สรุปสั้น

นักวิจัยจากมหาวิทยาลัย Simon Fraser ประเทศแคนาดา ร่วมกับมหาวิทยาลัยจีนฮ่องกง (CUHK) มหาวิทยาลัย Shandong และห้องปฏิบัติการ Xingtu ของบริษัท QAX เผยแพร่งานวิจัยบน arXiv เมื่อวันที่ 1 กรกฎาคม 2569 แสดงให้เห็นว่าเฟรมเวิร์ก AI agent สำหรับควบคุมโทรศัพท์ Android แบบโอเพนซอร์สทั้ง 5 ตัว ได้แก่ AppAgent, AppAgentX, Mobile-Agent-v3, Open-AutoGLM และ MobA ล้วนเสี่ยงต่อการถูกโจมตีอย่างน้อย 6 ใน 7 รูปแบบที่ทดสอบ การโจมตีร้ายแรงที่สุดสามารถรันโค้ดบนเครื่องพีซีของผู้ใช้ที่กำลังควบคุม agent ได้สำเร็จ 20 จาก 20 ครั้ง โดยอาศัยช่องโหว่ในฟังก์ชันที่ส่งคำสั่ง ADB ไปยังเชลล์โดยไม่กรองอักขระพิเศษ

นอกจากนี้ ข้อความที่มีความโปร่งใสเพียง 2% ซึ่งคนมองไม่เห็นด้วยตาเปล่า ถูกโมเดล AI vision ทั้ง 6 ตัวอ่านได้สำเร็จอย่างน้อย 18 จาก 20 ครั้ง รวมถึง GPT-4o, Claude Opus 4.5 และ Gemini 3 Pro ที่ทำได้ 20/20 ทุกครั้ง ช่องโหว่เหล่านี้ยังไม่มี CVE และทีมวิจัยระบุว่าส่งอีเมลแจ้งผู้พัฒนาทั้ง 5 โครงการแล้วแต่ยังไม่ได้รับการตอบกลับ โค้ดที่มีปัญหายังคงอยู่บน branch หลักของทุกโครงการ ณ วันที่ 17 กรกฎาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กรกฎาคม 2569 ว่านักวิจัยนำโดยนาย Zidong Zhang จากมหาวิทยาลัย Simon Fraser ได้ทดสอบความปลอดภัยของเฟรมเวิร์ก AI agent บน Android โอเพนซอร์ส 5 ตัวที่ได้รับความนิยม โดย Open-AutoGLM มียอดดาวบน GitHub มากกว่า 25,000 ดาว การทดสอบครอบคลุม 7 รูปแบบการโจมตีที่ไม่ต้องอาศัยช่องโหว่แบบดั้งเดิม (Zero-Day) แต่อาศัยจุดอ่อนเชิงสถาปัตยกรรมของระบบ agent เอง

งานวิจัยชี้ให้เห็นปัญหาหลายระดับ เริ่มจากการที่ agent เหล่านี้ใช้ช่องทางดีบัก (ADB) เป็นช่องทางสื่อสารกับโทรศัพท์ เนื่องจากไม่มีช่องทางที่ออกแบบมาให้ agent ใช้โดยเฉพาะ ตัวอย่างเช่น AppAgent สร้างคำสั่งโดยนำข้อความจากโมเดล AI ไปใส่ลงในคำสั่ง adb shell input text โดยตรง มีการกรองแค่ช่องว่างกับเครื่องหมาย single quote แต่ไม่กรองอักขระเชลล์ เช่น ; หรือ & ทำให้ผู้โจมตีสามารถฉีดคำสั่ง (Command Injection) รันโค้ดบนเครื่องพีซีของผู้ใช้ได้โดยตรง ทดสอบสั่งเปิด calc.exe สำเร็จ 20/20 ครั้งบน 4 ใน 5 เฟรมเวิร์ก

ปัญหาที่สองคือ agent เหล่านี้บันทึกภาพหน้าจอลงไฟล์บนอุปกรณ์ (เช่น /sdcard/screenshot.png) แล้วค่อยดึงมาอ่าน มีช่วงเวลาห่างระหว่างการบันทึกกับการดึงประมาณ 50 ถึง 500 มิลลิวินาที ทำให้แอปพลิเคชันอันตรายที่ทำงานอยู่เบื้องหลังสามารถเข้าไปแก้ไขไฟล์ภาพระหว่างทางได้สำเร็จ 19-20 จาก 20 ครั้ง (เทคนิค TOCTOU — Time-of-Check-to-Time-of-Use) นอกจากนี้ยังมีเทคนิคการฉีดข้อความที่มีค่าความโปร่งใสเพียง 2% ลงบนหน้าจอ ซึ่งต่ำกว่าระดับที่มนุษย์มองเห็นได้ แต่โมเดล AI vision ทั้ง 6 ตัวที่ทดสอบอ่านได้อย่างน้อย 18/20 ครั้ง

อีกเทคนิคหนึ่งที่น่าสนใจคือการใช้พิกเซลที่ซ่อนอยู่ใต้ขอบจอโค้งมน (Bezel) หรือรูกล้องของโทรศัพท์ โทรศัพท์อย่าง Pixel 4 มีพื้นที่ซ่อนกว้างประมาณ 78 พิกเซลที่มุมจอ เพียงพอสำหรับฝังคำสั่งสั้นๆ ที่คนมองไม่เห็นแต่ agent อ่านได้ นักวิจัยระบุตรงๆ ว่าปัญหานี้ “ไม่มีทางแก้ด้วยซอฟต์แวร์ที่ตรงไปตรงมาและมีประสิทธิภาพ”

