สรุปสั้น

นักวิจัยความปลอดภัยพบช่องโหว่ในส่วนขยายเบราว์เซอร์ Claude for Chrome ของบริษัท Anthropic ที่เปิดทางให้ส่วนขยายอันตรายตัวอื่นสั่งให้ผู้ช่วย AI ลงมือทำงานแทนผู้ใช้ได้ โดยที่เจ้าของเครื่องไม่ได้กดสั่งเอง ช่องโหว่นี้ถูกค้นพบโดยนาย Ax Sharma จากบริษัท Manifold Security ซึ่งพบว่าส่วนขยายตัดสินใจว่าผู้ใช้ตั้งใจสั่งงานหรือไม่ ด้วยการดักฟังเหตุการณ์คลิกบนหน้าเว็บเพียงอย่างเดียว โดยไม่ตรวจสอบว่าคลิกนั้นเกิดจากมือมนุษย์จริงหรือถูกสคริปต์สร้างขึ้นมา ผลคือส่วนขยายอันตรายที่มีสิทธิ์แก้ไขเนื้อหาบนโดเมน claude.ai สามารถแทรกองค์ประกอบของหน้าเว็บและยิงคลิกปลอมเข้าไป เพื่อกระตุ้นให้ Claude ทำงานสำเร็จรูปที่ติดตั้งมาให้แล้ว 9 รายการได้ทันที

สิ่งที่ทำให้เรื่องนี้น่ากังวลคือ งานสำเร็จรูปเหล่านั้นผูกอยู่กับบริการที่ผู้ใช้เชื่อมต่อไว้และผ่านการยืนยันตัวตนแล้ว ทั้ง Gmail, Google Docs, Google Calendar และ Salesforce ผู้โจมตีจึงไม่จำเป็นต้องขโมยรหัสผ่านหรือโทเคนใดๆ แต่อาศัยสิทธิ์ที่ Claude มีอยู่แล้วเป็นเครื่องมือลงมือแทน นักวิจัยย้ำว่าช่องโหว่นี้ไม่ได้เปิดให้ลักลอบใส่คำสั่งตามอำเภอใจ (Prompt Injection) ได้ เพราะจำกัดอยู่เฉพาะงาน 9 รายการที่ฝังมากับส่วนขยาย และยังต้องหลอกให้เหยื่อติดตั้งส่วนขยายอันตรายเสียก่อน แต่ผลกระทบจะรุนแรงขึ้นมากหากผู้ใช้เปิดการตั้งค่าเสริม “Act without asking” ที่ยอมให้ AI ทำงานได้เองโดยไม่ต้องขออนุมัติทีละครั้ง นักวิจัยรายงานเรื่องนี้ผ่านโครงการ Bug Bounty ของบริษัท Anthropic แล้ว และยืนยันว่าเมื่อวันที่ 7 กรกฎาคม 2569 ปัญหายังทำซ้ำได้บนเวอร์ชันล่าสุด 1.0.80

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 16 กรกฎาคม 2569 ว่า บริษัท Manifold Security เปิดเผยผลการตรวจสอบส่วนขยาย Claude for Chrome ซึ่งเป็นส่วนขยายเบราว์เซอร์ที่ให้ผู้ช่วย AI ของบริษัท Anthropic เข้าไปอ่านและทำงานบนหน้าเว็บแทนผู้ใช้ได้ โดยพบข้อบกพร่องสำคัญในวิธีที่ส่วนขยายตัดสินว่าคำสั่งที่ได้รับนั้นมาจากผู้ใช้จริงหรือไม่

พื้นฐานของปัญหาอยู่ที่ธรรมชาติของส่วนขยายเบราว์เซอร์เอง ส่วนขยายที่ได้รับสิทธิ์ให้ทำงานบนเว็บไซต์หนึ่งๆ สามารถแทรกโค้ด JavaScript เข้าไปในหน้าเว็บนั้นได้ ซึ่งหมายถึงการอ่านและแก้ไขเนื้อหาบนหน้า เปลี่ยนองค์ประกอบต่างๆ รวมถึงสร้างเหตุการณ์คลิกเมาส์และการกดแป้นพิมพ์ขึ้นมาเองด้วยโปรแกรม ตามรายงานของบริษัท Manifold Security ส่วนขยาย Claude จะคอยดักฟังเหตุการณ์คลิกบนองค์ประกอบเฉพาะจุดหนึ่งของหน้าเว็บ ซึ่งเป็นจุดที่ใช้เรียกงานอัตโนมัติที่เตรียมไว้ให้แล้ว

งานสำเร็จรูปที่รองรับประกอบด้วยชุดคำสั่งที่ผูกกับบริการภายนอกโดยตรง ได้แก่ usecase-gmail ที่อ่านอีเมลล่าสุดใน Gmail คัดหาอีเมลโฆษณาแล้วกดยกเลิกการรับข่าวสาร, usecase-gdocs ที่เปิดเอกสาร Google Docs ล่าสุดของผู้ใช้แล้วอ่านความคิดเห็นและข้อเสนอแนะทั้งหมด, usecase-calendar ที่อ่านปฏิทิน Google Calendar หาช่วงเวลาว่างแล้วสร้างนัดหมาย และ usecase-salesforce ที่แก้ไขข้อมูลลูกค้าเป้าหมาย (Lead) ใน Salesforce พร้อมแปลงสถานะเป็นโอกาสทางการขาย

