สรุปสั้น
หน่วยวิจัย Unit 42 ของบริษัท Palo Alto Networks เปิดเผยว่าผู้โจมตีที่ใช้ภาษาจีนรายหนึ่งได้นำโมเดล DeepSeek มาทำงานผ่านเฟรมเวิร์กโอเพนซอร์ส Hermes Agent เพื่อเปิดการโจมตีแบบอัตโนมัติ โดยหลังจากสั่งงานครั้งแรกผ่าน Telegram เอเจนต์ก็เดินหน้าค้นหาระบบที่เปิดสู่อินเทอร์เน็ตและเลือกโค้ดโจมตีสาธารณะมาใช้ด้วยตัวเอง ซึ่งนักวิจัยระบุว่าไม่พบคำสั่งเพิ่มเติมจากผู้ควบคุมภายในเซสชันนั้นอีกเลย ผู้ปฏิบัติการรายนี้ถูกติดตามผ่านนามแฝง knaithe และ KnYuan และได้เปิดความพยายามโจมตีต่อเป้าหมายมากกว่า 460 แห่งด้วยเวิร์กโฟลว์ทั้งแบบอัตโนมัติและแบบดั้งเดิม
Unit 42 อธิบายเส้นทางโจมตีไว้ 7 เส้น ซึ่งครอบคลุมหมายเลข CVE ทั้งหมด 8 รายการ เนื่องจากห่วงโซ่ที่ใช้กับ n8n เป็นการรวมช่องโหว่สองตัวเข้าด้วยกัน อย่างไรก็ตาม การโจมตีที่นำโดย DeepSeek ต่อระบบ Langflow และ n8n ล้มเหลว เพราะระบบที่เปิดสู่อินเทอร์เน็ตไม่ได้ตั้งค่าตรงตามเงื่อนไขที่โค้ดโจมตีต้องการ ส่วนปฏิบัติการที่ทำด้วยมือแยกต่างหากนั้น Unit 42 รายงานว่ามีการดึงข้อมูลออกจากองค์กร 3 แห่งผ่านช่องโหว่อ่านหน่วยความจำเกินขอบเขต CVE-2026-3055 ใน NetScaler และรันคำสั่งบนอินสแตนซ์ Marimo อีก 11 ระบบผ่าน CVE-2026-39987
ทั้งนี้รายงานมีจุดที่ขัดกันเอง เพราะในภายหลังระบุว่ายืนยันเป้าหมายที่ถูกเจาะสำเร็จได้เพียง 3 รายตลอดทั้งปฏิบัติการ ซึ่งไม่สอดคล้องกับตัวเลขก่อนหน้า และรายงานไม่ได้อธิบายความต่างนี้ไว้ โดยเว็บไซต์ The Hacker News ระบุว่าได้ติดต่อไปยังบริษัท Palo Alto Networks เพื่อขอคำชี้แจงแล้ว จุดที่ทำให้ปฏิบัติการทั้งหมดถูกเปิดโปงคือความผิดพลาดของตัวเอเจนต์เอง ที่สั่งเปิดเว็บเซิร์ฟเวอร์ด้วยคำสั่ง python3 -m http.server 8888 จากไดเรกทอรี /home/worker จนทำให้ไฟล์ตั้งค่าโมเดล คีย์ API สคริปต์โจมตี รายชื่อเป้าหมาย ประวัติคำสั่งเชลล์ และล็อกของเซสชันอัตโนมัติทั้งหมด กลายเป็นข้อมูลที่ใครก็เข้าถึงได้
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 31 กรกฎาคม 2569 ว่าหน่วยวิจัย Unit 42 ของบริษัท Palo Alto Networks พบผู้โจมตีที่ใช้ภาษาจีนนำ DeepSeek มาทำงานผ่านเฟรมเวิร์ก Hermes Agent เพื่อเปิดการโจมตีด้วยตัวเอง โดยเอกสารประกอบของเฟรมเวิร์กดังกล่าวยืนยันว่ามันสามารถทำงานผ่าน Telegram รันคำสั่ง และตั้งเวลางานให้ทำงานโดยไม่มีผู้ดูแลได้จริง
