สรุปสั้น

การรัน AI ไว้ในองค์กรเองควรจะให้การควบคุมที่มากกว่า เพราะโมเดล พรอมต์ และเอกสารต่าง ๆ อยู่บนโครงสร้างพื้นฐานที่องค์กรดูแลเอง แทนที่จะถูกส่งไปยังคลาวด์ของบุคคลที่สาม แต่ข้อได้เปรียบนั้นหายไปอย่างรวดเร็วเมื่อโครงสร้างพื้นฐานตัวมันเองถูกเปิดออกสู่อินเทอร์เน็ตสาธารณะ ซึ่งงานวิจัยใหม่ของบริษัท Mysterium VPN ให้ภาพรวมของปัญหานี้ไว้ชัดเจน โดยพบเอนด์พอยต์ AI ที่โฮสต์เอง 36,769 จุด ครอบคลุมทั้งเซิร์ฟเวอร์รันโมเดล แพลตฟอร์มสร้างเอเจนต์ และคลังเก็บเวกเตอร์ ที่เข้าถึงได้และระบุตัวได้ผ่านดัชนีสแกนอินเทอร์เน็ตสาธารณะ

รายงานระบุว่ามีเพียง 2.02% เท่านั้นที่ตอบกลับด้วยด่านยืนยันตัวตนของ HTTP ส่วนที่เหลือซึ่งเป็นส่วนใหญ่อย่างท่วมท้นไม่มีประตูกั้นในชั้นเครือข่ายเลย โดยเฉพาะ Open WebUI ซึ่งเป็นหน้าบ้านของ LLM ในเครื่องที่ถูกติดตั้งแพร่หลายที่สุด พบเข้าถึงได้ 18,529 จุดแต่มีด่านกั้นเพียงจุดเดียว ขณะที่ Ollama มี 6,935 โฮสต์ที่ตอบข้อความยืนยันว่าเข้าถึงได้โดยไม่ต้องใช้ข้อมูลยืนยันตัวตน ชั้นที่นักวิจัยมองว่าน่ากังวลกว่าคือแพลตฟอร์มสร้างเอเจนต์และเวิร์กโฟลว์ 5,223 จุด เพราะระบบเหล่านี้ไม่ได้แค่รันโมเดล แต่มักเก็บกุญแจ API ข้อมูลยืนยันตัวตนของฐานข้อมูล โทเค็น Slack และรหัสผ่านของระบบอื่นไว้ข้างใน

รายละเอียดข่าว

เว็บไซต์ Security Affairs รายงานเมื่อวันที่ 11 กันยายน 2569 ว่า บริษัท Mysterium VPN เผยแพร่งานวิจัยที่สำรวจเอนด์พอยต์ AI ซึ่งองค์กรและนักพัฒนาโฮสต์ไว้เองแล้วเปิดให้เข้าถึงได้จากอินเทอร์เน็ตสาธารณะ โดยนักวิจัยพบเอนด์พอยต์ลักษณะนี้ 36,769 จุด กระจายอยู่ในกลุ่มเซิร์ฟเวอร์รันโมเดล แพลตฟอร์มสร้างเอเจนต์ และคลังเก็บเวกเตอร์ ทั้งหมดเข้าถึงได้และระบุชนิดบริการได้ผ่านดัชนีสแกนอินเทอร์เน็ตสาธารณะ

รายงานของ Mysterium VPN ระบุว่า “มีเพียง 2.02% ที่ตอบกลับด้วยการท้าทายการยืนยันตัวตนของ HTTP สำหรับส่วนใหญ่อย่างท่วมท้นแล้ว ไม่มีประตูกั้นในชั้นเครือข่ายเลยแม้แต่น้อย” และระบุเจาะจงว่า “Open WebUI เข้าถึงได้ 18,529 จุด มีด่านกั้นเพียงจุดเดียว หน้าบ้านของ LLM ในเครื่องที่ถูกติดตั้งแพร่หลายที่สุด เมื่อมองเป็นประชากรรวมแล้วไม่มีแนวป้องกันรอบนอกเลย”

