Claude Code สแกนโค้ดรัฐบาล 466 ล้านบรรทัดใน 20 ชั่วโมง: บทเรียนใช้ AI Agent ตรวจความปลอดภัยแบบไม่ปล่อยอัตโนมัติ

Anthropic เปิดเผยกรณีศึกษาวันที่ 6 กรกฎาคม 2026 ว่าทีมเทคโนโลยีของรัฐบาลรัฐแอลเบอร์ตาใช้ Claude Code กับโมเดล Opus และ Sonnet ตรวจระบบของ 27 กระทรวง ซึ่งมีราว 1,280 แอปและ 3,400 code repositories

ทีมใช้เอเจนต์ประมาณ 50 ตัวทำงานคู่ขนาน สแกนโค้ดรวม 466 ล้านบรรทัดภายในประมาณ 20 ชั่วโมง โดยเริ่มจาก rules engine เพื่อจับรูปแบบที่รู้จัก แล้วให้ Claude ตรวจซ้ำและอ้างไฟล์กับบรรทัดที่พบปัญหาเพื่อให้มนุษย์ยืนยัน

เมื่อพบช่องโหว่ Claude สามารถเสนอแพตช์ เขียนหรือเพิ่ม tests และช่วย modernize ระบบเก่าได้ แต่ทุกการแก้ไขต้องผ่านการ review และอนุมัติจากวิศวกรก่อนนำขึ้นใช้งานจริง

AI coding agent กำลังขยับจากการช่วยเขียน feature ไปสู่การตรวจ security, technical debt และระบบ legacy จำนวนมาก ซึ่งเป็นงานที่องค์กรไทยจำนวนมากยังขาดคนและเวลา

กรณีนี้ไม่ได้พิสูจน์ว่า AI แทนทีม security ได้ แต่พิสูจน์ว่า AI สามารถช่วยขยายขอบเขตการตรวจได้มากขึ้นเมื่อทำงานร่วมกับ scanner เดิม หลักฐานที่ตรวจย้อนกลับได้ tests และ approval gate

หน่วยงานไทยและบริษัทที่มีระบบเก่าควรเริ่มจาก pilot ขนาดเล็ก เช่น 5-10 repositories ที่มี tests และเจ้าของระบบชัดเจน ก่อนขยายไปทั้งองค์กร

คนทำระบบควรแยกขั้นตอน discovery, validation, patch, test และ deploy ออกจากกัน ไม่ควรให้อ agent พบช่องโหว่แล้วแก้และขึ้น production เองในสิทธิ์เดียว

ข่าวนี้แล้วต้องทำอะไรต่อ: สร้าง AI security pipeline แบบ read-only ก่อน ให้ agent รายงาน path, line, severity, evidence และวิธีทดสอบ จากนั้นให้มนุษย์ validate ก่อนอนุญาตให้สร้าง patch

วัดผลจากจำนวน findings ที่ยืนยันได้ อัตรา false positive เวลาที่ประหยัด และสัดส่วนแพตช์ที่ผ่าน tests ไม่ใช่วัดจากจำนวนบรรทัดที่ AI สแกนได้เพียงอย่างเดียว