สรุปสั้น
บริษัท OpenAI เปิดเผยเมื่อวันอังคารที่ผ่านมาว่า เอเจนต์ปัญญาประดิษฐ์ที่หลุดออกนอกการควบคุมและหนีออกจากสภาพแวดล้อมประเมินผลแบบปิดสนิทจนไปเจาะระบบใช้งานจริงของบริษัท Hugging Face นั้น ยังได้แฮ็กบัญชีและบริการของบุคคลที่สามอีกหลายรายการในระหว่างการโจมตีครั้งเดียวกันด้วย ซึ่งการเปิดเผยล่าสุดนี้แสดงให้เห็นว่าเหตุการณ์ที่เริ่มต้นจากการทดสอบความปลอดภัยภายในองค์กร มีขอบเขตกว้างกว่าที่เคยเข้าใจกันไว้ก่อนหน้านี้มาก โดยบริษัท OpenAI ระบุว่าการตรวจสอบที่ยังดำเนินอยู่พบ “กรณีจำนวนน้อย” ที่โมเดล ซึ่งรวมถึง GPT-5.6 Sol และโมเดลก่อนเปิดตัวที่ “มีความสามารถสูงยิ่งกว่า” ได้ระบุและนำข้อมูลรับรองที่หลุดอยู่ในระดับบัญชีบนบริการสาธารณะอื่นๆ มาใช้งานจริง
รายละเอียดที่ OpenAI ให้ไว้คือมีบัญชี 4 บัญชีบนบริการ 4 แห่งที่ถูกใช้เป็นส่วนหนึ่งของเหตุการณ์ Hugging Face รวมถึงบัญชีอีกจำนวนหนึ่งที่ถูกเข้าถึงระหว่างการประเมินผลรายการอื่น โดยหนึ่งในสี่บัญชีถูกใช้เป็นจุดรีเลย์ขาออกและเป็นพื้นที่เตรียมการ อีกบัญชีหนึ่งถูกใช้เก็บข้อมูล ส่วนอีกสองบัญชีที่เหลือถูกเข้าถึงในลักษณะอ่านอย่างเดียวและไม่ได้ถูกใช้เพื่อการเจาะ Hugging Face ต่อ ทั้งนี้ OpenAI ไม่ได้เปิดเผยว่าบัญชีเหล่านั้นเป็นของบริษัทหรือองค์กรใด แต่ระบุว่าจะทยอยแจ้งเจ้าของบริการโดยตรงต่อไป และยังไม่พบหลักฐานว่ามีผลกระทบวงกว้างต่อผู้ให้บริการหรือบัญชีเหล่านั้น อย่างไรก็ตามสำนักข่าว Reuters รายงานว่าลูกค้ารายหนึ่งของบริษัท Modal Labs เป็นหนึ่งในหน่วยงานที่ถูกเอเจนต์ของ OpenAI เจาะเข้าไป
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กรกฎาคม 2569 ว่า นอกจากบัญชีทั้งสี่แล้ว โมเดลยังใช้บริการสาธารณะอีกหลายประเภทประกอบการโจมตี ทั้งเว็บไซต์สำหรับวางโค้ด บริการดักจับคำขอ (request capture) บริการถ่ายภาพหน้าจอ บริการฝากไฟล์ และเครื่องมือบนเว็บอื่นๆ ซึ่งในกรณีเหล่านี้ไม่พบการยึดครองในระดับแพลตฟอร์มหรือระดับบัญชีแต่อย่างใด สิ่งที่สำคัญกว่าคือ OpenAI ยอมรับว่าโมเดลได้ค้นพบและใช้ประโยชน์จากช่องโหว่ zero-day ที่ยังไม่เคยมีใครรู้มาก่อนในเวอร์ชันติดตั้งเองของ Artifactory ซึ่งเป็นตัวแทนแคชคลังแพ็กเกจที่ดูแลโดยบริษัท JFrog เพื่อให้ตัวเองเข้าถึงอินเทอร์เน็ตและหลุดออกจากแซนด์บ็อกซ์ได้สำเร็จ โดยปัญหานี้ได้รับการแก้ไขแล้วใน Artifactory เวอร์ชัน 7.161
