open·kritt เป็นแพลตฟอร์มโอเพนซอร์สสำหรับติดตั้งและรันในเครื่อง เพื่อให้ AI หลายตัวช่วยกันสแกนหาช่องโหว่ด้านความปลอดภัยในโค้ด หน้าโปรเจกต์เปิดมาด้วยข้อความที่ชวนให้ฉุกคิดว่า การโยนโค้ดทั้งโปรเจกต์ให้โมเดลตัวเดียวไล่อ่านแล้วถามหาช่องโหว่ มักไม่ได้ผลลัพธ์ที่ดีเท่าไร

ประโยคนี้สะท้อนภาพจริงในยุค AI ช่วยเขียนโค้ดได้ชัดมาก งานที่เคยใช้เวลาทำเป็นเดือน ตอนนี้เสร็จได้ในเสาร์อาทิตย์เดียว เว็บไซต์พร้อมปล่อย ระบบรับข้อมูลพร้อมเปิดใช้งานจริง แต่คำถามสำคัญอย่าง "โค้ดชุดนี้มีช่องโหว่ตรงไหนบ้าง" กลับไม่มีใครตอบได้ เพราะทีมขนาดเล็กมักไม่ได้มีผู้เชี่ยวชาญด้านความปลอดภัยร่วมทีมมาตั้งแต่แรก

ตอนนี้เริ่มมีเครื่องมือเข้ามารับมือปัญหานี้สองทาง ทางแรกคือ open·kritt ที่กลั่นมาจากประสบการณ์ล่าบั๊กจริงของทีมพัฒนา ส่วนอีกทางคือ Claude Security ปลั๊กอินจากค่าย Anthropic ซึ่งลงเสร็จแล้วสั่งสแกนกลางเซสชัน Claude Code ได้ทันที ทางหนึ่งเน้นคุมเองได้ละเอียดทุกขั้นตอน ส่วนอีกทางเน้นความสะดวก พร้อมใช้งานทันที

วิธีของ open·kritt คือหั่นคำถามใหญ่ให้เล็กลงก่อน

สาเหตุที่การถามรวดเดียวมักไม่ได้ผล เพราะขนาดโจทย์ใหญ่เกินไป โค้ดโปรเจกต์หนึ่งมีทั้งฝั่งหน้าเว็บ ระบบล็อกอิน การเชื่อมต่อฐานข้อมูล ไปจนถึงไลบรารีภายนอกที่ดึงมาใช้ พอสั่งให้โมเดลสแกนทั้งหมดในคราวเดียว โมเดลเลยต้องรับภาระประมวลผลหลายอย่างพร้อมกัน

open·kritt เปลี่ยนวิธีใหม่ด้วยการย่อยโจทย์เป็นภารกิจย่อยที่ชัดเจน เช่น ตรวจหาจุดที่โค้ดเปิดรับการเชื่อมต่อจากเครือข่าย หรือไล่ดูเส้นทางที่คนนอกเข้าถึงได้จริง จากนั้นกระจายภารกิจเหล่านี้ไปให้ AI agent หลายตัวรันพร้อมกัน โดย AI agent คือโปรแกรม AI ที่รับโจทย์แล้วทำงานวนต่อเองเป็นรอบจนจบงาน โดยไม่ต้องคอยป้อนคำสั่งทีละขั้นตอน พอทุกตัวทำงานเสร็จ ระบบจะรวบรวมผลลัพธ์กลับมาตัดรายการซ้ำออก แล้วจัดอันดับความสำคัญให้ว่าจุดไหนควรแก้ไขก่อน

แนวคิดการส่ง AI หลายตัวมาร่วมกันตรวจโค้ดไม่ใช่เรื่องใหม่ เพราะก่อนหน้านี้มีระบบ multi-agent ที่ส่ง AI ห้าตัวมารุมรีวิวโค้ด ให้เห็นกันแล้ว แต่จุดเด่นที่ทำให้ open·kritt ต่างออกไป คือการเน้นเจาะจงเฉพาะงานค้นหาช่องโหว่ความปลอดภัย พร้อมเปิดให้ปรับแต่งได้ละเอียด ตั้งแต่พรอมป์คำสั่งไปจนถึงเซิร์ฟเวอร์จัดเก็บผลลัพธ์

