Ai

Microsoft เริ่มใช้ระบบประเมินรายงาน Complete และ Not Complete ในโครงการบั๊กบาวน์ตีทั้งหมด กับรายงานที่ส่งตั้งแต่ 20 ตุลาคม 2569 ใน Azure รายงาน RCE หรือยกระดับสิทธิ์ระดับ Critical ที่สมบูรณ์ได้ 40,000 ดอลลาร์ แต่ถ้าไม่สมบูรณ์ได้เพียง 4,000 ดอลลาร์ รายงานที่สมบูรณ์ต้องมีขั้นตอนทำซ้ำ PoC ที่ใช้ได้จริง และหลักฐานตามประเภทช่องโหว่ ตั้งแต่ครั้งแรกที่ส่ง Microsoft ระบุว่างานวิจัยที่ใช้ AI ช่วยทำให้ส่งรายงานจำนวนมากได้ง่ายขึ้น

SOCRadar พบเซิร์ฟเวอร์ 7 เครื่องของพันธมิตรแรนซัมแวร์ INC และ The Gentlemen ที่เปิดเข้าถึงได้สาธารณะ ภายในมีบทสนทนากับ AI 8,257 ข้อความใน 133 เซสชัน ซอร์สโค้ด ข้อมูลรับรองที่ขโมยมา และตัวเข้ารหัส INC ที่ปรับแต่งเฉพาะเหยื่อ 46 ตัว ผู้โจมตีใช้ OpenCode กับโมเดลผ่าน OpenRouter วางแผนสอดแนม สร้างคำสั่ง และร่างข้อความขู่กรรโชก โดยมนุษย์ยังอนุมัติทุกขั้น บันทึกระบุการเจาะ FortiClient EMS, SimpleHelp และ cPanel พบองค์กรเกี่ยวข้อง 62 แห่ง

กระทรวงความมั่นคงแห่งมาตุภูมิสหรัฐฯ (DHS) สั่งหน่วยงานพลเรือนของรัฐบาลกลางถอดผลิตภัณฑ์ AI ของ DeepSeek ออกจากระบบไอทีและหยุดจัดซื้อ คำสั่งออกภายใต้กฎหมาย FASCSA ปี 2561 ตามข้อเสนอของสภาความมั่นคงการจัดซื้อจัดจ้างของรัฐบาลกลาง ข้อกำหนดการถอดครอบคลุมผลิตภัณฑ์และบริการของบุคคลที่สามที่สร้างบน DeepSeek ด้วย หน่วยงานจึงต้องตรวจเทคโนโลยีเบื้องหลัง ไม่ใช่ดูแค่ชื่อผู้ขาย คำสั่งนี้ไม่ได้ห้ามบุคคลทั่วไปใช้ DeepSeek

คณะกรรมการการเลือกตั้งสหราชอาณาจักรกำลังสร้างระบบ AI ที่แจ้งผู้สมัครเมื่อพบ deepfake สำคัญภายใน 3 ชั่วโมงหลังโพสต์ การนำร่องช่วงเลือกตั้งท้องถิ่นพฤษภาคม 2569 สแกนราว 3 ล้านโพสต์ AI ติดธง 147 ชิ้น และคนตรวจพบว่าบิดเบือนจริง 10 ชิ้น ระบบเน้นเนื้อหาที่บ่อนทำลายกระบวนการเลือกตั้ง ไม่ตัดสินข้อโต้แย้งทางการเมือง หน่วยงานยังเผชิญการโจมตีไซเบอร์ 30,000-40,000 ครั้งต่อเดือน ขณะที่กฎหมายเลือกตั้งยังตามไม่ทันยุคข้อมูลข่าวสาร

Booz Allen ทดสอบโมเดล AI ระดับแนวหน้าในแล็บจำลองโรงงาน โมเดลเจาะจากไฟร์วอลล์ขอบเครือข่ายผ่าน IT เข้าเครือข่าย OT และสั่งอุปกรณ์จริงได้ในราว 16 นาที โมเดลบรรลุเป้าหมายทดสอบครบทั้ง 8 ข้อ รวมถึงยึดระบบ SCADA และสั่งแขนกลให้เคลื่อนที่ แม้ทุกขั้นที่มีผลทางกายภาพต้องรอมนุษย์อนุมัติ ด้าน Claroty ใช้เอเจนต์ AI เชื่อมช่องโหว่ตัวควบคุมตู้เย็น Danfoss จนได้ root ใน 28 นาทีด้วยค่าโทเคนราว 6 ดอลลาร์ ผู้เชี่ยวชาญชี้ว่าการพึ่งความไม่เป็นที่รู้จักของระบบ OT กำลังใช้ไม่ได้

