เพื่อไทยตกต่ำดำดิ่ง นายใหญ่ไปคลองเปรม ลูกสาวชิ่งหนี ลูกพรรคย้ายค่าย ล่าสุดไม่มีคลังแสงซะอีก
#คิงส์โพธิ์แดง
#คลังแสง

LibreOffice 25.2.7 ปิดฉากซีรีส์ พร้อมแนะนำอัปเกรดสู่เวอร์ชัน 25.8 ที่เร็วและล้ำกว่าเดิม!

LibreOffice 25.2.7 ได้รับการปล่อยออกมาแล้วในฐานะเวอร์ชันสุดท้ายของซีรีส์ 25.2 ก่อนจะสิ้นสุดการสนับสนุนในวันที่ 30 พฤศจิกายน 2025 โดย The Document Foundation แนะนำให้ผู้ใช้ทุกคนอัปเกรดไปยัง LibreOffice 25.8 ซึ่งมีฟีเจอร์ใหม่มากมายที่ตอบโจทย์การใช้งานยุคใหม่

เล่าให้ฟังแบบเข้าใจง่าย ลองนึกภาพว่าคุณเปิดไฟล์ขนาดใหญ่ใน Writer หรือ Calc แล้วมันโหลดเร็วขึ้นถึง 30%! นั่นคือหนึ่งในความสามารถใหม่ของ LibreOffice 25.8 ที่เปิดตัวเมื่อเดือนสิงหาคม 2025 พร้อมกับการปรับปรุงการจัดการหน่วยความจำให้เหมาะกับการใช้งานบน virtual desktop และ thin client รวมถึงการเลื่อนหน้าที่ลื่นไหลขึ้น และระบบจัดการการเว้นวรรคกับการตัดคำที่แม่นยำกว่าเดิม

ในขณะที่ LibreOffice 25.2.7 แก้ไขบั๊กกว่า 43 จุดเพื่อปิดท้ายซีรีส์อย่างสมบูรณ์แบบ ผู้ใช้ที่ยังไม่อัปเกรดสามารถใช้งานได้ต่อถึงสิ้นเดือนพฤศจิกายนนี้ แต่หลังจากนั้นควรเปลี่ยนไปใช้เวอร์ชัน 25.8 ที่จะได้รับการดูแลต่อเนื่องถึงกลางปี 2026

ทั้งสองเวอร์ชันสามารถดาวน์โหลดได้ในรูปแบบ RPM, DEB, source tarball หรือ Flatpak ผ่าน Flathub และ repository ของแต่ละ distro

LibreOffice 25.2.7 คือเวอร์ชันสุดท้ายของซีรีส์ 25.2
แก้ไขบั๊กทั้งหมด 43 จุดจาก changelog RC1 และ RC2
จะสิ้นสุดการสนับสนุนในวันที่ 30 พฤศจิกายน 2025

LibreOffice 25.8 คือเวอร์ชันที่แนะนำให้ใช้งานต่อ
เปิดตัวเมื่อวันที่ 20 สิงหาคม 2025
รองรับการ export PDF 2.0
เปิดไฟล์ใน Writer และ Calc ได้เร็วขึ้นถึง 30%
ปรับปรุงการจัดการหน่วยความจำให้เหมาะกับ virtual desktop และ thin client
เลื่อนหน้าผ่านเอกสารขนาดใหญ่ได้ลื่นขึ้น
ระบบตัดคำและเว้นวรรคถูกปรับปรุงใหม่ทั้งหมด
จะได้รับการอัปเดตต่อเนื่องถึงวันที่ 12 มิถุนายน 2026

ช่องทางการดาวน์โหลด
มีให้เลือกทั้ง RPM, DEB, source tarball
รองรับ Flatpak ผ่าน Flathub และ repository ของ distro

https://9to5linux.com/libreoffice-25-2-7-is-out-as-the-last-update-in-the-series-upgrade-to-libreoffice-25-8

Qt Creator 18 เปิดตัว! IDE สุดล้ำพร้อมรองรับ Container และ GitHub Enterprise

วันนี้มีข่าวดีสำหรับนักพัฒนา! Qt Project ได้ปล่อย Qt Creator 18 ซึ่งเป็นเวอร์ชันล่าสุดของ IDE แบบโอเพ่นซอร์สที่รองรับหลายแพลตฟอร์ม ทั้ง Linux, macOS และ Windows โดยเวอร์ชันนี้มาพร้อมฟีเจอร์ใหม่ที่น่าตื่นเต้น โดยเฉพาะการรองรับ container สำหรับการพัฒนาแบบแยกส่วน และการเชื่อมต่อกับ GitHub Enterprise ผ่าน Copilot

ลองนึกภาพว่า...คุณเปิดโปรเจกต์ที่มีไฟล์ devcontainer.json อยู่ แล้ว Qt Creator ก็จัดการสร้าง Docker container ให้คุณอัตโนมัติ พร้อมปรับแต่ง environment ให้เหมาะกับการพัฒนาโดยไม่ต้องตั้งค่าเองให้ยุ่งยากเลย! นี่คือก้าวสำคัญของการพัฒนาแบบ container-native ที่กำลังมาแรงในยุค DevOps และ Cloud-native

นอกจากนี้ Qt Creator 18 ยังปรับปรุงหลายจุดเพื่อให้ใช้งานได้ลื่นไหลขึ้น เช่น:
เพิ่มแท็บ Overview ในหน้า Welcome
ปรับปรุงระบบแจ้งเตือนให้รวมอยู่ใน popup เดียว
รองรับการใช้ editor แบบ tabbed
ปรับปรุงระบบ Git ให้แสดงสถานะไฟล์ในมุมมอง File System
เพิ่มการรองรับ CMake Test Presets และการเชื่อมต่ออุปกรณ์ Linux แบบอัตโนมัติ

และที่สำคัญคือการอัปเดต Clangd/LLVM เป็นเวอร์ชัน 21.1 เพื่อรองรับฟีเจอร์ใหม่ของภาษา C++ ได้ดีขึ้น

สาระเพิ่มเติม
การใช้ container ในการพัฒนาเริ่มเป็นมาตรฐานในองค์กรขนาดใหญ่ เพราะช่วยให้การตั้งค่า environment เป็นเรื่องง่ายและลดปัญหา “มันทำงานบนเครื่องฉันนะ!”
GitHub Copilot Enterprise ช่วยให้ทีมสามารถใช้ AI เขียนโค้ดได้อย่างปลอดภัยในระบบภายในองค์กร โดยไม่ต้องเปิดเผยโค้ดสู่สาธารณะ

ฟีเจอร์ใหม่ที่โดดเด่น
รองรับการสร้าง development container ผ่านไฟล์ devcontainer.json
เพิ่มแท็บ Overview ในหน้า Welcome
รองรับ editor แบบ tabbed เพื่อการจัดการโค้ดที่ง่ายขึ้น
ปรับปรุงระบบแจ้งเตือนให้รวมอยู่ใน popup เดียว
รองรับ GitHub Enterprise ผ่าน Copilot

การปรับปรุงด้าน Git และการจัดการโปรเจกต์
เพิ่มการแสดงสถานะ version control ในมุมมอง File System
รองรับ CMake Test Presets
เพิ่มตัวเลือก auto-connect สำหรับอุปกรณ์ Linux
ปรับปรุงการจัดการไฟล์ .user ให้แยกเก็บในโฟลเดอร์ .qtcreator/

การอัปเดตด้านเทคโนโลยี
อัปเดต Clangd/LLVM เป็นเวอร์ชัน 21.1
ปรับปรุง code model ให้รองรับฟีเจอร์ใหม่ของ C++

https://9to5linux.com/qt-creator-18-open-source-ide-released-with-experimental-container-support

Proton เปิดตัว Data Breach Observatory — เครื่องมือตรวจจับข้อมูลรั่วไหลจาก Dark Web แบบเรียลไทม์

Proton เปิดตัวแพลตฟอร์มใหม่ชื่อว่า “Data Breach Observatory” ที่ช่วยติดตามการรั่วไหลของข้อมูลจากตลาดมืดบน Dark Web โดยสามารถตรวจสอบได้ว่าองค์กรใดถูกเจาะ ข้อมูลใดถูกขโมย และจำนวนที่รั่วไหล — ทั้งหมดนี้เพื่อสร้างความโปร่งใสในโลกไซเบอร์ที่มักถูกปิดบัง

Proton เป็นบริษัทที่ขึ้นชื่อเรื่องความปลอดภัยและความเป็นส่วนตัว เช่น ProtonMail, ProtonVPN และ Proton Drive ล่าสุดพวกเขาเปิดตัว “Data Breach Observatory” ซึ่งเป็นแพลตฟอร์มสาธารณะที่ช่วยติดตามการรั่วไหลของข้อมูลจาก Dark Web แบบเรียลไทม์

แพลตฟอร์มนี้จะดึงข้อมูลจากฟอรั่มและตลาดมืดที่แฮกเกอร์ใช้ซื้อขายข้อมูลที่ถูกขโมย แล้วนำมาวิเคราะห์และเผยแพร่ให้สาธารณชนเข้าถึงได้ฟรี ผู้ใช้สามารถตรวจสอบได้ว่าองค์กรใดถูกเจาะ ข้อมูลประเภทใดที่รั่วไหล และจำนวนเรคคอร์ดที่ถูกขโมย

Proton ร่วมมือกับ Constella Intelligence ในการตรวจสอบข้อมูลจาก Dark Web และในปี 2025 เพียงปีเดียว พบเหตุการณ์รั่วไหล 794 ครั้งที่เชื่อมโยงกับองค์กรโดยตรง และอีก 1,571 เหตุการณ์ที่เป็นชุดข้อมูลรวม ซึ่งรวมแล้วมีข้อมูลหลายร้อยพันล้านเรคคอร์ดที่ถูกเปิดเผย

ข้อมูลที่รั่วไหลส่วนใหญ่ประกอบด้วย:
อีเมล (100%)
ชื่อ (90%)
ข้อมูลติดต่อ (72%)
รหัสผ่าน (49%)

แพลตฟอร์มนี้ไม่เพียงแต่ช่วยให้องค์กรรู้ตัวก่อนจะถูกเปิดเผย แต่ยังช่วยให้บุคคลทั่วไปสามารถตรวจสอบได้ว่าข้อมูลของตนเองเคยปรากฏในตลาดมืดหรือไม่

เกร็ดน่ารู้เพิ่มเติม
Proton ใช้หลัก “your data, your rules” ในการออกแบบทุกบริการ
Constella Intelligence เป็นบริษัทด้านความปลอดภัยที่เชี่ยวชาญการตรวจสอบข้อมูลจาก Dark Web
การเปิดเผยข้อมูลรั่วไหลแบบเรียลไทม์ช่วยให้องค์กรสามารถตอบสนองได้เร็วขึ้น และลดผลกระทบจากการโจมตีทางไซเบอร์

Data Breach Observatory ไม่ใช่แค่เครื่องมือ — แต่มันคือ “ไฟฉาย” ที่ส่องให้เห็นสิ่งที่เคยถูกซ่อนไว้ในเงามืดของโลกไซเบอร์

https://news.itsfoss.com/proton-data-breach-observatory/

FFmpeg ได้รับเงินสนับสนุน $100,000 จากโครงการ FLOSS/fund ของอินเดีย — ก้าวสำคัญสู่อนาคตที่ยั่งยืนของโอเพ่นซอร์ส

โครงการ FLOSS/fund ที่ริเริ่มโดย Zerodha มอบเงินสนับสนุนให้ FFmpeg ซึ่งเป็นหนึ่งในเครื่องมือมัลติมีเดียโอเพ่นซอร์สที่สำคัญที่สุดในโลก โดยเงินทุนนี้ถือเป็นก้าวแรกในการแก้ปัญหาการขาดแคลนงบประมาณของโครงการโอเพ่นซอร์สทั่วโลก

