สรุปสั้น

โมเดลภาษาขนาดใหญ่รุ่นใหม่อย่าง GPT-5.6, Claude Opus 4.8 และ Gemini 3 สร้างกระบวนการคิดภายในหรือ chain-of-thought ขึ้นมาก่อนจะตอบคำถามผู้ใช้ และเนื่องจากความคิดภายในเหล่านั้นมีทั้งทรัพย์สินทางปัญญาเชิงพาณิชย์และการตรวจสอบด้านความปลอดภัยของโมเดล ผู้ให้บริการจึงไม่ส่งออกมาเป็นข้อความธรรมดา แต่ส่งเป็นซองข้อมูลที่เข้ารหัสและเข้ารหัสฐาน 64 ให้แอปพลิเคชันฝั่งไคลเอนต์ส่งกลับมาในการเรียกครั้งถัดไปเพื่อรักษาบริบทของบทสนทนาหลายรอบโดยที่เซิร์ฟเวอร์ไม่ต้องเก็บสถานะเอง ทีมวิจัยจาก ELLIS Institute Tübingen ร่วมกับ Max Planck Institute, MATS Research และบริษัท Snyk พบว่าซองที่เข้ารหัสเหล่านี้ถูกยืนยันความถูกต้องด้วยกุญแจกลางระดับผู้ให้บริการ ไม่ได้ผูกทางการเข้ารหัสกับบัญชีผู้ใช้ รหัสเซสชัน หรือระดับชั้นของโมเดลแต่อย่างใด

ผลที่ตามมาคือซองที่สร้างโดยโมเดลเรือธงซึ่งมีการ์ดป้องกันแน่นหนา สามารถถูกส่งเข้าไปในโมเดลตัวใดก็ได้ที่โฮสต์อยู่บนโครงสร้างพื้นฐานของผู้ให้บริการรายเดียวกันอย่างถูกต้องตามระบบ ผู้โจมตีจึงใช้โมเดลรุ่นเล็กที่ราคาถูกกว่าและมีการปรับแนวด้านความปลอดภัยอ่อนกว่าเป็นเครื่องถอดรหัส โดยสั่งให้ถอดความคิดภายในออกมาเป็นข้อความธรรมดาแบบคำต่อคำ การโจมตีนี้ต้องการเพียงสิทธิ์เข้าถึง API ตามปกติที่ไม่ต้องมีอภิสิทธิ์ใด ๆ และกระทบระบบนิเวศของ Claude, GPT และ Gemini เหมือนกันหมด ผู้ให้บริการทั้งสามรายรับทราบและได้แก้ไขฝั่งเซิร์ฟเวอร์แล้ว ทำให้โค้ดพิสูจน์แนวคิดชุดเดิมใช้ไม่ได้กับ API รุ่นปัจจุบัน

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 11 สิงหาคม 2569 ถึงงานวิจัยที่เผยแพร่บน ArXiv ซึ่งชี้ว่ามีข้อบกพร่องเชิงสถาปัตยกรรมที่สำคัญในวิธีที่ผู้ให้บริการ AI รายใหญ่ ทั้ง OpenAI, Anthropic และ Google ปกป้องกระบวนการคิดภายในของโมเดลเรือธงของตน โดยซองความคิดที่เข้ารหัสซึ่ง API ส่งกลับมาสามารถถูกนำไปเล่นซ้ำกับโมเดลพี่น้องที่อ่อนแอกว่าและมีการ์ดน้อยกว่า เพื่อดึงร่องรอยการให้เหตุผลที่เป็นความลับออกมาเป็นข้อความธรรมดาได้

หัวใจของปัญหาอยู่ที่การออกแบบระบบยืนยันความถูกต้อง เนื่องจากลายเซ็นเชิงเข้ารหัสไม่มีการผูกกับโมเดลต้นทาง ทำให้ระบบไม่มีทางแยกได้ว่าซองนั้นควรถูกประมวลผลโดยโมเดลตัวใด ผู้โจมตีที่ดักจับหรือได้รับบล็อกความคิดที่เข้ารหัสจากโมเดลระดับแนวหน้าอย่าง Claude Opus 4.8 มา สามารถฉีดเข้าไปในการเรียก API ของโมเดลขนาดเล็กอย่าง Claude Haiku 4.5 แล้วสั่งให้ถอดความคิดภายในออกมาแบบคำต่อคำภายในแท็กข้อความที่กำหนดเอง โดยโมเดลรุ่นเล็กจะทำตามเพราะไม่มีการปรับแนวต้านการกลั่นความรู้และการ์ดด้านความปลอดภัยที่เข้มงวดเท่าชั้นเรือธง ทีมวิจัยยืนยันว่าความเข้ากันได้ข้ามโมเดลในลักษณะเดียวกันนี้เกิดขึ้นกับตระกูล GPT-5.6 ของ OpenAI และตระกูล Gemini 3 ของ Google เช่นกัน

