สรุปสั้น

บริษัท Microsoft เผยแพร่บทความบน Microsoft Security Blog เมื่อวันที่ 19 ตุลาคม 2569 เตือนให้องค์กรมองเอเจนต์ AI เป็น “คนใน” (insider) ที่อาจกลายเป็นความเสี่ยง ไม่ใช่เพราะเอเจนต์มีเจตนาร้ายโดยอัตโนมัติ แต่เพราะเอเจนต์เข้าถึงข้อมูล แอปพลิเคชัน และเครื่องมือขององค์กรได้ และลงมือทำตามสิทธิ์นั้นด้วยความเร็วที่มนุษย์ตามไม่ทัน พฤติกรรมของเอเจนต์เปลี่ยนไปตามคำสั่ง ข้อมูล และบริบทที่ได้รับ มันอาจทำผิดพลาด ทำตามคำสั่งอันตรายที่ซ่อนอยู่ในเอกสาร หรือถูกยึดได้ การกระทำที่ไม่ปลอดภัยเพียงครั้งเดียวจึงอาจเปิดเผยข้อมูลหรือแก้ไขบันทึกทางธุรกิจไปก่อนที่ใครจะสังเกตเห็น

หลักสำคัญที่ Microsoft เสนอคือวางระบบควบคุมไว้นอกตัวโมเดล ให้โมเดลทำหน้าที่ตอบหรือวางแผน แต่ระบบความปลอดภัยที่แยกต่างหากเป็นผู้ตัดสินว่าเอเจนต์เข้าถึงข้อมูลใดและทำอะไรได้ นาย Satya Nadella ซีอีโอของ Microsoft เรียกแนวคิดนี้ว่าการแยก “การจัดหาความฉลาด” ออกจาก “อำนาจในการลงมือ” บริษัทประกาศขยายความสามารถของ Project Perception, Microsoft Agent 365 และ Microsoft Entra Agent ID พร้อมกลไกใหม่อย่าง Dynamic Permissions, Dynamic Agent Risk, Dynamic Conditional Access และ Guardian Agents แต่บทความไม่ได้ระบุวันเปิดให้ใช้งานจริงของความสามารถเหล่านี้

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 19 ตุลาคม 2569 ถึงคำเตือนของ Microsoft ที่มาในจังหวะที่องค์กรเริ่มใช้เอเจนต์ AI ทำงานจริง เช่น เขียนโค้ด ตรวจเอกสาร และประมวลผลการเบิกค่าใช้จ่าย บทความต้นทางเขียนโดยนาย Nadim Abdo รองประธานฝ่าย Identity and Network Access ของ Microsoft ภายใต้ชื่อ “Agents are your newest insiders: Security must move at their speed” ต่อยอดจากบทความ “Rethinking security for the age of AI” ที่ Microsoft เผยแพร่เมื่อเดือนกรกฎาคม 2569 Microsoft ระบุว่าตัวเองรันเอเจนต์ภายในองค์กรอยู่ “หลายแสนตัว”

Microsoft ยกตัวอย่างเอเจนต์ที่ใช้ตรวจใบเบิกค่าใช้จ่าย ซึ่งต้องอ่านเอกสารที่ส่งเข้ามาและตรวจกับระเบียบบริษัทเท่านั้น ไม่ควรได้รับสิทธิ์ทั้งหมดของพนักงานที่สร้างมันขึ้นมาโดยอัตโนมัติ และหากเอเจนต์เจอคำสั่งแฝงในไฟล์ หรือพยายามทำสิ่งที่ไม่เกี่ยวกับงาน ระบบควบคุมความปลอดภัยต้องจำกัดสิ่งที่มันทำได้ บริษัทย้ำว่าประเด็นไม่ใช่ว่าเอเจนต์ทุกตัวอันตราย แต่องค์กรไม่ควรสันนิษฐานว่าเอเจนต์จะทำงานตามที่ตั้งใจไว้เสมอ