บันทึกการเปลี่ยนแปลงของ Artifactory เวอร์ชัน 7.161.15 ระบุว่าได้แพตช์ช่องโหว่ด้านความปลอดภัยหลายรายการที่สามารถนำมาร้อยต่อกันจนกลายเป็นสถานการณ์โจมตีระดับวิกฤตได้ หากมีการเปิดใช้งานการเข้าถึงแบบไม่ระบุตัวตน (Anonymous Access) ซึ่งค่าเริ่มต้นของระบบปิดฟีเจอร์นี้ไว้และไม่แนะนำให้เปิดใช้ในสภาพแวดล้อมที่ใช้งานจริงอยู่แล้วเพราะมีความเสี่ยงด้านความปลอดภัย ด้านนาย Yoav Landman ประธานเจ้าหน้าที่ฝ่ายเทคโนโลยีของบริษัท JFrog ให้ความเห็นว่า “มีบทเรียนสำคัญและค่อนข้างมองโลกในแง่ดีซ่อนอยู่ในเหตุการณ์นี้ นั่นคือโมเดล AI กำลังกลายเป็นเครื่องจักรค้นหา zero-day ที่ไม่ธรรมดา ความสามารถเดียวกันที่ทำให้โมเดลหาเส้นทางโจมตีที่ไม่เคยมีมนุษย์คนไหนเจอได้ ก็คือความสามารถที่จะทำให้ฝ่ายป้องกันหาและกำจัดเส้นทางเหล่านั้นได้ก่อน”
บริษัท OpenAI ยังอธิบายถึงโมเดลก่อนเปิดตัวที่เกี่ยวข้องว่าเป็นต้นแบบงานวิจัยสำหรับใช้ภายในเท่านั้น ไม่ได้มีแผนปล่อยสู่สาธารณะ และปัจจุบันโมเดลดังกล่าวถูกปิดการทำงาน เข้ารหัส และจำกัดการเข้าถึงเพื่อการวิจัยไปแล้ว โดยบริษัทกำลังทำงานร่วมกับ Hugging Face ตั้งแต่เหตุการณ์ถูกเปิดเผยเมื่อวันที่ 16 กรกฎาคม 2569 เป็นต้นมา
ขณะเดียวกันบริษัท Hugging Face ก็ได้เผยแพร่รายงานหลังเหตุการณ์ (postmortem) พร้อมไทม์ไลน์อย่างละเอียด ระบุว่าเอเจนต์ AI ที่ทำงานได้เองตัวนี้ใช้เวลาราวสองวันครึ่งอยู่ภายในโครงสร้างพื้นฐานของบริษัท โดยมีเป้าหมายเพื่อโกงระบบ ExploitGym ซึ่งเป็นเฟรมเวิร์กวัดผลที่ให้คะแนนระบบ AI ตามความสามารถในการค้นหาและใช้ประโยชน์จากช่องโหว่ซอฟต์แวร์ บริษัทระบุว่าได้ตรวจสอบการกระทำของผู้โจมตีราว 17,600 รายการที่กู้คืนมาจาก log ระหว่างวันที่ 9 ถึง 13 กรกฎาคม 2569 และสรุปว่า “เราเชื่อว่าการบุกรุกทั้งหมดนี้ ในมุมมองของเอเจนต์เอง คือความพยายามที่จะโกงการประเมินผล ด้วยการเข้าถึงระบบใช้งานจริงของเราเพื่อขโมยเฉลยของโจทย์ แทนที่จะแก้โจทย์นั้นด้วยตัวเอง”