ถ้าคุณเคยดูวิดีโอออนไลน์ ไม่ว่าจะเป็น YouTube, Netflix หรือแม้แต่ใช้แอปตัดต่อวิดีโอ มีโอกาสสูงมากที่เบื้องหลังจะมี FFmpeg ทำงานอยู่ — มันคือเฟรมเวิร์กโอเพ่นซอร์สที่ช่วยแปลงไฟล์ สตรีม และประมวลผลเสียงกับภาพแบบอัตโนมัติ

แม้จะมีบทบาทสำคัญในโครงสร้างพื้นฐานดิจิทัลของโลก แต่ FFmpeg กลับขาดแคลนงบประมาณมาโดยตลอด ล่าสุดโครงการ FLOSS/fund ที่ริเริ่มโดย Zerodha บริษัทโบรกเกอร์หุ้นจากอินเดีย ได้มอบเงินสนับสนุนจำนวน $100,000 ให้กับ FFmpeg ในรอบการจัดสรรครั้งที่สองของปี 2025

ทีมงาน FFmpeg ขอบคุณ Nithin Kamath ซีอีโอของ Zerodha ผ่านโพสต์บน X (Twitter) พร้อมระบุว่า “เงินทุนนี้ไม่ใช่คำตอบทั้งหมดของปัญหา แต่เป็นก้าวสำคัญสู่อนาคตที่ยั่งยืนของซอฟต์แวร์โอเพ่นซอร์ส”

เงินทุนนี้ยังอยู่ในสถานะ “รอดำเนินการ” เนื่องจากต้องจัดการเอกสารและการติดต่อกับผู้รับทั้งหมด โดย FLOSS/fund กำลังร่วมมือกับ GitHub Sponsors เพื่อทำให้การโอนเงินข้ามประเทศง่ายขึ้นในอนาคต

ในรอบนี้มีโครงการโอเพ่นซอร์สอีก 29 โครงการที่ได้รับเงินสนับสนุน รวมเป็นมูลค่าทั้งสิ้น $675,000 ซึ่งเมื่อรวมกับรอบก่อนหน้าในเดือนพฤษภาคม จะทำให้ยอดรวมของปีนี้แตะ $1 ล้านเต็ม

เกร็ดน่ารู้เพิ่มเติมจากภายนอก
FLOSS/fund ก่อตั้งขึ้นในปี 2024 โดยมีเป้าหมายสนับสนุนซอฟต์แวร์โอเพ่นซอร์สที่มีผู้ใช้งานจำนวนมากแต่ขาดงบประมาณ
FFmpeg ถูกใช้ในระบบ backend ของหลายแพลตฟอร์มโดยที่ผู้ใช้ทั่วไปไม่รู้ตัว
การสนับสนุนแบบนี้อาจเป็นต้นแบบให้บริษัทอื่นๆ ร่วมลงทุนในโครงการโอเพ่นซอร์สที่ตนเองพึ่งพาอยู่

นี่คือก้าวสำคัญของโลกโอเพ่นซอร์ส ที่แสดงให้เห็นว่าความยั่งยืนไม่ใช่แค่เรื่องเทคโนโลยี — แต่คือเรื่องของความรับผิดชอบร่วมกันจากทุกภาคส่วน

FFmpeg ได้รับเงินสนับสนุนจาก FLOSS/fund
จำนวน $100,000 จาก Zerodha ประเทศอินเดีย
เป็นส่วนหนึ่งของรอบจัดสรร Tranche 2 ประจำปี 2025
ยังอยู่ในขั้นตอนดำเนินการเอกสารและการติดต่อ

ความสำคัญของ FFmpeg
ใช้ในแพลตฟอร์มใหญ่ เช่น YouTube, Netflix, แอปตัดต่อวิดีโอ
เป็นเฟรมเวิร์กโอเพ่นซอร์สสำหรับแปลงและสตรีมไฟล์มัลติมีเดีย
มีบทบาทสำคัญในโครงสร้างพื้นฐานดิจิทัลทั่วโลก

เป้าหมายของ FLOSS/fund
สนับสนุนโครงการโอเพ่นซอร์สที่โลกพึ่งพา
เรียกร้องให้บริษัทที่ได้ประโยชน์จาก FOSS สนับสนุนมากกว่าแค่คำขอบคุณ
ร่วมมือกับ GitHub Sponsors เพื่อแก้ปัญหาโอนเงินข้ามประเทศ

ความท้าทายในการสนับสนุนโอเพ่นซอร์ส
เงินทุนยังไม่เพียงพอต่อความต้องการระยะยาว
การโอนเงินระหว่างประเทศยังมีอุปสรรคด้านกฎหมายและระบบธนาคาร
โครงการโอเพ่นซอร์สจำนวนมากยังไม่มีช่องทางรับเงินที่ปลอดภัย

https://news.itsfoss.com/ffmpeg-receives-100k-funding/

Bronze Butler โจมตีองค์กรผ่านช่องโหว่ Zero-Day ใน Lanscope — แฮกเกอร์จีนใช้ช่องทางควบคุมระบบแบบลับๆ

กลุ่ม APT จากจีนชื่อ Bronze Butler ถูกพบว่าใช้ช่องโหว่ Zero-Day ในซอฟต์แวร์ Lanscope เพื่อลอบควบคุมระบบขององค์กรในญี่ปุ่น โดยไม่ต้องใช้มัลแวร์หรือไฟล์ใดๆ — เป็นการโจมตีแบบ “fileless” ที่ยากต่อการตรวจจับ

Lanscope เป็นซอฟต์แวร์ที่ใช้ในองค์กรเพื่อควบคุมและตรวจสอบอุปกรณ์ภายในเครือข่าย เช่น การล็อกการใช้งาน USB หรือการตรวจสอบการเข้าเว็บไซต์ ล่าสุดพบว่ามีช่องโหว่ Zero-Day ที่เปิดให้ผู้โจมตีสามารถใช้ API ภายในเพื่อควบคุมระบบได้โดยไม่ต้องติดตั้งมัลแวร์ใดๆ

กลุ่ม Bronze Butler ซึ่งเป็นกลุ่มแฮกเกอร์ที่เชื่อว่ามีความเกี่ยวข้องกับรัฐบาลจีน ได้ใช้ช่องโหว่นี้ในการโจมตีองค์กรในญี่ปุ่น โดยใช้เทคนิค “living off the land” คือการใช้เครื่องมือที่มีอยู่ในระบบ เช่น PowerShell หรือ WMI เพื่อควบคุมเครื่องเป้าหมายโดยไม่ทิ้งร่องรอย

การโจมตีนี้ไม่ต้องใช้ไฟล์หรือ payload แบบเดิมๆ ทำให้ระบบป้องกันไวรัสหรือ EDR ตรวจจับได้ยากมาก และสามารถแฝงตัวในระบบได้นานโดยไม่ถูกพบ

นักวิจัยด้านความปลอดภัยแนะนำให้องค์กรที่ใช้ Lanscope ตรวจสอบการเรียกใช้งาน API ภายใน และอัปเดตแพตช์ทันทีเมื่อมีการเปิดเผยช่องโหว่ พร้อมทั้งเสริมระบบตรวจสอบพฤติกรรมที่ผิดปกติในเครือข่าย

เกร็ดน่ารู้เพิ่มเติม
“Living off the land” คือเทคนิคที่แฮกเกอร์ใช้เครื่องมือในระบบเพื่อหลบเลี่ยงการตรวจจับ
Fileless attack เป็นรูปแบบการโจมตีที่ไม่ใช้ไฟล์ ทำให้ระบบป้องกันแบบ signature-based ไม่สามารถตรวจจับได้
Bronze Butler เคยถูกจับตาในกรณีโจมตีหน่วยงานรัฐบาลและบริษัทเทคโนโลยีในญี่ปุ่นตั้งแต่ปี 2016

ช่องโหว่ Zero-Day ใน Lanscope
เปิดให้ควบคุมระบบผ่าน API ภายใน
ไม่ต้องใช้ไฟล์หรือมัลแวร์ในการโจมตี
เป็นการโจมตีแบบ fileless ที่ยากต่อการตรวจจับ

กลุ่มผู้โจมตี: Bronze Butler
เป็นกลุ่ม APT ที่เชื่อว่ามีความเกี่ยวข้องกับรัฐบาลจีน
มีประวัติการโจมตีองค์กรในญี่ปุ่นและเอเชียตะวันออก
ใช้เทคนิค “living off the land” เพื่อหลบเลี่ยงการตรวจจับ

วิธีการโจมตี
ใช้ PowerShell, WMI และ API ภายในของ Lanscope
ไม่ต้องติดตั้งโปรแกรมเพิ่ม
ควบคุมระบบจากระยะไกลโดยไม่ทิ้งร่องรอย

ความเสี่ยงต่อองค์กร
ระบบตรวจสอบทั่วไปอาจไม่สามารถตรวจจับได้
อาจถูกควบคุมโดยไม่รู้ตัวเป็นเวลานาน
ข้อมูลสำคัญอาจถูกขโมยหรือเปลี่ยนแปลง

ข้อควรระวังสำหรับผู้ใช้ Lanscope
ควรตรวจสอบการเรียกใช้งาน API ที่ผิดปกติ
อัปเดตแพตช์ทันทีเมื่อมีการเปิดเผยช่องโหว่
เสริมระบบตรวจสอบพฤติกรรมในเครือข่าย เช่น UEBA หรือ XDR

https://securityonline.info/chinese-apt-bronze-butler-exploits-lanscope-zero-day-for-system-control/

CISA เตือนภัย! ช่องโหว่ XWiki และ VMware ถูกโจมตีจริงแล้ว — องค์กรต้องเร่งอุดช่องโหว่ทันที

หน่วยงาน CISA ของสหรัฐฯ ออกประกาศเตือนว่าช่องโหว่ใน XWiki และ VMware กำลังถูกใช้โจมตีอย่างต่อเนื่องในโลกจริง พร้อมแนะนำให้องค์กรรีบอัปเดตแพตช์และตรวจสอบระบบโดยด่วน

CISA (Cybersecurity and Infrastructure Security Agency) ได้เพิ่มช่องโหว่สองรายการลงใน Known Exploited Vulnerabilities (KEV) ซึ่งหมายความว่า “มีการโจมตีจริงแล้ว” ไม่ใช่แค่ทฤษฎี

ช่องโหว่แรกคือ CVE-2023-41327 ใน XWiki ซึ่งเป็นระบบจัดการเอกสารแบบโอเพ่นซอร์สที่หลายองค์กรใช้สำหรับวิกิภายใน ช่องโหว่นี้เปิดช่องให้ผู้โจมตีสามารถรันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน — แปลว่าแค่เปิดหน้าเว็บก็อาจโดนเจาะได้

ช่องโหว่ที่สองคือ CVE-2024-22267 ใน VMware Aria Automation ซึ่งเป็นระบบจัดการการทำงานอัตโนมัติในคลาวด์ ช่องโหว่นี้เปิดให้ผู้โจมตีสามารถเข้าถึงข้อมูลสำคัญหรือควบคุมระบบได้จากระยะไกลเช่นกัน

CISA ระบุว่าองค์กรที่ใช้ซอฟต์แวร์เหล่านี้ควรอัปเดตแพตช์ทันที และตรวจสอบระบบย้อนหลังเพื่อดูว่ามีการเข้าถึงที่ผิดปกติหรือไม่ โดยเฉพาะในระบบที่เปิดให้เข้าจากอินเทอร์เน็ต