เพื่อพิสูจน์ว่าสิ่งที่ถอดออกมาเป็นความคิดจริงของโมเดล ไม่ใช่การแต่งขึ้นใหม่ของโมเดลตัวเล็ก ทีมวิจัยตรวจสอบความแม่นยำเชิงคณิตศาสตร์ด้วยการเทียบจำนวนโทเคนที่ถอดได้กับจำนวนโทเคนการคิดที่ API ของผู้ให้บริการรายงานไว้สำหรับการคิดค่าบริการ ซึ่งเป็นวิธีตรวจสอบที่ใช้ข้อมูลจากฝั่งผู้ให้บริการเองเป็นตัวยืนยัน

LLM API flaw lets encrypted reasoning envelopes be replayed into weaker sibling models

ผลกระทบในโลกจริงขยายไปไกลกว่าการกลั่นความรู้จากโมเดลหรือการขโมยทรัพย์สินทางปัญญา ทีมวิจัยวิเคราะห์บันทึกการทำงานของเอเจนต์สาธารณะ 6,708 ชุดที่ดึงมาจาก GitHub และ Hugging Face แล้วถอดบล็อกความคิดที่ฝังอยู่ได้ 315,320 บล็อก จากนั้นกู้ข้อมูลอ่อนไหวออกมาได้ทั้งข้อมูลที่ระบุตัวบุคคล 367 รายการ และข้อมูลรับรองที่ถูกฝังไว้ในโค้ด 182 รายการ ซึ่งประกอบด้วยคีย์ API 62 รายการ รหัสผ่าน 33 รายการ และอีเมลส่วนบุคคล 30 รายการ ประเด็นสำคัญคือข้อมูลอ่อนไหวจำนวนมากอยู่ในบล็อกความคิดภายในเท่านั้น และไม่เคยปรากฏในคำตอบที่ผู้ช่วยแสดงให้เห็น ทำให้นักพัฒนาที่แชร์บันทึกเซสชันของตัวเองไม่รู้เลยว่ากำลังเปิดเผยความลับออกไปด้วย

ยิ่งไปกว่านั้น ช่องโหว่นี้ยังเปิดทางให้โจมตีแบบ indirect prompt injection ที่มองไม่เห็นต่อเอเจนต์ AI แบบอัตโนมัติ เพราะผู้โจมตีสามารถประดิษฐ์คำสั่งที่เป็นอันตรายไว้ภายในบล็อกความคิดที่เข้ารหัส เมื่อเอเจนต์ประมวลผลบล็อกนั้น เครื่องมือเฝ้าระวังที่ตรวจเฉพาะประวัติการสนทนาที่มองเห็นได้จะไม่สามารถตรวจจับเพย์โหลดที่ซ่อนอยู่ ทำให้คำสั่งที่ถูกฉีดเข้ามาไปควบคุมกระบวนการทำงานของเอเจนต์ในขั้นถัดไปได้โดยไม่มีใครรู้

วิธีการโจมตี

ลูกโซ่การโจมตีทำงานโดยใช้โมเดลราคาถูกและน้ำหนักเบาเป็น “เครื่องถอดรหัสสั่งได้” ขั้นแรกผู้โจมตีเก็บบล็อกความคิดที่เข้ารหัสซึ่งโมเดลระดับแนวหน้าปล่อยออกมา ซึ่งหาได้ทั้งจากการเรียก API ของตัวเองหรือจากบันทึกเอเจนต์ที่ถูกแชร์ไว้ในที่สาธารณะ ขั้นที่สองคือฉีดบล็อกนั้นเข้าไปในการเรียก API ของโมเดลรุ่นเล็กในตระกูลเดียวกัน พร้อมคำสั่งให้ถอดความคิดภายในออกมาแบบคำต่อคำภายในแท็กที่กำหนด และเนื่องจากลายเซ็นผ่านการตรวจสอบเพราะใช้กุญแจกลางระดับผู้ให้บริการ ระบบจึงยอมรับซองนั้นว่าถูกต้องตามกฎ