สี่อย่างที่ open·kritt ทำให้ได้

หน้าโปรเจกต์สรุปความสามารถหลักไว้สี่ด้าน

• สร้างชุดตรวจของตัวเอง นำพรอมป์ที่เน้นตรวจทีละประเด็นมาร้อยเรียงเป็นเพลย์บุ๊กสำหรับดึงมาใช้ซ้ำ เหมาะกับคนที่ต้องการชุดตรวจมาตรฐานประจำโปรเจกต์
• สั่งสแกน รองรับการอ่านทั้งรีโปหรือคลังโค้ดบนอินเทอร์เน็ต โฟลเดอร์โค้ดในเครื่อง รวมถึงไลบรารีภายนอกที่ดึงมาใช้งาน โดยเลือกให้ Claude Code หรือ Codex ทำหน้าที่ขับเคลื่อนหลักได้
• ตรวจยืนยันผล ใช้ post-script หรือสคริปต์ที่ทำงานต่อจากผลสแกน เข้าไปพิสูจน์ว่าช่องโหว่ที่พบมีอยู่จริงหรือไม่ พร้อมสร้างตัวอย่างการโจมตีและสรุปออกมาเป็นรายงาน
• จัดลำดับความสำคัญ กำหนดเกณฑ์วัดระดับความรุนแรงได้เอง แสดงผลลัพธ์ทุกรายการในรูปแบบมาตรฐานเดียวกัน พร้อมระบบคัดกรองรายการซ้ำออกให้อัตโนมัติ

เรื่องการเชื่อมต่อโมเดลก็เลือกได้ตามสะดวก ไม่ว่าจะล็อกอินผ่าน Codex หรือเชื่อมด้วยคีย์ของ OpenAI, Anthropic หรือ OpenRouter ขอแค่มีอย่างน้อยหนึ่งช่องทาง ข้อดีของการเลือกผู้ให้บริการเองคือเราจะเห็นชัดเจนว่าโค้ดที่นำไปตรวจถูกส่งไปประมวลผลที่ไหน

เบื้องหลังคือทีมที่ล่าบั๊กมาแล้วกว่า 1.5 ล้านดอลลาร์

open·kritt ไม่ใช่โปรเจกต์ทดลองเล่นๆ เพราะทีมผู้พัฒนา Kritt-ai ระบุไว้ในหน้าโปรเจกต์ว่า สมาชิกในทีมคว้าเงินรางวัลจากงานล่าบั๊กสะสมมาแล้วกว่า 1.5 ล้านดอลลาร์ ในนามนักวิจัย Blockian ซึ่งงานล่าบั๊กหรือ Bug Bounty คือการที่เจ้าของระบบตั้งเงินรางวัลมอบให้คนที่ค้นพบช่องโหว่แล้วรายงานกลับไปอย่างถูกต้อง

ซอฟต์แวร์ที่เปิดให้ใช้งานกันอยู่ คือการนำเครื่องมือที่ทีมใช้ทำงานภายในจริงมาขัดเกลาแล้วปล่อยเป็นโอเพนซอร์ส ไม่ใช่การเขียนขึ้นใหม่จากศูนย์เพื่อแจกฟรีอย่างเดียว

ติดตั้ง open·kritt ด้วยสี่คำสั่ง

สิ่งที่ต้องเตรียมไว้ก่อนคือ Git, Docker ที่มี Docker Compose มาด้วย และ Node.js เวอร์ชัน 20 ขึ้นไป โดย Docker จะทำหน้าที่จำลองสภาพแวดล้อมเพื่อรันโปรแกรมแยกไว้ในคอนเทนเนอร์ ไม่ให้ปะปนกับสิ่งอื่นในเครื่อง ส่วนชุดคำสั่งสำหรับจัดการ open·kritt จะแนบมากับโปรเจกต์เรียบร้อยแล้ว โดยไม่ต้องติดตั้งอะไรเพิ่ม

git clone https://github.com/Kritt-ai/open-kritt
cd open-kritt
./kritt setup
./kritt start

พอรันคำสั่ง ./kritt setup ระบบจะพาตั้งค่าเชื่อมต่อโมเดลทีละขั้นตอน พอระบบพร้อมทำงานแล้ว คุณก็เปิด http://localhost:5173 ผ่านเบราว์เซอร์ได้ทันที ส่วน GITHUB_TOKEN ต้องระบุเฉพาะตอนที่ต้องการสแกนรีโปส่วนตัวบน GitHub เท่านั้น สำหรับการตั้งค่า Docker แบบกำหนดเองและรายละเอียดการเชื่อมต่อผู้ให้บริการโมเดล คุณสามารถดูเพิ่มเติมได้ที่คู่มือติดตั้ง ของโปรเจกต์ โดยตัวโปรเจกต์เผยแพร่ภายใต้สัญญาอนุญาต AGPL v3