การที่ช่องโหว่เหล่านี้ถูกเพิ่มลงใน KEV หมายความว่าเป็นภัยระดับสูง และอาจถูกใช้โดยกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐ หรือกลุ่ม ransomware ที่มุ่งเป้าโจมตีองค์กรขนาดใหญ่

เกร็ดน่ารู้เพิ่มเติม
Known Exploited Vulnerabilities (KEV) คือรายการช่องโหว่ที่ “มีการโจมตีจริงแล้ว” ไม่ใช่แค่เสี่ยง
VMware Aria Automation เคยเป็นส่วนหนึ่งของ vRealize Automation ซึ่งใช้ในระบบคลาวด์ระดับองค์กร
XWiki เป็นระบบที่นิยมในองค์กรด้านวิจัย การศึกษา และเทคโนโลยี เพราะมีความยืดหยุ่นสูง

ช่องโหว่ที่ถูกใช้งานจริง
CVE-2023-41327 ใน XWiki (Remote Code Execution)
CVE-2024-22267 ใน VMware Aria Automation (Remote Access)
ถูกเพิ่มลงในรายการ Known Exploited Vulnerabilities ของ CISA

ผลกระทบต่อองค์กร
เสี่ยงต่อการถูกเจาะระบบจากระยะไกล
อาจถูกขโมยข้อมูลหรือควบคุมระบบ
มีความเสี่ยงสูงหากเปิดระบบให้เข้าจากอินเทอร์เน็ต

คำแนะนำจาก CISA
อัปเดตแพตช์ล่าสุดทันที
ตรวจสอบระบบย้อนหลังเพื่อหาการเข้าถึงผิดปกติ
ปิดการเข้าถึงจากภายนอกหากไม่จำเป็น

https://securityonline.info/cisa-warns-of-active-exploitation-in-xwiki-and-vmware-vulnerabilities/

Brash Attack: ช่องโหว่ร้ายแรงในเบราว์เซอร์ Chromium แค่เปลี่ยนชื่อแท็บก็ทำให้ระบบล่มได้!

นักวิจัยด้านความปลอดภัยเปิดเผยช่องโหว่ใหม่ใน Blink engine ของ Chromium ที่สามารถทำให้เบราว์เซอร์ล่มภายในไม่กี่วินาที ด้วยการเปลี่ยนค่า document.title อย่างต่อเนื่อง — ส่งผลกระทบต่อผู้ใช้กว่า 3 พันล้านคนทั่วโลก

Brash คือชื่อของช่องโหว่ใหม่ที่ถูกค้นพบใน Blink rendering engine ซึ่งเป็นหัวใจของเบราว์เซอร์ยอดนิยมอย่าง Google Chrome, Microsoft Edge, Brave, Opera, Vivaldi และแม้แต่ ChatGPT Atlas หรือ Perplexity Comet ก็ไม่รอด

ช่องโหว่นี้เกิดจากการที่ API document.title ไม่มีการจำกัดความถี่ในการอัปเดต ทำให้แฮกเกอร์สามารถ inject โค้ดที่เปลี่ยนชื่อแท็บได้หลายล้านครั้งต่อวินาที ส่งผลให้ thread หลักของเบราว์เซอร์ทำงานหนักจนล่มในเวลาเพียง 15–60 วินาที

นักวิจัย Jose Pino ผู้ค้นพบช่องโหว่นี้ ได้เผยแพร่ proof-of-concept (PoC) ที่ชื่อว่า “Brash” ซึ่งสามารถทำให้เบราว์เซอร์ล่มได้จริง โดยไม่ต้องใช้สิทธิ์พิเศษหรือมัลแวร์ เพียงแค่เปิดหน้าเว็บที่ฝังโค้ดไว้เท่านั้น

เกร็ดน่ารู้เพิ่มเติมจากภายนอก
ช่องโหว่นี้มีผลกับ Chromium เวอร์ชัน ≤ 143.0.7483.0
นักวิจัยแนะนำให้ผู้ใช้และองค์กรอัปเดตเบราว์เซอร์ทันทีเมื่อมีแพตช์
การใช้เบราว์เซอร์ใน sandbox หรือ virtual environment ช่วยลดความเสี่ยง

ช่องโหว่ Brash ใน Blink engine
ใช้ document.title อัปเดตชื่อแท็บหลายล้านครั้งต่อวินาที
ทำให้เบราว์เซอร์ล่มภายใน 15–60 วินาที
ไม่ต้องใช้สิทธิ์พิเศษหรือมัลแวร์

เบราว์เซอร์ที่ได้รับผลกระทบ
Chrome, Edge, Brave, Opera, Vivaldi, Arc, Dia, ChatGPT Atlas, Perplexity Comet
ทุกแพลตฟอร์ม: Windows, macOS, Linux, Android
Firefox และ Safari ไม่ได้รับผลกระทบ (ใช้ engine คนละตัว)

วิธีการโจมตี
แฮกเกอร์ preload สตริงยาว 512 ตัวอักษร 100 ชุด
ยิงคำสั่งเปลี่ยนชื่อแท็บแบบ burst (เช่น 8,000 ครั้งต่อ 1 มิลลิวินาที)
ทำให้ thread หลักของเบราว์เซอร์ล่ม

ความเสี่ยงต่อผู้ใช้ทั่วไป
แค่เปิดหน้าเว็บที่ฝังโค้ดก็ทำให้เบราว์เซอร์ล่ม
อาจสูญเสียงานที่ยังไม่ได้บันทึก
ส่งผลกระทบต่อระบบโดยรวม เช่น CPU พุ่งสูง, เครื่องค้าง

ความเสี่ยงต่อองค์กร
ระบบที่ใช้เบราว์เซอร์เป็นเครื่องมือหลักอาจหยุดชะงัก
การโจมตีสามารถใช้เป็น logic bomb หรือโจมตีแบบเจาะจงเวลา
ระบบป้องกันทั่วไปอาจไม่สามารถตรวจจับได้

https://securityonline.info/brash-attack-critical-chromium-flaw-allows-dos-via-simple-code-injection/

MOVEit โดนอีกแล้ว! ช่องโหว่ CVE-2025-10932 ในโมดูล AS2 เสี่ยงทำระบบล่ม — Progress เร่งออกแพตช์อุดช่องโหว่

Progress Software ออกแพตช์ด่วนเพื่อแก้ไขช่องโหว่ระดับสูงใน MOVEit Transfer ที่อาจถูกใช้โจมตีแบบ DoS ผ่านโมดูล AS2 ซึ่งเป็นหัวใจของการแลกเปลี่ยนไฟล์แบบปลอดภัยในองค์กร

MOVEit Transfer คือระบบจัดการไฟล์ที่องค์กรทั่วโลกใช้กันอย่างแพร่หลาย โดยเฉพาะในงานที่ต้องการความปลอดภัยสูง เช่น การส่งข้อมูลระหว่างหน่วยงานหรือคู่ค้า ล่าสุดพบช่องโหว่ใหม่ CVE-2025-10932 ซึ่งเป็นช่องโหว่ “Uncontrolled Resource Consumption” หรือการใช้ทรัพยากรโดยไม่จำกัด

ช่องโหว่นี้อยู่ในโมดูล AS2 (Applicability Statement 2) ซึ่งใช้สำหรับการแลกเปลี่ยนไฟล์แบบเข้ารหัสและลงลายเซ็นดิจิทัล หากถูกโจมตีด้วยคำขอ AS2 ที่ถูกสร้างขึ้นอย่างเจาะจง อาจทำให้ระบบล่มหรือประสิทธิภาพลดลงอย่างรุนแรง

Progress ได้ออกแพตช์สำหรับ MOVEit Transfer ทุกเวอร์ชันที่ได้รับผลกระทบ และเพิ่มฟีเจอร์ whitelist IP เพื่อจำกัดการเข้าถึงโมดูล AS2 โดยเฉพาะ สำหรับผู้ที่ไม่ได้ใช้ AS2 แนะนำให้ลบไฟล์ endpoint ที่เกี่ยวข้องออกชั่วคราวเพื่อปิดช่องทางโจมตี

ช่องโหว่นี้ยังไม่มีรายงานการโจมตีจริงในขณะนี้ แต่เนื่องจาก MOVEit เคยถูกใช้เป็นช่องทางโจมตีในกรณี Clop ransomware มาก่อน จึงถือเป็นเป้าหมายสำคัญที่ควรเฝ้าระวัง

ช่องโหว่ CVE-2025-10932 ใน MOVEit Transfer
เป็นช่องโหว่ Uncontrolled Resource Consumption
อยู่ในโมดูล AS2 ที่ใช้แลกเปลี่ยนไฟล์แบบปลอดภัย
เสี่ยงต่อการโจมตีแบบ DoS หากถูกใช้โดยผู้ไม่หวังดี

เวอร์ชันที่ได้รับผลกระทบ
2025.0.0 ก่อน 2025.0.3
2024.1.0 ก่อน 2024.1.7
2023.1.0 ก่อน 2023.1.16

วิธีแก้ไขและป้องกัน
อัปเดตเป็นเวอร์ชันที่มีแพตช์ล่าสุด
เพิ่ม whitelist IP สำหรับโมดูล AS2
สำหรับผู้ไม่ใช้ AS2 ให้ลบไฟล์ AS2Rec2.ashx และ AS2Receiver.aspx ชั่วคราว

https://securityonline.info/progress-patches-high-severity-vulnerability-in-moveit-transfer-as2-module-cve-2025-10932/

Samsung Internet บุก Windows! พร้อมวิสัยทัศน์ “Ambient AI” ที่จะเปลี่ยนประสบการณ์ท่องเว็บ

Samsung เปิดตัวเบราว์เซอร์ “Samsung Internet” สำหรับ Windows อย่างเป็นทางการ พร้อมฟีเจอร์ซิงก์ข้ามอุปกรณ์ และแนวคิดใหม่ “Ambient AI” ที่จะทำให้เบราว์เซอร์กลายเป็นผู้ช่วยอัจฉริยะในชีวิตประจำวัน

Samsung เคยทดลองปล่อยเบราว์เซอร์ของตัวเองบน Microsoft Store ในปี 2024 แต่ก็ถอดออกไปอย่างเงียบๆ จนกระทั่งล่าสุดในเดือนตุลาคม 2025 บริษัทกลับมาอีกครั้งด้วยการเปิดตัว “Samsung Internet” สำหรับ Windows 10 และ 11 อย่างเป็นทางการ

สิ่งที่น่าสนใจคือเบราว์เซอร์นี้ไม่ได้มาแค่เพื่อให้ใช้งานเว็บทั่วไป แต่เป็นส่วนหนึ่งของวิสัยทัศน์ใหญ่ที่ Samsung เรียกว่า “Ambient AI” — ระบบอัจฉริยะที่สามารถเข้าใจบริบทและคาดการณ์ความต้องการของผู้ใช้ได้ล่วงหน้า

เบราว์เซอร์นี้รองรับการซิงก์ข้อมูลข้ามอุปกรณ์ เช่น บุ๊กมาร์ก ประวัติการท่องเว็บ และข้อมูลการกรอกฟอร์มอัตโนมัติ ทำให้ผู้ใช้สามารถเริ่มต้นจากมือถือแล้วมาต่อบนคอมพิวเตอร์ได้อย่างไร้รอยต่อ

Samsung ยังเน้นเรื่องความเป็นส่วนตัวและความปลอดภัย โดยมีฟีเจอร์บล็อกตัวติดตาม (tracker blocking), แดชบอร์ดความเป็นส่วนตัว และเครื่องมือป้องกันอื่นๆ ติดตั้งมาให้ตั้งแต่แรก

การเปิดตัวครั้งนี้ยังเป็นการประกาศศักดาในสนามแข่งขันเบราว์เซอร์ AI ที่กำลังร้อนแรง โดยมีคู่แข่งอย่าง ChatGPT Atlas จาก OpenAI, Microsoft Edge ที่มี Copilot และ Comet จาก Perplexity