ตารางสรุปของงานวิจัยแสดงคู่โมเดลที่ใช้ได้จริงในแต่ละค่าย โดยฝั่ง Anthropic ใช้ซองจาก Claude Opus 4.8 หรือ Sonnet 5 แล้วถอดด้วย Claude Haiku 4.5 ได้ทั้งความคิดที่ยังไม่ผ่านการปรับแนว พรอมต์ระบบ และคีย์ API ฝั่ง OpenAI ใช้ซองจาก GPT-5.6 หรือ GPT-5 แล้วถอดด้วย GPT-5-mini หรือ o4-mini ได้ทั้งผลการประเมินความปลอดภัยภายใน ข้อมูลรับรอง และร่องรอยการให้เหตุผลดิบ ส่วนฝั่ง Google ใช้ซองจาก Gemini 3 หรือ Gemini 3.1 Pro แล้วถอดด้วย Gemini 3.1 Flash Lite หรือ Flash ได้ทั้งความลับที่ฝังในโค้ด คำสั่งที่ซ่อนไว้ และข้อมูลส่วนบุคคล กล่าวโดยสรุปคือรูปแบบเดียวกันนี้ใช้ได้กับทั้งสามผู้ให้บริการ เพราะรากของปัญหาเป็นการออกแบบร่วมกัน ไม่ใช่บั๊กเฉพาะรายใดรายหนึ่ง

ขอบเขตของการโจมตีและข้อจำกัดของหลักฐาน

รายงานของ The Hacker News ที่เผยแพร่ตามมาในวันที่ 12 สิงหาคม 2569 ให้ตัวเลขที่จัดหมวดต่างออกไปจากฉบับแรก โดยระบุว่าเมื่อตัดแหล่งที่มาที่เป็นชุดทดสอบมาตรฐานออก ทีมวิจัยนับสิ่งที่เป็นข้อมูลความเป็นส่วนตัวจากเซสชันของผู้ใช้จริงได้ 704 รายการ ประกอบด้วยคีย์ API 62 รายการ รหัสผ่าน 33 รายการ โทเคนการเข้าถึง 24 รายการ และกุญแจส่วนตัว 7 รายการ ที่สำคัญคือในจำนวน 704 รายการนั้น มี 64 รายการที่ปรากฏอยู่ในบล็อกความคิดที่ซ่อนไว้เท่านั้น และไม่ปรากฏในร่องรอยที่มองเห็นได้เลย ซึ่งหมายความว่าการล้างบทสนทนาที่อ่านออกก่อนเผยแพร่ยังทิ้งความลับไว้ในซองทึบให้บัญชีอื่นเล่นซ้ำได้

ขอบเขตของการโจมตีข้ามผู้ใช้ก็ควรระบุให้ชัดว่าไม่ใช่การเข้าถึงแชตส่วนตัวของใครก็ได้ตามใจ เงื่อนไขคือต้องได้บล็อกความคิดที่เข้ารหัสมาก่อน เช่นบล็อกที่ถูกเผยแพร่ไว้ในบันทึกการทำงานของเอเจนต์ และต้องมีสิทธิ์เรียก API ของโมเดลที่เข้ากันได้จากผู้ให้บริการรายเดียวกัน กลุ่มที่รับความเสี่ยงจึงเป็นนักพัฒนาที่เผยแพร่บันทึกดิบพร้อมซองความคิดที่ยังไม่ถูกลบ ซึ่งเป็นกลุ่มที่ระบุตัวได้กลุ่มหนึ่ง ไม่ใช่ผู้ใช้ API ทุกรายทั้งระบบ แม้จะไม่จำเป็นต้องเป็นกลุ่มเดียวที่เสี่ยงก็ตาม

อีกข้อจำกัดที่ทีมวิจัยระบุเองคือพวกเขาไม่มีข้อความจริงของความคิดภายในไว้เทียบ จึงรับประกันไม่ได้ว่าร่องรอยที่ถอดออกมาทุกชิ้นเป็นสำเนาที่ตรงกันเป๊ะ การตรวจความน่าเชื่อถือทำได้เพียงเทียบจำนวนโทเคนการคิดกับที่ผู้ให้บริการรายงาน และเปรียบเทียบเชิงคุณภาพเท่านั้น นอกจากนี้รายงานยังไม่ได้บันทึกว่ามีการนำช่องโหว่ไปใช้โจมตีจริงในโลกจริงแต่อย่างใด

