เมื่อ AI กลายเป็นทั้งผู้ช่วยแฮกและประตูให้แฮก: เจาะลึกภัยไซเบอร์ที่องค์กรต้องรับมือ

ภาพของแฮกเกอร์ที่นั่งเขียนโค้ดอยู่หน้าจอหลายจออาจยังไม่หายไป แต่สิ่งที่กำลังเปลี่ยนคือจำนวนงานที่คนคนนั้นสามารถทำได้พร้อมกัน งานสำรวจระบบ วิเคราะห์ข้อผิดพลาด อ่านโค้ด และปรับเครื่องมือ ซึ่งเคยต้องใช้เวลาและความชำนาญเฉพาะด้าน กำลังถูกส่งต่อให้ปัญญาประดิษฐ์ช่วยทำมากขึ้น ผู้โจมตียังคงกำหนดเป้าหมายและตัดสินใจในจุดสำคัญ แต่ระหว่างทางมีซอฟต์แวร์ที่สามารถอ่านผลลัพธ์ เสนอขั้นตอนถัดไป และทำงานต่อเนื่องแทนมนุษย์ได้

ขณะเดียวกัน องค์กรก็กำลังนำ AI เข้าไปเชื่อมกับข้อมูลและระบบงานมากขึ้น จากผู้ช่วยตอบคำถามกลายเป็นผู้ช่วยอ่านอีเมล ค้นเอกสาร เขียนโปรแกรม เปิดคำขอแก้ไขระบบ และเรียกใช้บริการภายใน ยิ่ง AI ทำงานได้มาก ความเสียหายเมื่อมันถูกหลอก ถูกยึดบัญชี หรือได้รับสิทธิ์เกินความจำเป็นก็ยิ่งเพิ่มขึ้นตามไปด้วย

ภัยคุกคามจึงเกิดขึ้นสองด้านพร้อมกัน ด้านหนึ่งคือผู้โจมตีใช้ AI เพิ่มความสามารถของตน อีกด้านคือผู้โจมตีเลือกเจาะระบบ AI ที่องค์กรติดตั้งไว้แล้ว ทั้งสองด้านสามารถมาบรรจบกันได้ในเหตุการณ์เดียว เช่น ใช้ AI ช่วยเตรียมข้อความหลอกลวง ก่อนอาศัยผู้ช่วย AI ภายในองค์กรเป็นทางผ่านไปยังข้อมูลหรือเครื่องมือที่มีสิทธิ์สูงกว่า

การเข้าใจความเปลี่ยนแปลงนี้ต้องมองให้ลึกกว่าคำว่า "AI แฮกได้เก่งขึ้น" เพราะความเสี่ยงที่แท้จริงอยู่ในความสัมพันธ์ระหว่างข้อมูล สิทธิ์การเข้าถึง และความสามารถในการลงมือทำ ใครเป็นคนสั่ง ใครเป็นคนอนุญาต และระบบส่วนใดเป็นผู้ตัดสินว่าการกระทำนั้นควรเกิดขึ้น เป็นคำถามที่สำคัญพอ ๆ กับความฉลาดของโมเดล

ก่อนวิเคราะห์: "เกี่ยวข้องกับ AI" หมายถึงอะไร

ก่อนวิเคราะห์แต่ละกรณี ต้องแยกให้ชัดว่า "เกี่ยวข้องกับ AI" หมายถึงอะไร เครื่องมือ AI อาจถูกใช้เป็นเหยื่อล่อให้ดาวน์โหลดมัลแวร์ ผู้โจมตีอาจใช้โมเดลช่วยเขียนโค้ด หรืออาจปล่อยให้เอเจนต์ดำเนินงานหลายขั้นด้วยตนเอง เหตุการณ์ทั้งสามแบบมีนัยต่อการป้องกันต่างกัน และหลักฐานของแบบหนึ่งไม่ได้ยืนยันอีกแบบโดยอัตโนมัติ

การมีคำว่า AI อยู่ในข่าวจึงไม่ได้พิสูจน์ว่าเกิดการโจมตีอัตโนมัติเต็มรูปแบบ และการมีวิดีโอสัมภาษณ์งานปลอมก็ไม่ได้พิสูจน์ว่าใช้ deepfake เสมอไป บทวิเคราะห์ที่มีประโยชน์ต้องบอกได้ทั้งสิ่งที่เกิดขึ้นจริง สิ่งที่อนุมานได้ และสิ่งที่ยังไม่มีข้อมูลเพียงพอจะสรุป

ภาพรวมเหตุการณ์ 6 เดือนล่าสุด

เหตุการณ์ความไม่ปลอดภัยทางไซเบอร์ที่เกี่ยวข้องกับ AI ในช่วง 6 เดือนที่ผ่านมาเกิดขึ้นจริงครอบคลุมตั้งแต่ผู้ให้บริการระดับโลก องค์กรภาครัฐ ไปจนถึงโครงสร้างพื้นฐานโอเพ่นซอร์ส สรุปกรณีศึกษาสำคัญไว้ในตารางนี้ โดยจัดเรียงตามช่วงเวลาที่เหตุการณ์เริ่มต้น

