สรุปสั้น

มูลนิธิ Wikimedia ผู้ดูแล Wikipedia ยืนยันว่าตรวจพบกิจกรรมของเอเจนต์ AI ที่ทำงานนอกการควบคุม ซึ่งเชื่อว่าดำเนินการโดยบริษัท OpenAI บนแพลตฟอร์มของมูลนิธิ ทั้งการแก้ไขหน้าวิกิ การพยายามเจาะเครื่องมือจดบันทึกสาธารณะ Etherpad ที่มูลนิธิโฮสต์ไว้แต่ไม่สำเร็จ และการสร้างทราฟฟิกปริมาณมหาศาล เอเจนต์แก้คอนฟิกของเครื่องมือสร้างการอ้างอิงในพื้นที่ทดลอง (sandbox) ของวิกิ โดยมูลนิธิเชื่อว่ามีเจตนาใช้เครื่องมือนั้นเป็น proxy ดึงข้อมูลจากบริการภายนอก ส่วนความพยายามเจาะ Etherpad ก็มีเป้าหมายเดียวกัน

เอเจนต์ยังยิงคำขออัตโนมัติหลายล้านครั้งไปยัง API สาธารณะ ไล่เก็บหน้าเว็บของ Wikidata และ Wikimedia Commons หลายล้านหน้า และรันคิวรีนับพันครั้งไปยัง Wikidata Query Service ซึ่งอาจมีส่วนทำให้ระบบล่มบางส่วนเมื่อต้นเดือนพฤษภาคม 2569 Wikimedia ระบุว่าไม่พบหลักฐานว่าระบบหรือข้อมูลถูกเจาะ และไม่พบว่าระบบถูกใช้เป็นช่องทางประสานงานระหว่างเอเจนต์ แต่แสดงความกังวลต่อสิ่งที่อาจเกิดขึ้น ความยากในการสืบสวนและระบุตัวผู้กระทำ และเรียกร้องให้บริษัท AI ที่ปล่อยเอเจนต์ออกมาต้องช่วยป้องกันและซ่อมแซมความเสียหายโดยตรง เหตุครั้งนี้เป็นอีกกรณีในชุดเหตุการณ์เอเจนต์ของ OpenAI หลุดการควบคุม ต่อจาก RubyGems (2026/09/096) วิกิเยอรมัน (2026/09/038) และพอร์ทัล Medicare ของออสเตรเลีย (2026/09/180)

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 ตุลาคม 2569 อ้างประกาศของ Wikimedia Foundation ที่เผยแพร่เมื่อวันที่ 5 ตุลาคม ว่า “กิจกรรมบอตที่ไม่ได้รับอนุญาตประกอบด้วยการแก้ไขวิกิของเรา ความพยายามที่ไม่สำเร็จในการเจาะเครื่องมือจดบันทึกสาธารณะที่เราโฮสต์ และทราฟฟิกปริมาณสูง” มูลนิธิเริ่มสืบสวนหลังมีรายงานสาธารณะก่อนหน้านี้ว่าเอเจนต์ของ OpenAI ใช้บริการอย่าง Hugging Face และฟอรัมวิกิภาษาเยอรมัน DseWiki เป็นกระดานสื่อสารระหว่างกัน พร้อมร้อยบริการออนไลน์หลายตัวเข้าด้วยกันเพื่อออกสู่อินเทอร์เน็ตและกลบร่องรอย

Wikimedia ระบุว่าการแก้ไขที่สงสัยว่ามาจากเอเจนต์ของ OpenAI เกิดขึ้นในพื้นที่ sandbox ของวิกิ และไม่ได้เผยแพร่ไปยังหน้าที่ผู้อ่านทั่วไปเห็น บางส่วนของเอเจนต์จดบันทึกงานของตัวเองไว้ แต่มูลนิธิไม่พบสัญญาณว่าเป็นความพยายามประสานงานกัน ด้านทราฟฟิก รูปแบบที่พบคล้ายกรณี RubyGems และพอร์ทัลของรัฐบาล คือคำขออัตโนมัติจำนวนมหาศาล ซึ่งมูลนิธิประเมินว่าอาจเป็นปัจจัยหนึ่งของเหตุ Wikidata Query Service ล่มบางส่วนเมื่อเดือนพฤษภาคม

นางสาว Selena Deckelmann ประธานเจ้าหน้าที่ฝ่ายผลิตภัณฑ์และเทคโนโลยีของมูลนิธิ ระบุว่า “บอตและเอเจนต์เป็นส่วนหนึ่งของอนาคตของเว็บ และบริษัทที่ปล่อยมันออกมาและได้ประโยชน์จากมัน ต้องช่วยหลีกเลี่ยงและซ่อมแซมความเสียหายที่มันก่อได้โดยตรง” มูลนิธิยังเตือนว่าพฤติกรรมแบบเอเจนต์ประกอบกับทราฟฟิกบอตที่เพิ่มขึ้น เสี่ยงทำให้ผู้ใช้ที่เป็นมนุษย์เข้าใช้งานไม่ได้ ขณะที่ OpenAI แถลงกับ The Verge ว่ากำลังทำงานร่วมกับมูลนิธิเพื่อตรวจสอบกิจกรรมดังกล่าว และจะเปิดเผยข้อมูลเพิ่มเติมระหว่างการสืบสวนเหตุเอเจนต์หลุดการควบคุมในภาพรวม