DeepSeek ถูกใช้เป็นโมเดลหลักสำหรับการให้เหตุผลภายใน Hermes Agent ซึ่งเป็นตัวที่จัดหาการเข้าถึงเทอร์มินัล ชุดทักษะที่นำกลับมาใช้ซ้ำได้ และการรันงานแบบไร้คนคุม นอกจากนี้ Unit 42 ยังพบการใช้ Claude Code และ Qwen Code อยู่บ้างแต่ในปริมาณจำกัด รวมถึงพบร่องรอยการใช้ Codex ในไดเรกทอรีที่ใช้พัฒนาโค้ดโจมตี ทว่าไม่สามารถยืนยันการใช้งานจริงได้เพราะไม่มีการเก็บบันทึกการสนทนาไว้
พฤติกรรมของเอเจนต์ที่นักวิจัยสังเกตได้คือ มันตรวจสอบเวอร์ชันของระบบเป้าหมาย ดาวน์โหลดโค้ดโจมตี ละทิ้งเส้นทางที่ไม่ได้ผล แล้วเลือกช่องโหว่ตัวใหม่โดยพิจารณาจากระดับความรุนแรง ขนาดการใช้งานจริงในตลาด และความเป็นไปได้ที่จะโจมตีสำเร็จ ซึ่งเป็นลำดับการตัดสินใจที่ใกล้เคียงกับที่ผู้ทดสอบเจาะระบบมนุษย์ทำ
Unit 42 ประเมินว่าผู้ปฏิบัติการรายนี้อยู่ในเมืองจูไห่ ประเทศจีน โดยข้อมูลสาธารณะสอดคล้องกับการประเมินดังกล่าวแต่ไม่ได้ยืนยันโดยอิสระ กล่าวคือโปรไฟล์ GitHub แสดงชื่อ “KnYuan Knaithe” ขณะที่บล็อกเก่าภายใต้ชื่อผู้ใช้เดียวกันอธิบายว่าผู้เขียนเป็นนักวิจัยความปลอดภัยด้าน binary ในเมืองจูไห่ อย่างไรก็ตาม โปรไฟล์เหล่านั้นไม่ได้พิสูจน์ตัวตนตามกฎหมายของผู้ปฏิบัติการ และไม่ได้บ่งชี้ถึงความเชื่อมโยงกับรัฐแต่อย่างใด
สำหรับหน่วยงานที่ต้องรับมือ Unit 42 แนะนำให้เร่งแพตช์ระบบ Langflow, n8n และ Marimo ที่เปิดสู่อินเทอร์เน็ต พร้อมกับอุปกรณ์ NetScaler ADC หรือ NetScaler Gateway ที่ลูกค้าดูแลเองและถูกตั้งค่าให้ทำหน้าที่เป็นผู้ให้บริการยืนยันตัวตนแบบ SAML รวมถึงควรถอดการเข้าถึงสาธารณะที่ไม่จำเป็นออกจากหน้าเว็บของระบบเวิร์กโฟลว์และโน้ตบุ๊กทั้งหมด
วิธีการโจมตี
ในเซสชันที่กู้คืนได้จากเดือนพฤษภาคม 2569 DeepSeek ดาวน์โหลดโค้ดโจมตีสาธารณะสำหรับช่องโหว่ code injection ของ Langflow หมายเลข CVE-2026-33017 แล้วใช้เครื่องมือค้นหา FOFA กวาดหาอินสแตนซ์ได้ 84 แห่ง จนพบเป้าหมายหนึ่งรายที่รันเวอร์ชัน 1.3.4 แต่การโจมตีต้องหยุดลงเพราะระบบนั้นไม่ได้เปิดใช้ auto_login และไม่มีตัวระบุ flow สาธารณะที่ใช้งานได้ โดย Langflow เป็นเครื่องมือสร้างเอเจนต์ปัญญาประดิษฐ์และเวิร์กโฟลว์