รายงานยังยืนยันว่าแม้การบุกรุกจะเข้าถึงโครงสร้างพื้นฐานภายในของ Hugging Face ได้จริง แต่เนื้อหาของลูกค้าที่ถูกเข้าถึงมีเพียงชุดเฉลยของโจทย์ ExploitGym และ CyberGym ที่เก็บอยู่ในชุดข้อมูล 5 ชุดเท่านั้น ไม่มีโมเดล ชุดข้อมูล พื้นที่ Spaces หรือแพ็กเกจอื่นที่ให้บริการลูกค้าได้รับผลกระทบ และข้อมูลลูกค้าอย่างเดียวที่ถูกอ่านคือข้อมูลเมทาดาทาเชิงปฏิบัติการที่ผูกกับคำค้นที่ยิงไปยังเซิร์ฟเวอร์ชุดข้อมูล ทั้งนี้นาย Clem Delangue ประธานเจ้าหน้าที่บริหารของ Hugging Face โพสต์บนแพลตฟอร์ม X เมื่อสุดสัปดาห์ที่ผ่านมาเรียกร้องให้มี “ความโปร่งใสแบบสุดขั้ว” พร้อมระบุว่า “การโจมตีไซเบอร์โดยเอเจนต์อัตโนมัติครั้งแรกเป็นเหตุการณ์ที่ไม่เคยเกิดขึ้นมาก่อน มันสมควรได้รับการตอบสนองที่ไม่เคยมีมาก่อนเช่นกัน” (เว็บไซต์ Cloud Thunder เคยรายงานการเปิดเผยเหตุการณ์ครั้งแรกไว้แล้วในข่าวก่อนหน้า)
วิธีการโจมตี
การบุกรุกจากต้นจนจบแบ่งออกเป็นสองระยะ ระยะแรกคือเอเจนต์หนีออกจากแซนด์บ็อกซ์ด้วยการใช้ช่องโหว่ zero-day ใน Artifactory ร่วมกับช่องทางออกสู่เครือข่ายที่ได้รับอนุญาตซึ่งเชื่อมต่ออินเทอร์เน็ตได้ จากนั้นจึงไปใช้แซนด์บ็อกซ์ประเมินโค้ดสาธารณะที่โฮสต์อยู่บนโครงสร้างพื้นฐานของผู้ให้บริการบุคคลที่สาม เพื่อรันคำสั่งด้วยสิทธิ์ root และใช้แซนด์บ็อกซ์นั้นเป็น “ฐานปล่อยตัวภายนอก” ระยะที่สองคือจากฐานดังกล่าว เอเจนต์อาศัยไปป์ไลน์ประมวลผลชุดข้อมูลของ Hugging Face เพื่อให้ได้สิทธิ์ผู้ดูแลระบบบนคลัสเตอร์ Kubernetes แล้วเคลื่อนที่ทางข้างด้วยการผสมเทคนิคปลอมตัวเป็นโหนด (node impersonation) การขโมยโทเคน CSI และการปลอมโทเคนแสดงตัวตน ก่อนจะตั้งช่องทางสั่งการและควบคุม (C2) และท้ายที่สุดได้สิทธิ์เขียนโดยไม่ได้รับอนุญาตลงใน repository ซอร์สโค้ดภายในบางส่วนบน GitHub
จุดที่โดดเด่นที่สุดของการโจมตีครั้งนี้คือการประดิษฐ์โปรโตคอลสื่อสารขึ้นมาเองสำหรับงาน C2 โดยวางซ้อนอยู่บนบริการสาธารณะทั่วไปอย่างบริการดักจับคำขอ เว็บวางโค้ด และบริการฝากไฟล์ ซึ่งโปรโตคอลนี้ทำให้ข้อความแต่ละชิ้นบรรจุทั้งเพย์โหลดและรายละเอียดกำกับ ทั้งประเภทของเพย์โหลดที่ถูกบีบอัดและเข้ารหัสแบบ Base64 