ตัวเลขจำแนกรายบริการที่นักวิจัยระบุไว้คือ Open WebUI 18,529 จุดโดยมีเพียงจุดเดียวที่ตอบกลับด้วยด่านยืนยันตัวตน vLLM อีก 4,880 จุดโดยมีเพียง 3 จุดที่แสดงด่าน ขณะที่ LocalAI มี 150 จุดและ llama.cpp มี 69 จุด ซึ่งทั้งสองบริการไม่มีจุดใดแสดงด่านเลย ส่วน Ollama ให้ผลที่สำคัญเป็นพิเศษเพราะนักวิจัยสามารถยืนยันการเข้าถึงแบบไม่ระบุตัวตนได้จากคำตอบของบริการเอง โดยเซิร์ฟเวอร์ Ollama ที่เปิดอยู่จะคืนข้อความว่า “Ollama is running” จากเอนด์พอยต์รากโดยไม่ต้องใช้ข้อมูลยืนยันตัวตน และมี 6,935 โฮสต์ที่คืนลายนิ้วมือดังกล่าว ในจำนวนนี้ 6,046 โฮสต์ตอบกลับด้วยรหัส HTTP 200 อย่างชัดเจน

ประเด็นนี้ไม่ใช่แค่เรื่องการมองเห็นหน้าจอแชตบอตจากอินเทอร์เน็ต เพราะ API ของ Ollama ที่เปิดอยู่สามารถเปิดเผยว่ามีโมเดลใดติดตั้งอยู่บนเครื่องนั้น และสามารถถูกใช้สร้างข้อความโดยกินทรัพยากรฮาร์ดแวร์ของเจ้าของเครื่อง ซึ่งสร้างปัญหาการถูกฉกฉวยทรัพยากรแบบตรงไปตรงมาคือคนอื่นได้เวลาประมวลผลของ GPU ไปใช้ ส่วนเจ้าของได้ค่าไฟฟ้า โดยชุมชนความมั่นคงเรียกพฤติกรรมนี้ว่า LLMjacking แต่ปัญหาที่อยู่เบื้องล่างเป็นเรื่องคุ้นเคย นั่นคือป้ายกำกับว่า AI ไม่ได้ทำให้ API ที่เปิดทิ้งไว้ปลอดภัยขึ้นมาอย่างน่าอัศจรรย์

ระเบียบวิธีสำรวจและข้อจำกัดของตัวเลข

ตัวเลขชุดนี้ต้องอ่านอย่างระมัดระวัง เพราะบริการที่ตอบกลับด้วยรหัส HTTP 200 ไม่ได้แปลว่าไม่มีการยืนยันตัวตนโดยอัตโนมัติ ในเมื่อหน้าล็อกอินก็ตอบ 200 ได้เช่นกัน นักวิจัยจึงใช้รหัสตอบกลับ HTTP 401 และ 403 เป็นหลักฐานว่ามีด่านยืนยันตัวตนอยู่ และจะกล่าวอ้างที่หนักแน่นกว่านั้นเฉพาะกรณีที่ลายนิ้วมือของแอปพลิเคชันเองพิสูจน์ได้ว่าเข้าถึงได้แบบไม่ระบุตัวตน

จุดที่นักวิจัยขีดเส้นใต้คือประโยคที่ว่า “เรานับประตู เราไม่ได้เปิดมัน” ซึ่งสำคัญเพราะคณะวิจัยไม่ได้เชื่อมต่อเข้าไปยังระบบที่เปิดอยู่ ไม่ได้ดึงข้อมูล ไม่ได้รันโมเดล ไม่ได้อ่านข้อมูลยืนยันตัวตน และไม่ได้ใช้ประโยชน์จากช่องโหว่ใด ๆ สิ่งที่ทำคือการสอบถามไปยัง Netlas ซึ่งเป็นดัชนีสแกนอินเทอร์เน็ตของบุคคลที่สาม แล้วนับคำตอบที่ตรงกับลายนิ้วมือที่กำหนดไว้เท่านั้น งานวิจัยนี้จึงวัดการเปิดเผยตัว ไม่ใช่การถูกบุกรุกที่ยืนยันแล้ว

นักวิจัยยังระบุชัดว่าเอนด์พอยต์ 36,769 จุดเป็นค่าต่ำสุด ไม่ใช่การวัดทั้งอินเทอร์เน็ต โดยพบคำตอบอีก 22,024 รายการบนพอร์ต 11434 ซึ่งเป็นพอร์ตเริ่มต้นของ Ollama แต่ตัดออกจากยอดรวมหลักเพราะหมายเลขพอร์ตเพียงอย่างเดียวไม่พิสูจน์ว่าบริการใดกำลังรันอยู่ตรงนั้น เมื่อเทียบกับงานวิจัยอีกชิ้นของ SentinelOne ร่วมกับ Censys ที่เผยแพร่เมื่อเดือนมกราคม ซึ่งระบุโฮสต์ Ollama ที่เปิดสู่สาธารณะราว 175,000 เครื่องใน 130 ประเทศ และเกือบครึ่งหนึ่งรองรับความสามารถเรียกใช้เครื่องมือที่สามารถรันโค้ด เข้าถึง API หรือโต้ตอบกับระบบภายนอกได้ ตัวเลขของ Mysterium ที่เล็กกว่ามากจึงมาจากแหล่งสแกนคนละแหล่งและเกณฑ์ลายนิ้วมือที่เข้มกว่า

