ

คือแม่งให้สิทธิ AI เข้าไปแก้ไข server อย่าหาทำ security กับเรื่องพวกนี้ sensitive จะตาย

เหมือนเอากุญแจบ้านให้คนแปลกหน้าอ่ะ ถ้าทำจริงนี่ ไล่ออกได้เลยนะ

อธิบายง่ายๆ กฏเริ่มต้นของความปลอดภัยระบบคือ ห้ามให้ private key กับใครง่ายๆ ถ้าไม่ใช่ผู้ปฏิบัติงาน รวมถึง ai เพื่อไปทำ ssh เข้าเซิฟโดยตรง

เราไม่มีทางรู้ได้เลยว่า ai ตัวที่เราออกคำสั่งให้แก้ปัญหานั้น จะรักษาข้อมูลส่วนตัวได้แค่ไหน

เหมือนโยนกุญแจบ้านให้ AI ละบอกว่าไขบ้านเข้าไปดูให้หน่อยว่าเกิดไรขึ้น หลังจากนั้นก็บอก AI ว่าแก้ปัญหาให้หน่อยนะ

แถมยังมีความกล้าที่ปล่อยให้ AI มันแก้เองด้วยนะ จริงๆ ใน production ถ้ารู้ root cause แล้ว ควรแก้ด้วยตัวเองหรือไม่ก็ส่งให้คนที่รู้แก้ให้

ถึงเจ้าของโพสจะมาแก้ทีหลังว่าอันนี้มีแค่ wordpress หรือใดๆก็ตาม แต่วิธีคิดในการใช้ AI แก้ปัญหาถือว่าผิดอย่างแรง

เพราะปกติ AI มันจะมีสิ่งที่เรียกว่า AI Hallucination หรืออาการหลอน การปล่อยให้มันงานเองบนเครื่อง Production เราไม่มีทางรู้เลยว่ามันทำอะไรไปบ้าง มันไม่เหมือนการแก้โค้ดในเครื่องที่มันจะมี version control คอยดู log อยู่ว่า AI แก้อะไรไป

รวมๆมันคือการใช้ AI ผิดวิธีนั่นแหละครับ มันควรจบตั้งแต่ AI หา root cause ให้ ที่เหลือเราก็ไปแก้เองได้ ไม่ได้ยากอะไรขนาดนั้น

ยกกุญแจบ้านให้หุ่นยนตร์เข้ามาทำความสะอาดในโลกจริงๆ เทียบประมานนี้ละกัน

หุ่นยนตร์จะเอาลูกเราไปโยนทิ้งน้ำ เอามีดมาแทงพ่อแม่ หรือเปล่าแล้วแต่ดวง

เคยมีเคสของบริษัทใหญ่บริษัทหนึ่งแล้วจำไม่ได้ชื่ออะไร แต่ AI ไป drop database ทิ้งลบข้อมูลหมดเลย ไม่ใช่ว่ามันไม่เคยเกิดขึ้นแล้วกลัวกันไปเองนะ มันเคยเกิดมาแล้ว

ไม่รู้จริงมั้ย ถ้าใช่ ใครใช้ product เขาอยู่ก็ระวังๆแล้วกัน

คือปกติ เราจะถามaiแล้ว แล้วรับคำแนะนำมา implement เอง หรืออย่างมากก็ให้มัน generate คำสั่ง shell มาให้เราเพื่อ copy ไป run คำสั่งเองใช่มั้ยครับ(ต้องผ่านการ review ของมนุษย์)

แต่เคสนี้คือเค้าให้ ai ssh เข้าระบบโดยตรงเลย ถ้าทำที่ production ไม่ใช่แค่กรณีศึกษาคือคนคนนี้ควรตกงานเพราะประมาทมาก ทำไมถึงเสี่ยง?(นอกจากด้าน security)

- ไม่มีใคร audit trail ว่า ai มันทำอะไรไปแล้วบ้าง เวลาต้อง revert จะทำไม่ได้/ทำได้ลำบาก
- ai มันไม่ได้รู้จริงขนาดนั้นว่า file ไหนเป็น malware? ลบครบจริงรึเปล่า?
- ถ้ามันไปแก้ code ในบาง file มนุษย์จะไม่รู้เลย(ถ้ามันไม่แจ้ง) ai ไม่มี log นะอย่าลืม

และที่สำคัญที่สุด ai อาจช่วยแก้ malware ให้ได้ แต่ไม่ได้แก้ จุดที่แฮกเข้ามาตั้งแต่แรก เหมือนเช็ดเลือดแต่ไม่เย็บแผล ซึ่งสำหรับผม ถ้าทำงานเป็นอาชีพการไม่แก้ที่ต้นเหตุ = ตกงาน ครับ

แม่งโคตรบ้าอะ ระดับ Enterprise ให้ใครที่ไหนรีโมทเข้า Server มั่วๆได้บ้างวะ
ทุกวันนี้โดน Security เช็คยับๆ

ที่เห็นจะๆเลยคือ
1. เอา AI มารันใน Live Production ผ่าน ssh ผิดหลักการสุดๆ (จริงๆ SSH พอได้ แต่ควรให้สิทธิ์เท่าที่พึงมี ไม่ควรให้ root) พี่ควร clone ออกมาก่อนแล้วค่อยรันด้วย mock data เพื่อป้องกัน services crash, data breach บลาๆ
2. ในภาพไม่ได้ระบุ แต่มีในบทความคือ claude สามารถเข้าไปแก้ได้ถึง root user อันนี้เข้าขั้นบรรลัย ชิบหายวายวอดได้เลย Least Priviledge เด็ก security ท่องกันขึ้นใจ

เข้าใจว่าต้นทางน่าจะเป็นพวกขายคอร์ส หรืออินฟลู ถึงได้กล้าทวิตอะไรแบบนี้ (อายแทน) วิธีการ hardening wp พื้นฐานมีหลายท่าค่อยๆศึกษาไปครับ แต่แบบที่ จขทว อย่าหาทำ จริงๆผมเห็นในเฟสก่อนแล้ว มีพวกผู้รู้ปลอมๆมาแสดงทรรศนะเพียบเลย

ไม่เชี่ยวชาญอย่าหาทำ

ใจถึงจริงๆ พ่อหนุ่ม 555

ผมอยากจะบอกว่า มีหลาย ๆ บริษัทที่ไม่ได้มีทีม infra หรือ sec นะครับ
บางที่เอาเดฟซื่อ ๆ นี้หละทำ งานมันก็จะออกมาตามประสบการณ์

ส่วนใครที่จะบอกว่าเรื่องพื้นฐานบางอย่างควรต้องรู้หน่อยไหม
ผมตอบได้สั้น ๆ ว่า ในวงการนี้คนพื้นฐานไม่แน่น ทำงานมั่ว ๆ เยอะมาก

กล้ามาก ใส่ production เลย