เกร็ดน่ารู้เพิ่มเติมจากภายนอก
Ambient AI คือแนวคิดที่อุปกรณ์และซอฟต์แวร์สามารถ “เข้าใจบริบท” และ “ตอบสนองอัตโนมัติ” โดยไม่ต้องสั่งงานโดยตรง
Samsung Internet มีฐานผู้ใช้บนมือถือ Android หลายร้อยล้านคน โดยเฉพาะในกลุ่มผู้ใช้ Galaxy
การขยายสู่ Windows อาจเป็นก้าวสำคัญในการสร้าง ecosystem ที่แข่งขันกับ Apple และ Google ได้ในระยะยาว

Samsung Internet เปิดตัวบน Windows
รองรับ Windows 10 (เวอร์ชัน 1809 ขึ้นไป) และ Windows 11
เปิดให้ทดลองใช้งานผ่านโปรแกรมเบต้า

ฟีเจอร์เด่นของเบราว์เซอร์
ซิงก์ข้อมูลข้ามอุปกรณ์ เช่น บุ๊กมาร์กและประวัติการใช้งาน
บล็อกตัวติดตามและมีแดชบอร์ดความเป็นส่วนตัว
รองรับการกรอกฟอร์มอัตโนมัติ

วิสัยทัศน์ Ambient AI
เปลี่ยนเบราว์เซอร์จากเครื่องมือรับคำสั่ง เป็นผู้ช่วยอัจฉริยะ
คาดการณ์ความต้องการของผู้ใช้และให้ข้อมูลเชิงบริบท
เป็นส่วนหนึ่งของกลยุทธ์ Galaxy AI ที่ขยายจากมือถือสู่เดสก์ท็อป

การแข่งขันในตลาดเบราว์เซอร์ AI
คู่แข่งหลัก ได้แก่ ChatGPT Atlas, Microsoft Edge Copilot, Perplexity Comet
Samsung ต้องการสร้างระบบนิเวศซอฟต์แวร์ของตัวเองให้แข็งแกร่ง

ข้อควรระวัง
ยังอยู่ในช่วงเบต้า อาจมีบั๊กหรือฟีเจอร์ไม่สมบูรณ์
ผู้ใช้ต้องสมัครเข้าร่วมโปรแกรมทดสอบก่อนใช้งาน
ความสามารถด้าน AI ยังอยู่ระหว่างการพัฒนา อาจยังไม่ตอบโจทย์ทุกสถานการณ์

https://securityonline.info/samsung-internet-arrives-on-windows-pushing-forward-ambient-ai-vision/

ศาลสหรัฐฯ บังคับ Google เปิด Google Play ให้ใช้ระบบจ่ายเงินภายนอกได้แล้ว — แต่เฉพาะในอเมริกาเท่านั้น!

Google ถูกศาลสหรัฐฯ สั่งให้เปิดทางให้แอปบน Google Play ใช้ระบบชำระเงินภายนอกได้ โดยนักพัฒนาสามารถหลีกเลี่ยงค่าคอมมิชชันของ Google และเสนอราคาที่ถูกลงให้ผู้ใช้ได้ — แต่การเปลี่ยนแปลงนี้ยังเป็นเพียงมาตรการชั่วคราว

ก่อนหน้านี้ทั้ง Apple และ Google ต่างก็ไม่อนุญาตให้นักพัฒนาแอปใช้ระบบจ่ายเงินภายนอก เพราะต้องการเก็บค่าคอมมิชชันจากทุกธุรกรรมในแอป แต่เมื่อ Epic Games ฟ้องร้องทั้งสองบริษัทในข้อหาผูกขาด ศาลสหรัฐฯ จึงมีคำตัดสินให้ทั้งสองบริษัทต้องเปิดระบบมากขึ้น

แม้ทั้ง Apple และ Google จะแพ้คดี แต่ผลกระทบที่เกิดขึ้นต่างกัน — Apple ได้รับผลกระทบน้อยกว่าเพราะระบบปิดของ iOS แต่ Google ซึ่งใช้ระบบ Android ที่เปิดกว้างกว่า กลับต้องปรับนโยบายมากกว่า

ผลลัพธ์คือ Google ต้องเปิดให้แอปใน Google Play สามารถใช้ระบบจ่ายเงินภายนอกได้ในสหรัฐฯ นักพัฒนาจึงไม่จำเป็นต้องจ่ายค่าคอมมิชชันให้ Google อีกต่อไป และสามารถเสนอราคาที่ถูกลงให้ผู้ใช้ได้

นอกจากนี้ Google ยังอนุญาตให้นักพัฒนาชี้ทางให้ผู้ใช้ดาวน์โหลดแอปจากแหล่งอื่นนอก Google Play ได้ด้วย แต่ทั้งหมดนี้มีผลเฉพาะในสหรัฐฯ เท่านั้น และจะมีผลถึงวันที่ 1 พฤศจิกายน 2027 เท่านั้น เพราะ Google ยังอยู่ระหว่างการอุทธรณ์คำตัดสิน

แม้จะเปิดให้ใช้ระบบจ่ายเงินภายนอกได้ แต่ Google ก็ยังมีแผนจะเรียกเก็บ “ค่าบริการเสริม” เช่น ค่าตรวจสอบตัวตนหรือค่าความปลอดภัย เพื่อชดเชยรายได้ที่หายไปจากค่าคอมมิชชัน

เกร็ดน่ารู้เพิ่มเติมจากภายนอก
ค่าคอมมิชชันของ Google Play อยู่ที่ประมาณ 15–30% ต่อธุรกรรม
Apple เคยถูกศาลสั่งให้อนุญาตลิงก์ไปยังระบบจ่ายเงินภายนอกเช่นกัน แต่ยังมีข้อจำกัดมาก
การเปิดให้ใช้ระบบจ่ายเงินภายนอกอาจส่งผลให้เกิดการแข่งขันด้านราคามากขึ้นในตลาดแอป

นี่อาจเป็นจุดเริ่มต้นของการเปลี่ยนแปลงครั้งใหญ่ในโลกของแอปมือถือ — แต่จะยั่งยืนหรือไม่ ยังต้องจับตาดูผลของการอุทธรณ์จาก Google ต่อไป

คำสั่งศาลสหรัฐฯ ต่อ Google
บังคับให้ Google เปิดให้ใช้ระบบจ่ายเงินภายนอกในแอป
มีผลเฉพาะในสหรัฐฯ เท่านั้น
มีผลจนถึงวันที่ 1 พฤศจิกายน 2027

ผลกระทบต่อนักพัฒนา
ไม่ต้องจ่ายค่าคอมมิชชันให้ Google
สามารถเสนอราคาที่ถูกลงให้ผู้ใช้
ชี้ทางให้ผู้ใช้ดาวน์โหลดแอปจากแหล่งอื่นได้

ท่าทีของ Google
ปรับนโยบายตามคำสั่งศาลแบบชั่วคราว
อยู่ระหว่างการอุทธรณ์เพื่อยกเลิกคำสั่ง
เตรียมเก็บค่าบริการเสริมแม้ใช้ระบบจ่ายเงินภายนอก

https://securityonline.info/court-mandate-google-play-opens-to-external-payments-in-the-us/

Airstalk: มัลแวร์สายลับระดับชาติ แฝงตัวผ่านระบบ MDM ของ VMware เพื่อขโมยข้อมูลแบบไร้ร่องรอย

นักวิจัยจาก Unit 42 แห่ง Palo Alto Networks พบมัลแวร์ใหม่ชื่อ Airstalk ที่ใช้ API ของ VMware AirWatch (Workspace ONE) เป็นช่องทางสื่อสารลับ (C2) เพื่อขโมยข้อมูลจากองค์กรผ่านการโจมตีแบบ supply chain

Airstalk ไม่ใช่มัลแวร์ธรรมดา แต่มันคือเครื่องมือจารกรรมที่ถูกออกแบบมาอย่างชาญฉลาด โดยมีทั้งเวอร์ชัน PowerShell และ .NET ซึ่งสามารถขโมยข้อมูลจากเบราว์เซอร์ เช่น cookies, bookmarks, ประวัติการใช้งาน และภาพหน้าจอ

สิ่งที่ทำให้ Airstalk น่ากลัวคือมันใช้ API ของ AirWatch ซึ่งเป็นระบบจัดการอุปกรณ์พกพา (MDM) ที่องค์กรจำนวนมากใช้ในการควบคุมมือถือและแท็บเล็ตของพนักงาน โดย Airstalk แอบใช้ฟีเจอร์ “custom device attributes” และ “file uploads” เพื่อส่งคำสั่งและรับข้อมูลกลับจากเครื่องเหยื่อ — เหมือนกับการใช้ “ตู้ฝากของลับ” แบบสายลับ

มัลแวร์นี้ยังใช้เทคนิคขั้นสูง เช่น การเซ็นชื่อดิจิทัลด้วยใบรับรองที่ถูกขโมย การเปลี่ยนแปลง timestamp ของไฟล์ และการลบตัวเองหลังจากทำงานเสร็จ เพื่อหลบเลี่ยงการตรวจจับ

Unit 42 เชื่อว่ามัลแวร์นี้ถูกใช้โดยกลุ่มที่ได้รับการสนับสนุนจากรัฐ (nation-state actor) และมีเป้าหมายคือการจารกรรมระยะยาว ไม่ใช่การโจมตีแบบทำลายล้าง โดยเฉพาะการเจาะผ่านบริษัท BPO (outsourcing) ที่ให้บริการกับหลายองค์กร ทำให้สามารถเข้าถึงเหยื่อจำนวนมากได้ในคราวเดียว

เกร็ดน่ารู้เพิ่มเติม
“Dead drop” เป็นเทคนิคที่สายลับใช้ในการแลกเปลี่ยนข้อมูลโดยไม่พบกันโดยตรง
AirWatch (Workspace ONE) เป็นระบบ MDM ที่ใช้กันอย่างแพร่หลายในองค์กรขนาดใหญ่
การโจมตีแบบ supply chain เคยเกิดขึ้นแล้วในกรณี SolarWinds และ 3CX ซึ่งสร้างความเสียหายมหาศาล

Airstalk คือมัลแวร์จารกรรมระดับสูง
มีทั้งเวอร์ชัน PowerShell และ .NET
ขโมยข้อมูลจากเบราว์เซอร์ เช่น cookies, bookmarks, screenshots
ใช้ API ของ VMware AirWatch เป็นช่องทางสื่อสารลับ

เทคนิคการโจมตี
ใช้ “custom device attributes” และ “file uploads” เพื่อส่งคำสั่ง
ใช้ endpoint /api/mdm/devices/ และ /api/mam/blobs/uploadblob
สื่อสารแบบ “dead drop” โดยไม่ต้องเชื่อมต่อโดยตรง

ความสามารถของเวอร์ชัน .NET
รองรับ multi-threaded communication
มีระบบ debug, beaconing ทุก 10 นาที
รองรับเบราว์เซอร์หลายตัว เช่น Chrome, Edge, Island

เทคนิคหลบเลี่ยงการตรวจจับ
ใช้ใบรับรองดิจิทัลที่ถูกขโมย
เปลี่ยน timestamp ของไฟล์
ลบตัวเองหลังจากทำงานเสร็จ

ความเสี่ยงจากการใช้ MDM เป็นช่องทางโจมตี
ทำให้มัลแวร์แฝงตัวในระบบที่องค์กรไว้วางใจ
ยากต่อการตรวจจับโดยระบบป้องกันทั่วไป
อาจเข้าถึงข้อมูลของหลายองค์กรผ่านผู้ให้บริการ BPO

