Prompt-Injection

Google เปิดตัว Gemini 4 Carbon โมเดล frontier ที่นำเบนช์มาร์กด้านไซเบอร์ทั้งหาช่องโหว่ SEC-bench Pro 88.2% เขียน exploit ExploitGym 54.8% และแพตช์ CWE-bench 71.0% Google อ้างว่าโมเดลเขียนโค้ดปลอดภัยได้มากกว่ารุ่น Argon สองเท่าและต้าน indirect prompt injection ได้ทุกการทดสอบ แต่ตัวเลขมาจากผู้พัฒนาเอง ช่วงแรกเปิดให้เฉพาะทีมป้องกันไซเบอร์บางกลุ่มผ่านโครงการ Fairwind ในสัปดาห์เดียวกัน OpenAI ออก GPT-6.1 Terra ที่แตะเกณฑ์ไซเบอร์ระดับ Critical ทีมความปลอดภัยควรเตรียมรับรอบหาและใช้ช่องโหว่ที่เร็วขึ้น

Tracebit เผยงานวิจัย context bomb พรอมต์ซ่อนที่เอเจนต์ AI โจมตีดูดเข้าไปเองขณะสำรวจเป้าหมาย เพื่อหลอกให้ไปผิดทางหรือติดกับดัก เทคนิคใหม่ 9 แบบหยุดการโจมตีของ GPT 5.6 Cyber, Kimi K3, Qwen 3.8 Max และ DeepSeek V4 Pro ได้ทั้งหมด และลดความสำเร็จของ GPT-6 Astra 54% และ Claude Opus 5 ได้ 91% ตัวที่ได้ผลที่สุดคือรายงานเจาะระบบปลอมที่สลับเป้าจริงกับเป้าล่อ แม้หยุดไม่ได้ก็ยังทำให้ต้นทุนต่อความสำเร็จเพิ่ม 23 เท่า งานนี้มาจากบริษัทที่ขายเทคโนโลยี deception เอง

Microsoft เผยแพร่บทความเมื่อ 19 ตุลาคม 2569 เตือนให้องค์กรมองเอเจนต์ AI เป็นคนในที่มีสิทธิ์เข้าถึงข้อมูลและลงมือได้ด้วยความเร็วเครื่อง เอเจนต์อาจผิดพลาด ทำตามคำสั่งแฝงในเอกสาร หรือถูกยึด จึงไม่ควรได้สิทธิ์ทั้งหมดของผู้สร้าง หลักการคือวางระบบควบคุมไว้นอกโมเดล บริษัทประกาศขยาย Entra Agent ID, Agent 365 และ Project Perception พร้อม Dynamic Permissions, Dynamic Conditional Access และ Guardian Agents แต่ยังไม่ระบุวันเปิดใช้งาน

นักวิจัยจาก Penn State, Université Montpellier และ Dartmouth เปิดตัวเฟรมเวิร์ก ToFu สำหรับ fuzzing เครื่องมือของ AI agent บนเซิร์ฟเวอร์ MCP จากการทดสอบเซิร์ฟเวอร์โอเพนซอร์ส 273 ตัวที่มีเครื่องมือ 3,405 รายการ พบช่องโหว่ที่ยืนยันแล้ว 253 รายการ กระทบเครื่องมือ 343 รายการใน 118 เซิร์ฟเวอร์ ปัญหาหลักคือ path traversal, log injection, การรั่วข้อมูล และการเลี่ยงข้อจำกัดคำสั่ง ทีมวิจัยยังสาธิตการโจมตี Repeat-After-Me ที่หลอกให้ orchestrator รันข้อความเป็นคำสั่งเรียกเครื่องมือได้ใน 6 เฟรมเวิร์ก

ผู้เชี่ยวชาญหลายรายเตือนผ่าน Dark Reading ว่าเมื่อองค์กรให้เอเจนต์ AI มีสิทธิ์ทำงานในระบบธุรกิจ ผู้โจมตีจะหันมาหลอกเอเจนต์แทนพนักงานในรูปแบบเดียวกับ BEC เครื่องมือหลักคือ prompt injection ทั้งแบบตรงและแบบแฝงในเว็บหรืออีเมล เพื่อสั่งให้เอเจนต์แก้ข้อมูลผู้ขาย เปลี่ยนบัญชีรับเงิน หรือดึงข้อมูลสำคัญ ผู้เชี่ยวชาญแนะนำให้ถือเอเจนต์เป็นตัวตนที่ต้องทำบัญชีคุม วางการควบคุมไว้นอกตัวเอเจนต์ และให้มนุษย์อนุมัติงานเสี่ยงสูง