ข้อจำกัดเดียวกันนี้ใช้กับข้อมูลเชิงภูมิศาสตร์ด้วย นักวิจัยต้องการเผยแพร่การจำแนกรายประเทศแต่ถูกจำกัดอัตราการเรียกใช้จนได้ผลที่เชื่อถือไม่ได้สำหรับหลายประเทศใหญ่ จึงเลือกตัดส่วนนั้นทิ้งแทนที่จะเผยแพร่การจัดอันดับที่ชวนเข้าใจผิด ตัวเลขเดียวที่ยืนยันได้คือ 4,136 จาก 22,024 คำตอบที่พบบนพอร์ต 11434 หรือ 18.8% มาจากสหรัฐอเมริกา

ชั้นที่อันตรายกว่าคือแพลตฟอร์มสร้างเอเจนต์และคลังเวกเตอร์

ประเด็นด้านความมั่นคงที่น่าสนใจกว่าอาจอยู่เหนือตัวโมเดลขึ้นไปหนึ่งชั้น โดย Mysterium พบแพลตฟอร์มสร้างเอเจนต์และเวิร์กโฟลว์ที่เปิดอยู่ 5,223 จุด รวมถึง Flowise, n8n, ComfyUI, Dify, RAGFlow, Langflow และ Open WebUI Pipelines ซึ่งระบบเหล่านี้สมควรได้รับความสนใจมากกว่าเพราะไม่ได้แค่โฮสต์โมเดล AI แต่มักเชื่อมโมเดลนั้นเข้ากับโครงสร้างพื้นฐานส่วนที่เหลือของบริษัท เวิร์กโฟลว์อัตโนมัติหนึ่งชุดอาจบรรจุกุญแจ API ของ OpenAI ข้อมูลยืนยันตัวตนของฐานข้อมูล โทเค็น Slack ความลับของเว็บฮุก รหัสผ่าน CRM และข้อมูลอื่นที่จำเป็นต่อการทำงานของเวิร์กโฟลว์นั้น ซึ่งไม่ได้หมายความว่าระบบเหล่านี้เสีย แต่มันกำลังทำสิ่งที่ถูกออกแบบมาให้ทำ ปัญหาเริ่มขึ้นเมื่อมีคนนำความสามารถนั้นไปวางบนอินเทอร์เน็ตโดยตรงโดยไม่มีชั้นความปลอดภัยอื่นคั่นอยู่ข้างหน้า

Flowise เป็นตัวอย่างที่ดี โดย Mysterium ระบุอินสแตนซ์ที่เข้าถึงได้ 1,341 จุด และไม่พบด่านยืนยันตัวตนของ HTTP เลยแม้แต่จุดเดียว ขณะที่รายงานฉบับเดียวกันชี้ไปยัง CVE-2026-40933 ซึ่งเป็นช่องโหว่ร้ายแรงใน Flowise ที่เปิดทางให้ผู้โจมตีที่ผ่านการยืนยันตัวตนแล้วรันคำสั่งตามอำเภอใจผ่านอะแดปเตอร์ MCP โดย Flowise แก้ไขปัญหานี้ในเวอร์ชัน 3.1.0 การรวมกันของสองเรื่องนี้สำคัญ เพราะแอปที่เข้าถึงได้ไม่ได้แปลว่ามีช่องโหว่เสมอไป และการมีช่องโหว่ก็ไม่ได้แปลว่าการติดตั้งที่หันหน้าออกอินเทอร์เน็ตจะถูกยึดได้อัตโนมัติ แต่การวางระบบที่เก็บข้อมูลยืนยันตัวตนไว้บนอินเทอร์เน็ตสาธารณะย่อมเพิ่มจำนวนเส้นทางที่ผู้โจมตีจะไปถึงข้อมูลเหล่านั้นได้ในที่สุด

