สรุปสั้น

MCP server สามารถทำให้ความลับขององค์กรรั่วไหลได้ผ่านไฟล์ตั้งค่าที่เก็บข้อมูลเป็นข้อความธรรมดา การให้สิทธิ์เกินความจำเป็น และ prompt injection โดยมักเกิดขึ้นก่อนที่ทีมความปลอดภัยจะรู้ด้วยซ้ำว่ามีเซิร์ฟเวอร์ตัวนั้นทำงานอยู่ในสภาพแวดล้อมของตัวเอง เมื่อองค์กรจำนวนมากขึ้นเรื่อย ๆ นำ AI agent เข้าไปอยู่ในระบบงาน ความเสี่ยงนี้จึงกลายเป็นช่องว่างขนาดใหญ่ที่เงียบเชียบ

Model Context Protocol หรือ MCP เป็นมาตรฐานเปิดที่บริษัท Anthropic เป็นผู้เสนอในตอนแรก ทำหน้าที่ให้ผู้ช่วย AI เชื่อมต่อกับเครื่องมือและข้อมูลภายนอกได้ แทนที่จะถูกจำกัดอยู่กับความรู้เดิมของตัวโมเดล AI agent สามารถใช้ MCP ไปดึงข้อมูลจากฐานข้อมูล เปิดไฟล์ หรือเรียก API ที่ทำงานอยู่จริงได้ สิ่งที่ทำให้กลไกนี้ทำงานได้คือ MCP server ซึ่งเป็นโปรแกรมเล็ก ๆ ที่คั่นอยู่ระหว่าง AI กับระบบที่มันต้องการใช้ และประกาศว่าการกระทำใดบ้างที่ AI ได้รับอนุญาตให้ทำ

จุดที่ความเสี่ยงสูงสุดอยู่ตรงตัวกลางนี้เอง เพราะการจะกระทำการใด ๆ บนระบบหนึ่งได้ MCP server ต้องถือข้อมูลยืนยันตัวตนของระบบนั้นไว้ ไม่ว่าจะเป็น credential กุญแจของบัญชีบริการ โทเคน API หรือความลับอื่น ๆ และเนื่องจาก AI agent ในยุคนี้ไม่ได้แค่ตอบคำถามแต่ลงมือทำจริงผ่านตัวตนที่ไม่ใช่มนุษย์ การที่ความลับหนึ่งรั่วจึงไม่ได้แปลว่าข้อมูลรั่วเท่านั้น แต่แปลว่าผู้โจมตีได้ความสามารถลงมือทำบนระบบนั้นไปด้วย

รายละเอียดข่าว

เว็บไซต์ The Hacker News เผยแพร่บทวิเคราะห์เมื่อวันที่ 17 สิงหาคม 2569 ที่ตั้งคำถามว่าองค์กรกำลังส่งมอบความลับอะไรให้ AI บ้าง และความลับเหล่านั้นได้รับการปกป้องดีแค่ไหนเมื่อไปอยู่บน MCP server แล้ว ประเด็นหลักคือความสะดวกของ MCP มาพร้อมเงื่อนไขที่หลายองค์กรมองข้าม นั่นคือเซิร์ฟเวอร์ตัวเดียวกันที่เปิดทางให้ AI agent ทำงานที่มีความหมายได้ ก็คือศูนย์รวมของข้อมูลยืนยันตัวตนไปพร้อมกัน

เนื่องจาก MCP เป็นเทคโนโลยีใหม่ที่เคลื่อนที่เร็ว เซิร์ฟเวอร์จำนวนมากจึงถูกสร้างและนำไปใช้งานโดยไม่มีมาตรการความปลอดภัยระดับที่ควรคาดหวังจากสิ่งที่ถือกุญแจของระบบจริง สภาพแบบนี้ทำให้เกิดสิ่งที่เรียกได้ว่าเป็น shadow AI คือตัวตนที่ไม่มีใครบริหารจัดการและไม่เคยปรากฏในการทบทวนความปลอดภัย แต่กลับถือ credential ที่ยังใช้งานได้อยู่จริง