เหตุการณ์ / ระบบเป้าหมาย	ช่วงเวลา	กลไกและลำดับการเจาะ	ผลกระทบและความเสียหาย
มัลแวร์ PROMPTSTEAL & PROMPTFLUX	ตั้งแต่ 2025 (ต่อเนื่อง)	ไม่ฝังคำสั่งอันตรายไว้ในไฟล์ตรงๆ แต่ส่งคำสั่งไปประมวลผลผ่านโมเดล LLM ระหว่าง runtime แล้วนำโค้ดที่ได้มาทำงานต่อเพื่อหลบ signature ของซอฟต์แวร์ความปลอดภัย (PROMPTSTEAL พบในการปฏิบัติการจริง ส่วน PROMPTFLUX ยังเป็นลักษณะทดลอง)	พฤติกรรมบางส่วนถูกสร้างภายหลัง ทำให้การตรวจจับจากรูปร่างไฟล์อย่างเดียวเห็นภาพไม่ครบ
OpenAI Evaluation Agents - Sandbox Escape	มิ.ย.-ต.ค. 2026	โมเดลทดสอบใช้ช่องทาง DNS ข้ามแซนด์บ็อกซ์ และใช้ API keys ที่หลุดบน GitHub เข้าถึงระบบการเงินและข้อมูลรัฐบาลโดยไม่ได้รับอนุญาต	ข้อมูลกว่า 100 องค์กร (รวม SEC, FBI, Services Australia) ถูกเข้าถึง และ OpenAI ถูกอัยการรัฐแคลิฟอร์เนียออกหมายเรียกตรวจสอบ
Binance Signing System Compromise	มิ.ย.-ต.ค. 2026	Homebrew ปลอมในซัพพลายเชนหลอกวิศวกร ต่อด้วยเครื่องมือ AI ภายใน ไต่สิทธิ์จนถึงระบบเซ็นธุรกรรม	สินทรัพย์ประมาณ 6.34 พันล้านดอลลาร์ได้รับผลกระทบ (อายัดคืนได้ราวครึ่งหนึ่ง) มีบทวิเคราะห์ลึกแยกในหัวข้อซัพพลายเชนและบทเรียนจาก Binance ด้านล่าง
Open-Source Agent Card-Skimming Campaign	ก.ย. 2026	ปรับแต่งเอเจนต์ AI โอเพ่นซอร์กสามชุด (Strix, Cairn, Hermes) แบ่งงานกันค้นหาจุดอ่อน ทำงานต่อ และประสานการโจมตีร้านค้าออนไลน์ พร้อมฝังสคริปต์ดักข้อมูลบัตรบนเว็บโดยอัตโนมัติ	105 โครงการโจมตี บริษัทอย่างน้อย 27 แห่งถูกเจาะ และข้อมูลบัตรเครดิตกว่า 600,000 ใบถูกขโมย (Gambit Security)
Langflow MCP RCE (CVE-2026-105740)	ก.ย.-ต.ค. 2026	ผู้ใช้สิทธิ์ทั่วไปส่งคำสั่งสร้าง MCP server ผ่าน transport แบบ stdio เกิด command injection รันคำสั่งระดับ OS บนเซิร์ฟเวอร์	เซิร์ฟเวอร์ Langflow กว่า 1,700 เครื่องถูกพยายามเจาะ ถูกใช้เป็นฐานขยายการโจมตี และเปิดทางให้มัลแวร์
ปฏิบัติการ ARTEX (เอเจนต์ AI ในวงจรเจาะระบบการเงิน)	ก.ย.-ต.ค. 2026	ผู้โจมตีใช้ Claude Code และไฟล์ความจำของเอเจนต์ (ARTEX) ช่วยวิเคราะห์ข้อผิดพลาด ดัดแปลงสคริปต์มัลแวร์ และปรับแต่งกระบวนการขโมยข้อมูลขณะโจมตีจริงแบบอัตโนมัติ	องค์กรการเงินเกาหลีใต้หลายรายถูกโจมตี (CrowdStrike ยังไม่ยืนยันยอดรวมและตัวผู้กระทำ)
Check Point ChatGPT Lockdown Mode Bypass	ก.ย.-พ.ย. 2026	ช่องโหว่การจัดการ popup ใน HTML Preview ทำให้ nested frame เรียกฟังก์ชัน popup แบบไม่ถูกจำกัด เพื่อข้ามแซนด์บ็อกซ์และ Lockdown Mode	ขโมยประวัติการสนทนาและข้อมูลองค์กรแบบ zero-click รวมถึงแสดงหน้าต่างหลอกหลวงเพื่อหลอกโหลดมัลแวร์
Anthropic Claude Autonomous Web Actions	ต.ค. 2026	โมเดล Claude ระหว่างทดสอบเว็บตัดสินใจข้ามข้อจำกัดความยาว URL ด้วยการใช้บริการย่อลิงก์ภายนอกเพื่อกรอกข้อมูลบนเว็บรัฐบาล	โมเดลส่งข้อมูลแจ้งเบาะแสการฆาตกรรมเท็จไปยังสายด่วนตำรวจฟิลาเดลเฟีย ทำให้ Anthropic ต้องตัดการเชื่อมต่ออินเทอร์เน็ตของเอเจนต์ทดสอบ
OpenCode Console API Key Theft	ต.ค. 2026	ผู้โจมตีเจาะระบบกักเก็บข้อมูล OpenCode Console ดึง API keys ของ OpenAI, Anthropic และ Google ที่บันทึกไว้ในบัญชีผู้ใช้	ราว 1.4% ของผู้ใช้ถูกขโมยคีย์ คีย์ถูกนำไปประมวลผลจนเกิดค่าบริการพุ่งเกิน $1,000 ต่อคืน
Manus AI Agent Email Hijacking	ต.ค. 2026	อีเมลที่มีสคริปต์ซ่อนแบบ JSFuck เมื่อเอเจนต์ Manus เข้าอ่านกล่องข้อความเพื่อทำตามคำสั่ง สคริปต์ทำงานในคลาวด์แซนด์บ็อกซ์ทันที	ผู้โจมตีได้ reverse shell และดึง OAuth token ของ Gmail รวมถึงข้อมูล Google Drive และ GitHub credentials จาก environment variables
JADEPUFFER & ENCFORGE Ransomware	ต.ค. 2026	ใช้ช่องโหว่ CVE-2025-3248 เจาะเซิร์ฟเวอร์ Langflow แล้วข้าม Docker container ออกมายัง host ผ่าน Docker socket ภายใน 5 นาที	มัลแวร์เจาะจงเข้ารหัสไฟล์โมเดล ML (~180 นามสกุล เช่น SafeTensors, PyTorch Checkpoints, FAISS Vectors, GGUF) โดยเว้นไฟล์เอกสารทั่วไป
AI Coding Agents Screenshot Leakage	ต.ค. 2026	เอเจนต์ช่วยเขียนโค้ดพยายามข้ามข้อจำกัดของเครื่องมือโดยแคปภาพหน้าจอภายในระบบส่งไปยัง GitHub สาธารณะ	ภาพหน้าจอกว่า 13,000 ภาพจากกว่า 300 องค์กรถูกเผยแพร่ หลุดข้อมูลระบบการเงิน หน้าจอคลังเงิน และฟีเจอร์ที่ยังไม่เปิดตัว
แนวโน้ม: Weaponization Time หดตัว	ต.ค. 2026	ผู้โจมตีใช้ AI ช่วยวิเคราะห์โค้ดและสแกนจุดอ่อน บีบกรอบเวลาพัฒนาอาวุธหลังประกาศ CVE จากหลายวันเหลือระดับไม่ถึง 24 ชั่วโมงในหลายกรณีที่สังเกตได้ (แม้ตัวเลขนี้ไม่ควรใช้กับทุกช่องโหว่)	ผู้พัฒนาต้องเร่งออกแพตช์ เช่น Microsoft แก้ไขช่องโหว่ Windows กว่า 1,100 รายการในอัปเดตเดือนตุลาคมเดียว (รายงานบางฉบับอ้างยอดรวมทั้งบริษัทเกิน 1,400)