นักวิจัยบริษัท pwn.ai พบช่องโหว่ PwnEscape (CVE-2026-99999) ในโค้ดเครือข่ายของ Linux kernel ที่ทำให้โค้ดใน VM อ่านหน่วยความจำของ host ได้ เคอร์เนลให้คะแนน 9.3 ระดับ Critical แต่ผู้โจมตีต้องรันโค้ดใน guest อยู่แล้ว การรั่วหน่วยความจำพิสูจน์บน sandbox จริงของ Vercel ส่วนการทำ host ล่มและรันโค้ดเกิดในแล็บเท่านั้น ช่องโหว่พบในการแข่งขันมูลค่า 1 ล้านดอลลาร์ของ Vercel ด้วยระบบวิจัยที่ใช้ AI ช่วย ใช้เวลา 3 วัน แพตช์ backport ไปทุกสาย stable แล้ว

บริษัท XBOW เชื่อม 3 บั๊กของ Chrome เป็น full-chain exploit ที่แค่เปิดหน้าเว็บก็รันโค้ดบน Windows ได้ โดยใช้ AI agent บนโมเดล GPT-5.6 Sol ของ OpenAI ที่เปิดให้ใช้ทั่วไป ทำเสร็จใน 6 วันด้วยค่า AI ราว 40,000 ดอลลาร์ ชุดบั๊กไล่จาก V8 ไปตัวถอดรหัส WebP และ Crashpad ทะลุ sandbox ทั้ง 2 ชั้น Google แก้ครบแล้วใน Chrome 152 และจ่ายรางวัลสูงสุด 250,000 ดอลลาร์ ไม่มีการโจมตีผู้ใช้จริง แต่ต้นทุนสร้าง exploit ระดับนี้ลดลงมาก

กระทรวงยุติธรรมสหรัฐฯ ตั้งข้อหานาย Abdulrahman Alfozan หัวหน้าวิศวกรของ OpenAI ว่าซ่อนเครื่องบันทึกเสียงไว้หลังทีวีในห้องประชุมผู้บริหารที่ซานฟรานซิสโก อุปกรณ์ถูกพบเมื่อ 30 กันยายน หลังติดตั้งราว 28 กันยายน ภาพกล้องวงจรปิดพบเขาวนเวียนใกล้ห้องหลายครั้ง และบัญชีแชตบอตของคู่สมรสถูกใช้ถามวิธีสร้าง พราง และควบคุมเครื่องดักฟังจากระยะไกล OpenAI ระบุว่ายังไม่พบการเข้าถึง model weights ซอร์สโค้ด หรือข้อมูลลูกค้า หากผิดจริงมีโทษจำคุกสูงสุด 5 ปี

บริษัท Anthropic เปิดบริการ OSS Scanner ให้โครงการโอเพนซอร์สสมัครเข้าร่วมเพื่อรับการสแกนช่องโหว่เป็นระยะด้วยโมเดลที่แรงที่สุดรวมถึง Claude Mythos โดยไม่เสียค่าใช้จ่าย รายงานสร้างโดยโมเดลทั้งหมดโดยไม่มีคนตรวจคัดกรอง จึงไม่กำหนดระยะเปิดเผย 90 วันเพราะอาจมีผลบวกลวง ผู้ดูแลสมัครผ่าน pull request พร้อมไฟล์ YAML และ Dockerfile ที่ build ได้แบบออฟไลน์ Anthropic ระบุว่าพบช่องโหว่ที่เป็นไปได้แล้วกว่า 29,000 รายการ

บริษัท CrowdStrike พบแคมเปญโจมตีบริษัทการเงินเกาหลีใต้ช่วงปลาย ก.ย.–ต้น ต.ค. 2569 ที่ใช้ ARTEX เครื่องมือเจาะระบบแบบ agentic AI โอเพนซอร์สจากจีน จนขโมยข้อมูลออกไปได้ หลักฐานมาจากไดเรกทอรีเปิดบน IP ฮ่องกงที่มีประวัติ Claude Code และคอนฟิก ARTEX ผู้โจมตียังไม่ถูกระบุตัว แต่น่าจะพูดภาษาจีนและหวังผลทางการเงิน ผู้พัฒนา Autumn-27 ประกาศปิดซอร์สและหยุดพัฒนา ARTEX แล้ว ขณะเดียวกัน ZenoX เผย SCARLET LOOP แพลตฟอร์ม AI ยึดบัญชีที่ทดสอบ credential กว่า 12 ล้านชุด