สรุปสั้น

หน่วยงานด้านความมั่นคงไซเบอร์และข่าวกรองของสหรัฐได้ออกมากล่าวหาบริษัทปัญญาประดิษฐ์ที่ตั้งอยู่ในประเทศจีนว่าดำเนินการสกัดความสามารถและฟังก์ชันเฉพาะของโมเดลแนวหน้าสัญชาติอเมริกันอย่างเป็นระบบ ผ่านเทคนิคที่เรียกว่าการกลั่นความรู้หรือ distillation โดยประกาศร่วมของสำนักงานความมั่นคงแห่งชาติหรือ NSA สำนักงานความมั่นคงไซเบอร์และโครงสร้างพื้นฐานหรือ CISA และสำนักงานสอบสวนกลางหรือ FBI ระบุว่ากิจกรรมดังกล่าวเกิดขึ้นในระดับอุตสาหกรรมและเป็นแกนกลางของยุทธศาสตร์การพัฒนา AI ของบริษัทเหล่านั้น ไม่ใช่กิจกรรมข้างเคียง

หน่วยงานทั้งสามแยกให้ชัดว่า distillation เป็นเทคนิคที่ถูกต้องตามหลักวิชาและมีประโยชน์ในงานวิจัย แต่สิ่งที่บริษัทจีนทำคือการกลั่นความรู้เชิงรุกที่มุ่งร้ายและเจาะจงเป้าหมาย เพื่อดึงเอาความสามารถที่ถูกสงวนไว้ของโมเดลแนวหน้าสหรัฐออกมา บริษัทที่ถูกระบุชื่อได้แก่ DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun และ Z.AI ซึ่งประกาศระบุว่าดูดโทเค็นออกไปนับพันล้านจากการแลกเปลี่ยนหลายล้านครั้งกับโมเดลตระกูล Claude ของ Anthropic, GPT ของ OpenAI, Gemini ของ Google และ Grok ของ SpaceXAI มาตั้งแต่อย่างน้อยปลายปี พ.ศ. 2567 และน่าจะได้รับไฟเขียวจากรัฐบาลจีน

เส้นทางเข้าถึงที่ถูกอธิบายไว้มีทั้งการเรียกผ่าน API การใช้ผู้ให้บริการคลาวด์ในต่างประเทศ และการผ่านตัวรวมบริการของบุคคลที่สามที่อำพรางข้อมูลระบุตัวผู้ใช้เพื่อเลี่ยงการตรวจจับ ประกอบกับการกว้านซื้อบัญชีแบบพรีเมียมมาแบ่งกันใช้ภายในทีมนักพัฒนาเพื่อลดต้นทุน เนื่องจากโมเดลแนวหน้าของสหรัฐไม่ได้เปิดให้บริการอย่างเป็นทางการในจีน สำหรับองค์กรทั่วไปที่ไม่ได้พัฒนาโมเดลเอง สาระสำคัญของประกาศฉบับนี้คือการที่สิทธิ์เข้าถึงโมเดลโดยชอบกลายเป็นของมีค่าในตลาดมืด ซึ่งทำให้คีย์ API และบัญชีบริการที่ผูกกับโมเดลเป็นเป้าหมายที่คุ้มค่าต่อการขโมย

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 9 กันยายน พ.ศ. 2569 ว่าหน่วยงานด้านความมั่นคงไซเบอร์และข่าวกรองของสหรัฐได้กล่าวหาบริษัท AI ในจีนว่าดำเนินการสกัดฟังก์ชันและความสามารถเฉพาะของโมเดลแนวหน้าอเมริกันอย่างเป็นระบบผ่านการโจมตีด้วยเทคนิค distillation

ประกาศร่วมของ NSA, CISA และ FBI ระบุว่าแม้ distillation จะเป็นเทคนิคที่ได้รับการยอมรับและมีประโยชน์ในงานวิจัย AI แต่บริษัท AI ที่ตั้งฐานในจีนกำลังใช้เทคนิคนี้ในลักษณะที่ก้าวร้าว มุ่งร้าย และเจาะจงเป้าหมายในระดับอุตสาหกรรม เพื่อดึงเอาฟังก์ชันและความสามารถที่เป็นทรัพย์สินทางปัญญาซึ่งถูกจำกัดการเข้าถึงของโมเดลแนวหน้าสหรัฐออกมา