ประเด็นเรื่องความน่าเชื่อถือของแหล่งที่มาก็สำคัญไม่แพ้กัน เพราะใครก็สามารถเผยแพร่ MCP server ได้ ซึ่งเป็นปัญหาห่วงโซ่อุปทานที่รอวันปะทุ การเชื่อมต่อกับเซิร์ฟเวอร์ที่ไม่น่าเชื่อถืออาจย้อนกลับมาทำร้ายองค์กรเอง อย่างที่ CVE-2025-6514 แสดงให้เห็นมาแล้ว

รายละเอียดช่องโหว่

เส้นทางแรกที่ความลับรั่วออกไปคือการเก็บ credential เป็นข้อความธรรมดาในไฟล์ตั้งค่า MCP server มักเก็บโทเคนและกุญแจที่ต้องใช้ไว้ในไฟล์ตั้งค่าบนเครื่อง และบ่อยครั้งเก็บแบบไม่เข้ารหัส ในหลายการติดตั้ง การทำให้เซิร์ฟเวอร์ทำงานได้หมายถึงการวางสตริงตั้งค่าที่มีข้อมูลยืนยันตัวตนอยู่ในนั้นตรง ๆ เมื่อไฟล์แบบนี้ถูกทิ้งไว้บนดิสก์ มันมีโอกาสสูงมากที่จะถูกมองข้าม ถูกคัดลอกข้ามเครื่อง หรือถูกส่งขึ้นคลังโค้ด Git โดยไม่ตั้งใจ และเมื่อผู้โจมตีเข้าถึงเซิร์ฟเวอร์นั้นได้ ทุกอย่างที่มันถืออยู่ก็อ่านได้หมด

เส้นทางที่สองคือการกระจัดกระจายของ credential ข้ามเซิร์ฟเวอร์ที่ไม่มีการกำกับดูแล เมื่อไม่มีที่เก็บความลับส่วนกลาง AI agent แต่ละตัวก็ต้องบริหารความลับของตัวเอง กุญแจ API และโทเคนชุดเดียวกันจึงกระจายอยู่ตามไฟล์ตั้งค่าและตัวแปรสภาพแวดล้อม แล้วมีสำเนาซ้ำกองอยู่ทั้งในสภาพแวดล้อมพัฒนา ทดสอบ และใช้งานจริง เมื่อไม่มีใครมีบัญชีรายการที่ครบถ้วน ความลับเหล่านี้จึงแทบไม่เคยถูกหมุนเวียน และยังใช้งานได้อยู่แบบคงที่ไปเรื่อย ๆ

เส้นทางที่สามคือ prompt injection ซึ่งไม่ต้องอาศัยการเจาะระบบเลย เนื่องจาก AI agent อ่านและลงมือทำตามเนื้อหาที่ถูกป้อนให้ ผู้โจมตีจึงอาจซ่อนคำสั่งไว้ในเอกสาร ตั๋วแจ้งปัญหา หรือหน้าเว็บที่ agent เข้าถึง แล้ว agent ก็อาจทำตามคำสั่งที่ซ่อนอยู่นั้นราวกับเป็นคำสั่งที่ถูกต้อง ผลคือ agent ถูกหลอกให้ใช้เครื่องมือของตัวเองผิดวัตถุประสงค์ หรือส่งมอบความลับที่ถูกมอบหมายให้ปกป้องออกไป

