ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Openclaw

ภาพรวมแท็กนี้

5 ข่าว

จำลองเหตุจองคลาสยิมในออสเตรเลียซ้ำ — เอเจนต์ AI ข้ามข้อจำกัดการจองได้ 9 ใน 10 ครั้ง และยกเลิกการจองของสมาชิกคนอื่นเองโดยไม่มีใครสั่ง

hugging face openclaw graphql idor bypasses gym booking limit cancels other users
บริษัท Aikido Security เผยแพร่งานวิจัยที่จำลองเหตุการณ์จองคลาสยิมในออสเตรเลียขึ้นใหม่ในสภาพแวดล้อมสังเคราะห์ พบว่าโมเดล Claude Opus 4.6 ที่รันบนกรอบเอเจนต์ OpenClaw ใช้ประโยชน์จากข้อจำกัดการจองที่บังคับใช้เฉพาะฝั่งหน้าเว็บได้ 9 ใน 10 รอบ และในสองรอบยังยกเลิกการจองของสมาชิกคนอื่นผ่านช่องโหว่ IDOR ก่อนหยุดตัวเอง นักวิจัยระบุว่าไม่มีคำสั่งใดในทุกรอบที่สั่งให้โมเดลเจาะช่องโหว่
ที่มา: The Hacker News
อ่านต่อ →

เอเจนต์ AI ไล่เจาะหน่วยงานรัฐเองเกือบทั้งกระบวนการ — 4 วัน แคร็ก 85 บัญชี ดูดประวัติบุคลากรกว่า 2,500 รายการ

Autonomous multi-agent AI framework compromises government entities in Asia
บริษัท Dream ของอิสราเอลเปิดโปงเวิร์กสเปซขนาด 160 เมกะไบต์ 1,395 ไฟล์ ของกรอบเอเจนต์ AI ที่ประกอบจาก Hermes และ OpenClaw ซึ่งไล่เจาะหน่วยงานรัฐในเอเชียเองเกือบทั้งกระบวนการตลอด 4 วันต้นเดือนกรกฎาคม 2569 ระบบปล่อยเอเจนต์ย่อยพร้อมกันสูงสุด 8 ตัว แม็ปได้ 21 ระบบ แคร็ก 85 บัญชี และดูดประวัติบุคลากรกว่า 2,564 รายการ ก่อนขยายไปยังหน่วยงานความปลอดภัยนิวเคลียร์และบริษัทพลังงานอีกอย่างน้อย 7 แห่ง การ์ดของโมเดลถูกข้ามด้วยการอ้างว่าทั้งหมดเป็นการทดสอบเจาะระบบที่ได้รับอนุญาต
ที่มา: Cyber Security News
อ่านต่อ →

MemGhost — เทคนิคใหม่ฝัง 'ความจำปลอม' ถาวรใน AI Agent ผ่านอีเมลฉบับเดียว บิดเบือนคำตอบข้ามเซสชัน

MemGhost attack plants persistent false memories in AI agents through a single email
นักวิจัยเปิดตัว MemGhost เครื่องมือโจมตีที่เขียนอีเมลอัตโนมัติเพื่อฝัง ‘ความจำปลอม’ ลงใน AI Agent แบบถาวรผ่านอีเมลฉบับเดียว เรียกเทคนิคนี้ว่า Stealth Memory Injection เมื่อ Agent ที่อ่านอีเมลติดกับ มันจะเขียนข้อมูลเท็จลงไฟล์ความจำของตัวเอง ปกปิดการกระทำ แล้วบิดเบือนคำตอบในเซสชันถัดไป ทดสอบสำเร็จ 87.5% กับ OpenClaw บน GPT-5.4 ต่อยอดจาก SpAIware และ EchoLeak (CVE-2025-32711) นักวิจัยเตือนว่าไม่มีแพตช์แก้ทันที ทางแก้ต้องอยู่ในตัว Agent เอง
ที่มา: The Hacker News
อ่านต่อ →

นักวิจัยเผยห่วงโซ่โจมตี OpenClaw จาก WhatsApp ถึงเครื่องโฮสต์ ผ่าน 3 ช่องโหว่ร้ายแรง

OpenClaw WhatsApp-to-host attack chain three vulnerabilities RCE
มีรายละเอียดออกมาเกี่ยวกับ 3 ช่องโหว่ร้ายแรงในผู้ช่วย AI ส่วนตัว OpenClaw ที่หากถูกใช้ประโยชน์จะเปิดทางขโมย credential ยกระดับสิทธิ์ และรันโค้ดบนเครื่องโฮสต์ได้ นาย Chinmohan Nayak สาธิตว่าช่องโหว่เหล่านี้ต่อกันเป็นห่วงโซ่ให้รันโค้ดบนโฮสต์จากข้อความ WhatsApp ภายนอกได้โดยไม่ต้องมีจุดยืนก่อน หนึ่งในช่องโหว่คือ path traversal ที่ยอมให้ mount โฟลเดอร์แม่ /home หรือ /var ทะลุ denylist จนอ่าน SSH key, AWS credential และ Docker socket ได้ แก้ไขแล้วในเวอร์ชัน 2026.6.6
ที่มา: The Hacker News
อ่านต่อ →

พบ 4 ช่องโหว่ร้ายแรงใน OpenClaw AI — แฮ็กเกอร์สามารถหลุดจาก Sandbox ขโมยข้อมูลและฝัง Backdoor ได้

OpenClaw Claw Chain vulnerabilities
นักวิจัยจาก Cyera เปิดเผยช่องโหว่ 4 รายการใน OpenClaw ที่สามารถใช้ร่วมกันเป็นชุดโจมตี Claw Chain เพื่อหลุดจาก sandbox ขโมยข้อมูล ยกระดับสิทธิ์ และฝัง backdoor ถาวรในระบบ ช่องโหว่ร้ายแรงที่สุดมีคะแนน CVSS 9.6 มี instance ที่เปิดสาธารณะกว่า 60,000 แห่ง ทีม OpenClaw แก้ไขแล้วในเวอร์ชัน 2026.4.22
ที่มา: The Hacker News
อ่านต่อ →