นักวิจัยยังพบข้อบกพร่องที่สองคือพารามิเตอร์ภายในชื่อ skipPermissions=true ซึ่งข้ามการตรวจสอบสิทธิ์บางส่วนตอนเปิดใช้งานส่วนขยาย แต่ยอมรับว่ากลไกนี้ไม่สามารถนำไปใช้โจมตีได้ด้วยตัวเอง ต้องอาศัยช่องโหว่อีกตัวเพื่อสร้าง URL ที่ประดิษฐ์ขึ้นเป็นพิเศษ ทั้งสองประเด็นถูกรายงานไปยังบริษัท Anthropic ผ่านโครงการ Bug Bounty โดยบริษัทรับทราบรายงานแล้ว และปิดเคสเรื่องคลิกสังเคราะห์ด้วยเหตุผลว่ากำลังติดตามเป็นปัญหาภาพรวมที่กว้างกว่านั้นอยู่แล้ว ส่วนกรณี skipPermissions=true ถูกจัดเป็นข้อมูลเชิงแจ้งให้ทราบ (Informational) บริษัท Manifold Security ระบุว่าได้ตรวจสอบซ้ำเมื่อวันที่ 7 กรกฎาคม 2569 แล้วพบว่าทั้งสองประเด็นยังทำซ้ำได้บนเวอร์ชัน 1.0.80 ที่ปล่อยออกมาในวันเดียวกัน โดยสคริปต์เนื้อหาและตัวจัดการแผงด้านข้างที่นักวิจัยอ้างถึงนั้นเหมือนกับซอร์สโค้ดเวอร์ชัน 1.0.72 ทุกไบต์

รายละเอียดช่องโหว่

หัวใจของช่องโหว่อยู่ที่คุณสมบัติมาตรฐานของเบราว์เซอร์ที่ชื่อ Event.isTrusted เมื่อเบราว์เซอร์สร้างเหตุการณ์ขึ้นจากการกระทำของผู้ใช้จริง เช่น การคลิกเมาส์หรือการกดแป้นพิมพ์ เบราว์เซอร์จะทำเครื่องหมายว่าเหตุการณ์นั้นเชื่อถือได้ด้วยการตั้งค่า Event.isTrusted เป็น true แต่หากเหตุการณ์ถูกสร้างขึ้นด้วยโค้ด JavaScript เบราว์เซอร์จะตั้งค่าเป็น false โดยอัตโนมัติ กลไกนี้มีไว้ให้หน้าเว็บและส่วนขยายแยกแยะได้ว่าอะไรคือการกระทำของคนจริง อะไรคือการกระทำของสคริปต์

บริษัท Manifold Security พบว่าส่วนขยาย Claude ไม่ได้ตรวจสอบค่าดังกล่าวก่อนลงมือทำงานตามคำสั่งสำเร็จรูป ผลคือส่วนขยายอันตรายที่มีสิทธิ์แก้ไขเนื้อหาบนโดเมน claude.ai สามารถแทรกองค์ประกอบของหน้าเว็บที่มีตัวระบุงาน (Task Identifier) หนึ่งในเก้ารายการที่รองรับ แล้วสร้างเหตุการณ์คลิกสังเคราะห์ขึ้นมายิงใส่ แม้เบราว์เซอร์จะทำเครื่องหมายเหตุการณ์นั้นว่าไม่น่าเชื่อถืออย่างถูกต้องแล้ว แต่ส่วนขยาย Claude กลับปฏิบัติต่อมันเหมือนเป็นการคลิกจริงของผู้ใช้ และเดินหน้าสั่งให้ AI ทำงานตามที่ร้องขอทันที

ข้อจำกัดของการโจมตีคือ ผู้โจมตีไม่สามารถใช้เว็บไซต์ธรรมดาเข้ายึดส่วนขยาย Claude ได้โดยตรง แต่ต้องหลอกให้เหยื่อติดตั้งส่วนขยายอันตรายที่สามารถรันโค้ดบนโดเมน claude.ai เสียก่อน จากนั้นส่วนขยายตัวนั้นจึงจะเข้าไปดัดแปลงหน้าเว็บและกระตุ้นงานอัตโนมัติของ Claude ได้ อย่างไรก็ตามนักวิจัยชี้ว่า แม้ส่วนขยายอันตรายจะมีสิทธิ์เข้าถึงหน้าเว็บที่มันทำงานอยู่กว้างขวางอยู่แล้ว แต่ช่องโหว่นี้ยกระดับความเสียหายไปอีกขั้น เพราะเปิดให้มันฉวยใช้สิทธิ์การเข้าถึงบริการภายนอกที่ Claude ยืนยันตัวตนไว้แล้วอย่าง Gmail, Google Docs, Google Calendar และ Salesforce ซึ่งเป็นสิทธิ์ที่ส่วนขยายอันตรายไม่มีทางได้มาด้วยตัวเอง ระดับความเสียหายจริงจึงขึ้นอยู่กับการตั้งค่าของแต่ละคน ว่าเลือกให้ยืนยันก่อนทำงานที่มีความอ่อนไหว หรือเปิดโหมด “Act without asking” ที่ยอมให้ทำงานเองโดยอัตโนมัติ