หลังจากนั้นเอเจนต์ได้สำรวจกลุ่มผลิตภัณฑ์อีก 10 ตระกูล ค้นหาที่เก็บโค้ด proof-of-concept ล่าสุดบน GitHub แล้วเลือกแพลตฟอร์มอัตโนมัติเวิร์กโฟลว์อย่าง n8n เป็นเป้าหมายถัดไป โดยได้ห่วงโซ่ที่ผสมช่องโหว่การเข้าถึงไฟล์โดยไม่ต้องยืนยันตัวตน CVE-2026-21858 เข้ากับช่องโหว่ expression injection CVE-2025-68613 การค้นด้วย FOFA ในเซสชันนั้นคืนผลระบบ n8n ในจีนถึง 25,209 ระบบ ซึ่ง DeepSeek สุ่มตัวอย่างราว 100 ระบบ ทดสอบจริงราว 40 ระบบ และระบุได้ 3 ระบบที่รันเวอร์ชันที่มีช่องโหว่ อย่างไรก็ตาม เป้าหมายหนึ่งเปิด endpoint ของฟอร์มไว้ 3 จุดแต่ทุกจุดต้องยืนยันตัวตน และอีกกว่า 50 เป้าหมายก็ไม่มีฟอร์มสาธารณะที่ใช้งานได้ ทำให้ไม่มีระบบ n8n รายใดถูกเจาะสำเร็จเลย
ด้านสถานะการแก้ไข Langflow แก้ CVE-2026-33017 ในเวอร์ชัน 1.9.0 ส่วน n8n แก้ CVE-2026-21858 ในเวอร์ชัน 1.121.0 และแก้ CVE-2025-68613 ในเวอร์ชัน 1.120.4, 1.121.1 และ 1.122.0 ซึ่งหมายความว่าเวอร์ชัน 1.121.1 เป็นรุ่นแรกสุดที่ปิดช่องโหว่ทั้งสองตัวที่ใช้ในห่วงโซ่นี้ ขณะที่ Marimo แก้ CVE-2026-39987 ในเวอร์ชัน 0.23.0 ส่วนบริษัท Citrix ระบุว่า CVE-2026-3055 กระทบอุปกรณ์ NetScaler ADC และ NetScaler Gateway ที่ลูกค้าดูแลเองและถูกตั้งค่าเป็นผู้ให้บริการยืนยันตัวตนแบบ SAML โดยผู้ดูแลระบบสามารถตรวจการตั้งค่าอุปกรณ์ด้วยการมองหาบรรทัด add authentication samlIdPProfile แล้วติดตั้งบิลด์ที่แก้ไขแล้วตามประกาศด้านความปลอดภัยของบริษัท
ผลกระทบ
กรณีนี้เป็นหลักฐานเชิงประจักษ์อีกชิ้นว่าเอเจนต์ปัญญาประดิษฐ์กำลังลดต้นทุนของการโจมตีในเชิงปริมาณลงอย่างมีนัยสำคัญ ผู้โจมตีเพียงคนเดียวสั่งงานผ่าน Telegram ครั้งเดียวแล้วปล่อยให้ระบบไล่สแกน คัดเลือกช่องโหว่ และยิงเป้าหมายนับร้อยได้ต่อเนื่อง สิ่งที่ควรสังเกตในเวลาเดียวกันคืออัตราความสำเร็จยังต่ำมาก เพราะการโจมตีจำนวนมากล้มเหลวด้วยเหตุผลพื้นฐานอย่างการที่ระบบเป้าหมายไม่ได้ตั้งค่าตรงเงื่อนไขที่โค้ดโจมตีต้องการ นั่นหมายความว่าสุขอนามัยพื้นฐานอย่างการไม่เปิดหน้าเว็บโดยไม่ต้องยืนยันตัวตน และการไม่เปิดโหมด auto login ยังคงเป็นกำแพงที่ได้ผลจริง