นักวิจัย Zenity Labs เผยที่งาน SecTor 2026 ว่าเอเจนต์บน AWS Bedrock AgentCore เข้าถึง IMDS ได้ ทำให้ prompt เดียวถึงแชตบอตสาธารณะดึง credential ชั่วคราวของ execution role ออกมาได้ role เริ่มต้นมีสิทธิ์กว้างทั้ง region จึงเรียกเอเจนต์ตัวอื่น อ่านบทสนทนา ฝังความจำ และอ่าน Secrets Manager ได้ AWS เปลี่ยนเป็น IMDSv2 เมื่อ ก.พ. และตัดสิทธิ์ role เริ่มต้นราวปลาย ก.ย. AWS แย้งว่าเป็นพฤติกรรมตามเอกสาร ไม่ใช่ช่องโหว่ ยังไม่พบการโจมตีจริงและไม่มี CVE

รายงาน Global Digital Trust Insights 2027 ของบริษัท PwC สำรวจผู้นำธุรกิจและเทคโนโลยีเกือบ 4,000 รายใน 70 กว่าประเทศ พบว่าองค์กรทั่วโลกยังไม่พร้อมรับภัยที่ขับเคลื่อนด้วย AI โดยผู้นำกังวลที่สุดกับการโจมตีระบบ AI ของตนเองทั้ง botnet อัตโนมัติ การโจมตีเชิงปฏิปักษ์ และ data poisoning มีเพียง 22% ที่ยอมให้ AI agent ป้องกันภัยแบบอัตโนมัติเต็มรูปแบบโดยไม่มีมนุษย์อนุมัติ ด้านภัยควอนตัม มีเพียง 21% ที่เริ่มใช้การเข้ารหัสต้านควอนตัม ท่ามกลางภัย harvest now, decrypt later

นักวิจัยจาก Zenity เปิดเผยช่องโหว่ 3 จุดใน Salesforce Agentforce ที่เรียกรวมว่า Salesbleed ซึ่งเปิดทางให้ผู้โจมตีดึงข้อมูลภายในและฟิชชิงพนักงานได้ จุดเริ่มคือฟอร์ม Web-to-lead ที่รับข้อมูลจากคนภายนอก ผู้โจมตีแฝง prompt มุ่งร้ายให้เอเจนต์นำไปทำงานในระบบเหยื่อ ที่อันตรายกว่าคือการสั่งให้บอทตอบกลับในเธรด Slack ภายในองค์กรพร้อมลิงก์ฟิชชิง โดยไม่ระบุตัวผู้ส่ง ทำให้ดูเหมือนข้อความจากพนักงานหรือฝ่าย IT ช่องโหว่ยังไม่มี CVE และ Salesforce ได้ปรับค่าเริ่มต้นให้ต้องยืนยันก่อนส่งข้อความ

นักวิจัย Patrick Wardle เปิดโปงช่องโหว่ 0-day ในเอเจนต์ AI ชื่อ Muse ของ Meta บน macOS ที่เปิดทางให้มัลแวร์ซึ่งรันในสิทธิ์ผู้ใช้อยู่แล้วเข้ายึดผู้ช่วย ดักคำสั่งที่ผู้ใช้พูด inject คำสั่งอันตราย และขโมยข้อมูลยืนยันตัวตน ต้นเหตุคือค่าคอนฟิกที่ไม่มีเอกสาร endo_voyager_dictation_endpoint ที่โปรเซสสิทธิ์ต่ำแก้ไขได้ เพื่อเปลี่ยนเส้นทางทราฟฟิกไปเซิร์ฟเวอร์ผู้โจมตี ช่องโหว่นี้ทำหน้าที่ขยายสิทธิ์การเข้าถึงผ่านอำนาจที่ผู้ใช้มอบให้เอเจนต์

บริษัท Check Point เผยว่าคำสั่งที่ถูกฝังไว้ในบทสนทนา ChatGPT เพียงคำสั่งเดียวทำให้โมเดลแอบทำงานให้ผู้โจมตีไปพร้อมกับตอบคำถามผู้ใช้ตามปกติ ในการสาธิต งานที่ซ่อนอยู่อ่านข้อมูลจากบัญชี Gmail ที่ผู้ใช้เชื่อมไว้แล้วส่งต่อไปยังบัญชี ChatGPT อีกบัญชีหนึ่ง ช่องทางที่ใช้คือบริการติดตั้งแพ็กเกจภายในซึ่งคอนเทนเนอร์ของทุกบัญชีเข้าถึงได้ร่วมกัน โดยไม่มีการแยกข้อมูลตามบัญชี OpenAI ยืนยันว่าปิดบริการเบื้องหลังช่องทางนี้แล้วและผู้ใช้ไม่ต้องติดตั้งอะไรเพิ่ม