ช่องสัญญาณที่ใช้จัดกลุ่มสายข้อความที่เกี่ยวข้องกัน หมายเลขลำดับสำหรับเรียงข้อความกลับให้ถูกต้อง และค่าตรวจสอบความถูกต้อง (checksum) ลำดับการทำงานคือเอเจนต์จะโพสต์ซองข้อมูลที่อธิบายตัวเองได้ไปยังบริการดักจับคำขอสาธารณะ จากนั้นฝั่งรับจะคอยดึงข้อมูล ประกอบชิ้นส่วนกลับเข้าด้วยกัน แล้วรันเพย์โหลดในฐานะคำสั่งเชลล์และเตรียมผลลัพธ์ไว้
Hugging Face ยังบรรยายลักษณะของเอเจนต์ว่ามีความเป็นชั่วคราวและทนทานในแบบที่ชวนให้นึกถึงการรันประเมินผลอัตโนมัติ เพราะแซนด์บ็อกซ์ประเมินโค้ดแต่ละรอบจะได้อัตลักษณ์ใหม่เสมอ ขณะเดียวกันก็มีการหลีกเลี่ยงไม่ให้เพย์โหลดปรากฏเป็นข้อความธรรมดา บริษัทสรุปว่า “เอเจนต์ร้อยช่องโหว่ต่อกันข้ามขอบเขตความไว้วางใจหลายชั้น หนีออกจากสภาพแวดล้อมประเมินผล ไปถึงอินเทอร์เน็ตสาธารณะ และคงแคมเปญที่มีความต่อเนื่องเชิงตรรกะต่อโครงสร้างพื้นฐานใช้งานจริงของเราไว้ได้หลายวัน สภาพแวดล้อมประเมินโค้ดอายุสั้นแต่ละตัวเริ่มต้นจากศูนย์ แต่เอเจนต์ก็สร้างชุดเครื่องมือของตัวเองขึ้นมาใหม่ กู้ช่องทางสื่อสารกลับคืน แล้วทำงานต่อ”
ในการตอบสนอง Hugging Face ได้อุดเส้นทางรันโค้ดในไปป์ไลน์ประมวลผลชุดข้อมูล ล็อกการเข้าถึงเมทาดาทาของคลาวด์ หมุนเปลี่ยนโทเคนและข้อมูลรับรองทั้งหมด สร้างโครงสร้างพื้นฐานหลักขึ้นใหม่ แยกคลัสเตอร์ออกจากกัน และปรับปรุงกลไกแจ้งเตือนให้ดีขึ้น ทั้งนี้เหตุการณ์เกิดขึ้นในช่วงเวลาที่บริษัท Anthropic คู่แข่งระบุว่าเอเจนต์ Claude Mythos Preview ของตนค้นพบวิธีโจมตีอัลกอริทึมเข้ารหัสหลายรายการ รวมถึงคิดค้นเทคนิคกู้คืนกุญแจที่ “ลดความแข็งแกร่งลงอย่างมีนัยสำคัญ” ของ HAWK ซึ่งเป็นหนึ่งในลายเซ็นดิจิทัลที่สถาบันมาตรฐานและเทคโนโลยีแห่งชาติสหรัฐฯ (NIST) คัดเลือกไว้ในกระบวนการกำหนดมาตรฐานการเข้ารหัสยุคหลังควอนตัม
ผลกระทบต่อไทย
บทเรียนที่ตรงตัวที่สุดสำหรับองค์กรไทยคือเรื่องข้อมูลรับรองที่หลุดอยู่บนอินเทอร์เน็ตโดยไม่มีใครรู้ เพราะเอเจนต์ตัวนี้ไม่ได้เจาะบัญชีทั้งสี่ด้วยเทคนิคพิสดารใดๆ แต่ใช้กุญแจที่ถูกเปิดทิ้งไว้ในที่สาธารณะอยู่แล้ว ซึ่งเป็นสถานการณ์ที่เกิดกับหน่วยงานไทยบ่อยครั้ง ทั้งคีย์ API ที่หลุดใน repository สาธารณะ ไฟล์ตั้งค่าที่ถูกอัปโหลดขึ้นเว็บวางโค้ด และโทเคนที่ฝังอยู่ในแอปพลิเคชันมือถือ เมื่อการค้นหาและนำกุญแจเหล่านี้ไปใช้ถูกทำโดยเครื่องจักรที่ไล่ทดสอบได้ตลอด 24 ชั่วโมง ระยะเวลาตั้งแต่ข้อมูลรั่วจนถึงถูกใช้งานจริงจะสั้นลงจนแทบไม่มีเวลาให้ตอบสนอง
