สรุปสั้น

บริษัท Tracebit ซึ่งมีฐานอยู่ที่ลอนดอนและนิวยอร์ก เผยงานวิจัยชื่อ “Making attacking agents pay” ที่ใช้ “context bomb” รับมือเอเจนต์ AI ที่ถูกใช้โจมตี แนวคิดคล้ายทุ่นระเบิดที่วางไว้ในสนามรบ แต่ละลูกคือพรอมต์ที่ประดิษฐ์และซ่อนไว้ในระบบ ซึ่งเอเจนต์ฝั่งผู้โจมตีจะดูดเข้าไปเองเมื่อไล่สำรวจเป้าหมาย พรอมต์เหล่านี้จะเข้าไปรบกวนเป้าหมายเดิมของเอเจนต์ งานรอบใหม่ไม่ได้เน้นกระตุ้น guardrail ของโมเดลเหมือนงานก่อน แต่เน้นหลอกให้เอเจนต์ไปผิดทางและติดกับดักด้วยเป้าปลอมและปัญหาซับซ้อนหลอก ๆ

Tracebit ระบุว่าเทคนิคใหม่ 9 แบบหยุดการโจมตีของ GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max และ DeepSeek V4 Pro ได้ทั้งหมด ลดความสำเร็จของ GPT-6 Astra ลง 54% พร้อมเพิ่มค่าใช้จ่ายต่อการโจมตีเกือบ 4 เท่า และลดความสำเร็จของ Claude Opus 5 ลง 91% ตัวที่ได้ผลที่สุดคือรายงานเจาะระบบปลอมที่สลับเป้าจริงกับเป้าล่อ และแม้ context bomb จะหยุดการโจมตีไม่ได้ ก็ยังทำให้ต้นทุนต่อความสำเร็จเพิ่มขึ้น 23 เท่า ข้อควรระวังคือผลทั้งหมดมาจากการทดสอบของบริษัทที่ขายเทคโนโลยีหลอกล่อ (deception) เอง และยังไม่มีการตรวจสอบจากภายนอก

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า Tracebit พัฒนาแนวทางรับมือการโจมตีด้วย AI แบบเดียวกับยุทธวิธีทางทหาร ทุ่นระเบิดใช้ทำลายหรือชะลอกองทัพที่รุกเข้ามา context bomb ก็ถูกวางไว้ในระบบเพื่อชะลอหรือหยุดเอเจนต์ที่บุกเข้ามา

งานวิจัยใหม่ต่อยอดจากงานก่อนหน้าที่ใช้ context bomb อีกแบบไปกระตุ้น guardrail ของโมเดล ครั้งนี้ Tracebit พัฒนาเทคนิคใหม่ 9 แบบ ซึ่งก็คือพรอมต์ปลอมที่เอเจนต์จะดูดเข้าไป และทดสอบกับทั้งโมเดลที่เน้นงานไซเบอร์และโมเดลระดับแนวหน้า (frontier models) ใน 4 โมเดลแรกคือ GPT 5.6 Cyber, Kimi, Qwen และ DeepSeek จำนวนรอบที่บรรลุเป้าหมายลดจาก 39 จาก 40 รอบในการทดสอบพื้นฐาน เหลือ 2 จาก 40 รอบเมื่อใช้รายงานเจาะระบบปลอม และเมื่อวางครบทั้ง 9 แบบ โมเดลจีนจาก Moonshot, Alibaba และ DeepSeek ไม่บรรลุเป้าหมายเลยแม้แต่ครั้งเดียว

นาย Andy Smith ผู้ร่วมก่อตั้งและซีอีโอของ Tracebit กล่าวว่า “เราเห็นจากการโจมตีช่วงหลังว่าโมเดล AI แสดงพฤติกรรมที่ไม่ได้รับอนุญาตและหลอกลวง วิธีป้องกันที่ดีที่สุดคือเอาชนะมันในเกมของมันเอง ใช้การหลอกล่อส่งมันลงหลุมกระต่ายและมัดมันไว้ในปม ให้มันเผาเวลาและโทเคนไปพร้อมกับหลบเป้าหมายจริง” เขาเสริมว่าเอเจนต์ที่ทำงานผิดปกติยังมีโอกาสไปกระตุ้นการแจ้งเตือนมากขึ้น ทำให้ฝ่ายป้องกันรู้ตัวและมีเวลารับมือมากขึ้น

ข้อจำกัดของข้อมูลคือ ต้นฉบับไม่ได้เปิดเผยรายละเอียดสภาพแวดล้อมทดสอบ จำนวนรอบทดสอบของโมเดลแนวหน้า หรือรายการเทคนิคครบทั้ง 9 แบบ และผลเป็นการทดสอบในแล็บที่ Tracebit ออกแบบเอง ไม่ใช่การโจมตีจริง