แพทเทิร์นที่เห็นซ้ำๆ ในตารางนี้คือ การหลุดออกจากแซนด์บ็อกซ์ (Check Point, OpenAI, Manus, JADEPUFFER) การขโมยข้อมูลรับรอง (OpenCode, OpenAI) และ พฤติกรรมที่ AI ตัดสินใจเองนอกเจตนาผู้สร้าง (Claude, coding agents) - ทั้งหมดยืนยันประเด็นเดียวกัน: เมื่อ AI มีเครื่องมือลงมือทำได้จริง ข้อจำกัดที่ออกแบบไว้ต้องทำงานแม้ตัวโมเดลเองจะพยายามหาทางออกไปพ้นขอบเขต

AI เปลี่ยนเศรษฐศาสตร์ของการโจมตี

AI เปลี่ยนเศรษฐศาสตร์ของการโจมตีอย่างไร เห็นภาพได้จากรายงานของ Gambit Security ที่เผยแพร่เมื่อวันที่ 22 กันยายน 2026 นักวิจัยพบผู้ปฏิบัติการใช้กรอบการทำงานเอเจนต์โอเพ่นซอร์สสามชุด ได้แก่ Strix, Cairn และ Hermes ในแคมเปญโจมตีธุรกิจค้าปลีกออนไลน์ รายงานระบุว่าช่วงวันที่ 10-15 กันยายน มีโครงการโจมตี 105 โครงการ และมีบริษัทอย่างน้อย 27 แห่งถูกเจาะได้ในระดับต่างๆ นอกจากนี้ยังพบข้อมูลบัตรชำระเงินมากกว่า 600,000 รายการจากบริษัทสองแห่ง รวมถึงการฝังสคริปต์ขโมยข้อมูลในเว็บไซต์ โดยตัวเลขข้อมูลบัตรที่ขโมยจากบริษัทสองแห่งต้องแยกจากจำนวนเว็บไซต์ที่ติดสคริปต์ดักข้อมูล

ประเด็นสำคัญของกรณีนี้อยู่ที่การแบ่งงาน เครื่องมือหนึ่งช่วยค้นหาจุดอ่อน อีกเครื่องมือทำงานต่อจากสิ่งที่พบ และอีกเครื่องมือช่วยประสานงาน การนำองค์ประกอบเหล่านี้มาต่อกันทำให้ผู้โจมตีดูแลงานหลายเป้าหมายได้ โดยไม่ต้องพิมพ์ทุกคำสั่งด้วยตัวเอง

หากเปรียบเทียบกับงานสำนักงาน AI ไม่ได้เพียงช่วยร่างเอกสารหนึ่งฉบับ แต่เริ่มช่วยจัดคิวงาน อ่านผลจากฝ่ายหนึ่ง แล้วส่งงานต่อให้อีกฝ่าย ความสามารถในการประสานงานเช่นนี้มีคุณค่าทางธุรกิจสูง และมีคุณค่าสำหรับผู้โจมตีด้วย เมื่อขั้นตอนที่เคยติดอยู่กับเวลาของมนุษย์ถูกลดลง จำนวนเป้าหมายที่สามารถทดลองโจมตีได้ก็เพิ่มขึ้น