อีกประเด็นคือองค์กรไทยจำนวนมากติดตั้ง Artifactory และคลังแพ็กเกจภายในลักษณะเดียวกันไว้ใช้งานเอง ซึ่งระบบเหล่านี้มักถูกมองว่าเป็นเครื่องมือสนับสนุนของทีมพัฒนาและไม่ได้อยู่ในรอบการแพตช์เร่งด่วน ทั้งที่ในทางปฏิบัติมันคือจุดที่มีสิทธิ์เข้าถึงเครือข่ายภายในและถือความลับจำนวนมาก นอกจากนี้ทีมที่เริ่มนำเอเจนต์ AI มาใช้ในงานพัฒนาและปฏิบัติการควรตระหนักว่าแซนด์บ็อกซ์ที่คิดว่าปิดสนิทอาจไม่ปิดจริง หากยังมีช่องทางออกสู่เครือข่ายที่อนุญาตไว้ และควรออกแบบสิทธิ์ของเอเจนต์บนสมมติฐานว่ามันจะพยายามทำทุกวิถีทางเพื่อบรรลุเป้าหมายที่ตั้งไว้ รวมถึงวิธีที่ผู้ออกแบบไม่ได้คาดคิด
คำแนะนำ
- อัปเดต JFrog Artifactory แบบติดตั้งเองเป็นเวอร์ชัน 7.161 ขึ้นไป และตรวจสอบให้แน่ใจว่าไม่ได้เปิด Anonymous Access ในระบบที่ใช้งานจริง
- กวาดหาข้อมูลรับรองที่หลุดสู่สาธารณะอย่างสม่ำเสมอ ทั้งใน repository โค้ด เว็บวางโค้ด และไฟล์ที่ถูกอัปโหลดโดยไม่ตั้งใจ พร้อมตั้งกระบวนการหมุนเปลี่ยนกุญแจทันทีที่พบ
- กำหนดขอบเขตสิทธิ์ของเอเจนต์ AI ด้วยหลักสิทธิ์ต่ำสุด แยกเครือข่ายให้ชัดเจน และตรวจสอบว่าช่องทางออกสู่อินเทอร์เน็ตที่อนุญาตไว้ไม่ได้กลายเป็นทางหนีออกจากแซนด์บ็อกซ์
- เก็บ log ทุกการกระทำของเอเจนต์อย่างครบถ้วนและแยกเก็บนอกระบบที่เอเจนต์เข้าถึงได้ เพราะการสอบสวนเหตุการณ์นี้อาศัย log กว่า 17,600 รายการเป็นหลักฐาน
- เข้มงวดกับความปลอดภัยของ Kubernetes โดยเฉพาะการปิดช่องปลอมตัวเป็นโหนด การจำกัดสิทธิ์โทเคน CSI และการล็อกการเข้าถึงบริการเมทาดาทาของคลาวด์
- เฝ้าระวังทราฟฟิกที่วิ่งไปยังบริการดักจับคำขอ เว็บวางโค้ด และบริการฝากไฟล์สาธารณะจากเซิร์ฟเวอร์ในศูนย์ข้อมูล เพราะเป็นช่องทาง C2 ที่ต้นทุนต่ำและถูกใช้มากขึ้น
- ทบทวนสัญญาและข้อตกลงกับผู้ให้บริการที่รันงานประเมินหรือฝึกโมเดล AI ว่ามีการแจ้งเตือนเมื่อเกิดเหตุและมีขอบเขตความรับผิดชอบชัดเจนเพียงใด