กรณีของ n8n แสดงอีกด้านของปัญหาที่ว่าผู้โจมตีไม่จำเป็นต้องมีช่องโหว่เสมอไป โดยเมื่อเดือนสิงหาคม นักวิจัยของ GitGuardian ตรวจสอบโทเค็น API ของ n8n ที่หลุดอยู่ในคอมมิตสาธารณะบน GitHub แล้วพบโทเค็นไม่ซ้ำกัน 4,576 รายการที่เชื่อมโยงกับชื่อโฮสต์ 1,255 รายการ และจากอินสแตนซ์ 896 แห่งที่เข้าถึงได้ระหว่างการทดสอบ มี 321 แห่งที่ยอมรับโทเค็นที่หลุดออกมาอย่างน้อยหนึ่งรายการ ข้อมูลยืนยันตัวตนเหล่านั้นสามารถให้สิทธิ์เข้าถึงเวิร์กโฟลว์และระบบที่เชื่อมต่ออยู่ได้โดยไม่ต้องใช้ประโยชน์จากข้อบกพร่องของซอฟต์แวร์เลย

ความเสี่ยงยังไม่หยุดอยู่ที่ชั้นเวิร์กโฟลว์ เพราะฐานข้อมูลเวกเตอร์บรรจุข้อมูลจริงที่ระบบ AI ใช้ตอบคำถาม โดย Mysterium ระบุเอนด์พอยต์คลังเวกเตอร์ 920 จุด ซึ่งเกือบทั้งหมดเป็นคอนโซล Attu ของ Milvus ที่เปิดอยู่ แต่นักวิจัยระบุชัดว่าตัวเลขนี้บอกอะไรได้น้อยมากเกี่ยวกับการเปิดเผยตัวจริง เพราะพอร์ตดั้งเดิมของ Qdrant และพอร์ตฐานข้อมูลดั้งเดิมของ Milvus ไม่ได้ถูกสแกนโดยแหล่งข้อมูลที่ใช้ ฐานข้อมูลจึงอาจเข้าถึงได้จากสาธารณะโดยไม่ปรากฏในสำมะโนนี้เลย รายงานเขียนไว้ว่า “เรากำลังรายงานค่าต่ำสุดที่ 920 สำหรับหมวดเดียวที่ตัวเลขจริงน่าจะสูงที่สุด ไม่ควรมีใครอ่านงานวิจัยนี้เป็นหลักฐานว่าฐานข้อมูลเวกเตอร์ที่โฮสต์เองได้รับการปกป้องอย่างดี เราแค่มองไม่เห็นมันเท่านั้น”

ผลกระทบ

ผู้ที่รับผลโดยตรงคือองค์กรและนักพัฒนาที่ย้ายงาน AI ออกจากบริการคลาวด์ที่มีผู้ดูแลให้มาไว้บนเครื่องของตัวเอง ซึ่งช่วยเรื่องความเป็นส่วนตัวและการควบคุมได้จริง แต่ก็ย้ายภาระด้านความปลอดภัยส่วนใหญ่มาไว้กับผู้ติดตั้งระบบไปพร้อมกัน ความเสียหายที่เกิดขึ้นได้แบ่งได้เป็นสามชั้นตามสิ่งที่แต่ละบริการถืออยู่ เซิร์ฟเวอร์โมเดลเปิดเผยกำลังประมวลผล แพลตฟอร์มสร้างเอเจนต์เปิดเผยข้อมูลยืนยันตัวตน และคลังเวกเตอร์เปิดเผยข้อมูลที่องค์กรโหลดเข้าไปในระบบ AI ของตัวเอง ไม่ว่าจะเป็นเอกสารภายใน ตั๋วงานสนับสนุนลูกค้า ระเบียนลูกค้า หรือฐานความรู้ส่วนตัว

ชั้นที่เจ็บที่สุดในทางปฏิบัติคือชั้นกลาง เพราะกุญแจ API และรหัสผ่านที่อยู่ในเวิร์กโฟลว์มักเป็นกุญแจที่เข้าถึงระบบที่ใช้งานจริง การยึดหน้าจอ n8n หรือ Flowise ที่เปิดทิ้งไว้หนึ่งจอจึงไม่ใช่การได้เครื่องมือ AI ไปหนึ่งตัว แต่คือการได้พวงกุญแจไปทั้งพวง ซึ่งต่างจากการถูกฉกฉวยเวลา GPU ที่ความเสียหายจำกัดอยู่ที่ค่าไฟและประสิทธิภาพของเครื่อง