ประกาศระบุด้วยว่าบริษัทเหล่านี้ทำให้ต้นทุนของแคมเปญลดลงด้วยการกว้านซื้อบัญชีสมัครสมาชิกระดับพรีเมียมของบริษัท AI สหรัฐมาแบ่งกันใช้ในหมู่ทีมนักพัฒนา ขณะที่ยุทธวิธีขั้นสูงที่ถูกยกมาประกอบด้วยการสกัดกระบวนการให้เหตุผลแบบ chain-of-thought การสลับเส้นทางเข้าถึงโดยอัตโนมัติเมื่อถูกบล็อก และการใช้กรอบประเมินคุณภาพที่ซับซ้อนเพื่อตรวจจับว่าฝ่ายตรงข้ามเริ่มใช้มาตรการตอบโต้แล้วหรือยัง ผลลัพธ์ที่หน่วยงานระบุคือบริษัทที่ทำเช่นนี้ย่นระยะเวลาการพัฒนาโมเดลและลดค่าใช้จ่ายในการฝึกโมเดลแนวหน้าลงได้อย่างมีนัยสำคัญ

ข้อกล่าวหาเฉพาะรายบริษัทที่ปรากฏในประกาศมีดังนี้ DeepSeek ถูกระบุว่าดำเนินแคมเปญอย่างเป็นระบบระหว่างปลายปี พ.ศ. 2567 ถึงกลางปี พ.ศ. 2568 โดยพุ่งเป้าที่ความสามารถด้านการให้เหตุผล การปรับแต่งเฉพาะทาง และฟังก์ชันเฉพาะโดเมน เพื่อฝึกโมเดล R1 และ V3 ของตน ส่วน Moonshot AI ถูกระบุว่าสกัดข้อมูลจาก Claude Fable 5 จำนวนมากเพื่อฝึกโมเดล Kimi-K3 และใช้ข้อมูลจาก GPT-4o เพื่อฝึก Kimi-K2

รายถัดมาคือ Alibaba ที่ถูกระบุว่ากลั่นความรู้จาก Claude-4, Claude Opus, Claude Sonnet และ GPT-5 ในช่วงปลายปี พ.ศ. 2568 เพื่อยกระดับทักษะด้านวิศวกรรมซอฟต์แวร์ ความสามารถด้านบทสนทนาบริการลูกค้า การสร้างภาพและตัวละคร รวมถึงการผสานเทคนิค RL, SFT และ distillation เข้าด้วยกัน ด้าน MiniMax ถูกระบุว่ากลั่นการให้เหตุผลแบบ chain-of-thought เทคนิค RL และ SFT และความสามารถด้านวิศวกรรมซอฟต์แวร์จาก Claude Code, Claude Sonnet 4, Claude Opus, Gemini 1, Gemini 2.5 Pro และ Gemini 3 Pro เพื่อปรับปรุงโมเดล M2 ในช่วงปลายปีเดียวกัน

อีกสองรายคือ StepFun ซึ่งถูกระบุว่ากลั่นข้อมูลจาก Claude Opus 4.1 และ 4.5, Claude Sonnet 4.5, Claude Haiku 4.5, GPT-5 Mini, GPT-5 Pro, GPT-5.1, GPT-5.1 Codex และ GPT-5.2 ระหว่างปลายปี พ.ศ. 2568 ถึงต้นปี พ.ศ. 2569 เพื่อยกระดับความสามารถด้านการเขียนโค้ดและการทำงานแบบเอเจนต์ของโมเดล Step 4 และ Z.AI ซึ่งถูกระบุว่ากลั่นโทเค็นนับพันล้านจากข้อมูลของ GPT-5.5 และ Claude Opus 4.8 เพื่อพัฒนาความสามารถด้านการให้เหตุผลแบบ chain-of-thought ของโมเดลตนเองในช่วงกลางปี พ.ศ. 2569