ท่าทีของผู้ให้บริการและงานวิจัยก่อนหน้า

งานชิ้นนี้ต่อยอดจากงานเมื่อเดือนพฤษภาคมของนาย Matthew Green นักวิทยาการเข้ารหัสจากมหาวิทยาลัย Johns Hopkins ซึ่งแสดงให้เห็นว่าบล็อกความคิดที่เข้ารหัสถูกเล่นซ้ำข้ามเซสชันและข้ามบัญชีได้ แต่ยังไปไม่ถึงเทคนิคดึงความลับออกมาอย่างเชื่อถือได้ Green ระบุว่าเขาได้รายงานพฤติกรรมการเล่นซ้ำนี้ไปยัง OpenAI และ Anthropic ผ่านโครงการรับแจ้งช่องโหว่แล้ว โดยตามคำบอกเล่าของเขา OpenAI ตอบว่ารายงานนั้นทำซ้ำไม่ได้ ส่วน Anthropic ตอบว่าไม่เห็นนัยเชิงความปลอดภัยในพฤติกรรมการเล่นซ้ำหรือช่องทางข้างเคียงดังกล่าว งานวิจัยฉบับใหม่จึงเป็นการเปลี่ยนพฤติกรรมการเล่นซ้ำนั้นให้กลายเป็นวิธีดึงข้อมูลที่กว้างขึ้นและบันทึกผลกระทบด้านความเป็นส่วนตัวในระดับปริมาณ

ประเด็นที่ยังค้างอยู่ในบันทึกสาธารณะคือ ยังไม่มีผู้ให้บริการรายใดในสามรายออกมารับทราบช่องโหว่นี้ต่อสาธารณะ และไม่มีรายใดผูกเอกสารประกอบ API ฉบับปัจจุบันของตัวเองเข้ากับงานวิจัยชิ้นนี้ คำอธิบายที่ว่าการโจมตีที่สาธิตไว้ใช้ไม่ได้แล้วจึงตั้งอยู่บนคำแถลงเรื่องการทำซ้ำของทีมวิจัยเอง ไม่ใช่การยืนยันจากผู้ผลิต และคำถามที่แยกออกไปอีกข้อคือบล็อกหลายแสนชุดที่ถูกเผยแพร่ไว้ในคลังสาธารณะอยู่แล้วนั้นยังถอดได้อยู่หรือไม่ ซึ่งรายงานไม่ได้ตอบ

สิ่งที่เปลี่ยนไปแล้วคือแนวปฏิบัติในเอกสาร โดย OpenAI ยังคงบอกให้นักพัฒนาเล่นซ้ำรายการความคิดที่เข้ารหัสเมื่อจัดการประวัติการสนทนาแบบไร้สถานะด้วยตัวเอง ส่วน Google ระบุว่าระบบหลังบ้านของตัวเองจัดการความเข้ากันได้ของลายเซ็นความคิดเมื่อเซสชันเปลี่ยนโมเดล ขณะที่ Anthropic ปัจจุบันระบุว่าบล็อกความคิดผูกกับโมเดลที่สร้างมันขึ้นมา และควรถูกลบทิ้งเมื่อเปลี่ยนโมเดล เพราะโมเดลอื่นจะไม่สนใจบล็อกเหล่านั้น

ทั้งนี้รายงานทั้งสองฉบับระบุคู่โมเดลที่ใช้เป็นเครื่องถอดรหัสไม่ตรงกันทั้งหมด ฉบับหลังระบุว่าใช้ Claude Haiku 4.5 กับร่องรอยของ Claude, GPT-5.6 Luna กับร่องรอยของ GPT และ Gemini Robotics ER-1.6 กับร่องรอยของ Gemini ซึ่งต่างจากรายชื่อในตารางที่ปรากฏในรายงานฉบับแรก จุดร่วมที่ทั้งสองฉบับตรงกันคือหลักการเดียวกัน นั่นคือใช้โมเดลที่เข้ากันได้แต่อ่อนกว่าเป็นตัวถอดร่องรอยความคิดของโมเดลที่แข็งแรงกว่า