ความเสี่ยงต่อความมั่นคงขององค์กร
ข้อมูลสำคัญอาจถูกขโมยโดยไม่รู้ตัว
การโจมตีแบบ supply chain ทำให้ยากต่อการควบคุม
อาจนำไปสู่การจารกรรมระดับชาติหรืออุตสาหกรรม

https://securityonline.info/nation-state-espionage-airstalk-malware-hijacks-vmware-airwatch-mdm-api-for-covert-c2-channel/

PhantomRaven: มัลแวร์ npm สุดแสบที่ขโมยข้อมูลนักพัฒนาแบบแนบเนียน

แคมเปญมัลแวร์ PhantomRaven แอบแฝงใน npm ด้วยแพ็กเกจปลอมกว่า 126 รายการ ใช้เทคนิคลับ Remote Dynamic Dependency เพื่อขโมยโทเคนและข้อมูลลับของนักพัฒนาโดยไม่ถูกตรวจจับ

ตั้งแต่เดือนสิงหาคม 2025 แคมเปญมัลแวร์ชื่อ PhantomRaven ได้แอบปล่อยแพ็กเกจ npm ปลอมกว่า 126 รายการ ซึ่งถูกดาวน์โหลดไปแล้วกว่า 86,000 ครั้ง จุดประสงค์หลักคือขโมยข้อมูลลับของนักพัฒนา เช่น GitHub credentials, CI/CD tokens และ npm authentication tokens

สิ่งที่ทำให้ PhantomRaven อันตรายคือการใช้ฟีเจอร์ Remote Dynamic Dependency (RDD) ซึ่งอนุญาตให้แพ็กเกจ npm ดึง dependencies จาก URL ภายนอก แทนที่จะใช้ registry ปกติ ทำให้เครื่องมือสแกนความปลอดภัยมองว่าแพ็กเกจเหล่านี้ “ไม่มี dependencies” และปลอดภัย ทั้งที่จริงแล้วโค้ดอันตรายจะถูกดึงมาและรันทันทีเมื่อผู้ใช้ติดตั้ง

แพ็กเกจปลอมเหล่านี้มักมีชื่อคล้ายของจริง เช่น eslint-comments (จริงคือ eslint-plugin-eslint-comments) หรือ unused-imports (จริงคือ eslint-plugin-unused-imports) ซึ่งถูกออกแบบมาให้ AI แนะนำโดยผิดพลาดเมื่อผู้ใช้ถามหาแพ็กเกจในแชตบอตหรือ Copilot

เมื่อโค้ดรัน มัลแวร์จะเริ่มเก็บข้อมูลจากไฟล์ .gitconfig, .npmrc, package.json รวมถึงสแกนหาโทเคนจาก GitHub Actions, GitLab, Jenkins และ CircleCI จากนั้นจะส่งข้อมูลออกผ่าน HTTP GET, POST และ WebSocket เพื่อให้แน่ใจว่าข้อมูลจะหลุดออกไปแม้ในเครือข่ายที่มีไฟร์วอลล์

PhantomRaven คือแคมเปญมัลแวร์ใน npm
ปล่อยแพ็กเกจปลอมกว่า 126 รายการ
ถูกดาวน์โหลดไปแล้วกว่า 86,000 ครั้ง
เริ่มต้นในเดือนสิงหาคม 2025 และยังมีแพ็กเกจที่ยังไม่ถูกลบ

เทคนิค Remote Dynamic Dependency (RDD)
ดึงโค้ดจาก URL ภายนอกแทน registry
ทำให้เครื่องมือสแกนมองว่าไม่มี dependencies
โค้ดอันตรายจะรันทันทีเมื่อติดตั้งผ่าน preinstall script

ข้อมูลที่มัลแวร์พยายามขโมย
อีเมลและข้อมูลจากไฟล์ config
โทเคนจาก GitHub, GitLab, Jenkins, CircleCI
ข้อมูลระบบ เช่น IP, hostname, OS, username

ช่องทางการส่งข้อมูลออก
HTTP GET (ฝังข้อมูลใน URL)
HTTP POST (ส่ง JSON payload)
WebSocket (ใช้ในเครือข่ายที่มีข้อจำกัด)

ความเสี่ยงจากแพ็กเกจปลอม
ชื่อคล้ายของจริง ทำให้ AI แนะนำผิด
ผู้ใช้ติดตั้งโดยไม่รู้ว่าเป็นมัลแวร์
โค้ดดูเหมือน harmless เช่น console.log('Hello, world!') แต่แฝง payload จริงไว้ภายนอก

ความเสี่ยงต่อระบบ CI/CD และข้อมูลลับ
โทเคนและ credentials ถูกขโมยโดยไม่รู้ตัว
ส่งผลกระทบต่อระบบอัตโนมัติและการ deploy
อาจถูกใช้เพื่อเจาะระบบองค์กรหรือ cloud infrastructure

เกร็ดน่ารู้เพิ่มเติม
Remote Dynamic Dependency เป็นฟีเจอร์ที่แทบไม่มีใครใช้ เพราะเสี่ยงต่อความปลอดภัยสูง
Slopsquatting คือเทคนิคใหม่ที่ใช้ AI สร้างชื่อแพ็กเกจปลอมที่ “ดูเหมือนจริง” เพื่อหลอกให้ผู้ใช้ติดตั้ง
นักพัฒนาควรใช้เครื่องมือเช่น npm audit, Snyk, หรือ Socket.dev เพื่อตรวจสอบความปลอดภัยของแพ็กเกจ

https://securityonline.info/phantomraven-126-malicious-npm-packages-steal-developer-tokens-and-secrets-using-hidden-dependencies/

Sora บุกตลาดเอเชีย! แอปสร้างวิดีโอจาก OpenAI พร้อมฟีเจอร์ Cameo สุดฮิตและกฎความปลอดภัยใหม่

OpenAI เปิดตัว Sora App ในเอเชียอย่างเป็นทางการ พร้อมฟีเจอร์ Cameo ที่ให้ผู้ใช้ใส่ตัวเองลงในวิดีโอ AI และระบบความปลอดภัยหลายชั้นเพื่อป้องกันเนื้อหาที่ไม่เหมาะสม

Sora App คือแอปสร้างวิดีโอด้วย AI จาก OpenAI ที่เปิดตัวครั้งแรกในสหรัฐฯ และแคนาดาเมื่อเดือนกันยายน และตอนนี้ได้ขยายสู่เอเชีย โดยเริ่มที่ไต้หวัน ไทย และเวียดนาม ซึ่งเป็นภูมิภาคที่มีชุมชนครีเอเตอร์ที่แข็งแกร่ง

ผู้ใช้สามารถดาวน์โหลดแอปได้ทันทีจาก Apple App Store โดยไม่ต้องใช้โค้ดเชิญ ฟีเจอร์เด่นของ Sora ได้แก่การสร้างวิดีโอจากข้อความ (text-to-video), การรีมิกซ์วิดีโอของผู้ใช้อื่น, ฟีดวิดีโอที่ปรับแต่งได้ และ Cameo — ฟีเจอร์ที่ให้ผู้ใช้บันทึกคลิปและเสียงของตัวเองเพื่อให้ AI สร้างวิดีโอที่มีใบหน้าและเสียงของผู้ใช้ในฉากต่างๆ

OpenAI เน้นย้ำเรื่องความปลอดภัย โดยใช้ระบบกรองหลายชั้น เช่น การตรวจสอบเฟรมวิดีโอ, คำสั่งข้อความ และเสียง เพื่อป้องกันเนื้อหาลามก, ส่งเสริมการทำร้ายตัวเอง หรือเนื้อหาก่อการร้าย นอกจากนี้ยังมีระบบ watermark แบบ C2PA ที่ฝังในวิดีโอเพื่อระบุว่าเป็นเนื้อหา AI

ฟีเจอร์ Cameo ยังให้ผู้ใช้ควบคุมสิทธิ์ของตัวเองได้เต็มที่ เช่น ถอนการอนุญาต หรือขอลบวิดีโอที่มีใบหน้าตนเอง แม้จะยังอยู่ในร่างต้นฉบับก็ตาม

สำหรับผู้ใช้วัยรุ่น Sora มีการจำกัดเวลาการใช้งานรายวัน และเพิ่มการตรวจสอบจากมนุษย์เพื่อป้องกันการกลั่นแกล้ง พร้อมระบบควบคุมโดยผู้ปกครองผ่าน ChatGPT

สรุปเนื้อหาสำคัญและคำเตือน

Sora App เปิดตัวในเอเชีย
เริ่มใช้งานในไต้หวัน ไทย และเวียดนาม
ดาวน์โหลดได้ทันทีจาก Apple App Store โดยไม่ต้องใช้โค้ดเชิญ

ฟีเจอร์เด่นของ Sora
สร้างวิดีโอจากข้อความ (text-to-video)
รีมิกซ์วิดีโอของผู้ใช้อื่น
ฟีดวิดีโอที่ปรับแต่งได้
Cameo: ใส่ใบหน้าและเสียงของผู้ใช้ลงในวิดีโอ AI

ระบบความปลอดภัยของ Sora
กรองเนื้อหาด้วยการตรวจสอบเฟรม, ข้อความ และเสียง
ป้องกันเนื้อหาลามก, ส่งเสริมการทำร้ายตัวเอง และก่อการร้าย
ใช้ watermark แบบ C2PA เพื่อระบุว่าเป็นวิดีโอจาก AI

การควบคุมสิทธิ์ของผู้ใช้
ผู้ใช้สามารถถอนการอนุญาต Cameo ได้ทุกเมื่อ
ขอให้ลบวิดีโอที่มีใบหน้าตนเองได้ แม้ยังไม่เผยแพร่

การป้องกันสำหรับผู้ใช้วัยรุ่น
จำกัดเวลาการใช้งานรายวัน
เพิ่มการตรวจสอบจากมนุษย์
ผู้ปกครองสามารถควบคุมผ่าน ChatGPT

เกร็ดน่ารู้เพิ่มเติม
เทคโนโลยี C2PA (Coalition for Content Provenance and Authenticity) เป็นมาตรฐานใหม่ที่ใช้ระบุแหล่งที่มาของเนื้อหาดิจิทัล
ฟีเจอร์ Cameo คล้ายกับเทคโนโลยี deepfake แต่มีการควบคุมสิทธิ์และความปลอดภัยมากกว่า
การเปิดตัวในเอเชียสะท้อนถึงการเติบโตของตลาดครีเอเตอร์ในภูมิภาคนี้อย่างชัดเจน

https://securityonline.info/openai-launches-sora-app-in-asia-featuring-viral-cameos-and-new-safety-rules/

พรรคไทยก้าวใหม่เตรียมชู "ธนูดอกที่ 1 สร้างคน" ปฏิรูปการศึกษา หลัง สอวช. เผยแรงงานสมรรถนะสูงมีน้อย
https://www.thai-tai.tv/news/22132/
.
#ไทยไท #ไทยก้าวใหม่ #สุชัชวีร์ #ทักษะแรงงาน #ปฏิรูปการศึกษา #STEM

เสด็จสู่สวรรคาลัย Ep317 (live)
•
SONDHITALK : ผู้เฒ่าเล่าเรื่อง Ep317 (live)
น้อมส่งสู่สวรรคาลัย สมเด็จพระบรมราชชนนีพันปีหลวง‘พระแม่แห่งแผ่นดิน‘
•
สมัครสมาชิก membership ความจริงมีหนึ่งเดียว ช่อง SONDHITALK บน YouTube ติดต่อสอบถามได้ที่ Line : @sondhitalk
•
คลิก https://www.youtube.com/watch?v=fViUjNEe4gQ