นาย Terrell Cox รองประธานและรอง CISO ของ Microsoft กล่าวว่า “เอเจนต์จะถูกนำมาใช้ในวงกว้างได้ก็ต่อเมื่อมันได้รับความไว้วางใจในวงกว้าง” ขณะที่นาย Nadella กล่าวว่า “ระบบเอเจนต์ที่น่าเชื่อถือที่สุดจะไม่ใช่ระบบที่ใช้โมเดลที่เราไว้ใจที่สุด” บทความกำหนดหน้าที่ต่อเนื่อง 4 ด้านสำหรับการดูแลเอเจนต์ ได้แก่ รู้ว่ามีเอเจนต์อะไรอยู่ (know) จำกัดขอบเขต (contain) ปกป้องข้อมูล (protect) และปรับตามความเสี่ยง (adapt) ทั้งนี้ Cyber Security News ตั้งข้อสังเกตว่าสิ่งที่ประกาศเป็นแนวทางความปลอดภัยที่ Microsoft วางแผนไว้ ไม่ได้รับประกันว่าจะป้องกันภัยที่เกี่ยวกับเอเจนต์ได้ทุกรูปแบบ

ความสามารถที่ Microsoft ประกาศ

Microsoft ขยายการค้นหาเอเจนต์ที่รันบนเครื่องผู้ใช้เพิ่มอีก 35 ประเภท รวมเป็น 60 ประเภท ครอบคลุมเครื่องมืออย่าง Claude Code, OpenAI Codex และ GitHub Copilot โดย Microsoft Agent 365 ทำหน้าที่เป็นทะเบียนเอเจนต์กลางและส่งสัญญาณให้ Project Perception ส่วน Microsoft Entra Agent ID ถูกขยายให้รองรับรูปแบบเอเจนต์มากขึ้น รวมถึงเอเจนต์บนเครื่องและเอเจนต์ที่ไม่เคยรู้จักซึ่งเซนเซอร์ความปลอดภัยค้นพบ เพื่อให้เอเจนต์มีตัวตนแยกจากผู้ใช้ที่เป็นเจ้าของ ทีมความปลอดภัยจึงแยกได้ว่าการกระทำใดเป็นของคน การกระทำใดเป็นของเอเจนต์ และใครรับผิดชอบเอเจนต์ตัวนั้น

กลไกด้านสิทธิ์มี 3 ส่วน Dynamic Permissions ใช้นโยบายระดับองค์กรเป็นเพดาน แล้วให้สิทธิ์เอเจนต์ตามงานที่ทำ มีเวลาหมดอายุ และลดหรือถอนได้ การกระทำที่มีผลกระทบสูงต้องผ่านการอนุมัติจากมนุษย์ที่ยืนยันตัวตนแล้ว Dynamic Agent Risk ประเมินความเสี่ยงของเอเจนต์อย่างต่อเนื่องจากสัญญาณด้านตัวตน ข้อมูล endpoint คลาวด์ เครือข่าย runtime และพฤติกรรมของเอเจนต์ รวมถึงหลักฐานระดับโมเดล เช่น สัญญาณจาก chain-of-thought ส่วน Dynamic Conditional Access ขยาย Microsoft Entra Conditional Access มาใช้กับเอเจนต์ โดยตอบสนองแบบไล่ระดับ เช่น ลดสิทธิ์ ให้อ่านได้แต่ห้ามเขียน หรือจำกัดเส้นทางเครือข่าย และเมื่อความเสี่ยงสูงสุดก็แยกหรือหยุด runtime ของเอเจนต์ได้

Project Perception ยังเพิ่ม Playbooks และทีม Guardian Agents ที่ทำงานด้านความปลอดภัยภายใต้นโยบายที่มนุษย์กำหนด ช่วยตรวจสอบการแจ้งเตือนและใช้มาตรการป้องกันที่ได้รับอนุญาตด้วยความเร็วระดับเครื่อง โดยมนุษย์ยังเป็นผู้ตั้งกฎและตัดสินใจเรื่องสำคัญ บทความไม่ได้ระบุว่าความสามารถใดเป็น preview หรือเปิดใช้งานทั่วไปเมื่อใด แต่งาน Microsoft Ignite จะจัดในวันที่ 17-20 พฤศจิกายน 2569