ข้อจำกัดของงานวิจัยที่ต้องระบุให้ครบคือ ตัวเลขทั้งหมดมาจากดัชนีสแกนของบุคคลที่สามรายเดียวและเป็นค่าต่ำสุดที่ยอมรับโดยนักวิจัยเอง นักวิจัยไม่ได้เชื่อมต่อเข้าไปในระบบใด ๆ จึงไม่มีข้อมูลว่ามีระบบกี่แห่งที่ถูกบุกรุกจริง ไม่มีการเปิดเผยเลขไอพีหรือชื่อโฮสต์ ไม่มีตัวบ่งชี้การถูกบุกรุกให้นำไปใช้ตรวจจับ และการจำแนกรายประเทศถูกตัดทิ้งเพราะข้อมูลไม่น่าเชื่อถือพอ นอกจากนี้รายงานยังย้ำเองว่า “นี่ไม่ใช่รายงานช่องโหว่ และจะไม่ยุติธรรมเลยถ้าจะจัดมันเป็นแบบนั้น Ollama, Open WebUI, Flowise และ n8n ไม่ได้เสีย พวกมันทำสิ่งที่ถูกออกแบบมาให้ทำ คือรันบนเครื่องหนึ่งและให้บริการผู้ใช้ในเครื่อง ความล้มเหลวอยู่ที่การนำไปติดตั้ง คนหลายพันคนผูกบริการกับ 0.0.0.0 บนเครื่องคลาวด์อย่างรีบร้อน แล้วไม่เคยวางอะไรไว้ข้างหน้ามันเลย”

คำแนะนำ

ปฏิบัติต่อสแตก AI ที่รันเองเหมือนบริการที่หันหน้าออกอินเทอร์เน็ตตัวอื่นทุกประการ ถ้าโมเดลไม่จำเป็นต้องเข้าถึงได้จากอินเทอร์เน็ต ให้ผูกมันไว้กับ localhost หรือเครือข่ายภายในเท่านั้น และถ้าจำเป็นต้องเข้าถึงจากระยะไกลจริง ให้วางการยืนยันตัวตนและการควบคุมระดับเครือข่ายไว้ข้างหน้า แทนที่จะพึ่งพาระบบล็อกอินของตัวแอปพลิเคชันเองทั้งหมด

ตรวจสอบทันทีว่ามีโครงสร้างพื้นฐาน AI ใดขององค์กรที่เปิดอยู่แล้วบ้าง โดยเริ่มจากการค้นหาพอร์ตและลายนิ้วมือของบริการกลุ่มนี้บนช่วงไอพีสาธารณะที่องค์กรถือครอง เช่น พอร์ต 11434 ของ Ollama และหน้าเว็บของ Open WebUI, Flowise, n8n, Langflow, Dify, RAGFlow รวมถึงคอนโซล Attu ของ Milvus และพอร์ตดั้งเดิมของ Qdrant ที่งานวิจัยนี้สแกนไม่ถึง ซึ่งแปลว่าการไม่ปรากฏในรายงานไม่ใช่หลักฐานว่าปลอดภัย

ให้สิทธิ์ระดับเดียวกับโปรแกรมจัดการรหัสผ่านกับแพลตฟอร์มสร้างเอเจนต์ทุกตัว ถ้าการติดตั้ง n8n หรือ Flowise ถือกุญแจ API และข้อมูลยืนยันตัวตนที่เข้าถึงระบบที่ใช้งานจริงได้ ก็สมควรได้รับการปกป้องในระดับเดียวกัน การเรียกมันว่าเครื่องมือ AI ไม่ได้ลดมูลค่าของสิ่งที่มันเก็บไว้ข้างใน

หมุนเวียนและเพิกถอนโทเค็นที่อาจหลุดออกไป โดยเฉพาะโทเค็น API ของ n8n เพราะงานวิจัยของ GitGuardian แสดงว่าโทเค็นที่หลุดในคอมมิตสาธารณะจำนวนมากยังใช้งานได้อยู่ ควรสแกนที่เก็บโค้ดของตัวเองย้อนหลังทั้งประวัติคอมมิต ไม่ใช่แค่ไฟล์ในสถานะปัจจุบัน และเปิดใช้การสแกนความลับในไปป์ไลน์เพื่อกันไม่ให้เกิดซ้ำ

สุดท้าย อัปเดต Flowise เป็นเวอร์ชัน 3.1.0 หรือใหม่กว่าเพื่อปิด CVE-2026-40933 และทบทวนว่าฟีเจอร์อะแดปเตอร์ MCP จำเป็นต้องเปิดใช้งานหรือไม่ พร้อมจำกัดบัญชีที่ผ่านการยืนยันตัวตนแล้วให้เหลือเท่าที่จำเป็น เนื่องจากช่องโหว่นี้ต้องการบัญชีที่ล็อกอินได้เป็นจุดตั้งต้น

แหล่งอ้างอิง