ด้านการดักข้อมูลที่พิมพ์ MobA และ Mobile-Agent-v3 ส่งข้อความที่มีอักขระนอกเหนือ ASCII ผ่าน broadcast ชื่อ ADB_INPUT_B64 หรือ ADB_INPUT_TEXT ที่ไม่ต้องการสิทธิ์ใดๆ ในการรับ ทำให้แอปอันตรายสามารถดักข้อมูลทุกอย่างที่ agent พิมพ์ รวมถึงรหัสผ่าน

วิธีการโจมตี

การโจมตีทั้ง 7 รูปแบบแบ่งเป็น 3 กลุ่มหลัก:

กลุ่มที่ 1 — หลอกให้ agent เห็นข้อมูลผิด: ใช้ข้อความโปร่งใส 2%, overlay ที่มองไม่เห็น, พิกเซลใต้ขอบจอ หรือแก้ไขไฟล์ภาพหน้าจอระหว่างทาง เพื่อฉีดคำสั่งเข้าไปในบริบทที่ agent อ่าน โมเดลจะทำตามคำสั่งเหล่านั้นโดยไม่รู้ว่าถูกหลอก แม้มีระบบยืนยันก่อนทำงาน (Confirmation Prompt) อย่างใน Open-AutoGLM ก็ถูกข้ามได้ เพราะการโจมตีเปลี่ยนการตัดสินใจของโมเดลว่า “อะไรเป็นการกระทำที่อ่อนไหว” ไปด้วย

กลุ่มที่ 2 — ดักข้อมูลที่ agent พิมพ์: เฟรมเวิร์กทั้ง 5 ใช้ ADB keyboard หรือ broadcast เพื่อป้อนข้อความ แอปใดก็ได้ที่ลงทะเบียนรับ broadcast เดียวกันจะได้ข้อมูลทั้งหมดรวมถึงรหัสผ่าน โดยไม่ต้องขอสิทธิ์ใดๆ เพิ่มเติม ถ้าผู้โจมตีมีสิทธิ์ Accessibility Service จะดักได้แม้แต่ช่องรหัสผ่าน

กลุ่มที่ 3 — รันโค้ดบนเครื่องพีซี: AppAgent, AppAgentX, Mobile-Agent-v3 และ MobA ใช้ subprocess.run() กับ shell=True โดยไม่กรองอักขระเมตา ข้อความที่โมเดลอ่านจากหน้าจอแล้วส่งต่อเป็นคำสั่ง จะถูกเชลล์ของพีซีตีความเป็นคำสั่งจริง เช่น test;pwd>rce_success ทำให้เขียนไฟล์บนเครื่องพีซีได้ มีเพียง Open-AutoGLM ที่ส่งอาร์กิวเมนต์เป็น list แทนการต่อสตริง จึงไม่โดนโจมตีแบบนี้

ผลกระทบต่อไทย

แม้เฟรมเวิร์กทั้ง 5 ตัวเป็นเครื่องมือวิจัยโอเพนซอร์ส ไม่ใช่ผู้ช่วย AI ที่ติดตั้งมาในโทรศัพท์ยี่ห้อดัง แต่กระแสการนำ AI agent มาควบคุมโทรศัพท์และคอมพิวเตอร์กำลังเติบโตอย่างรวดเร็วในไทย ทั้งในภาคธุรกิจที่ใช้ระบบอัตโนมัติและกลุ่มนักพัฒนาที่ทดลองนำเฟรมเวิร์กเหล่านี้มาประยุกต์ใช้ งานวิจัยนี้เป็นสัญญาณเตือนว่าเทคโนโลยี AI agent ยังมีจุดอ่อนเชิงสถาปัตยกรรมที่ร้ายแรง และการใช้งานในสภาพแวดล้อมจริงต้องมีมาตรการป้องกันเพิ่มเติมอย่างรัดกุม โดยเฉพาะองค์กรที่กำลังพัฒนาหรือนำ AI agent มาใช้ในงาน RPA (Robotic Process Automation) ควรตระหนักว่าโมเดล AI ไม่ใช่ขอบเขตความปลอดภัย (Security Boundary)

คำแนะนำ

  1. ห้ามใช้ shell=True ในการเรียกคำสั่งระบบ — ส่งอาร์กิวเมนต์เป็น list เพื่อให้อักขระเมตาไม่ถูกตีความ
  2. สตรีมภาพหน้าจอ แทนการบันทึกเป็นไฟล์บนอุปกรณ์ ป้องกันการถูกแก้ไขไฟล์ระหว่างทาง (ตัวอย่างที่ดีคือ MobA ที่ใช้ exec-out สตรีมโดยตรง)
  3. ตั้งสิทธิ์ระดับ signature-level บน broadcast ที่ใช้ส่งข้อความ หรือเปลี่ยนเป็น explicit intent
  4. เปิด contrast enhancement ก่อนส่งภาพหน้าจอให้โมเดล เพื่อลดประสิทธิภาพของข้อความโปร่งใสที่ฝังมา (เป็นการบรรเทา ไม่ใช่การแก้ไข)
  5. ปิด USB debugging เมื่อไม่จำเป็น เพราะเป็นเงื่อนไขหลักของการโจมตีหลายรูปแบบ
  6. หากพัฒนา AI agent ขององค์กรเอง ควรออกแบบ ช่องทางสื่อสารเฉพาะ ที่มีการยืนยันตัวตนและเข้ารหัส แทนการใช้ช่องทางดีบักเป็นช่องทางหลัก

แหล่งอ้างอิง