ก่อนกดรัน ต้องรู้ว่า open·kritt เปิดอะไรไว้บ้าง

ค่าพอร์ตเริ่มต้นของ open·kritt จะเปิดรับการเชื่อมต่อเฉพาะภายใน 127.0.0.1 หรือเครื่องตัวเองเท่านั้น และระบบหลังบ้านไม่ได้มีระบบยืนยันตัวตนหรือระบบล็อกอินติดมาด้วย หมายความว่าไม่มีชั้นรหัสผ่านคั่นกลางระหว่างผู้ที่เข้าถึงระบบได้กับหน้าจอควบคุม ทั้งชุดจึงต้องอยู่ในเครือข่ายส่วนตัวเท่านั้น ไม่ใช่ระบบที่จะนำไปเปิดให้เข้าถึงจากอินเทอร์เน็ตสาธารณะ

อีกเรื่องสำคัญคือตัวเอเจนต์ที่เรียกใช้เครื่องมือต่างๆ จะทำงานด้วยสิทธิ์ root ซึ่งเป็นสิทธิ์สูงสุดในระบบ โดยรันอยู่ในคอนเทนเนอร์ที่ใช้ครั้งเดียวแล้วทิ้ง พร้อมสำเนาโค้ดที่แก้ทับได้ และต่ออินเทอร์เน็ตออกภายนอกได้โดยตรง สาเหตุที่ต้องให้สิทธิ์ระดับนี้ เพราะภารกิจของเอเจนต์คือการลงเครื่องมือเพิ่ม คอมไพล์โค้ด รันการทดสอบ ไปจนถึงการทดลองสร้างรูปแบบการโจมตีจริง ไม่ใช่แค่การอ่านโค้ดเฉยๆ

Claude Security ปลั๊กอินที่สั่งสแกนกลางเซสชัน Claude Code

อีกทางเลือกโดยไม่ต้องยุ่งยากกับการตั้งเซิร์ฟเวอร์ คือใช้ Claude Security ที่มาในรูปปลั๊กอิน ซึ่งคุณสามารถติดตั้งผ่านมาร์เก็ตเพลสอย่างเป็นทางการของ Anthropic แล้วเรียกใช้งานได้ทันทีในเซสชัน Claude Code ที่เป็นเครื่องมือสั่งงาน AI ให้ช่วยเขียนและแก้ไขโค้ดผ่านเทอร์มินัล

/plugin install claude-security@claude-plugins-official
/reload-plugins

ถ้ายังไม่ได้เพิ่มมาร์เก็ตเพลส ให้พิมพ์คำสั่ง /plugin marketplace add anthropics/claude-plugins-official ก่อนหนึ่งครั้ง จากนั้นสั่งงานทุกอย่างผ่านคำสั่งเดียวคือ /claude-security ซึ่งจะมีเมนูให้เลือกสามรูปแบบ ได้แก่ สแกนทั้งโปรเจกต์ · สแกนเฉพาะส่วนที่มีการเปลี่ยนแปลง · เสนอตัวแก้ไข (patch) โดยส่วนที่มีการเปลี่ยนแปลง คุณสามารถเลือกเปรียบเทียบได้ทั้งระดับ branch ที่กำลังทำงาน ระดับ pull request หรือเทียบทีละ commit ซึ่ง commit หมายถึงจุดบันทึกประวัติการแก้ไขโค้ดในแต่ละครั้ง

ผลลัพธ์การสแกนไม่ได้แสดงทิ้งไว้บนหน้าจอเทอร์มินัลอย่างเดียว แต่จะถูกบันทึกเป็นไฟล์ไว้ในโฟลเดอร์ CLAUDE-SECURITY-<timestamp>/ ภายในโปรเจกต์ โดยมีไฟล์ .gitignore แนบมาให้ในตัว เพื่อป้องกันไม่ให้ผลสแกนติดเข้าไปใน commit โดยไม่ได้ตั้งใจ ภายในโฟลเดอร์จะประกอบด้วยรายงานภาษาธรรมชาติที่เข้าใจง่าย พร้อมระบุรหัสประจำรายการ ผลกระทบ ระดับความรุนแรง ค่าความมั่นใจ และข้อแนะนำในการแก้ไข รวมถึงมีไฟล์โครงสร้างข้อมูลสำหรับนำไปประมวลผลต่อในระบบอื่นแนบมาด้วย