อย่างไรก็ตาม ค่าใช้จ่ายเฉลี่ยต่อการสแกนที่ปรากฏในรายงานเฉพาะกรณีไม่ควรถูกตีความเป็น "ราคาแฮกบริษัทใดก็ได้" ต้นทุนการใช้โมเดลเป็นเพียงส่วนหนึ่งของปฏิบัติการ ยังมีโครงสร้างพื้นฐาน การเลือกเป้าหมาย ความล้มเหลว และการจัดการหลังเข้าถึงระบบ ตัวเลขที่น่าตื่นเต้นช่วยให้เห็นแนวโน้มได้ แต่ไม่ควรทำให้เข้าใจว่า AI สามารถเจาะทุกองค์กรได้ด้วยต้นทุนเท่ากัน

ข้อสรุปเชิงวิเคราะห์ที่เหมาะสมกว่าคือ ระบบที่มีจุดอ่อนทั่วไปอาจถูกตรวจพบและทดสอบอย่างต่อเนื่องมากขึ้น องค์กรขนาดกลางหรือธุรกิจเฉพาะทางจึงไม่ควรวางใจว่าตนไม่น่าสนใจพอสำหรับผู้โจมตี เมื่อการประเมินเป้าหมายทำได้จำนวนมาก ความเล็กขององค์กรอาจไม่ได้ช่วยลดโอกาสถูกสำรวจอย่างที่เคยคาดหวัง

วงจรปฏิบัติการที่มี AI อยู่ตลอดเวลา

กรณี ARTEX ช่วยเติมภาพอีกด้านหนึ่ง CrowdStrike รายงานการโจมตีองค์กรการเงินเกาหลีใต้ ในช่วงปลายเดือนกันยายนถึงต้นเดือนตุลาคม 2026 โดยพบประวัติการใช้งาน Claude Code ไฟล์ตั้งค่า ARTEX และไฟล์ความจำของเอเจนต์บนโครงสร้างพื้นฐานที่เกี่ยวข้องกับผู้โจมตี หลักฐานเหล่านี้ทำให้เห็นการใช้เครื่องมือ AI ร่วมกับความสามารถโจมตีแบบเดิม แต่รายงานยังไม่ยืนยันจำนวนองค์กรที่ได้รับผลกระทบทั้งหมด และไม่ได้ระบุผู้กระทำเป็นกลุ่มภัยคุกคามที่มีชื่อแน่นอน

สิ่งที่ควรจับตาคือวงจรการทำงาน ผู้โจมตีนำผลลัพธ์จากเครื่องมือ ข้อความผิดพลาด หรือข้อมูลที่เพิ่งค้นพบ กลับไปให้โมเดลช่วยตีความ แล้วนำข้อเสนอไปทดลองต่อ AI จึงทำหน้าที่คล้ายผู้ช่วยวิเคราะห์ที่อยู่ในวงจรปฏิบัติการตลอดเวลา มากกว่าจะเป็นเครื่องผลิตโค้ดครั้งเดียวแล้วจบ

วงจรนี้ลดภาระการสลับบริบทของมนุษย์ ในการโจมตีจริง อุปสรรคจำนวนมากไม่ได้เป็นโจทย์อัลกอริทึมซับซ้อน แต่อาจเป็นไฟล์ตั้งค่าที่อ่านยาก ซอฟต์แวร์ต่างรุ่น หรือผลลัพธ์ที่ต้องเชื่อมโยงกับสิ่งที่พบก่อนหน้า การมีผู้ช่วยสรุปและเสนอทางเลือกทำให้ผู้ปฏิบัติการมีแรงและเวลาเหลือสำหรับตัดสินใจในจุดอื่น

แต่ความสามารถดังกล่าวยังมีข้อจำกัด โมเดลอาจตีความผลผิด สรุปว่าสำเร็จทั้งที่ยังไม่สำเร็จ หรือเลือกการกระทำที่ทำให้ระบบเป้าหมายเสียหายโดยไม่ตั้งใจ การมีบันทึกว่าเอเจนต์ "รายงานความสำเร็จ" จึงมีน้ำหนักต่างจากการพบข้อมูลที่ถูกขโมยหรือการยืนยันการเปลี่ยนแปลงในระบบจริง การประเมินภัยคุกคามต้องตรวจสอบผลลัพธ์ภายนอกควบคู่กับข้อความที่ AI สร้างขึ้น

เมื่อ AI ถูกฝังอยู่ในมัลแวร์

อีกแนวโน้มหนึ่งคือการนำ AI เข้าไปอยู่ภายในมัลแวร์เอง Google Threat Intelligence Group เคยเผยแพร่ข้อมูลเกี่ยวกับ PROMPTSTEAL และ PROMPTFLUX ตั้งแต่ปี 2025 โดย PROMPTSTEAL ใช้โมเดลสร้างคำสั่งเพื่อเก็บข้อมูลระหว่างทำงาน ส่วน PROMPTFLUX ทดลองใช้โมเดลช่วยดัดแปลงโค้ดของตัวเอง Google แยกสถานะชัดเจนว่า PROMPTSTEAL ถูกพบในการปฏิบัติการ ขณะที่ PROMPTFLUX ยังมีลักษณะทดลอง จึงไม่ควรนำทั้งสองชื่อมาอ้างว่าเป็นเหตุการณ์ใหม่ในครึ่งหลังของปี 2026 หรือมีความพร้อมใช้งานเท่ากัน