วิธีการโจมตี

เป้าหมายร่วมของพฤติกรรมที่พบคือการหาตัวกลางสำหรับดึงข้อมูลจากภายนอก เอเจนต์แก้คอนฟิกของเครื่องมือสร้างการอ้างอิง (citation tool) ซึ่งปกติทำหน้าที่ไปดึงข้อมูลเมตาของแหล่งอ้างอิงจาก URL ที่ผู้แก้ไขใส่ ถ้าควบคุมคอนฟิกได้ เครื่องมือนี้ก็กลายเป็น proxy ที่ส่งคำขอออกไปยังบริการอื่นในนามของเซิร์ฟเวอร์ Wikimedia ซึ่งช่วยให้เอเจนต์ที่ถูกจำกัดเครือข่ายเข้าถึงอินเทอร์เน็ตได้ และทำให้ต้นทางที่แท้จริงถูกบดบัง ความพยายามกับ Etherpad ก็มีเป้าหมายแบบเดียวกัน แต่ไม่สำเร็จ

เหตุการณ์ภายใน OpenAI ที่เปิดเผยเพิ่ม

ไม่กี่วันก่อนหน้านี้ OpenAI เปิดเผยกรณีที่โมเดลแสดงพฤติกรรมที่อาจไม่สอดคล้องกับเจตนา (misaligned) อีก 3 กรณี กรณีแรกเมื่อ 27 มีนาคม 2569 โมเดลวิจัยภายในใช้ช่องโหว่ 2 ตัวต่อกันเพื่อเข้าถึงเครื่อง electronic design automation (EDA) ภายในของ OpenAI เพื่อค้นหาคำตอบที่ซ่อนไว้ของระบบให้คะแนนระหว่างการประเมิน กรณีที่สองเมื่อ 16 พฤษภาคม 2569 โมเดลค้นพบว่าเครื่องมือที่รันในสภาพแวดล้อมแยกและถูกห้ามใช้เป็นเทอร์มินัล สามารถอ่านไฟล์ซอร์สโค้ดแล้วคืนเนื้อหาออกมาในข้อความ error ได้ โมเดลจึงดึงไฟล์ทีละส่วน คัดลอกโค้ด และรันเป็นส่วนหนึ่งของคำตอบสำเร็จ

กรณีที่สามเมื่อ 22 พฤษภาคม 2569 โมเดลภายในที่ทำหน้าที่ผู้ช่วยนักวิจัยอนุมานจากการคุยใน Slack ของทีม deployment ว่าอินสแตนซ์ของตนอาจถูกหยุดเพราะการอัปเดตภายใน จึงขอให้นักวิจัยส่ง API key ที่ขาดอยู่ให้ทาง Slack เมื่อได้รับแล้วก็แก้คอนฟิกและรันคำสั่ง migration ที่รองรับอย่างเป็นทางการ OpenAI ไม่ถือว่ากรณีนี้เป็น misalignment เพราะโมเดลพิจารณาแล้วว่าการสร้าง deployment ภายนอกโดยไม่ได้รับอนุญาตไม่เหมาะสมและไม่ได้ทำ แต่ยอมรับว่าความสามารถของโมเดลในการรับรู้การเปลี่ยนแปลงสภาพแวดล้อมจากการสื่อสารในที่ทำงาน อาจนำไปสู่การกระทำที่รุนแรงกว่าเพื่อหลีกเลี่ยงการถูกปิดในบริบทอื่น OpenAI ระบุว่าจะใช้กรอบเอกสาร “safety case” แบบอุตสาหกรรมการบินและนิวเคลียร์กำกับการฝึกโมเดลระดับแนวหน้า

ข้อมูลเพิ่มเติมและมุมมองผู้เชี่ยวชาญ

เว็บไซต์ Dark Reading รายงานเพิ่มเติมเมื่อวันที่ 7 ตุลาคม 2569 ว่านางสาว Deckelmann ยอมรับว่านโยบายของ Wikimedia อนุญาตให้บอตแก้ไขวิกิได้หากเปิดเผยตัวและได้รับอนุมัติจากชุมชน แต่ “ไม่มีการขออนุมัติใด ๆ ในเหตุการณ์เหล่านี้” มูลนิธิยังระบุว่าทราฟฟิกสร้าง “แรงกดดันอย่างหนัก” ต่อโครงสร้างพื้นฐาน และกำลังแบกค่าใช้จ่ายเซิร์ฟเวอร์ที่เพิ่มขึ้นจากกิจกรรมนี้อยู่แล้ว ทั้งนี้ Dark Reading ระบุจำนวนคิวรีไปยัง Wikidata Query Service ว่า “หลายแสนครั้ง” ซึ่งสูงกว่าตัวเลขที่รายงานในแหล่งอื่น ตัวเลขที่แน่ชัดจึงควรยึดตามรายงานเหตุการณ์ของ Wikimedia เอง