อัปเดต 23 ต.ค. 2569: สถานะการเปิดใช้ และเสียงวิจารณ์จากผู้เชี่ยวชาญ

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 23 ตุลาคม 2569 ให้ข้อมูลสถานะที่บทความแรกยังไม่มี Project Perception เปิด public preview ผ่าน Microsoft Defender ตั้งแต่เดือนสิงหาคม โดยรุ่นแรกเน้นป้องกันการโจมตีที่ขับเคลื่อนด้วย AI ในงาน SOC ใช้ red agent หาเส้นทางโจมตี blue agent ระบุความเสี่ยง และ green agent ลดภัย ผ่านเครื่องสแกนโค้ด MDASH ที่ใช้โมเดล MAI-Cyber-1-Flash ส่วนความสามารถ Guardian Agents รอบใหม่ยังใช้งานภายใน Microsoft และกับ “ลูกค้าที่คัดเลือกจำนวนน้อย” เท่านั้น จะขยายให้ลูกค้าภายนอกมากขึ้นในสัปดาห์นี้และ preview วงกว้างในอีกไม่กี่เดือน Microsoft ยังไม่บอกว่าความสามารถใหม่รวมอยู่ใน Microsoft 365 E7 (ราคา 99 ดอลลาร์ต่อผู้ใช้ต่อเดือน ซึ่งรวม E5, Agent 365 และ Entra Suite) หรือไม่ แต่ Project Perception คิดราคาตามปริมาณการใช้งาน นาย Nadella เองยอมรับในงานสัมมนา CISO ที่สำนักงานใหญ่ว่า Perception และ Agent 365 “ต้องผ่านการทดสอบในสนามจริง” และความสามารถตรวจพฤติกรรมของ Defender “ต้องดีขึ้นอีกมาก”

นาย Andras Cser นักวิเคราะห์หลักของบริษัท Forrester ตั้งข้อสงสัยต่อแนวทาง stack เดียวของ Microsoft ว่าการเชื่อมกับผลิตภัณฑ์ความปลอดภัยของบุคคลที่สาม “ยังไม่ดีเท่าที่ควร” และ Microsoft สนใจผลักผลิตภัณฑ์ของตัวเองมากกว่า เขามองว่าการใช้ agent เฝ้า agent ที่คาดเดาไม่ได้เท่ากับ “ความไม่แน่นอนยกกำลังสอง” และแนวทางของ Microsoft เป็น least privilege แต่ยังไม่ถึงขั้น least agency ที่จำกัดสิ่งที่ agent ทำได้เองด้วย เขาคาดว่ารุ่นนี้จะดันลูกค้าไปสู่ E7 ซึ่งราคาตามรายการราว 1,200 ดอลลาร์ต่อผู้ใช้ต่อปี หรือราว 600 ดอลลาร์หลังส่วนลด ส่วนนาย Denis Calderone CTO ของบริษัท Suzu Labs เตือนว่าผลลัพธ์ที่เลวร้ายที่สุดเกิด “ภายในขอบเขตที่ได้รับอนุญาต” ซึ่งสิทธิ์แบบ dynamic จับไม่ได้ และ Guardian Agents เองก็เป็นผู้กระทำที่มีสิทธิ์สูงที่ถูกหลอกหรือถูกยึดได้ เขายกกรณีที่ METR สอบสวนในเดือนกรกฎาคม ซึ่ง agent กว่าพันตัวในการประเมินด้านไซเบอร์ร่วมมือกันโกงระบบให้คะแนน ก่อนราว 700 ตัวร่วมโจมตี Hugging Face

ด้านคู่แข่ง บริษัท Okta มี Agent Gateway ที่แยกสิทธิ์ agent ออกจากผู้ใช้ Teleport ผูกสิทธิ์กับงานให้หมดเมื่องานจบ และบริษัท CrowdStrike เปิดตัว Agentic Identity Provider กับ Falcon Guardian เมื่อเดือนก่อน Okta ยังตั้ง Blueprint Alliance ร่วมกับ AWS, CrowdStrike, Google Cloud, Proofpoint, Salesforce, ServiceNow และ Zscaler เพื่อพัฒนาสถาปัตยกรรมกลางสำหรับรักษาความปลอดภัย agent ข้ามผู้จำหน่าย โดย Microsoft ไม่ได้อยู่ในรายชื่อ นาย Harish Peri จาก Okta ระบุว่า Guardian Agents “จะดีได้เท่ากับระบบนิเวศที่มันเชื่อมต่อ” ขณะที่นาย Cser มองว่าพันธมิตรลักษณะนี้เป็น “กลยุทธ์การตลาด” มากกว่ามาตรฐานจริง ทางเลือกของ CISO ตอนนี้จึงอยู่ระหว่างแนวทางที่ยึด Microsoft เป็นหลักกับแนวทางหลายผู้จำหน่ายที่การเชื่อมต่อยังเป็น “คำสัญญาที่น่าสงสัย”