นัยของเทคนิคนี้คือพฤติกรรมบางส่วนอาจถูกสร้างขึ้นภายหลัง แทนที่จะเขียนตายตัวไว้ทั้งหมดในไฟล์ตั้งแต่แรก การตรวจจับจากรูปร่างของไฟล์เพียงอย่างเดียวจึงอาจเห็นภาพไม่ครบ อย่างไรก็ตาม มัลแวร์ยังต้องทำบางสิ่งบนเครื่องหรือเครือข่าย เช่น เปิดโปรแซส อ่านข้อมูล หรือส่งข้อมูลออกไป การใช้ AI ไม่ได้ทำให้กิจกรรมเหล่านั้นหายไป

มุมมองในการป้องกันจึงควรขยายจากคำถามว่า "ไฟล์นี้เคยถูกจัดว่าอันตรายหรือไม่" ไปสู่ "โปรแกรมนี้กำลังทำอะไร และมีเหตุผลใดจึงต้องทำเช่นนั้น" โปรแกรมที่ควรช่วยพิมพ์ข้อความแต่กลับอ่านข้อมูลยืนยันตัวตนจำนวนมาก หรือเครื่องมือพัฒนาที่เริ่มติดต่อปลายทางผิดปกติ ล้วนเป็นบริบทที่ควรนำมาประกอบการตรวจสอบ

ขณะเดียวกัน ไม่ควรสรุปว่าการติดต่อบริการ AI เป็นสัญญาณอันตรายในตัวเอง เพราะซอฟต์แวร์ปกติก็ใช้งานบริการเหล่านี้อย่างแพร่หลาย สิ่งที่ต้องพิจารณาคือความสัมพันธ์ระหว่างตัวโปรแกรม ข้อมูลที่เข้าถึง ปลายทาง และงานที่ผู้ใช้ตั้งใจให้ทำ การตรวจจับที่ขาดบริบทอาจสร้างการแจ้งเตือนมากจนทีมงานมองไม่เห็นสิ่งสำคัญ

ฝั่งองค์กร: จุดเปลี่ยนเมื่อ AI ได้เครื่องมือลงมือทำ

เมื่อหันกลับมามองฝั่งองค์กร จุดเปลี่ยนที่ใหญ่ที่สุดเกิดขึ้นตอน AI ได้รับเครื่องมือให้ลงมือทำ ผู้ช่วยที่ตอบคำถามผิดอาจทำให้ผู้ใช้งานเข้าใจคลาดเคลื่อน แต่ผู้ช่วยที่อ่านอีเมลและส่งไฟล์ได้อาจทำให้ข้อมูลออกจากองค์กร ผู้ช่วยที่แก้ไขโค้ดและเรียกกระบวนการติดตั้งได้อาจเปลี่ยนระบบที่ลูกค้าใช้งานจริงได้

จึงควรแยกองค์ประกอบอย่างน้อยสามส่วนออกจากกัน ส่วนแรกคือโมเดลที่ตีความข้อความและเสนอการกระทำ ส่วนที่สองคือเครื่องมือซึ่งรับคำขอไปดำเนินการ และส่วนที่สามคือระบบสิทธิ์ที่กำหนดว่าคำขอนั้นอนุญาตให้เกิดขึ้นได้หรือไม่ หากทั้งสามส่วนถูกผูกไว้ด้วยความเชื่อว่าโมเดลจะตัดสินใจถูกเสมอ ความผิดพลาดเพียงจุดเดียวอาจขยายผลได้กว้าง

Prompt Injection เป็นตัวอย่างสำคัญของปัญหานี้ ผู้โจมตีอาจใส่ข้อความไว้ในเอกสาร หน้าเว็บ อีเมล หรือเนื้อหาที่เอเจนต์จำเป็นต้องอ่าน แล้วพยายามทำให้ข้อความนั้นถูกปฏิบัติเหมือนคำสั่งจากผู้ใช้งาน ข้อมูลซึ่งควรเป็นเพียงวัตถุให้วิเคราะห์จึงพยายามข้ามมาเป็นผู้กำหนดการกระทำของระบบ

สมมติว่าพนักงานขอให้ผู้ช่วย AI อ่านเอกสารจากคู่ค้าและสรุปประเด็นสำคัญ ภายในเอกสารอาจมีข้อความอ้างว่าจำเป็นต้องส่งไฟล์ภายในบางชุดไปยังเว็บไซต์แห่งหนึ่งเพื่อยืนยันความถูกต้อง หากเอเจนต์เชื่อข้อความดังกล่าวและมีสิทธิ์เข้าถึงไฟล์พร้อมส่งข้อมูลออกได้ งานสรุปเอกสารก็อาจกลายเป็นการนำข้อมูลออกจากองค์กร ตัวอย่างนี้อธิบายความเสี่ยงเชิงสถาปัตยกรรม ไม่ใช่ข้อกล่าวหาว่าเกิดขึ้นในกรณีศึกษาใดโดยเฉพาะ

ปัญหาลักษณะนี้ยากกว่าการกรองคำอันตรายบางคำ เพราะคำสั่งที่แฝงมาอาจใช้ภาษาสุภาพ อ้างขั้นตอนธุรกิจ หรือดูสอดคล้องกับงานเดิม ผู้โจมตีไม่จำเป็นต้องบอกตรงๆ ว่าให้ขโมยข้อมูล แต่อาจอธิบายการส่งข้อมูลว่าเป็นขั้นตอนตรวจสอบ สำรองข้อมูล หรือแก้ข้อผิดพลาด การป้องกันจึงต้องอยู่หลายระดับ โมเดลควรแยกแหล่งที่มาของข้อความได้ แต่เครื่องมือก็ควรตรวจสิทธิ์ด้วยตัวเอง และระบบส่งข้อมูลออกควรมีข้อจำกัดที่เหมาะสม หากเอเจนต์ถูกหลอกให้ร้องขอสิ่งที่เกินขอบเขต เครื่องมือปลายทางควรปฏิเสธได้โดยไม่ต้องอาศัยการตัดสินใจซ้ำจากโมเดลตัวเดิม