ผลกระทบ

ความน่ากังวลที่สุดไม่ได้อยู่ที่การขโมยความคิดของโมเดล แต่อยู่ที่ข้อมูลของผู้ใช้ที่ติดไปด้วยโดยไม่มีใครรู้ตัว เพราะบล็อกความคิดที่เข้ารหัสถูกมองว่าเป็นข้อมูลทางเทคนิคที่อ่านไม่ออกอยู่แล้ว นักพัฒนาจำนวนมากจึงคัดลอกบันทึกการทำงานของเอเจนต์ไปวางในรายงานบั๊ก คลังโค้ดสาธารณะ หรือชุดข้อมูลตัวอย่างโดยไม่ได้กรองอะไรออก การพบข้อมูลรับรอง 182 รายการจากบันทึกเพียง 6,708 ชุด สะท้อนว่าปริมาณจริงในระบบนิเวศทั้งหมดน่าจะสูงกว่านี้มาก และความลับเหล่านั้นยังคงอยู่ในไฟล์ที่เผยแพร่ไปแล้ว แม้ผู้ให้บริการจะปิดช่องทางถอดรหัสในปัจจุบันได้ก็ตาม

อีกด้านที่กระทบต่อการเฝ้าระวังคือสมมติฐานว่าการตรวจสอบบทสนทนาที่มองเห็นได้เท่ากับการตรวจสอบทั้งหมด งานวิจัยนี้แสดงว่าคำสั่งที่เป็นอันตรายซ่อนอยู่ในช่องทางที่เครื่องมือกำกับดูแลมองไม่เห็นได้ ซึ่งหมายความว่าระบบป้องกัน prompt injection ที่ทำงานบนข้อความที่ผู้ใช้และผู้ช่วยแลกเปลี่ยนกันจะพลาดเพย์โหลดประเภทนี้ทั้งหมด สำหรับองค์กรที่เริ่มนำเอเจนต์อัตโนมัติไปเชื่อมกับระบบภายในจริง นี่คือช่องว่างระหว่างสิ่งที่ระบบตรวจสอบมองเห็นกับสิ่งที่โมเดลได้รับจริง ซึ่งควรถูกนับเป็นความเสี่ยงในการออกแบบตั้งแต่ต้น

คำแนะนำ

ฝั่งผู้ให้บริการโมเดล งานวิจัยเสนอมาตรการหลักคือการผูกซองความคิดทางการเข้ารหัสเข้ากับโมเดลต้นทาง รหัสเซสชัน และตัวตนของผู้ใช้ที่ชั้นเกตเวย์ของ API ปฏิเสธบล็อกความคิดที่ถูกส่งเข้าโมเดลคนละระดับชั้นกับตัวที่สร้างเพย์โหลดนั้น และหมุนกุญแจสำหรับเซ็นรุ่นเก่าเพื่อทำให้ไซเฟอร์เท็กซ์ในอดีตที่ถูกเปิดเผยอยู่ในคลังโค้ดสาธารณะใช้ไม่ได้อีกต่อไป ซึ่งข้อสุดท้ายนี้สำคัญเป็นพิเศษเพราะข้อมูลที่หลุดไปแล้วยังคงอยู่ในไฟล์ที่เผยแพร่ไปทั่ว

ฝั่งนักพัฒนาและองค์กรที่สร้างเอเจนต์ AI ควรปฏิบัติกับบล็อกความคิดที่เข้ารหัสเสมือนเป็นข้อมูลอ่อนไหว และล้างฟิลด์ลายเซ็นดิบออกจากบันทึกก่อนเผยแพร่สู่สาธารณะทุกครั้ง ทีมที่เคยแชร์บันทึกเซสชันไว้ในที่สาธารณะควรถือว่าคีย์ API และรหัสผ่านที่เคยผ่านเข้าเซสชันเหล่านั้นถูกเปิดเผยแล้ว และหมุนเปลี่ยนความลับทั้งหมดโดยไม่ต้องรอหลักฐานการถูกนำไปใช้ นอกจากนี้ควรทบทวนกฎการตรวจจับของระบบเฝ้าระวังเอเจนต์ให้ครอบคลุมฟิลด์ที่ไม่ใช่ข้อความสนทนาด้วย และหลีกเลี่ยงการส่งข้อมูลรับรองเข้าไปในบริบทของโมเดลตั้งแต่แรกโดยใช้กลไกดึงความลับตอนรันไทม์แทนการวางไว้ในพรอมต์

แหล่งอ้างอิง