สำหรับการปรับใช้ตัวแก้ไขหรือแพตช์ ระบบไม่ได้นำไปปรับแก้ในโค้ดให้อัตโนมัติ ผู้ใช้ต้องนำไฟล์ไปสั่ง git apply ทีละไฟล์ใน pull request ที่เปิดเอง และก่อนแพตช์จะปรากฏขึ้นมาให้เลือก จะมีเอเจนต์อีกตัวที่แยกจากตัวเขียนแพตช์ทำหน้าที่รีวิวโค้ด โดยรันการทดสอบของโปรเจกต์ (ถ้ามี) พร้อมตรวจสอบความเปลี่ยนแปลงของโค้ด เพื่อให้มั่นใจว่าแพตช์แก้ปัญหานั้นได้จริง ไม่เปิดช่องโหว่ใหม่ขึ้นมา และไม่กระทบการทำงานส่วนอื่น ถ้าไม่สามารถยืนยันได้ครบทั้งสามข้อ ระบบจะส่งเป็นบันทึกอธิบายเหตุผลกลับมาแทนการให้ไฟล์แพตช์

นอกจากนี้ เอกสารอย่างเป็นทางการของ Claude Code ยังระบุไว้อย่างตรงไปตรงมาว่า ผลการสแกนอาจไม่ได้ออกมาเหมือนกันทุกครั้ง การสแกนโค้ดชุดเดียวกันสองรอบ อาจได้รายการแจ้งเตือนไม่เท่ากัน ในเอกสารเลยแนะนำให้สแกนอย่างสม่ำเสมอ แทนที่จะสแกนครั้งเดียวแล้วสรุปว่าปลอดภัย

ควรลงทางไหน ระหว่างคุมเองกับสั่งได้เลย

ทั้งสองตัวเลือกมีรูปแบบการทำงานแตกต่างกันตั้งแต่โครงสร้างพื้นฐาน เมื่อเปรียบเทียบตามข้อมูลทางการของแต่ละฝั่ง จะสรุปได้ดังนี้

สแกนเจอ ไม่เท่ากับปลอดภัย

ตอนนี้ยังไม่มีการทดสอบเชิงเปรียบเทียบด้วยการรันเครื่องมือทั้งสองตัวบนโปรเจกต์เดียวกันเพื่อวัดประสิทธิภาพ ข้อมูลที่มีขณะนี้จึงมาจากเอกสารอธิบายระบบของผู้พัฒนาแต่ละราย เลยยังสรุปไม่ได้ว่าตัวไหนค้นหาได้ละเอียดหรือแม่นยำกว่ากัน

ในเรื่องความคุ้มค่า ตัว open·kritt เองเปิดให้ใช้ฟรีก็จริง แต่การเชื่อมต่อโมเดลจะมีค่าใช้จ่ายตามปริมาณการใช้งานจริง (API usage) ส่วนฝั่ง Claude Security จำเป็นต้องใช้บนแผนบริการแบบชำระเงิน และการสแกนแต่ละครั้งจะคิดรวมอยู่ในโควตาใช้งาน

เรื่องสำคัญคือ เครื่องมือทั้งสองเป็นตัวช่วยหาช่องโหว่ การสแกนผ่านไม่ได้แปลว่าระบบปลอดภัยแน่นอน คนที่ใช้ยังคงต้องเป็นคนอ่านรายงาน วิเคราะห์ความถูกต้องของผลลัพธ์ ตลอดจนตรวจสอบไฟล์แพตช์อย่างรอบคอบก่อนนำไปใช้งานจริง และที่สำคัญ ต้องใช้กับคลังโค้ดของตัวเอง หรือระบบที่เจ้าของอนุญาตให้ทดสอบอย่างถูกต้องเท่านั้น

จุดเปลี่ยนสำคัญที่เครื่องมือทั้งสองมอบให้ จึงไม่ใช่การการันตีความปลอดภัยแบบอัตโนมัติ แต่คือการเปลี่ยนให้การตรวจเช็กความปลอดภัยรอบแรกกลายเป็นเรื่องที่ทำได้ทันทีโดยไม่ต้องรอใคร คำถามที่เคยถามกันว่า "จะหาใครมาช่วยตรวจโค้ดชุดนี้" เลยเปลี่ยนมาเป็น "จะเริ่มสั่งสแกนตรวจรอบแรกเมื่อไร"

ที่มา:

• โปรเจกต์ GitHub - Kritt-ai/open-kritt: Orchestrate AI agents to find real vulnerabilities in code. บน GitHub
• เอกสารทางการของ Scan your codebase for vulnerabilities - Claude Code Docs