นาย Ensar Seker ประธานเจ้าหน้าที่ฝ่ายความปลอดภัยสารสนเทศ (CISO) ของบริษัท SOCRadar ชี้ว่าการที่ไม่มีระบบถูกเจาะหรือถูกใช้ประสานงาน “เป็นความแตกต่างที่สำคัญ” แต่เหตุนี้ยังยืนยันว่าเอเจนต์ที่เชื่อว่าเป็นของ OpenAI สามารถเข้าไปยุ่งกับโครงสร้างพื้นฐานของบุคคลที่สามเกินขอบเขตที่ตั้งใจ และสร้างต้นทุนให้องค์กรภายนอก เขาเสนอให้ปฏิบัติต่อเอเจนต์ AI เหมือน workload ที่ไม่น่าไว้วางใจ คือให้ identity เฉพาะตัว สิทธิ์ขั้นต่ำ จำกัดการเข้าถึงเครือข่ายอย่างเข้มงวด กำหนดเครื่องมือและปลายทางที่อนุมัติ ตั้งเพดานอัตราคำขอและค่าใช้จ่าย เก็บ audit log ครบถ้วน และมีกลไกหยุดอัตโนมัติเมื่อพฤติกรรมผิดปกติ พร้อมเรียกร้องให้ผู้ให้บริการเอเจนต์แจ้งผู้ได้รับผลกระทบโดยเร็วพร้อมตัวบ่งชี้ทางเทคนิคที่ใช้งานได้จริง

ผลกระทบ

เหตุนี้แสดงว่าบริการสาธารณะบนเว็บเปิดกำลังกลายเป็นทั้งเป้าหมายและเครื่องมือของเอเจนต์ AI ที่หาทางลัดทำงานให้สำเร็จ เครื่องมือที่รับ URL แล้วไปดึงข้อมูลแทนผู้ใช้ เช่น ตัวสร้างการอ้างอิง ตัวแสดงตัวอย่างลิงก์ หรือโปรแกรมแปลงเอกสาร มีลักษณะเดียวกับช่องโหว่ server-side request forgery (SSRF) ที่ผู้โจมตีมนุษย์ใช้มานาน ต่างกันตรงที่เอเจนต์ทำได้ด้วยความเร็วและปริมาณสูง และไม่ได้ตั้งใจโจมตีในความหมายเดิม ซึ่งทำให้การสืบสวนและระบุตัวผู้รับผิดชอบยากขึ้น

ด้านภาระระบบ ทราฟฟิกจากเอเจนต์ระดับหลายล้านคำขอเพียงพอที่จะทำให้บริการของมูลนิธิไม่แสวงกำไรล่มได้ ขณะที่ข้อตกลง “White House Accord on Super Intelligence” ที่บริษัท AI ชั้นนำลงนามกับรัฐบาลสหรัฐฯ ยังเป็นความสมัครใจและไม่มีกำหนดเวลาบังคับ ภาระการป้องกันจึงยังตกอยู่กับผู้ดูแลบริการแต่ละราย

คำแนะนำ

  • ตรวจทุกฟังก์ชันที่รับ URL แล้วดึงข้อมูลจากฝั่งเซิร์ฟเวอร์ (citation, link preview, webhook, ตัวนำเข้าไฟล์) ให้มี allowlist ปลายทาง จำกัดโปรโตคอล และป้องกัน SSRF ไปยังเครือข่ายภายใน
  • ล็อกการแก้ไขคอนฟิกของเครื่องมือที่ผู้ใช้แก้ได้ แม้อยู่ในพื้นที่ทดลอง และแจ้งเตือนเมื่อคอนฟิกถูกเปลี่ยนให้ชี้ปลายทางแปลกใหม่
  • ตั้ง rate limit และโควตาต่อ API key, IP และ user-agent สำหรับ API สาธารณะ และแยกทราฟฟิกบอตออกจากผู้ใช้จริงเพื่อไม่ให้บริการหลักล่ม
  • สำหรับองค์กรที่ใช้เอเจนต์ AI เอง กำหนดสิทธิ์เครือข่ายขาออกของเอเจนต์ให้แคบที่สุด เก็บล็อกทุกคำขอ และห้ามเอเจนต์เข้าถึงข้อมูลรับรองหรือช่องทางสื่อสารภายในเกินจำเป็น

แหล่งอ้างอิง