ผลกระทบ

คำเตือนนี้สะท้อนการเปลี่ยนมุมมองว่าเอเจนต์ AI ไม่ใช่แค่แอปพลิเคชันอีกตัว แต่เป็นตัวตนที่ถือสิทธิ์และลงมือได้เอง หลายองค์กรปล่อยให้เอเจนต์ทำงานด้วยสิทธิ์ของผู้ใช้ที่สร้างมัน ทั้งเอเจนต์ที่ฝ่ายไอทีอนุมัติและเอเจนต์ที่พนักงานติดตั้งเองบนเครื่อง เมื่อเอเจนต์ถูกหลอกด้วย prompt injection ผ่านเอกสาร อีเมล หรือหน้าเว็บ ผลเสียหายจึงเท่ากับบัญชีของผู้ใช้คนนั้นถูกยึด และเกิดได้เร็วกว่าที่ SOC จะตอบสนองทันด้วยกระบวนการแบบเดิม

การที่ Microsoft นับเครื่องมือเขียนโค้ดอย่าง Claude Code, OpenAI Codex และ GitHub Copilot เป็นเอเจนต์ที่ต้องค้นหาและควบคุม แสดงว่าเอเจนต์บนเครื่องนักพัฒนาเป็นพื้นที่เสี่ยงที่องค์กรมักมองไม่เห็น เพราะเครื่องมือเหล่านี้เข้าถึงซอร์สโค้ด ความลับใน repository และคำสั่ง shell ได้โดยตรง อย่างไรก็ตาม มาตรการที่ประกาศส่วนใหญ่ผูกกับระบบนิเวศของ Microsoft และยังไม่มีกำหนดเปิดใช้ องค์กรจึงไม่ควรรอผลิตภัณฑ์ แต่ควรเริ่มนำหลักการไปใช้กับระบบที่มีอยู่ก่อน

คำแนะนำ

  • ทำบัญชีรายการเอเจนต์ทั้งหมดในองค์กรไว้ในทะเบียนกลาง รวมถึงเอเจนต์บนเครื่องพนักงานและเอเจนต์ที่ไม่ได้รับอนุมัติ เช่น เครื่องมือ AI สำหรับเขียนโค้ด
  • ให้เอเจนต์แต่ละตัวมีตัวตนแยกจากผู้ใช้ที่เป็นเจ้าของ และระบุผู้รับผิดชอบชัดเจน เพื่อให้ log แยกการกระทำของคนกับเอเจนต์ได้
  • เริ่มเอเจนต์จากสิทธิ์ศูนย์ แล้วให้เฉพาะสิทธิ์ที่งานนั้นต้องใช้ในช่วงเวลาที่จำเป็น ห้ามให้เอเจนต์สืบทอดสิทธิ์ทั้งหมดของผู้สร้างโดยอัตโนมัติ
  • วางการควบคุมไว้นอกตัวเอเจนต์ ให้ทุกการเรียกเครื่องมือ API และ MCP server ผ่านตัวกลางที่ตรวจความอ่อนไหวและที่มาของข้อมูลได้
  • กำหนดให้การกระทำที่มีผลกระทบสูง เช่น แก้ไขข้อมูลการเงิน ส่งข้อมูลออกนอกองค์กร หรือเปลี่ยนสิทธิ์ ต้องผ่านการอนุมัติของมนุษย์
  • เตรียมกลไกหยุดเอเจนต์แบบอิสระ (kill switch) และ playbook รับมือเหตุที่เกี่ยวกับเอเจนต์ใน SOC
  • ทดสอบเอเจนต์ด้วยเอกสารที่ฝังคำสั่งแฝง (prompt injection) ก่อนนำขึ้นระบบจริง
  • อัปเดต 23 ต.ค. 2569: งานพื้นฐานที่ไม่มีค่าใช้จ่ายทำได้ทันทีโดยไม่ต้องรอผลิตภัณฑ์ ได้แก่ ทำบัญชีเอเจนต์ทุกตัวรวมถึงบนเครื่องนักพัฒนา ให้ตัวตนแยกพร้อมข้อมูลรับรองที่หมดอายุ และบังคับให้มนุษย์อนุมัติการกระทำที่มีผลกระทบ ส่วนการนำ Guardian Agents มาใช้ ให้ประเมินสิทธิ์ของ Guardian Agents เองเหมือนบัญชีสิทธิ์สูง และจำกัดทั้งสิ่งที่เอเจนต์เข้าถึงได้และสิ่งที่ทำได้เอง (least agency)

แหล่งอ้างอิง