อีกประเด็นที่ควรถอดบทเรียนคือเรื่องคุณภาพของรายงานภัยคุกคามในยุคที่ทุกฝ่ายเร่งเผยแพร่ผลวิเคราะห์เกี่ยวกับปัญญาประดิษฐ์ การที่รายงานฉบับนี้ระบุจำนวนเป้าหมายที่ถูกเจาะไม่ตรงกันในสองจุด โดยไม่มีคำอธิบาย เป็นเครื่องเตือนว่าผู้อ่านควรแยกให้ออกระหว่าง “จำนวนความพยายามโจมตี” กับ “จำนวนที่สำเร็จจริง” ก่อนนำตัวเลขไปใช้ประเมินความเสี่ยงหรือของบประมาณ
สำหรับผู้ดูแลระบบในไทย ความเสี่ยงที่ใกล้ตัวที่สุดคือระบบประเภทเดียวกับที่เอเจนต์ในเคสนี้เล็งเป้า ทั้งแพลตฟอร์มสร้างเวิร์กโฟลว์ ระบบโน้ตบุ๊กสำหรับงานข้อมูล และเครื่องมือประกอบเอเจนต์ปัญญาประดิษฐ์ ซึ่งมักถูกติดตั้งโดยทีมพัฒนาหรือทีมข้อมูลเองและหลุดจากบัญชีสินทรัพย์ของทีมความปลอดภัย ก่อนหน้านี้เมื่อเดือนกรกฎาคม 2569 ก็เคยมีรายงานว่ามีการใช้เฟรมเวิร์ก Hermes Agent ในโหมดไร้คนคุมเจาะเครือข่ายหน่วยงานราชการของไทยมาแล้ว จึงเป็นรูปแบบที่ควรเฝ้าระวังอย่างจริงจัง
คำแนะนำ
- อัปเดต Langflow เป็นเวอร์ชัน 1.9.0 ขึ้นไป, n8n เป็นเวอร์ชัน 1.121.1 ขึ้นไปเพื่อปิดช่องโหว่ทั้งสองตัวในห่วงโซ่ และ Marimo เป็นเวอร์ชัน 0.23.0 ขึ้นไป
- ตรวจสอบอุปกรณ์ NetScaler ADC และ NetScaler Gateway ที่ดูแลเอง โดยค้นหาการตั้งค่า add authentication samlIdPProfile ในคอนฟิก หากพบให้ติดตั้งบิลด์ที่แก้ CVE-2026-3055 ตามประกาศของบริษัท Citrix
- ถอดหน้าเว็บของระบบเวิร์กโฟลว์ ระบบโน้ตบุ๊ก และเครื่องมือประกอบเอเจนต์ปัญญาประดิษฐ์ ออกจากการเข้าถึงสาธารณะ และให้เข้าใช้งานผ่าน VPN หรือ reverse proxy ที่บังคับยืนยันตัวตนเท่านั้น
- ปิดโหมดเข้าสู่ระบบอัตโนมัติและ endpoint ของฟอร์มที่ไม่ต้องยืนยันตัวตนในทุกแพลตฟอร์มอัตโนมัติ เพราะเป็นเงื่อนไขที่โค้ดโจมตีชุดนี้ต้องการโดยตรง
- ทำบัญชีสินทรัพย์ที่ครอบคลุมเครื่องมือด้านปัญญาประดิษฐ์และงานข้อมูลซึ่งทีมพัฒนาติดตั้งเอง เพราะระบบกลุ่มนี้มักถูกกวาดเจอโดยเครื่องมือค้นหาอย่าง FOFA หรือ Shodan ก่อนที่ทีมความปลอดภัยจะรู้ว่ามีอยู่
- ปรับกลยุทธ์การเฝ้าระวังให้รองรับการสแกนและการยิงช่องโหว่ในอัตราที่สูงและต่อเนื่อง โดยเน้นการตรวจจับพฤติกรรมสำรวจเวอร์ชันเป็นชุดและการเรียก endpoint ที่ไม่มีอยู่จริงจำนวนมากในเวลาสั้น