Mythos finds a curl vulnerability
curl (Client for URLs) คือ command-line tool และ library (libcurl) ที่ใช้สำหรับการรับส่งข้อมูลข้ามระบบเครือข่ายผ่านโครงสร้างแบบ URL โดยรองรับ protocols มาตรฐานจำนวนมาก (เช่น HTTP, HTTPS, FTP เป็นต้น) หน้าที่หลักของ curl คือการเป็นกลไกพื้นฐานที่ซอฟต์แวร์ แอปพลิเคชัน หรือระบบปฏิบัติการต่างๆ เรียกใช้งานเพื่อสื่อสารและแลกเปลี่ยนข้อมูลกับ server
จากการเป็นโครงสร้างพื้นฐานในการเชื่อมต่อ curl จึงถือเป็นซอฟต์แวร์ระดับ battle-tested ที่มีความสำคัญระดับโลก โดยมีการติดตั้งมากกว่า 20,000 ล้าน instances บนแอปพลิเคชัน อุปกรณ์พกพา รถยนต์ และโครงสร้างพื้นฐานทางไอทีต่างๆ อีกทั้งยังรองรับการทำงานบน 110 operating systems และ 28 CPU architectures ตลอดระยะเวลาที่ผ่านมา source code ของ curl ผ่านกระบวนการ fuzzing และการ audit อย่างเข้มงวด (เช่น OSS-Fuzz และ paid audits) ทำให้การค้นหาช่องโหว่ในส่วนประกอบหลัก (hot paths) เช่นการประมวลผล HTTP/1 หรือ TLS เป็นเรื่องที่ทำได้ยากยิ่ง
จากการใช้ AI สแกน source code ประมาณ 178,000 บรรทัด โมเดล Mythos รายงานผลลัพธ์ดังนี้:
- รายงานเบื้องต้น: ระบุว่าพบ "Confirmed security vulnerabilities" จำนวน 5 จุด
- การตรวจสอบโดยผู้เชี่ยวชาญ (Manual Verification): ทีม Security ของ curl พบว่ามีเพียง 1 จุด เท่านั้นที่เป็นช่องโหว่ความปลอดภัยจริง ซึ่งจะถูกระบุเป็น CVE ระดับ severity low และมีแผนประกาศอย่างเป็นทางการพร้อมกับเวอร์ชัน 8.21.0 ในช่วงปลายเดือนมิถุนายน 2026
- ข้อผิดพลาดในรายงาน: ส่วนที่เหลือประกอบด้วย false positives 3 จุด (ซึ่งพฤติกรรมสอดคล้องกับ API documentation อยู่แล้ว) และ Bug ทั่วไปอีก 1 จุด
แม้ความรุนแรงของช่องโหว่ที่พบในครั้งนี้จะอยู่ในระดับต่ำ แต่ประเด็นสำคัญเชิงวิชาการคือการที่ AI เข้ามาเปลี่ยนแปลงความท้าทายในการค้นหาช่องโหว่:
- Lowering the Barrier to Entry: โมเดล AI อาจช่วยให้บุคคลที่ไม่มีพื้นฐานเชิงลึกด้าน computer science สามารถค้นหาช่องโหว่ในซอฟต์แวร์ที่มีความซับซ้อนสูงได้ ซึ่งในอดีตต้องอาศัยทักษะและเวลาจากผู้เชี่ยวชาญระดับสูง
- Contextual Intelligence: AI มีความสามารถเหนือกว่า static code analyzers แบบดั้งเดิม เนื่องจากสามารถวิเคราะห์ความเชื่อมโยงระหว่าง logic ของ code กับ comment, ตรวจสอบการใช้งาน 3rd party APIs ที่ผิดพลาด, และมีความเข้าใจในระดับ protocol specifications
- Asymmetric Risk: การที่เครื่องมือเหล่านี้เข้าถึงได้ง่าย หมายความว่าผู้ไม่ประสงค์ดี (adversaries) สามารถใช้ AI สแกนหาจุดอ่อนในระบบโครงสร้างพื้นฐานระดับโลกจำนวนมากได้อย่างรวดเร็วและเป็นระบบ
Daniel ให้ข้อสรุปว่า การประยุกต์ใช้ AI-powered code analyzers ไม่ใช่เพียงทางเลือก แต่เป็นความจำเป็นเชิงรับ (Defensive necessity) สำหรับนักพัฒนา หากองค์กรหรือโปรเจกต์ใดไม่นำ AI มาใช้ในกระบวนการตรวจสอบ source code ก็เท่ากับการเปิดโอกาสให้ผู้โจมตีพบและใช้ประโยชน์จากช่องโหว่ที่นักพัฒนามองไม่เห็นได้ก่อน
daniel.haxx.se/blog/2026/05/11/mythos-finds-a-curl-vulnerability/