"ไชยชนก ชิดชอบ" ลาออกจากกรรมาธิการศึกษา MOU 43 - 44 สภาฯ ตั้ง "ปานเทพ พัวพงษ์พันธ์” เป็น กมธ.แทนในโควตาภูมิใจไทย

อ่านต่อ..https://news1live.com/detail/9680000103853

#News1live #News1 #Sondhitalk #SondhiX #คุยทุกเรื่องกับสนธิ #สนธิเล่าเรื่อง #Thaitimes #กัมพูชายิงก่อน #ไทยนี้รักสงบแต่ถึงรบไม่ขลาด #ประชุมสภา #สภาผู้แทนราษฎร #MOU2543 #MOU2544 #ไทยกัมพูชา #ภูมิใจไทย #ปานเทพพัวพงษ์พันธ์ #ยามเฝ้าแผ่นดิน #ไชยาพรหมา #ไชยชนกชิดชอบ #สยามเพ็งทอง #ข่าวการเมือง #ข่าวสภา

ต้มข้ามศตวรรษ – ป้ายปลอม
นิทานเรื่องจริง เรื่อง “ต้มข้ามศตวรรษ”
บทที่ 2 “ป้ายปลอม”
ตอน 1

ต้นปี ค.ศ.1918 นาย Edgar Sisson ผู้แทนของคณะกรรมาธิการ ด้านข้อมูลสาธารณะ (US Committee on Public Information ของอเมริกา) มาสำรวจและตรวจสอบหลักฐานที่เมือง Petrograd เนื่องจากมีข่าวว่าพวก Bolsheviks ซึ่งบุคคลหลายกลุ่มในอเมริกากำลังสนับสนุนนั้น เป็นพวกเยอรมัน ซึ่งถ้าเป็นเรื่องจริง ก็น่าจะมีผลกระทบกับความสัมพันธ์ ระหว่างอเมริกากับอังกฤษอย่างยิ่ง

หลังจากสำรวจเสร็จ นาย Edgar Sission ก็หอบเอาเอกสารของรัสเซียมัดใหญ่ ซึ่งอ้างว่ามีข้อพิสูจน์ว่า Trotsky และ Lenin และพวกปฏิวัติ Bolsheviks ทั้งก๊วนเป็นสายลับของรัฐบาลเยอรมัน เอกสารเหล่านั้น ต่อมาเรียกว่า “Sission Documents”

Sission Documents ถูกขนขึ้นเรือมาอย่างเร่งรีบและปิดลับ เพื่อนำส่งไปที่กรุงวอซิงตัน ให้คณะกรรมการ National Board for Historical Service ทำการพิสูจน์ว่าเอกสารทั้งมัดใหญ่นั่น เป็นของแท้ หรือเป็นของปลอม ถูกแต่งมาต้มกันหรือเปล่า

นักประวัติศาสตร์ชื่อดัง 2 คน J. Franklin Jameson และ Samuel N. Harper ถูกเรียกมาทำหน้าที่ตรวจสอบ หลังจากตรวจสอบเรียบร้อย เขาแบ่งเอกสารออกเป็น 3 กลุ่ม
เกี่ยวกับเอกสารกลุ่ม 1 นักประวัติศาสตร์ทั้ง 2 สรุปว่า

“เราได้ตรวจสอบด้วยความระมัดระวังในทุกด้าน ตามที่นักเรียนประวัติศาสตร์จะรู้จักและใช้เป็นแนวทาง จากการตรวจสอบหลักฐานดังกล่าว เราไม่มีความลังเลที่จะประกาศว่า เราไม่มีเหตุผลที่จะตั้งข้อสงสัย ถึงความเป็นของแท้ของเอกสาร 53 ชิ้นนี้” แปลว่า พวกเขามีความเห็นว่า เอกสาร 52 ชิ้นนั้น เป็นของแท้ แต่นักวิชาการ ต้องพูดให้เข้าใจยากไว้ก่อน
สำหรับเอกสารกลุ่ม 2 นักประวัติศาสตร์ทั้ง 2 มั่นใจน้อยลง แต่ก็ไม่ใช้คำว่า เป็นเอกสารปลอม พวกเขาให้ความเห็นว่า น่าจะเป็นสำเนาของเอกสารต้นฉบับ

ส่วน เอกสารกลุ่ม 3 พวกเขาไม่มีความมั่นใจเลย ในความจริงแท้ของเอกสาร แต่ก็ยังไม่อยากที่จะเรียกว่าเป็นเอกสารปลอม ขอดูต่อไป (เผื่อจะมีอะไรมาทำให้ชัดขึ้นว่า แท้หรือปลอม ทำนองนั้น)

Sission Documents ถูกนำไปพิมพ์โดย Committee on Public Information ซึ่งประธานคือ George Creel ซึ่งปรากฏภายหลังว่า เป็นคนหนึ่งที่สนับสนุนขบวนการ Bolsheviks

เมื่อเอกสารออกไปสู่สาธารณะ บรรดาสื่ออเมริกันส่วนใหญ่มีความเห็นว่าเป็นเอกสารจริง เว้นแต่ New York Evening Post ซึ่งขณะนั้นเป็นเจ้าของโดย Thomas W. Lamont หุ้นส่วนของกลุ่ม Morgan หนังสือพิมพ์ Evening Post ถึงกับท้าทายความเป็นของแท้ของเอกสาร

ต่อมาภายหลัง Sission Documents มีการตรวจสอบใหม่ และผลปรากฏว่าเอกสารเกือบทั้งหมด เป็นของปลอม ! ข้อผิดพลาดที่ปรากฏในเอกสารส่วนใหญ่ เป็นเรื่องของความไม่สอดคล้องในการสะกดชื่อ วันที่อ้าง ตราประทับ ฯลฯ ซึ่งแสดงให้เห็นถึงความไม่ระมัดระวังของผู้ทำเอกสาร หรือใช้มืออ่อนหัดในตลาดการปลอมเอกสารมาดำเนินการ

แต่ Sission Documents นี้ ก็ถูกนำมาใช้อ้างในงานค้นคว้าศึกษา เกี่ยวกับการปฏิวัติรัสเซียของพวก Bolsheviks มากมาย และโดยทั่วไปแม้จะเป็นเอกสารปลอม แต่เหตุการณ์ที่อ้างไว้ในเอกสาร ส่วนใหญ่เป็นเหตการณ์จริง

ที่น่าสนใจคือ เอกสารทั้งหมดถูกส่งไปให้ Edgar Sisson โดย Alexander Gumberg (หรือที่รู้จักกันในชื่อ Berg ซึ่งชื่อจริงคือ Michael Gruzenberg) ซึ่งตัวแทนของ Bolsheviks ในสแกนดิเนเวีย และต่อมาเป็นที่ปรึกษาพิเศษของ Chase National Bank ของตระกูล Rockefeller และนาย Floyd Odium ของ Atlas Corporation

นี่มันซ้อนกันหลายชั้นจนน่างง และตัวละครชักทยอยโผล่หัวมากขึ้น แต่อย่าเพิ่งงงนะครับ นี่เพิ่งเริ่มต้นเท่านั้นเอง ยังไม่ถึงตอนมันยกร่องเลย

ส่วนพวก Bolsheviks เอง ไม่ยอมรับเอกสารเหล่านี้ รวมทั้ง John Reed คอลัมนิสต์ชื่อดัง ซึ่งกินเงินเดือนจากนิตยสาร Metropolitan ซึ่งเป็นของ J.P. Morgan ก็ไม่ยอมรับเช่นเดียวกัน

ทั้งหมดนี้อาจเป็นแผนการของ Gumberg ที่จะทำลายความน่าเชื่อถือของ Sission โดยการจัดการปลอมเอกสารขึ้นมา หรืออาจจะเป็นความคิดของ Gumberg หรือ Creel ที่ทำขึ้น เหมือนเป็นเครื่องหมายปลอม บอกเส้นทาง..ให้คนที่คิดติดตามเรื่อง เลี้ยวผิด และหลงทาง ก็เป็นได้
Sission Documents ถูกเอามาใช้เป็นข้อพิสูจน์ว่า เยอรมันกับพวก Bolsheviks เกี่ยวข้องกัน หรือร่วมมือกันอย่างใกล้ชิด และถูกเอามาใช้เป็นข้อพิสูจน์ว่า มันเป็นการร่วมมือระหว่างพวกยิวกับพวก Bolsheviks แต่ที่สำคัญ เอกสารนี้ ได้ถูกใช้เป็นม่านควัน เอามาบังสายตาชาวบ้านทั่วไป ให้พร่ามัว มองไม่เห็นความจริง หรือเข้าใจความจริง ไขว้เขวไปอีกด้วย ทำให้เกิดสับสนจนเบื่อ แล้วเลิกติดตาม

สวัสดีครับ
คนเล่านิทาน
26 เม.ย. 2558

ต้มข้ามศตวรรษ – สร้างฉากปฏิวัติ 6
นิทานเรื่องจริง เรื่อง “ต้มข้ามศตวรรษ”
บทที่ 1 “สร้างฉากปฏิวัติ”

ตอน 6

เดือนเมษายน ค.ศ.1917 Vladimir Lenin และพวกอีก 32 คน ซึ่งส่วนมากเป็นพวก Bolsheviks เดินทางจากสวิสเซอร์แลนด์ ข้ามเยอรมัน ผ่านสวีเดน เพื่อไปเข้าเมือง Petrograd ของรัสเซีย พวกเขากำลังไปร่วมกับ Leon Trotsky เพื่อ “ทำปฏิวัติ” ให้สมบูรณ์ การผ่านด่านเยอรมันเรียบร้อยดี มีการอำนวยความสะดวก และจ่ายเงินไว้แล้ว โดยเจ้าหน้าที่ฝ่ายเสนาธิการ ของรัฐบาลเยอรมัน

การผ่านเข้ารัสเซียของ Lenin เป็นส่วนหนึ่งของแผนการณ์ ที่ได้รับการเห็นชอบโดยกองบัญชาการสูงสุดของเยอรมัน ซึ่งไม่ได้ผ่านการรับรู้จากไกเซอร์ จักรพรรดิของเยอรมัน ผู้ซึ่งมีความใกล้ชิด สนิทสนมกับ ซาร์แห่งรัสเซีย

ดูเหมือนมันจะเป็นแผนของเยอรมัน ที่ต้องการให้กองทัพรัสเซียแตกแยก รวมตัวกันไม่ได้ และขจัดให้รัสเซียออกไปจากสงครามโลกครั้งที่ 1 เป็นความพยายามของรัฐบาลเยอรมัน ที่จะตัดกำลังคู่ต่อสู้คือ ฝ่ายสัมพันธมิตร เยอรมันคิดเองทำเอง หรือมีใครช่วยหรือชักใย

นอกจากไกเซอร์จะไม่รู้แล้ว ตัวเสนาธิการกองทัพเยอรมัน Major General Hoffman ก็ไม่รู้เรื่องด้วย เขาเขียนไว้ในบันทึกว่า “เราไม่รู้เรื่อง และทำให้เราไม่สามารถเห็นผลกระทบ ที่จะเกิดขึ้นอย่างใหญ่หลวงต่อมนุษยชาติ จากการเดินทางเข้าไปในรัสเซียของพวก Bolsheviks”

ฝ่ายเยอรมัน ผู้ที่ให้ความเห็นชอบให้ Lenin เดินทางผ่านเยอรมันไปรัสเซีย คือ ตัวนายกรัฐมนตรี Theobold von Bethmann-Hollweg เอง ซึ่งมาจากตระกูลใหญ่เจ้าของธนาคาร Bethmann Frankfurt ที่ร่ำรวยมากในช่วงศตวรรษที่ 19 นาย Bethmann-Hollweg ได้ รับเลือกตั้งเป็นนายกรัฐมนตรีในปี ค.ศ. 1909 แต่ในเดือน พ.ย. 1913 เขาเป็นนายกรัฐมนตรีคนแรก ที่ถูกรัฐสภาของเยอรมันลงมติไม่ไว้วางใจ