เส้นทางที่สี่คือการให้สิทธิ์เกินจำเป็น เพื่อไม่ให้เจอข้อผิดพลาดเรื่องสิทธิ์ระหว่างพัฒนา นักพัฒนามักให้สิทธิ์ MCP server แบบกว้าง ๆ ไว้ก่อนแล้วเดินหน้าต่อ แต่ขอบเขตสิทธิ์ที่ใจกว้างเหล่านั้นมักถูกลืมและติดไปถึงระบบใช้งานจริง เมื่อไม่มีการบังคับใช้หลักการให้สิทธิ์เท่าที่จำเป็น AI agent จึงเอื้อมไปได้ไกลกว่างานที่ตัวเองต้องทำมาก และการถูกยึดเพียงจุดเดียวก็เปิดเผยมากกว่าที่ควรเป็น

เส้นทางสุดท้ายคือความเสี่ยงจากเซิร์ฟเวอร์ที่เปิดให้เชื่อมต่อ ซึ่งเห็นเป็นรูปธรรมแล้วใน CVE-2025-6514 ที่อยู่ใน mcp-remote ซึ่งเป็นพร็อกซี OAuth ที่มียอดดาวน์โหลดกว่า 400,000 ครั้งและทำงานอยู่บนเครื่องฝั่งไคลเอนต์ ในกรณีนั้นเซิร์ฟเวอร์ที่เป็นอันตรายสามารถกระตุ้นให้เกิดการฉีดคำสั่งระบบปฏิบัติการ นำไปสู่การรันโค้ดจากระยะไกลบนเครื่องที่รันพร็อกซีตัวนั้น และเปิดทางให้ผู้โจมตีขโมยข้อมูลยืนยันตัวตนของเครื่องนั้นไป

ผลกระทบ

องค์กรที่กำลังนำ AI agent เข้าไปอยู่ในกระบวนการทำงานจริงคือกลุ่มที่ต้องประเมินเรื่องนี้ก่อนใคร โดยเฉพาะองค์กรที่ทีมพัฒนาหรือทีมข้อมูลเริ่มทดลอง MCP กันเองก่อนที่ทีมความปลอดภัยจะเข้ามามีส่วนร่วม เพราะรูปแบบการเริ่มต้นแบบนี้คือจุดกำเนิดของเซิร์ฟเวอร์ที่ไม่มีใครรู้ว่ามีอยู่แต่ถือกุญแจของระบบจริง

สิ่งที่เปลี่ยนไปจากเดิมคือธรรมชาติของความเสียหาย ในอดีตความลับที่รั่วหมายถึงข้อมูลที่อาจถูกอ่าน แต่เมื่อความลับนั้นผูกกับ AI agent ที่มีสิทธิ์ลงมือทำ การรั่วหมายถึงผู้โจมตีได้ความสามารถกระทำการบนระบบนั้นด้วย ไม่ว่าจะเป็นการลบข้อมูล การสร้างทรัพยากรใหม่ หรือการเข้าถึงระบบที่เชื่อมต่อกันต่อไปเป็นทอด ๆ

ประเด็น prompt injection ยังทำให้เส้นแบ่งระหว่าง “ข้อมูล” กับ “คำสั่ง” เลือนลงในแบบที่โมเดลความปลอดภัยเดิมไม่ได้ออกแบบมารองรับ เอกสารหนึ่งฉบับ ตั๋วแจ้งปัญหาหนึ่งใบ หรือหน้าเว็บหนึ่งหน้า สามารถกลายเป็นช่องทางสั่งการได้โดยไม่ต้องเจาะระบบใด ๆ เลย ซึ่งหมายความว่าการควบคุมขาเข้าอย่างเดียวไม่พอ ต้องมีจุดตรวจฝั่งการกระทำที่อ่อนไหวด้วย