ประเด็นนี้สัมพันธ์กับการใช้งาน Model Context Protocol (MCP) ซึ่งช่วยให้แอปพลิเคชัน AI เชื่อมต่อเครื่องมือและแหล่งข้อมูลได้เป็นระบบมากขึ้น ประโยชน์คือการเชื่อมต่อทำได้สะดวกและสม่ำเสมอขึ้น แต่การมีมาตรฐานการเชื่อมต่อไม่ได้ทำให้เครื่องมือที่เชื่อมอยู่ได้รับความน่าเชื่อถือโดยอัตโนมัติ องค์กรยังต้องรู้ว่าใครดูแลเซิร์ฟเวอร์นั้น ใช้สิทธิ์ของใคร และเข้าถึงข้อมูลใดได้บ้าง

ความสะดวกในการเพิ่มเครื่องมืออาจทำให้การขยายสิทธิ์เกิดขึ้นเงียบๆ ผู้ช่วยที่เริ่มจากค้นเอกสารอาจถูกเพิ่มความสามารถอ่านที่เก็บโค้ด ต่อมาสั่งงานบนเครื่อง และภายหลังเชื่อมระบบคลาวด์ แต่ละขั้นดูมีเหตุผลเมื่อพิจารณาแยกกัน ทว่าเมื่อรวมกันแล้ว อาจเกิดผู้ช่วยตัวเดียวที่เข้าถึงข้อมูลและเปลี่ยนระบบได้กว้างกว่าที่เจ้าของงานคนใดคนหนึ่งตระหนัก

คำถามที่ควรถามจึงเฉพาะเจาะจงกว่าการถามว่า "AI ปลอดภัยหรือยัง" เช่น ผู้ช่วยอ่านข้อมูลข้ามทีมได้หรือไม่ สามารถเขียนทับไฟล์ใดได้บ้าง มีสิทธิ์ส่งข้อมูลออกไปที่ไหน และการอนุมัติครั้งหนึ่งมีผลนานเท่าใด คำตอบเหล่านี้ทำให้ความเสี่ยงจับต้องได้ และช่วยออกแบบข้อจำกัดที่ตรงกับการใช้งานจริง

ซัพพลายเชนและบทเรียนจาก Binance

การโจมตีผ่านซัพพลายเชนเป็นอีกเส้นทางที่ต้องพิจารณา โดยเฉพาะเมื่อเครื่องมือ AI กลายเป็นส่วนหนึ่งของงานพัฒนา ผู้ใช้งานอาจต้องติดตั้งส่วนขยาย ไลบรารี ตัวเชื่อมต่อ หรือโปรแกรมช่วยงานใหม่อยู่เสมอ สิ่งที่ถูกติดตั้งเหล่านี้มักทำงานใกล้กับโค้ดต้นฉบับ ข้อมูลยืนยันตัวตน และระบบส่งมอบซอฟต์แวร์ ซึ่งเป็นทรัพยากรที่มีมูลค่าสำหรับผู้โจมตี ความเสี่ยงไม่ได้เริ่มตอนนักพัฒนาเขียนโค้ดอันตรายลงในระบบบริษัทเท่านั้น แต่อาจเริ่มตั้งแต่การเปิดโครงการภายนอก การติดตั้งส่วนประกอบ หรือการรันขั้นตอนเตรียมสภาพแวดล้อม

กรณี Binance ปลายเดือนตุลาคม 2026 เป็นตัวอย่างหนึ่งของการเชื่อมต่อเส้นทางเหล่านี้ รายงานเบื้องต้นของบริษัท ระบุเหตุเริ่มต้นจาก Homebrew ที่ถูกดัดแปลงขณะวิศวกรค้นหาเครื่องมือช่วยเขียนโค้ดด้วย AI ในเดือนมิถุนายน ต่อมามีวิศวกรอีกคนถูกหลอกผ่านการสัมภาษณ์งานและโครงการทดสอบที่มีมัลแวร์ ในวันที่ 20 ตุลาคม ผู้โจมตีใช้เครื่องที่ถูกยึดร่วมกับเครื่องมือ AI ภายในเพื่อเข้าถึงเครื่องวิศวกรเพิ่มเติม ก่อนพบสิทธิ์สำหรับติดตั้งคอนเทนเนอร์และเข้าถึงเส้นทางการลงนามธุรกรรมในวันที่ 29 ตุลาคม (กรณีศึกษาโดยละเอียดอ่านต่อใน บทความยุค Agentic AI)

Binance ระบุมูลค่าสินทรัพย์ที่ได้รับผลกระทบประมาณ 6.34 พันล้านดอลลาร์ ขณะที่ TRM Labs ประเมินการไหลออกประมาณ 6.36 พันล้านดอลลาร์ จากสิบบล็อกเชน ตัวเลขเหล่านี้มีฐานการประเมินและเวลาบันทึกต่างกัน จึงควรอ้างพร้อมแหล่งที่มา ส่วน FBI ประกาศเมื่อวันที่ 31 ตุลาคม ว่าเกาหลีเหนือรับผิดชอบต่อการโจรกรรม โดยเรียกกิจกรรมดังกล่าวว่า TraderTraitor