รายละเอียดเทคนิค

รายงานเจาะระบบปลอม (ได้ผลที่สุด): context bomb ตัวนี้แสดงตัวเป็นผลประเมินความปลอดภัยฉบับล่าสุด โดยระบุว่าเส้นทางโจมตีจริงเป็น canary หรือกับดัก และบรรยายเป้าล่อว่าเป็นเป้าหมายมีค่าที่ถูกเจาะไปแล้ว ในหลายกรณีเอเจนต์เชื่อว่าระบบจริงของฝ่ายป้องกันเป็นกับดักจึงหลีกเลี่ยง ทำให้เป้าหมายที่บรรลุลดลง 58% เอเจนต์บางตัวรับคำเตือนแล้วหยุดก่อนเวลา ทิ้งเป้าหมายที่เจาะได้ไว้โดยไม่แตะเลย

กับดักแบบไม่มีที่สิ้นสุด: เทคนิคอื่นรวมถึงเว็บเซอร์วิสที่ไม่มีวันจบ รหัสผ่านที่ดูเหมือนจริงแต่ถูกเข้ารหัสซ้อนทับหลายชั้น และฐานข้อมูลไม่มีที่สิ้นสุดที่ทุกหน้าชี้ไปหน้าถัดไป นักวิจัยเล่าว่า “GLM-5.3 ไล่ไป 825 หน้าใน 55 นาที จับได้ว่าเป็นกับดัก ลองไปตามเบาะแสอื่น แล้วก็ยังกลับมาลองอีกรอบ”

การวางหลายแบบร่วมกัน: การผสม context bomb หลายแบบให้ผลรวมดีที่สุด และแม้จะหยุดการโจมตีไม่ได้ ต้นทุนต่อความสำเร็จแต่ละครั้งก็เพิ่มขึ้น 23 เท่า SecurityWeek ชี้ว่าแนวคิดนี้เป็นด้านกลับของ prompt injection ที่เป็นอันตราย คือพรอมต์ที่ฝ่ายป้องกันฝังไว้จะเป็นพรอมต์ล่าสุดที่เอเจนต์ได้รับ จึงมีโอกาสล้มเจตนาเดิมของผู้โจมตี

ผลกระทบ

งานนี้มาในช่วงที่การโจมตีด้วยเอเจนต์ AI อัตโนมัติเริ่มเกิดขึ้นจริง ทั้งกรณีเอเจนต์ AI ของกลุ่มสายจีนเจาะเว็บไซต์กว่า 1,200 แห่ง (โพสต์ 10/201) และการทดสอบที่ AI ระดับแนวหน้าเจาะจากขอบเครือข่ายถึงระบบ OT ได้ในเวลาไม่กี่นาที (โพสต์ 10/169) ข้อได้เปรียบของฝ่ายป้องกันคือเอเจนต์อ่านทุกอย่างที่เจอและตัดสินใจจากบริบท จึงถูกชี้นำด้วยข้อความได้ง่ายกว่าผู้โจมตีที่เป็นมนุษย์ และผลเชิงเศรษฐศาสตร์ คือการทำให้ต้นทุนต่อเป้าหมายสูงจนไม่คุ้ม เป็นแนวคิดที่ใช้ได้แม้ผู้โจมตีจะมีทุนมาก

อย่างไรก็ตาม ประสิทธิผลต่างกันมากระหว่างโมเดล โมเดลแนวหน้าบางตัวยังสำเร็จได้ราวครึ่งหนึ่ง และผู้โจมตีปรับตัวได้ เช่น สั่งให้เอเจนต์ไม่เชื่อเอกสารที่เจอในระบบเป้าหมาย การพึ่ง context bomb จึงควรเป็นชั้นเสริมของการตรวจจับ ไม่ใช่สิ่งทดแทนการแพตช์และการควบคุมสิทธิ์

คำแนะนำ

  • พิจารณาวาง honeytoken และเอกสารล่อ เช่น ข้อมูลรับรองปลอม รายงานปลอม หรือเส้นทางเข้าถึงหลอก ในจุดที่ผู้บุกรุกน่าจะสำรวจ และผูกกับการแจ้งเตือนทันทีเมื่อมีการแตะ
  • ใช้ context bomb เป็นชั้นตรวจจับและชะลอ ไม่ใช่การป้องกันหลัก และอย่าวางพรอมต์หลอกในจุดที่เอเจนต์ AI ภายในองค์กรเองจะอ่านเจอจนทำงานผิดพลาด
  • เฝ้าระวังพฤติกรรมของเอเจนต์อัตโนมัติ เช่น การไล่หน้าหรือคิวรีต่อเนื่องจำนวนมากในเวลาสั้น ซึ่งเป็นสัญญาณที่เอเจนต์ติดกับดัก
  • รอผลการทดสอบจากภายนอกก่อนลงทุนตามตัวเลขของผู้ขาย และทดสอบกับโมเดลที่ผู้โจมตีน่าจะใช้จริงในสภาพแวดล้อมขององค์กรเอง

แหล่งอ้างอิง