สรุปสั้น

นักวิจัยด้านความปลอดภัยจากบริษัท Rebora Security ค้นพบช่องโหว่ร้ายแรงในส่วนขยาย Chrome ที่ใช้กันแพร่หลายอย่าง SiderAI และ MaxAI ซึ่งทำให้ผู้ใช้นับล้านตกอยู่ในความเสี่ยง โดยเปิดทางให้ผู้โจมตียึดครอง session ของเบราว์เซอร์ได้เต็มรูปแบบ และอาจเข้าถึงข้อมูลละเอียดอ่อนข้ามเว็บไซต์ต่าง ๆ รวมถึงระบบไฟล์ในเครื่อง ช่องโหว่ทั้งสองถูกตั้งชื่อว่า Spyder และ MaXSS ส่งผลกระทบต่อส่วนขยายแบบ “agentic side panel” ที่ขับเคลื่อนด้วย AI ซึ่งออกแบบมาเพื่อเสริมการท่องเว็บด้วยการสรุปและทำงานอัตโนมัติด้วย AI โดยเครื่องมือเหล่านี้ติดตั้งอยู่บนอุปกรณ์มากกว่า 10 ล้านเครื่องบนเบราว์เซอร์ตระกูล Chrome และที่น่าสังเกตคือ SiderAI ติดอันดับ 25 ส่วนขยายยอดนิยมบน Chrome Web Store ซึ่งสะท้อนขนาดของการเปิดเผยความเสี่ยงได้เป็นอย่างดี

ต้นตอของช่องโหว่มาจากการจัดการการสื่อสารระหว่างเว็บเพจกับองค์ประกอบภายในของส่วนขยาย โดยเฉพาะ content script ที่ไม่ปลอดภัย จุดที่น่ากังวลที่สุดคือการโจมตีไม่ต้องการการกระทำใด ๆ จากผู้ใช้นอกจากเข้าชมเว็บเพจที่เป็นอันตราย ทำให้เป็นช่องทางโจมตีที่ทั้งเงียบและขยายตัวได้กว้าง ผู้ใช้ควรตรวจสอบว่ามี SiderAI หรือ MaxAI ติดตั้งอยู่หรือไม่ และถอนการติดตั้งทันทีหากพบ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 19 มิถุนายน 2569 ว่านักวิจัยจากบริษัท Rebora Security ได้ค้นพบช่องโหว่ความปลอดภัยร้ายแรงในส่วนขยาย Chrome ยอดนิยม SiderAI และ MaxAI ซึ่งเปิดทางให้ผู้โจมตียึดครอง session เบราว์เซอร์ได้เต็มรูปแบบและอาจเข้าถึงข้อมูลละเอียดอ่อนทั้งข้ามเว็บไซต์และระบบในเครื่อง

ช่องโหว่ที่ถูกตั้งชื่อว่า Spyder และ MaXSS ส่งผลต่อส่วนขยายแบบ agentic side panel ที่ขับเคลื่อนด้วย AI ซึ่งออกแบบมาเพื่อช่วยสรุปและทำงานอัตโนมัติระหว่างท่องเว็บ เครื่องมือเหล่านี้ติดตั้งบนอุปกรณ์กว่า 10 ล้านเครื่อง โดยช่องโหว่มีต้นตอจากการจัดการการสื่อสารระหว่างเว็บเพจกับองค์ประกอบภายในของส่วนขยายที่ไม่ปลอดภัย โดยเฉพาะส่วน content script ในกรณีของ MaxAI นักวิจัยพบว่าเว็บไซต์อันตรายสามารถส่งข้อความที่ถูกประดิษฐ์ขึ้นไปยัง content script ของส่วนขยาย ซึ่งจะส่งต่อไปยังโปรเซสเบื้องหลังโดยไม่ผ่านการตรวจสอบที่เหมาะสม สิ่งนี้เปิดทางให้ผู้โจมตีสั่ง action ที่มีสิทธิ์สูง เช่น เปิดแท็บที่ซ่อนอยู่ จับภาพหน้าจอ และโต้ตอบกับบัญชีผู้ใช้ ในสถานการณ์สาธิตการโจมตี นักวิจัยสามารถเข้าถึง session ของ Gmail และ Google Calendar และดึงข้อมูลละเอียดอ่อนออกมาได้โดยที่ผู้ใช้ไม่รู้ตัว

รายละเอียดช่องโหว่

ในส่วนขยาย Chrome นั้น content script ทำหน้าที่เป็นตัวกลางระหว่างเว็บไซต์กับโปรเซสเบื้องหลังของส่วนขยาย แม้โดยหลักการควรบังคับ isolation อย่างเข้มงวด แต่ทั้ง SiderAI และ MaxAI กลับไม่ตรวจสอบ input ที่รับมาจากเว็บเพจอย่างเหมาะสม