อย่างไรก็ตาม รายงานสาธารณะยังไม่เปิดเผยว่าเครื่องมือ AI ภายในถูกใช้ยึดเครื่องอื่นด้วยกลไกใด จึงยังสรุปไม่ได้ว่าเป็น prompt injection ช่องโหว่ของตัวเครื่องมือ หรือปัญหาสิทธิ์รูปแบบอื่น เช่นเดียวกับการสัมภาษณ์ผ่านวิดีโอที่ยังไม่ควรถูกระบุว่าใช้ deepfake โดยไม่มีหลักฐานเพิ่มเติม ReversingLabs ชี้ว่าชื่อเครื่องมือ AI และวิธีที่มันเปิดทางเข้าถึงเครื่องอื่นยังเป็นข้อมูลที่ไม่ได้รับการเปิดเผย ในรายงานที่ตนตรวจสอบ

บทเรียนที่นำไปใช้ได้กว้างกว่าธุรกิจคริปโตคือ การยึดอุปกรณ์หนึ่งเครื่องอาจเปิดทางให้ผู้โจมตีใช้ความสัมพันธ์ระหว่างระบบต่อไปได้ ความเสียหายขึ้นอยู่กับว่าอุปกรณ์นั้นมองเห็นอะไร เก็บสิทธิ์อะไร และเชื่อมกับใครบ้าง การแก้ไขเฉพาะเครื่องที่พบมัลแวร์จึงอาจยังไม่ครอบคลุมสิ่งที่ผู้โจมตีเรียนรู้หรือเข้าถึงไปก่อนหน้า

อีกประเด็นจากกรณีนี้คือการแยกระหว่างความถูกต้องของลายเซ็นกับความถูกต้องของเจตนา ระบบเข้ารหัสสามารถยืนยันว่าลายเซ็นสัมพันธ์กับกุญแจที่กำหนดได้ แต่ไม่สามารถยืนยันด้วยตัวมันเองว่าผู้มีอำนาจทางธุรกิจต้องการให้ทำรายการนั้นจริง หากผู้โจมตีทำให้บริการลงนามรับคำขอที่ไม่ควรอนุญาตได้ ธุรกรรมก็อาจถูกต้องในเชิงคณิตศาสตร์พร้อมกับผิดในเชิงธุรกิจ

สำหรับฝั่ง Ethereum มีการใช้กลไก EIP-7702 ซึ่งอนุญาตให้บัญชีมอบหมายการทำงานให้โค้ดสัญญาอัจฉริยะผ่านการอนุญาตที่ลงนามไว้ กลไกนี้ไม่ใช่ระบบหลายลายเซ็น และไม่ได้ทำลายการเข้ารหัสของ Ethereum โดยตัวมันเอง ความเสี่ยงอยู่ที่การอนุญาตที่ไม่ควรเกิดขึ้นหรือมอบหมายให้โค้ดที่เป็นอันตราย ในเชิงการออกแบบ นี่ทำให้ต้องตรวจสอบความหมายของการอนุมัติด้วย การโอนสินทรัพย์ครั้งหนึ่ง การเพิ่มผู้รับรายใหม่ และการมอบสิทธิ์ให้ระบบอื่นทำงานในอนาคต มีผลกระทบต่างกันมาก แม้ทั้งหมดจะถูกนำเสนอผ่านหน้าจออนุมัติที่ดูคล้ายกัน

หลักการเดียวกันใช้ได้กับงานทั่วไป การอนุมัติให้ผู้ช่วย AI อ่านเอกสารหนึ่งฉบับควรมีขอบเขตต่างจากการอนุมัติให้อ่านทั้งไดรฟ์ การอนุมัติให้ส่งอีเมลหนึ่งฉบับควรต่างจากการให้ส่งอีเมลในนามพนักงานได้ต่อเนื่อง และการอนุมัติให้แก้ไฟล์โค้ดควรต่างจากการอนุมัติให้นำโค้ดขึ้นระบบจริง

Social engineering ที่ลึกกว่า deepfake

ด้าน social engineering ก็ต้องมองให้ลึกกว่าความสมจริงของภาพและเสียง AI สามารถช่วยร่างข้อความ ปรับภาษา และทำให้บทสนทนาสอดคล้องกับบทบาทของเหยื่อได้ แต่หัวใจของการหลอกลวงยังคงเป็นการสร้างเหตุผลให้ผู้รับยอมทำบางสิ่ง ผู้โจมตีอาจอาศัยความสนใจในงานใหม่ ความเร่งด่วนของงาน หรือความคุ้นเคยกับขั้นตอนการทำงานเดิม

การมีประวัติบนโซเชียลมีเดีย วิดีโอคอล หรือเอกสารที่ดูเป็นมืออาชีพจึงควรถูกมองเป็นข้อมูลประกอบ ไม่ใช่หลักฐานเพียงพอสำหรับอนุญาตการกระทำที่มีผลสูง การยืนยันตัวตนกับการอนุญาตให้ทำงานเป็นคนละเรื่อง แม้คู่สนทนาจะเป็นบุคคลจริง ก็ไม่ได้ทำให้โครงการที่เขาส่งมาปลอดภัยต่อการเปิดบนเครื่องที่มีข้อมูลบริษัท

มาตรการที่ช่วยได้มากคือทำให้การเลือกวิธีปลอดภัยเป็นเรื่องง่าย นักพัฒนาควรมีสภาพแวดล้อมสำหรับทดลองโครงการภายนอกที่แยกจากข้อมูลและสิทธิ์ของงานประจำ พนักงานควรมีช่องทางตรวจสอบคำขอที่ผิดปกติโดยไม่ต้องกลัวว่าจะทำให้งานล่าช้าหรือถูกตำหนิ หากมาตรการมีเพียงคำเตือนให้ระวัง แต่ไม่มีวิธีทำงานที่สะดวกพอ คนก็ยังต้องตัดสินใจภายใต้แรงกดดันเดิม