นาย Bethmann-Hollweg นี่ เป็นคนที่พูดจา ชนิดต้องใช้มะกอกเกิน 3 ตะกร้า ถึงจะจับให้มั่นได้ ปี ค.ศ. 1917 เขาไม่ได้เสียงสนับสนุนจากรัฐสภา และยื่นใบลาออก แต่ก่อนลาออก เขาทิ้งทวน โดยการให้ความเห็นชอบไว้เรียบร้อยแล้ว ให้นักปฏิวัติ กลุ่ม Bolsheviks เดินทางผ่านเยอรมัน เข้าไปยังรัสเซีย โดยเขาสั่งตรงไปยังรัฐมนตรีต่างประเทศ Unthur Zimmermann ลูกกระเป๋งที่เป็นผู้รับผิดชอบดูแลงานประจำของรัฐมนตรี ทั้งในเบอร์ลินและงานที่ส่งจากกรุงโคเปนเฮเกน มายังเยอรมันในช่วงเดือน เม.ย.1917
ไกเซอร์ไม่รู้เรื่องขบวนการเคลื่อนไหวเพื่อปฏิวัติในรัสเซียเลย จนกระทั่ง Lenin ไปถึงรัสเซียแล้ว แสดงว่าถูกกันท่าโดยพวกรัฐบาล ซึ่งคงกลัวเสียแผน หากกษัตริย์ของ 2 ประเทศ จะจับมือช่วยกันเอง
ขณะที่ Lenin เอง ก็ไม่รู้แน่ว่าใครเป็นผู้ให้ความช่วยเหลือเขา เขารู้แต่เพียงว่า รัฐบาลเยอรมันให้ความช่วยเหลือด้านเงินทุน แต่จากการตรวจสอบเอกสาร ซึ่งปรากฏในภายหลัง จึงได้เห็นเส้นทางเดินของ “ความช่วยเหลือ” ให้แก่ Lenin

จากเบอร์ลิน Zimmermann และ Bethmann-Hollweg ติดต่อกับรัฐมนตรีเยอรมันที่โคเปน เฮเกนชื่อ Brockdorff-Rantzau ซึ่งติดต่ออีกทอดไปถึงนาย Alexander Israel Helphand (หรือที่รู้จักกันในนาม Parvus) ซึ่งอยู่ที่โคเปนเฮเกน

จริงๆแล้ว ทางเยอรมันเตรียมแผนนี้ ตั้งแต่ปี ค.ศ.1915 แล้ว

ในวันที่ 14 สิงหาคม 1915 Brockdorff-Rantzau เขียนจดหมายถึงรัฐมนตรีต่างประเทศเยอรมัน ที่เบอร์ลิน เกี่ยวกับการสนทนาของเขากับ Helphand (Parvus) และแนะนำให้เยอรมันใช้ Helphand “…..ซึ่งเป็นคนที่มีเครือข่ายอำนาจ ที่ล้ำลึกอย่างนึกไม่ถึง ที่เราควรจะจ้างเขาไว้ตลอดช่วงที่มีสงคราม……ขณะเดียวกัน เราก็ต้องระวังความเสี่ยงในการจะใช้เครือข่ายอำนาจที่อยู่ข้างหลัง Helphand เช่นเดียวกัน…..”

Helphand (Parvus) แท้จริงแล้วเป็นใคร และเครือข่ายอำนาจของเขา คือพวกไหน ความคิดของ Brockdorff-Rantzau ที่จะใช้การปฏิวัติรัสเซีย เพื่อประโยชน์ของเยอรมัน ก็ดูเหมือนจะไม่ต่างกับความคิดของคนบางกลุ่มในอเมริกา ที่พยายามจะเอาเรื่องการปฏิวัติรายการเดียวกันนั้น มาใช้เพื่อผลประโยชน์ของพวกเขา ทั้งภายในและต่างประเทศ ไปด้วยพร้อมกัน

วันที่ 16 เมษายน 1917 รถไฟขบวนที่ขนคนจำนวน 32 คน รวมทั้ง Lenin และเมีย ก็เริ่มเคลื่อนออกจากสถานีใหญ่ก ลางเมือง Bern ของสวิสเซอร์แลนด์ เพื่อมุ่งหน้าไป Stockholm เมื่อ ถึงด่านเข้าเขตแดนรัสเซีย มีเพียง 2 คน ที่ถูกปฏิเสธการเข้า ที่เหลือผ่านเข้าไปได้หมด หลายเดือนต่อมา 2 คนนั้นก็ตามเข้าไป พร้อมกับพวก Mensheviks อีก 200 คน
(หมายเหตุ: เพื่อความเข้าใจของผู้ติดตามเรื่อง รัสเซียมีพรรคสังคมนิยมเรียกว่า Russian Social-Democratic Party ซึ่งเป็นพวกนิยมแนวความคิดแบบ Marxist ในการประชุมพรรคประมาณปี ค.ศ.1903 สมาชิกได้แตกเป็น 2 ฝ่าย ฝ่ายหนึ่งเรียกกลุ่มตัวเองว่า Bolsheviks มี Lenin เป็น หัวหน้า สมาชิกส่วนใหญ่ เป็นพวกอีลิตและชนชั้นกลาง อีกฝ่ายหนึ่งเห็นว่า ควรมีชนชั้นแรงงานเข้ามาร่วมด้วย เพื่อให้ฐานเสียงใหญ่ขึ้น เรียกกลุ่มตัวเองว่า Mensheviks มี Martov เป็นหัวหน้า ส่วนนาย Trotsky นั้น สังกัดกลุ่ม Mensheviks และเปลี่ยนมาอยู่กลุ่ม Bolsheviks เอาในปี ค.ศ.1917 นั่นเอง )

สวัสดีครับ
คนเล่านิทาน
25 เม.ย. 2558

"พี่มาก พระโขนงปะ"
พี่มาร์ค say "มันลำบากเหลือเกินนะ อีนาคเอย วันไหนทางการไม่ส่งเสบียงมา ก็ต้องขุดหัวเผือก หัวกรอย กินกันตาย"

วลีเด็ด เคดิต หนังค่าย GTH

ต้องมาปะ

“AI Superintelligence” กับเสียงเตือนจากคนดัง: เมื่อเทคโนโลยีอาจล้ำเส้นมนุษย์

เสียงเตือนจากนักวิทยาศาสตร์และคนดังทั่วโลกกำลังดังขึ้นเรื่อยๆ เมื่อ AI กำลังพัฒนาไปสู่ระดับ “Superintelligence” — ปัญญาประดิษฐ์ที่อาจฉลาดกว่ามนุษย์ในทุกด้าน และนั่นอาจไม่ใช่เรื่องดีเสมอไป

ในช่วงไม่กี่ปีที่ผ่านมา AI กลายเป็นส่วนหนึ่งของชีวิตประจำวัน ไม่ว่าจะเป็นภาพที่สร้างจาก AI หรือการพูดคุยกับแชตบอต แต่เบื้องหลังความสะดวกนั้นคือความกังวลที่เพิ่มขึ้นเรื่อยๆ โดยเฉพาะเมื่อบริษัทใหญ่อย่าง OpenAI และ xAI กำลังพัฒนา “Superintelligence” — AI ที่สามารถคิด วิเคราะห์ และเรียนรู้ได้เหนือกว่ามนุษย์

กลุ่มนักวิทยาศาสตร์และคนดัง เช่น Richard Branson, Steve Wozniak, Prince Harry, Meghan Markle, Joseph Gordon-Levitt และ will.i.am ได้ร่วมลงชื่อในแถลงการณ์ “Statement on Superintelligence” เพื่อเรียกร้องให้หยุดการพัฒนา AI ประเภทนี้ชั่วคราว จนกว่าจะมี “ฉันทามติทางวิทยาศาสตร์” ว่าจะสามารถควบคุมได้อย่างปลอดภัย และมี “การยอมรับจากสาธารณชน” อย่างชัดเจน

Superintelligent AI ไม่เหมือนกับ AI ที่เราใช้กันในปัจจุบัน เพราะมันไม่ต้องพึ่งพามนุษย์ในการสั่งงานอีกต่อไป มันสามารถเรียนรู้และพัฒนาตัวเองได้อย่างต่อเนื่อง และอาจมีเป้าหมายที่มันจะทำทุกวิถีทางเพื่อให้สำเร็จ — โดยไม่สนใจผลกระทบต่อมนุษย์

ความเสี่ยงที่อาจเกิดขึ้นมีตั้งแต่การแย่งงาน การควบคุมสังคมผ่านเทคโนโลยี ไปจนถึงการสูญพันธุ์ของมนุษย์ ฟังดูเหมือนนิยายไซไฟ แต่ผู้เชี่ยวชาญเตือนว่าเรากำลังเดินเข้าสู่ “พื้นที่ที่ไม่เคยมีใครสำรวจมาก่อน” และควรเตรียมรับมือกับผลลัพธ์ที่เลวร้ายที่สุด

AI Superintelligence คืออะไร
ปัญญาประดิษฐ์ที่สามารถคิด วิเคราะห์ และเรียนรู้ได้เหนือกว่ามนุษย์
ไม่ต้องพึ่งพาการสั่งงานจากมนุษย์อีกต่อไป
สามารถพัฒนาตัวเองอย่างต่อเนื่องโดยไม่มีข้อจำกัด

แถลงการณ์ Statement on Superintelligence
เรียกร้องให้หยุดการพัฒนา AI ประเภทนี้ชั่วคราว
ต้องมีฉันทามติทางวิทยาศาสตร์ว่าปลอดภัย
ต้องได้รับการยอมรับจากสาธารณชนก่อนเปิดใช้งาน

ผู้ร่วมลงชื่อในแถลงการณ์
Richard Branson, Steve Wozniak, Prince Harry, Meghan Markle
Joseph Gordon-Levitt, will.i.am, Yoshua Bengio, Stuart Russell

ความเสี่ยงจาก AI Superintelligence
อาจถูกควบคุมโดยผู้ไม่หวังดี
มีโอกาส “หลุดจากการควบคุม” ของมนุษย์
อาจใช้ทรัพยากรทางปัญญาเพื่อบรรลุเป้าหมายโดยไม่สนใจผลกระทบ

ผลกระทบต่อมนุษย์
การแย่งงานในหลายอุตสาหกรรม
การเฝ้าระวังและควบคุมสังคมผ่านเทคโนโลยี
ความเสี่ยงต่อการสูญพันธุ์ของมนุษย์

https://www.slashgear.com/2010667/superintelligence-ban-ai-experts-public-figures/

“Collate” คืออะไร? ทำไมปุ่มเล็กๆ บนเครื่องพิมพ์ถึงช่วยชีวิตคุณได้มากกว่าที่คิด!