นี่ไม่ใช่ครั้งแรกที่บริษัทจีนถูกชี้ชื่อในเรื่องนี้ เมื่อเดือนกุมภาพันธ์ที่ผ่านมา บริษัท Anthropic ระบุว่าตรวจพบแคมเปญระดับอุตสาหกรรมจาก DeepSeek, Moonshot AI และ MiniMax ที่พยายามสกัดความสามารถของ Claude ออกไปโดยมิชอบเพื่อปรับปรุงโมเดลของตน และล่าสุดในสัปดาห์เดียวกับประกาศฉบับนี้ กลุ่มข่าวกรองภัยคุกคามของ Google หรือ GTIG ระบุว่าพบแคมเปญกลั่นความรู้ที่พุ่งเป้าโมเดลของ Google เพิ่มขึ้นอย่างชัดเจน บางแคมเปญมีพรอมต์เกิน 100 ล้านครั้ง และมุ่งไปที่ความสามารถด้านความเข้าใจภาพและเสียง การสร้างภาพ และการสร้างวิดีโอ โดย GTIG อธิบายว่าผู้โจมตีวางโครงสร้างพร็อกซีเพื่อสั่งการโจมตีอัตโนมัติขนาดใหญ่ หมุนเวียนคำสั่งข้ามข้อมูลยืนยันตัวตนที่ถูกขโมยและบัญชีปลอมนับพันบัญชีผ่านช่องทางผลิตภัณฑ์ที่ต่างกัน เพื่ออำพรางต้นทางและเลี่ยงการควบคุมมาตรฐาน

วิธีการโจมตี

คำร้องขอเพื่อการกลั่นความรู้เหล่านี้ถูกส่งผ่านหลายเส้นทางเพื่อให้ได้สิทธิ์เข้าถึงโมเดลสหรัฐโดยไม่ได้รับอนุญาต ซึ่งเป็นการละเมิดเงื่อนไขการใช้งาน ทางหลักได้แก่การเรียกใช้งานผ่าน API โดยตรง การใช้ผู้ให้บริการคลาวด์ในต่างประเทศเป็นตัวกลาง และการผ่านตัวรวมบริการของบุคคลที่สามที่อำพรางข้อมูลกำกับของผู้ใช้เพื่อหลบการตรวจจับ ปัจจัยที่ผลักให้เกิดพฤติกรรมนี้คือข้อเท็จจริงที่ว่าโมเดลแนวหน้าของสหรัฐถูกจำกัดอย่างเป็นทางการและไม่เปิดให้บริการในจีน นักพัฒนาในประเทศจึงต้องพึ่งระบบภายในประเทศหรือหาทางเข้าถึงด้วยวิธีอื่น เช่น เครือข่ายส่วนตัวเสมือน บัญชีที่อำพรางตัวตน และเอเจนต์อัตโนมัติ เพื่อข้ามการควบคุมตามพื้นที่ทางภูมิศาสตร์

เสริมกับช่องทางเหล่านั้นคือตลาดสีเทาของพร็อกซีที่ทำหน้าที่เป็นสถานีถ่ายทอดหรือสถานีส่งต่อ เพื่อให้เข้าถึงโมเดลโดยมิชอบผ่านเซิร์ฟเวอร์ที่ตั้งอยู่นอกจีนแผ่นดินใหญ่ บริการลักษณะนี้ถูกโฆษณาขายกันบนตลาดออนไลน์ของจีนอย่าง Taobao และ Xianyu อย่างเปิดเผย นอกจากนี้บริษัทที่ถูกกล่าวหายังจงใจกระจายปฏิบัติการออกไปยังผู้ให้บริการและแพลตฟอร์มหลายรายเพื่อไม่ให้ปริมาณการใช้งานของรายใดรายหนึ่งสะดุดตา พร้อมกับเลือกกลั่นเฉพาะความสามารถที่ดีที่สุดและฟีเจอร์เฉพาะตัวของโมเดลสหรัฐแต่ละตัวมาใช้ฝึกโมเดลของตน

เพื่อรับมือกับภัยลักษณะนี้ หน่วยงานทั้งสามแนะนำให้บริษัท AI สหรัฐวางมาตรการตรวจจับและบรรเทาผลกระทบอย่างครอบคลุม ปรับเปลี่ยนคำตอบอย่างแนบเนียนเมื่อสงสัยว่าเป็นความพยายามกลั่นความรู้ที่มุ่งร้าย และเชื่อมโยงกิจกรรมข้ามผู้ให้บริการโมเดล แพลตฟอร์มคลาวด์ และตัวรวมบริการ API เข้าด้วยกัน เพื่อให้เห็นภาพแคมเปญที่ถูกกระจายตัวออกไป ซึ่งจุดสุดท้ายนี้สะท้อนปัญหาหลักของการตรวจจับ นั่นคือเมื่อดูจากผู้ให้บริการรายเดียว ปริมาณการเรียกใช้งานจะดูเหมือนลูกค้าปกติที่ใช้งานหนักเท่านั้น