ผลกระทบต่อไทย

หน่วยงานและองค์กรในประเทศไทยจำนวนมากกำลังทดลองนำผู้ช่วย AI มาเชื่อมต่อกับระบบงานจริง โดยเฉพาะอีเมลองค์กรบน Google Workspace ปฏิทินนัดหมาย เอกสารภายใน และระบบบริหารลูกค้าสัมพันธ์อย่าง Salesforce ซึ่งเป็นบริการชุดเดียวกับที่ช่องโหว่นี้เอื้อมถึงได้พอดี ความเสี่ยงจึงไม่ใช่แค่การอ่านข้อมูล แต่รวมถึงการที่ AI ถูกสั่งให้ลงมือแก้ไขข้อมูลลูกค้าหรือสร้างนัดหมายโดยที่พนักงานไม่รู้ตัว

ปัญหาที่ซ้อนอยู่คือ องค์กรไทยจำนวนมากยังไม่มีนโยบายควบคุมการติดตั้งส่วนขยายเบราว์เซอร์บนเครื่องพนักงาน พนักงานสามารถติดตั้งส่วนขยายจากที่ใดก็ได้ตามใจ ซึ่งเป็นเงื่อนไขตั้งต้นที่การโจมตีนี้ต้องการพอดี เมื่อรวมกับแนวโน้มที่ผู้ใช้มักเปิดโหมดให้ AI ทำงานเองเพื่อความสะดวก ความเสี่ยงจึงเพิ่มขึ้นอีกชั้น นอกจากนี้กรณีนี้ยังเป็นตัวอย่างที่ชัดเจนของความเสี่ยงรูปแบบใหม่ที่องค์กรไทยควรเริ่มประเมิน นั่นคือสิทธิ์ที่มอบให้ AI Agent กลายเป็นเป้าหมายของผู้โจมตีเสียเอง แทนที่ผู้โจมตีจะต้องไปขโมยรหัสผ่านของพนักงานโดยตรง

คำแนะนำ

ผู้ดูแลระบบควรกำหนดนโยบายควบคุมส่วนขยายเบราว์เซอร์ในองค์กรอย่างจริงจัง ด้วยการใช้บัญชีขาว (Allow-list) อนุญาตเฉพาะส่วนขยายที่ผ่านการตรวจสอบแล้ว และปิดกั้นการติดตั้งส่วนขยายจากภายนอกบนเครื่องที่เข้าถึงข้อมูลสำคัญ พร้อมทั้งตรวจสอบรายการส่วนขยายที่ติดตั้งอยู่บนเครื่องพนักงานเป็นระยะ โดยให้ความสนใจเป็นพิเศษกับส่วนขยายที่ขอสิทธิ์ทำงานบนโดเมนของผู้ให้บริการ AI

สำหรับผู้ใช้ส่วนขยาย Claude for Chrome ควรอัปเดตเป็นเวอร์ชันล่าสุดเสมอและติดตามประกาศจากบริษัท Anthropic อย่างใกล้ชิด รวมถึงพิจารณาปิดการตั้งค่า “Act without asking” เพื่อบังคับให้ทุกการทำงานที่มีความอ่อนไหวต้องผ่านการอนุมัติจากผู้ใช้ก่อนเสมอ ซึ่งเป็นด่านสุดท้ายที่จะสังเกตเห็นการสั่งงานที่ไม่ได้ตั้งใจ นอกจากนี้ควรทบทวนว่าจำเป็นต้องเชื่อมต่อ Claude เข้ากับบริการใดบ้าง และถอดการเชื่อมต่อกับบริการที่ไม่ได้ใช้งานจริงออกตามหลักสิทธิ์น้อยที่สุด (Least Privilege) โดยเฉพาะระบบที่เก็บข้อมูลลูกค้าอย่าง Salesforce

ในระดับองค์กร ควรเริ่มบรรจุ AI Agent และส่วนขยายที่ทำงานแทนผู้ใช้เข้าไปในการประเมินความเสี่ยงและการเฝ้าระวัง โดยเปิดบันทึกล็อกของบริการที่เชื่อมต่อไว้ เพื่อให้ตรวจสอบย้อนหลังได้ว่ามีการอ่านอีเมล เปิดเอกสาร หรือแก้ไขข้อมูลลูกค้าในช่วงเวลาที่ผิดปกติหรือไม่ และควรให้ความรู้พนักงานว่าส่วนขยายเบราว์เซอร์ที่ดูไม่มีพิษภัย อาจกลายเป็นช่องทางให้ผู้โจมตีสั่งงาน AI ที่ถือสิทธิ์เข้าถึงข้อมูลขององค์กรอยู่ในมือ

แหล่งอ้างอิง