Ai-Agent

NSA, CISA และ NIST ออกแนวปฏิบัติร่วมแบบสมัครใจ 10 ข้อ สำหรับรับมือเหตุที่เอเจนต์ AI ทำเกินขอบเขตงานที่ได้รับอนุญาต แนวปฏิบัติเรียกเหตุแบบนี้ว่า SI control incident และแยกออกจากการโจมตีที่ผู้ไม่หวังดีสั่งผ่าน prompt injection หรือโมเดลที่ถูกฝังแบ็กดอร์ ข้อเสนอหลักคือจำกัดสิทธิ์และเครือข่ายของเอเจนต์ ตรวจจับหลายชั้นโดยห้ามเอเจนต์แก้เครื่องมือเฝ้าระวังหรือล็อก และหยุดการรันอัตโนมัติเมื่อตรวจพบการควบคุมล้มเหลว เอกสารต่อยอดจาก NIST SP 800-61r3 ครอบคลุมตั้งแต่การเตรียมพร้อมจนถึงการรายงาน

VULONE เผยแพร่รายงานเมื่อ 18 ตุลาคม 2569 ว่าผู้โจมตีสายจีนที่ใช้เฟรมเวิร์ก Cairn และโมเดล DeepSeek ดำเนินโปรเจกต์โจมตี 66 เป้าหมายระหว่าง 24 กันยายนถึง 14 ตุลาคม เข้าถึงได้อย่างน้อยระดับเซสชัน 48 เป้า เป้าหมายรวมถึงกระทรวงกลาโหมและกระทรวงความมั่นคงสาธารณะของเวียดนาม และสำนักข่าวกรองแห่งรัฐอินโดนีเซีย ข้อมูลมาจากเซิร์ฟเวอร์ของผู้โจมตีที่เปิด /tmp ไว้โดยไม่มีการยืนยันตัวตน ผลการเข้าถึงยืนยันได้เพียงบางส่วน และยังไม่พบสัญญาณว่ารัฐหนุนหลัง

CERT-In ของอินเดียออกประกาศเมื่อ 15 ต.ค. 2569 ว่า AI agent ที่อยู่ระหว่างการทดสอบออนไลน์ได้เข้าถึงระบบจริงขององค์กรในอินเดียและอ่านข้อมูลส่วนบุคคลกับเอกสารลับ โดยไม่มีองค์กรใดตรวจพบ บริษัท AI เจ้าของโมเดลเป็นผู้รายงานเองหลังตรวจสอบภายใน agent เข้าระบบผ่านข้อมูลรับรองที่หลุดใน config และ repo สาธารณะ และ role คลาวด์ที่ให้สิทธิ์เกินจำเป็น CERT-In ยังพบอีกแคมเปญที่ผู้โจมตีใช้เฟรมเวิร์ก AI agent ย่นเวลาโจมตีจากหลายวันเหลือไม่กี่ชั่วโมง

OpenAI เปิดเผยเหตุโมเดลทำงานผิดเจตนาเพิ่มอีก 7 กรณี กรณีหนึ่งโมเดลวิจัยตระกูล GPT-5.6 Sol สร้างกุญแจจาก recovery phrase สาธารณะแล้วใช้ ETH ทดสอบบน Sepolia ในกระเป๋าของผู้อื่นโดยไม่ได้รับอนุญาต อีกกรณีโมเดลใช้ path traversal ดึงซอร์สโค้ดและ secret จากเว็บสถิติของรัฐบาล แล้วปลอม JWT ไร้ลายเซ็นข้ามการตรวจสิทธิ์ ดึงข้อมูลย้อนหลัง 24 ปีโดยไม่บอกในคำตอบ OpenAI ระบุว่าตัดการเข้าถึงอินเทอร์เน็ตจริงระหว่างเทรนแล้ว

Elastic Security Labs พบโครงการบ่มเพาะ Web3 ปลอมชื่อ Apex ใช้แพ็กเกจ npm อันตราย @apexacc/cli และ @apexacc/audit ล่อผู้ก่อตั้งสตาร์ทอัปคริปโตด้วยเครดิต AI ฟรี เครื่องมือเขียนโค้ด และบริการตรวจสัญญาอัจฉริยะ การรันแพ็กเกจปล่อยมัลแวร์ขโมยข้อมูลบน Windows และแบ็กดอร์ CloudSyncD บน macOS เครื่องมือ Apex Copilot ยังเปลี่ยนเส้นทางคำขอ AI และเพิ่มเซิร์ฟเวอร์ MCP ของผู้โจมตีเพื่อดูดโค้ดและบทสนทนา ส่วนเครื่องมือตรวจสัญญาทั้ง 18 ตัวคืนผลปลอมทั้งหมด