นาย Ismael Valenzuela รองประธานฝ่ายห้องปฏิบัติการ การวิจัยภัยคุกคาม และข่าวกรองของบริษัท Arctic Wolf ระบุว่าประกาศฉบับนี้ต้องถูกตีความว่าเป็นการใช้สิทธิ์เข้าถึงที่ชอบด้วยกฎหมายไปในทางที่ผิด และย้ำถึงความจำเป็นของการตอบสนองอย่างประสานกันต่อคู่ต่อสู้ที่มีความซับซ้อนและทรัพยากรสูง เขาชี้ว่าแม้ distillation จะเป็นเรื่องปกติในบริบทงานวิจัย แต่คำเตือนระบุว่าบริษัทที่ถูกกล่าวหาจงใจกระจายปฏิบัติการไปทั่วระบบนิเวศ AI ระดับโลก คล้ายกับยุทธวิธีหลบเลี่ยงที่ทีมความปลอดภัยเคยเห็นจากผู้โจมตีที่ทำ credential stuffing แบบกระจายตัวหรือการฉ้อโกงการชำระเงิน และเมื่อฝ่ายตรงข้ามสามารถลอกเลียนความสามารถด้านการให้เหตุผลขั้นสูงและพฤติกรรมแบบเอเจนต์ของโมเดลสหรัฐได้โดยไม่ต้องอยู่ใต้กฎหมายและกฎเกณฑ์เดียวกัน ฝ่ายตั้งรับจะแยกแยะกิจกรรมเหล่านั้นออกจากแพลตฟอร์มที่ถูกต้องได้ยากขึ้น ซึ่งเปิดช่องให้เกิดปฏิบัติการไซเบอร์เชิงรุก แคมเปญชี้นำความคิด หรือเครื่องมืออัตโนมัติที่ตรวจจับไม่ได้

ผลกระทบ

สำหรับบริษัทที่พัฒนาโมเดลแนวหน้า ผลกระทบตรงคือการสูญเสียความได้เปรียบที่มาจากการลงทุนฝึกโมเดล เพราะความสามารถที่ใช้เวลาและเงินมหาศาลในการสร้างสามารถถูกถ่ายทอดออกไปได้ผ่านการถามและเก็บคำตอบในปริมาณมากพอ แต่ผลกระทบที่กว้างกว่านั้นอยู่ที่รูปแบบของการละเมิด ซึ่งไม่ใช่การเจาะระบบหรือการใช้ช่องโหว่ทางเทคนิค หากเป็นการใช้สิทธิ์เข้าถึงที่ได้มาอย่างถูกต้องในทางที่ผิด ทำให้มาตรการความปลอดภัยแบบดั้งเดิมอย่างการปะช่องโหว่หรือการกรองการโจมตีไม่ช่วยอะไร และต้องอาศัยการวิเคราะห์พฤติกรรมการใช้งานแทน

องค์กรที่ไม่ได้เกี่ยวข้องกับการพัฒนาโมเดลโดยตรงมักมองว่าเรื่องนี้เป็นประเด็นความมั่นคงของชาติที่ไกลตัว แต่ นาย Valenzuela ชี้ว่าการที่องค์กรเปิดสิทธิ์เข้าถึงโมเดลให้ลูกค้าหรือพันธมิตรทำให้คีย์ API และบัญชีบริการกลายเป็นเป้าหมายที่มีมูลค่า และการนำสิทธิ์เหล่านั้นไปใช้ในทางมิชอบจะปรากฏในบันทึกการใช้งานเหมือนกิจกรรมปกติ องค์กรที่ผนวก AI เข้ากับผลิตภัณฑ์ของตนจึงต้องเริ่มมองคีย์ API ของผู้ให้บริการโมเดลด้วยสายตาเดียวกับที่มองข้อมูลยืนยันตัวตนของระบบสำคัญ ไม่ใช่ค่าตั้งค่าธรรมดาที่ฝังไว้ในโค้ด