ช่องโหว่ Spyder ใน SiderAI เปิดทางให้ผู้โจมตีจำลองการโต้ตอบของผู้ใช้ เช่น การคลิกและการกดแป้นพิมพ์ ข้ามไปยัง session เว็บที่ฝังอยู่ได้ ด้วยการใช้ความสามารถนี้ในทางที่ผิด เว็บไซต์อันตรายสามารถเปิดบริการอย่าง Google Gemini อย่างเงียบ ๆ ดึงข้อมูลบทสนทนา AI ส่วนตัวออกมา และรั่วไหลออกไปภายนอกได้ ซึ่งถือเป็นการทำลายขอบเขตความน่าเชื่อถือของเบราว์เซอร์อย่างรุนแรง

ผลกระทบของช่องโหว่เหล่านี้กว้างขวางมาก ผู้โจมตีสามารถอ่านอีเมล ขโมย authentication token แก้ไขเอกสาร และทำ action แทนผู้ใช้บนเว็บไซต์แทบทุกแห่ง ในบางกรณีสิทธิ์ที่ส่วนขยายเหล่านี้ได้รับอาจถึงขั้นเข้าถึงไฟล์ในระบบปฏิบัติการเบื้องล่างได้ด้วย จุดที่น่ากังวลที่สุดคือการโจมตีไม่ต้องการการกระทำใด ๆ จากผู้ใช้นอกจากเข้าชมเว็บเพจอันตราย ทำให้เป็นช่องทางโจมตีที่ทั้งเงียบและขยายตัวได้กว้างมาก ทั้งนี้ทีมนักวิจัยของ Rebora ได้รายงานปัญหาไปยังผู้พัฒนาส่วนขยายแล้วแต่ไม่ได้รับการตอบกลับ จึงตัดสินใจเปิดเผยสู่สาธารณะเนื่องจากความรุนแรง พร้อมแจ้งไปยัง Google ในฐานะผู้ดำเนินการ Chrome Web Store ด้วย

ผลกระทบต่อไทย

ผู้ใช้งานชาวไทยจำนวนมากนิยมติดตั้งส่วนขยาย AI บนเบราว์เซอร์เพื่อช่วยสรุปเนื้อหา แปลภาษา และเขียนข้อความ ส่วนขยายอย่าง SiderAI และ MaxAI เป็นเครื่องมือยอดนิยมในกลุ่มนี้และมีฐานผู้ใช้รวมกันกว่า 10 ล้านเครื่องทั่วโลก ความเสี่ยงนี้กระทบทั้งผู้ใช้ทั่วไปและพนักงานองค์กรที่ใช้เบราว์เซอร์เดียวกันเข้าถึงอีเมลงาน ระบบภายใน และบริการคลาวด์ เนื่องจากการโจมตีเพียงต้องการให้เหยื่อเปิดเว็บอันตราย ผู้โจมตีก็อาจอ่านอีเมล ขโมย token เซสชัน และดูดบทสนทนา AI ที่มีข้อมูลความลับขององค์กรได้ องค์กรในไทยที่ปล่อยให้พนักงานติดตั้งส่วนขยายเบราว์เซอร์ได้อย่างอิสระควรทบทวนนโยบายและตรวจสอบส่วนขยายที่ติดตั้งอยู่บนเครื่องของพนักงานโดยด่วน

คำแนะนำ

ผู้ใช้ควรตรวจสอบทันทีว่ามีส่วนขยาย SiderAI หรือ MaxAI ติดตั้งอยู่ในเบราว์เซอร์หรือไม่ และถอนการติดตั้งออกทันทีหากพบ องค์กรควรกำหนดนโยบายควบคุมการติดตั้งส่วนขยาย (extension allowlist) ผ่าน group policy หรือ enterprise browser management เพื่อจำกัดเฉพาะส่วนขยายที่ผ่านการตรวจสอบ พร้อมตรวจสอบสิทธิ์ที่ส่วนขยายร้องขอ โดยเฉพาะส่วนขยายที่ขอสิทธิ์อ่าน/เขียนข้อมูลบนทุกเว็บไซต์หรือเข้าถึงไฟล์ในเครื่อง ควรหลีกเลี่ยงการติดตั้งส่วนขยาย AI ที่ขอสิทธิ์กว้างเกินจำเป็น และหมั่นทบทวนรายการส่วนขยายเป็นระยะ รวมถึงให้ความรู้พนักงานเรื่องความเสี่ยงของส่วนขยายเบราว์เซอร์ที่อาจกลายเป็นช่องทางรั่วไหลข้อมูล

แหล่งอ้างอิง