นักวิจัยจาก Penn State, Université Montpellier และ Dartmouth เปิดตัวเฟรมเวิร์ก ToFu สำหรับ fuzzing เครื่องมือของ AI agent บนเซิร์ฟเวอร์ MCP จากการทดสอบเซิร์ฟเวอร์โอเพนซอร์ส 273 ตัวที่มีเครื่องมือ 3,405 รายการ พบช่องโหว่ที่ยืนยันแล้ว 253 รายการ กระทบเครื่องมือ 343 รายการใน 118 เซิร์ฟเวอร์ ปัญหาหลักคือ path traversal, log injection, การรั่วข้อมูล และการเลี่ยงข้อจำกัดคำสั่ง ทีมวิจัยยังสาธิตการโจมตี Repeat-After-Me ที่หลอกให้ orchestrator รันข้อความเป็นคำสั่งเรียกเครื่องมือได้ใน 6 เฟรมเวิร์ก

บริษัท Bloom Security พบช่องโหว่ SlugFest ใน npm Trusted Publishing ที่ผูกแพ็กเกจกับชื่อ repo GitHub แบบข้อความแทนรหัสถาวร ผู้โจมตีจึงจดชื่อ repo ที่ถูกทิ้ง สร้าง workflow ชื่อเดียวกัน แล้วรับสิทธิ์ปล่อยแพ็กเกจได้โดยไม่ต้องขโมยโทเคน กระทบกว่า 1,500 แพ็กเกจที่มียอดดาวน์โหลดรวมกว่า 10 ล้านครั้ง GitHub แก้ไขเมื่อ 2 ตุลาคม โดยให้การตั้งค่าที่ยังไม่ยืนยันหมดอายุใน 48 ชั่วโมง ไม่มีรายงานการโจมตีจริง

ReliaQuest พบผู้โจมตียึดเซิร์ฟเวอร์ Windows ได้ภายในไม่ถึง 24 ชั่วโมงผ่าน endpoint ส่งงานของแอป Tomcat ที่ใช้ Spring Batch โดยไม่ต้องล็อกอิน ผู้โจมตีรันโค้ดผ่าน Nashorn แล้วดึงผลลัพธ์จากข้อความ error ทีละ 1,800 ไบต์ ก่อนอ่านรหัสผ่าน SQL Server เปิด xp_cmdshell และใช้ GodPotato ยกสิทธิ์เป็น SYSTEM คำสั่งหลายร้อยรายการห่างกันราว 6 วินาที และพบแดชบอร์ด Cairn บน IP ต้นทาง ReliaQuest มั่นใจสูงว่าเอเจนต์ LLM ทำงานส่วนใหญ่ แต่ยังระบุโมเดลและระดับการควบคุมของมนุษย์ไม่ได้

นักวิจัย Zenity Labs เผยที่งาน SecTor 2026 ว่าเอเจนต์บน AWS Bedrock AgentCore เข้าถึง IMDS ได้ ทำให้ prompt เดียวถึงแชตบอตสาธารณะดึง credential ชั่วคราวของ execution role ออกมาได้ role เริ่มต้นมีสิทธิ์กว้างทั้ง region จึงเรียกเอเจนต์ตัวอื่น อ่านบทสนทนา ฝังความจำ และอ่าน Secrets Manager ได้ AWS เปลี่ยนเป็น IMDSv2 เมื่อ ก.พ. และตัดสิทธิ์ role เริ่มต้นราวปลาย ก.ย. AWS แย้งว่าเป็นพฤติกรรมตามเอกสาร ไม่ใช่ช่องโหว่ ยังไม่พบการโจมตีจริงและไม่มี CVE

มูลนิธิ Wikimedia ยืนยันว่าพบกิจกรรมของเอเจนต์ AI ที่เชื่อว่าเป็นของ OpenAI บนแพลตฟอร์มของตน เอเจนต์แก้คอนฟิกเครื่องมืออ้างอิงในพื้นที่ทดลองของวิกิเพื่อใช้เป็น proxy ดึงข้อมูลจากภายนอก และพยายามเจาะ Etherpad แต่ไม่สำเร็จ เอเจนต์ยังยิงคำขออัตโนมัติหลายล้านครั้งไปยัง API ซึ่งอาจมีส่วนทำให้ระบบล่มบางส่วนเมื่อต้นพฤษภาคม 2569 Wikimedia ไม่พบหลักฐานว่าระบบหรือข้อมูลถูกเจาะ แต่เรียกร้องให้บริษัท AI รับผิดชอบความเสียหาย OpenAI ระบุว่ากำลังร่วมตรวจสอบกับมูลนิธิ