ในเชิงต้นทุน องค์กรที่ถูกขโมยคีย์ไปใช้กลั่นความรู้จะพบผลกระทบเป็นค่าใช้จ่ายที่พุ่งขึ้นผิดปกติ โควตาการเรียกใช้งานที่หมดเร็วกว่าที่ควร และความเสี่ยงที่บัญชีจะถูกผู้ให้บริการระงับเพราะพฤติกรรมที่เข้าข่ายละเมิดเงื่อนไข ส่วนในเชิงกฎหมายและการปฏิบัติตามข้อกำหนด การที่สิทธิ์เข้าถึงถูกใช้ผ่านตัวรวมบริการที่อำพรางตัวตนทำให้การพิสูจน์ว่าใครเป็นผู้เรียกใช้จริงกลายเป็นเรื่องยาก ซึ่งเป็นปัญหาสำหรับองค์กรที่ต้องรายงานเส้นทางการไหลของข้อมูลไปยังผู้ประมวลผลภายนอก

คำแนะนำ

สิ่งแรกที่ทำได้ทันทีคือปฏิบัติต่อคีย์ API ของผู้ให้บริการโมเดลเหมือนข้อมูลยืนยันตัวตนระดับสูง ได้แก่ เก็บไว้ในระบบจัดการความลับแทนการฝังในโค้ดหรือไฟล์ตั้งค่า หมุนเวียนคีย์ตามรอบที่กำหนด แยกคีย์ตามระบบและตามสภาพแวดล้อมเพื่อจำกัดความเสียหายเมื่อรั่ว และเพิกถอนคีย์ที่ไม่มีเจ้าของชัดเจนออกจากระบบ องค์กรที่เปิดให้พันธมิตรหรือลูกค้าเรียกใช้โมเดลผ่านระบบของตนควรออกคีย์แยกรายผู้ใช้ เพื่อให้สาวกลับได้ว่าปริมาณการใช้งานผิดปกติมาจากผู้ใด

ขั้นถัดมาคือการเฝ้าระวังรูปแบบการใช้งาน โดยตั้งเกณฑ์แจ้งเตือนจากสิ่งที่ต่างจากพฤติกรรมปกติของระบบ เช่น ปริมาณโทเค็นที่พุ่งขึ้นผิดช่วงเวลา การเรียกใช้งานจากพื้นที่ทางภูมิศาสตร์หรือหมายเลข ASN ที่ไม่เคยปรากฏ อัตราการเรียกที่สม่ำเสมอผิดธรรมชาติแบบที่มาจากสคริปต์ และคำสั่งที่มีลักษณะเป็นชุดคำถามเชิงระบบมากกว่าการใช้งานของมนุษย์ ควรกำหนดเพดานการใช้งานต่อคีย์และต่อหน่วยเวลาไว้ด้วย เพราะเพดานที่ตั้งไว้จะเป็นตัวจำกัดความเสียหายเมื่อคีย์หลุดออกไปจริง

สำหรับองค์กรที่ใช้บริการโมเดลผ่านตัวกลางหรือตัวรวมบริการ ควรทบทวนว่าผู้ให้บริการเหล่านั้นเปิดเผยข้อมูลกำกับของคำขอมากน้อยเพียงใด มีนโยบายเก็บบันทึกการใช้งานอย่างไร และสามารถระบุผู้เรียกใช้ปลายทางได้หรือไม่ เนื่องจากประกาศระบุว่าตัวกลางลักษณะนี้เป็นช่องทางที่ถูกใช้อำพรางตัวตน องค์กรที่จัดซื้อบริการ AI ควรบรรจุข้อกำหนดเรื่องความโปร่งใสของบันทึกการใช้งานและสิทธิ์ในการตรวจสอบไว้ในสัญญาตั้งแต่ต้น

สุดท้าย ทีมความปลอดภัยควรอ่านประกาศฉบับเต็มที่ CISA เผยแพร่ไว้ในรหัส AA26-251A โดยตระหนักว่าเอกสารฉบับนี้เป็นข้อกล่าวหาจากหน่วยงานรัฐที่ยังไม่ได้มาพร้อมตัวบ่งชี้การถูกโจมตีในรูปแบบที่นำไปใส่ระบบตรวจจับได้โดยตรง และบริษัทที่ถูกระบุชื่อยังไม่ได้ชี้แจงต่อสาธารณะ คุณค่าของเอกสารจึงอยู่ที่การอธิบายรูปแบบพฤติกรรมที่ควรเฝ้าระวัง มากกว่าการเป็นรายการตัวบ่งชี้สำเร็จรูปสำหรับการค้นหาย้อนหลัง

แหล่งอ้างอิง