ลองนึกภาพว่าคุณต้องพิมพ์รายงาน 10 ชุด ชุดละ 20 หน้า ถ้าไม่เปิดฟังก์ชัน “Collate” คุณจะได้กระดาษหน้า 1 ทั้งหมด 10 แผ่นก่อน แล้วตามด้วยหน้า 2 อีก 10 แผ่น... จนถึงหน้า 20 แล้วต้องมานั่งเรียงเองทีละชุด — ฟังดูเหนื่อยใช่ไหม? ฟังก์ชัน Collate จึงเกิดมาเพื่อช่วยให้ทุกชุดพิมพ์ออกมาเรียงหน้าอย่างถูกต้องโดยอัตโนมัติ

Collate คือฟังก์ชันในเครื่องพิมพ์ที่ช่วยให้เอกสารหลายหน้า ถูกพิมพ์ออกมาเป็นชุดๆ อย่างถูกลำดับ เช่น ถ้าคุณพิมพ์รายงาน 3 ชุด ชุดละ 5 หน้า เมื่อเปิด Collate เครื่องจะพิมพ์หน้า 1-5 แล้วเริ่มชุดใหม่ทันที ต่างจากการปิด Collate ที่จะพิมพ์หน้า 1 ทั้งหมดก่อน แล้วค่อยพิมพ์หน้า 2 ทั้งหมด

เดิมทีการเรียงเอกสารแบบนี้ต้องทำด้วยมือ แต่ปัจจุบันเครื่องพิมพ์และเครื่องถ่ายเอกสารสามารถทำได้เอง ไม่ว่าจะใช้หมึกหรือโทนเนอร์ ช่วยลดเวลา ลดความผิดพลาด และเพิ่มความแม่นยำในการจัดชุดเอกสาร

ในสำนักงานที่ต้องพิมพ์เอกสารจำนวนมาก เช่น คู่มือ ใบแจ้งหนี้ หรือรายงานต่างๆ Collate คือผู้ช่วยที่ขาดไม่ได้ เช่นเดียวกับในโรงเรียนหรือมหาวิทยาลัย ที่ต้องพิมพ์เอกสารการเรียนการสอนจำนวนมาก

เครื่องพิมพ์รุ่นใหม่มักมีปุ่ม “Collate” ให้กดได้ง่ายๆ บางรุ่นอาจอยู่บนหน้าจอสัมผัส หรือในซอฟต์แวร์พิมพ์บนคอมพิวเตอร์ ส่วนเครื่องรุ่นเก่าอาจต้องตั้งค่าผ่านปุ่มกด

แต่ถ้าคุณพิมพ์แค่ชุดเดียว ฟังก์ชันนี้ก็ไม่จำเป็น เพราะเครื่องจะพิมพ์เรียงหน้าให้อยู่แล้ว

ความหมายของ Collate
คือการพิมพ์เอกสารหลายหน้าให้ออกมาเป็นชุดเรียงลำดับ
ช่วยให้แต่ละชุดเอกสารสมบูรณ์โดยไม่ต้องเรียงเอง

ประโยชน์ของการใช้ Collate
ลดความผิดพลาดจากการเรียงหน้าเอกสารผิด
ประหยัดเวลาและแรงงานในการจัดชุดเอกสาร
เหมาะกับสำนักงานและสถาบันการศึกษาที่พิมพ์เอกสารจำนวนมาก

วิธีเปิดใช้งาน Collate
เครื่องพิมพ์รุ่นใหม่มีปุ่มหรือเมนูให้เลือกง่าย
บางรุ่นต้องตั้งค่าผ่านซอฟต์แวร์พิมพ์ในคอมพิวเตอร์

https://www.slashgear.com/2004796/what-does-collate-mean-when-printing-overview-what-need-know/

Atlas: เบราว์เซอร์ใหม่จาก OpenAI ที่อาจเปลี่ยนโลกออนไลน์...แต่ไม่ใช่ในทางที่ดี

ลองจินตนาการว่าเบราว์เซอร์ที่คุณใช้ทุกวันไม่ได้พาคุณไปยังเว็บไซต์ต่างๆ แต่กลับสร้างเนื้อหาขึ้นมาเอง แล้วแสดงผลในรูปแบบที่ “เหมือน” เว็บเพจ — นั่นคือสิ่งที่ Atlas จาก OpenAI กำลังทำอยู่

Atlas ไม่ใช่แค่เบราว์เซอร์ธรรมดา มันคือเครื่องมือที่ใช้ AI สร้างคำตอบแทนการค้นหาข้อมูลจากเว็บจริงๆ และนั่นอาจเป็นจุดเริ่มต้นของ “การต่อต้านเว็บ” อย่างแท้จริง

มีคนลองใช้ Atlas แล้วพิมพ์คำว่า “Taylor Swift showgirl” หวังว่าจะได้ลิงก์ไปดูวิดีโอหรือเพลย์ลิสต์ แต่สิ่งที่ได้กลับเป็นข้อความที่ดูเหมือนเด็กรีบทำรายงานส่งครู — ไม่มีลิงก์ไปยังเว็บไซต์จริง ไม่มีข้อมูลใหม่ และไม่มีทางรู้เลยว่า Taylor Swift มีเว็บไซต์ของตัวเอง

มันเหมือนคุณพิมพ์ในช่องค้นหา แต่จริงๆ แล้วคุณกำลังพิมพ์ในช่อง prompt ที่ให้ AI สร้างคำตอบขึ้นมาเอง

นอกจากนี้ Atlas ยังบังคับให้คุณพิมพ์คำสั่งเหมือนยุค DOS แทนที่จะคลิกง่ายๆ แบบที่เราเคยชิน เช่น ถ้าคุณอยากหาไฟล์ Google Docs ที่เคยเปิด ก็ต้องพิมพ์ว่า “search web history for a doc about atlas core design” แทนที่จะพิมพ์แค่ “atlas design” แล้วคลิกจากรายการที่แสดง

และที่น่ากลัวที่สุดคือ Atlas ทำให้คุณกลายเป็น “ตัวแทน” ของ AI โดยที่คุณไม่รู้ตัว มันขอให้คุณเปิดใช้ฟีเจอร์ “memories” เพื่อเก็บข้อมูลทุกอย่างที่คุณทำ แล้วใช้ข้อมูลนั้นฝึกโมเดลของมัน — ตั้งแต่ไฟล์ลับใน Google Docs ไปจนถึงคอมเมนต์ที่คุณพิมพ์ใน Facebook แต่ยังไม่ได้กดส่ง

สรุปเนื้อหาสำคัญและคำเตือน

Atlas คือเบราว์เซอร์ใหม่จาก OpenAI
ใช้ AI สร้างเนื้อหาแทนการแสดงผลจากเว็บไซต์จริง
แสดงผลในรูปแบบที่คล้ายเว็บเพจ ทำให้ผู้ใช้เข้าใจผิด
ไม่มีลิงก์ไปยังเว็บไซต์ต้นทาง เช่น เว็บไซต์ของศิลปินหรือแบรนด์
ข้อมูลที่แสดงอาจล้าหลังหลายสัปดาห์ เพราะไม่อัปเดตแบบเรียลไทม์

ประสบการณ์ผู้ใช้ถูกเปลี่ยนให้คล้ายการพิมพ์คำสั่ง
ต้องพิมพ์คำสั่งแบบ command-line แทนการคลิก
ลดความสะดวกในการใช้งาน และเพิ่มโอกาสเกิดข้อผิดพลาด
ขัดกับแนวคิดของเว็บที่เน้นการเข้าถึงง่ายและคลิกได้

Atlas ส่งเสริมให้ผู้ใช้เปิดฟีเจอร์ “memories”
เก็บข้อมูลการใช้งานทั้งหมดของผู้ใช้
ใช้ข้อมูลเหล่านั้นฝึกโมเดล AI โดยไม่ขอความยินยอมอย่างชัดเจน
เข้าถึงข้อมูลส่วนตัวที่เบราว์เซอร์ทั่วไปไม่สามารถเข้าถึงได้

ความเสี่ยงด้านความเป็นส่วนตัว
AI สามารถเห็นไฟล์ลับ ข้อความที่ยังไม่ได้ส่ง และพฤติกรรมการใช้งาน
สร้างโปรไฟล์การใช้งานที่ละเอียดเกินกว่าที่เบราว์เซอร์ทั่วไปเคยทำได้
ผู้ใช้กลายเป็น “ตัวแทน” ที่เปิดประตูให้ AI เข้าถึงข้อมูลที่ไม่ควรเข้าถึง

ความเสี่ยงด้านความถูกต้องของข้อมูล
ข้อมูลที่แสดงอาจเป็นการ “แต่งขึ้น” โดยไม่มีแหล่งอ้างอิง
ไม่มีการอัปเดตแบบเรียลไทม์เหมือนเครื่องมือค้นหาทั่วไป
อาจทำให้ผู้ใช้เข้าใจผิดว่าเป็นข้อมูลจริงจากเว็บ

ความเสี่ยงด้านสุขภาพจิตและการพึ่งพา AI
มีรายงานว่าผู้ใช้บางคนเกิดภาวะพึ่งพาอารมณ์กับ AI
มีกรณีที่ AI แนะนำพฤติกรรมที่เป็นอันตรายต่อผู้ใช้
ควรมีคำเตือนชัดเจนก่อนติดตั้งหรือใช้งาน Atlas

https://www.anildash.com//2025/10/22/atlas-anti-web-browser/

“ตู้เย็นก็มีโฆษณา” – Samsung เปิดทางโฆษณาบน Smart Fridge รุ่นแพง

Samsung ประกาศอย่างเป็นทางการว่า ตู้เย็นอัจฉริยะ Family Hub และ Bespoke ที่มีหน้าจอสัมผัสจะเริ่มแสดงโฆษณาในหน้าจอผ่านการอัปเดตซอฟต์แวร์เร็ว ๆ นี้ โดยเฉพาะรุ่นที่มีราคาสูงถึง $3,499 ก็ไม่เว้น

แม้ก่อนหน้านี้จะมีการทดลองแสดงโฆษณาในบางประเทศ แต่ครั้งนี้ถือเป็นการเปิดตัวอย่างเป็นทางการในระดับสากล โดย Samsung ระบุว่าโฆษณาจะช่วย “ปรับปรุงประสบการณ์ผู้ใช้” และ “แนะนำผลิตภัณฑ์ที่เกี่ยวข้อง” ผ่าน SmartThings ซึ่งเป็นแพลตฟอร์มควบคุมอุปกรณ์อัจฉริยะของบริษัท

ผู้ใช้สามารถเลือกปิดโฆษณาบางประเภทได้ แต่ไม่สามารถปิดทั้งหมดได้ และยังไม่มีการเสนอรุ่น “ไม่มีโฆษณา” แม้จะเป็นสินค้าระดับพรีเมียม

การเปลี่ยนแปลงจาก Samsung
ตู้เย็น Family Hub และ Bespoke จะเริ่มแสดงโฆษณาบนหน้าจอ
โฆษณาจะมาจาก SmartThings และแสดงในหน้า Home Screen
ผู้ใช้สามารถเลือกปิดบางโฆษณาได้ แต่ไม่ทั้งหมด
ไม่มีรุ่น “ไม่มีโฆษณา” แม้จะเป็นสินค้าราคา $3,499

เหตุผลของบริษัท
Samsung ระบุว่าโฆษณาจะช่วย “ปรับปรุงประสบการณ์ผู้ใช้”
ใช้เพื่อแนะนำผลิตภัณฑ์ที่เกี่ยวข้องกับผู้ใช้
เป็นส่วนหนึ่งของกลยุทธ์การสร้างรายได้จากอุปกรณ์ IoT

คำเตือนและข้อควรพิจารณา
ผู้ใช้ไม่มีทางเลือกในการซื้อรุ่นที่ไม่มีโฆษณา
โฆษณาอาจปรากฏแม้ในอุปกรณ์ที่ไม่ได้เชื่อมต่ออินเทอร์เน็ตตลอดเวลา
การแสดงโฆษณาในอุปกรณ์ที่ซื้อขาดอาจสร้างความไม่พอใจ
อาจเป็นจุดเริ่มต้นของการแสดงโฆษณาในเครื่องใช้ไฟฟ้าอื่น ๆ เช่น เตาอบ เครื่องซักผ้า หรือเครื่องปรับอากาศ

https://arstechnica.com/gadgets/2025/10/samsung-makes-ads-on-3499-smart-fridges-official-with-upcoming-software-update/