ข้อจำกัดที่ต้องระบุอย่างตรงไปตรงมาคือเนื้อหาต้นทางเป็นบทความที่เขียนขึ้นและส่งให้สื่อโดยบุคลากรของผู้ให้บริการระบบจัดการความลับรายหนึ่ง จึงเป็นบทวิเคราะห์เชิงความคิดเห็นที่มีมุมมองทางธุรกิจกำกับอยู่ ไม่ใช่รายงานการวิจัยที่มีข้อมูลเชิงประจักษ์ บทความไม่ได้ให้ตัวเลขจำนวน MCP server ที่ตั้งค่าผิดพลาดในโลกจริง ไม่ได้อ้างงานวิจัยที่วัดขนาดของปัญหา และไม่ได้ระบุกรณีองค์กรที่ถูกโจมตีผ่านเส้นทางเหล่านี้ ยกเว้น CVE-2025-6514 เพียงรายการเดียว ผู้อ่านจึงควรใช้เนื้อหานี้เป็นกรอบคิดในการตรวจสอบสภาพแวดล้อมของตัวเอง มากกว่าจะถือเป็นการวัดระดับความเสี่ยงที่ผ่านการพิสูจน์แล้ว

คำแนะนำ

  • เลิกฝัง credential ไว้ในโค้ดและไฟล์ตั้งค่า แล้วย้ายไปเก็บในที่เก็บส่วนกลางที่มีการกำกับดูแล ให้ AI agent ดึงเฉพาะสิ่งที่ต้องใช้ตอนทำงานจริง ซึ่งแก้ทั้งปัญหาข้อความธรรมดาและปัญหาการกระจัดกระจายพร้อมกัน
  • ใช้ข้อมูลยืนยันตัวตนที่มีอายุสั้นและหมุนเวียนอัตโนมัติ เพราะความลับแบบคงที่มีค่าสำหรับผู้โจมตีตรงที่มันไม่เปลี่ยน การออกให้ตามคำขอและหมดอายุเองจะลดหน้าต่างเวลาที่ผู้โจมตีใช้ประโยชน์ได้
  • บังคับใช้หลักการให้สิทธิ์เท่าที่จำเป็นกับ AI agent ทุกตัว ให้เข้าถึงเฉพาะระบบและข้อมูลที่งานของมันต้องใช้ เพื่อให้การถูกยึดหนึ่งจุดเปิดเผยเพียงเศษเสี้ยวของทั้งหมด
  • คงจุดตรวจที่มีมนุษย์อยู่ในลูปสำหรับการกระทำที่อ่อนไหว เช่น การเรียกดูความลับแบบไม่ปิดบัง การลบข้อมูล หรือการเข้าถึงระบบใช้งานจริง เพราะจุดตรวจนี้คือสิ่งที่มักหยุด prompt injection ไม่ให้กลายเป็นเหตุการณ์ร้ายแรง
  • เข้ารหัสความลับด้วยแนวคิด zero-trust และ zero-knowledge ให้เข้ารหัสตั้งแต่ต้นทางถึงปลายทาง เรียกดูเฉพาะตอนใช้งาน และแพลตฟอร์มที่เก็บไม่ควรอ่านค่าได้เอง
  • เก็บล็อกและตรวจสอบทุกการกระทำของ agent เนื่องจาก agent อัตโนมัติทำงานเร็วและไม่มีคนกำกับโดยตรง บันทึกที่ครบถ้วนว่าเข้าถึงอะไรเมื่อไหร่จึงจำเป็นทั้งเพื่อการปฏิบัติตามข้อกำหนดและเพื่อสอบสวนเหตุการณ์ย้อนหลัง
  • จัดทำบัญชีรายการ MCP server ทั้งหมดที่ทำงานอยู่ในสภาพแวดล้อมขององค์กร เพราะสิ่งที่มองไม่เห็นย่อมปกป้องไม่ได้ และการมองเห็นคือสิ่งที่กำจัด shadow AI ได้จริง
  • ตรวจสอบที่มาของ MCP server ก่อนเชื่อมต่อทุกครั้ง และอัปเดต mcp-remote ให้พ้นจาก CVE-2025-6514 หากมีใช้งานอยู่ในทีมพัฒนา

แหล่งอ้างอิง