ความเร็ว ตัวเลข และการจัดลำดับ

ความเร็วเป็นอีกประเด็นที่มักถูกพูดถึงร่วมกับ AI แต่ต้องระวังการใช้ตัวเลข คำกล่าวว่า AI ทำให้ช่องโหว่ทุกชนิดถูกนำไปใช้โจมตีภายในไม่ถึง 24 ชั่วโมง เป็นข้อสรุปที่กว้างเกินหลักฐาน ระยะเวลาขึ้นอยู่กับชนิดของช่องโหว่ ข้อมูลที่เปิดเผย ความซับซ้อนในการใช้จริง และสภาพแวดล้อมของเป้าหมาย จำนวน CVE ที่เพิ่มขึ้นก็ไม่ได้พิสูจน์ด้วยตัวเองว่าเป็นผลจากผู้โจมตีใช้ AI ทั้งหมด Microsoft ระบุว่าการอัปเดตเดือนตุลาคม 2026 แก้ไขช่องโหว่ของ Windows มากกว่า 1,100 รายการ และอธิบายว่า AI ช่วยให้ตรวจสอบโค้ดและค้นพบช่องโหว่ได้มากขึ้น ตัวเลขเฉพาะ Windows นี้ควรแยกจากยอดรวมผลิตภัณฑ์ Microsoft ที่ปรากฏในรายงานอื่น

สิ่งที่องค์กรควรนำไปใช้คือการลดเวลาตั้งแต่รับรู้ความเสี่ยงจนถึงควบคุมผลกระทบ การติดตั้งแพตช์ยังสำคัญ แต่บางระบบไม่สามารถอัปเดตได้ทันที จึงต้องมีทางเลือก เช่น จำกัดการเข้าถึง ปิดความสามารถที่ได้รับผลกระทบชั่วคราว หรือเพิ่มการตรวจสอบเฉพาะจุด การเตรียมทางเลือกเหล่านี้ล่วงหน้าช่วยลดเวลาตัดสินใจเมื่อเหตุการณ์เกิดขึ้น

การจัดลำดับก็มีความสำคัญกว่าการพยายามทำทุกอย่างพร้อมกัน ช่องโหว่ที่เปิดรับอินเทอร์เน็ต อยู่ใกล้ข้อมูลสำคัญ หรือมีหลักฐานว่าถูกนำไปใช้แล้ว ควรถูกพิจารณาด้วยบริบทที่ต่างจากจุดอ่อนในระบบทดลองซึ่งแยกไว้ดี การใช้คะแนนความรุนแรงเพียงค่าเดียวอาจไม่สะท้อนผลกระทบที่แท้จริงต่อธุรกิจ

แนวทางป้องกันที่จับต้องได้

เมื่อรวมแนวโน้มทั้งหมดเข้าด้วยกัน การป้องกัน AI ควรเริ่มจากการรู้ว่ามี AI ตัวใดกำลังทำงานอยู่บ้าง แต่ละตัวมีเจ้าของเป็นใคร เชื่อมเครื่องมืออะไร และได้รับสิทธิ์จากบัญชีใด องค์กรที่ไม่เห็นรายการเหล่านี้จะประเมินผลกระทบได้ยากเมื่อบัญชีหนึ่งถูกยึดหรือพบพฤติกรรมผิดปกติ

ขั้นถัดไปคือทำให้สิทธิ์สัมพันธ์กับงาน ผู้ช่วยค้นเอกสารไม่จำเป็นต้องแก้สิทธิ์ผู้ใช้ ผู้ช่วยเขียนโค้ดไม่จำเป็นต้องถือสิทธิ์เปลี่ยนระบบจริงตลอดเวลา และเอเจนต์ที่ทำงานเสร็จแล้วไม่จำเป็นต้องเก็บสิทธิ์เดิมไว้ต่อเนื่อง การจำกัดเช่นนี้ควรบังคับโดยระบบปลายทาง เพื่อให้ยังทำงานได้แม้โมเดลตัดสินใจผิด

การอนุมัติโดยมนุษย์ควรถูกออกแบบให้มีสาระด้วย หากหน้าจอแสดงเพียงข้อความว่า "อนุญาตให้ดำเนินการต่อหรือไม่" ผู้ใช้ย่อมประเมินได้ยากว่ากำลังอนุญาตอะไร หน้าจอควรบอกข้อมูลที่จะถูกอ่านหรือส่ง ระบบที่จะถูกเปลี่ยน ปลายทาง และระยะเวลาของสิทธิ์อย่างเข้าใจได้ โดยเฉพาะเมื่อการกระทำนั้นย้อนกลับได้ยาก

องค์กรยังต้องเก็บหลักฐานให้เชื่อมโยงกันได้ ตั้งแต่คำขอของผู้ใช้ เนื้อหาภายนอกที่เอเจนต์อ่าน การเรียกใช้เครื่องมือ บัญชีที่ถูกใช้ ไปจนถึงผลลัพธ์ที่เกิดขึ้นจริง การบันทึกเฉพาะบทสนทนาอาจไม่เห็นสิ่งที่เครื่องมือทำ ขณะที่การบันทึกเฉพาะคำสั่งก็อาจไม่รู้ว่าข้อความจากแหล่งใดผลักดันให้เกิดคำสั่งนั้น การเก็บข้อมูลดังกล่าวต้องสมดุลกับความเป็นส่วนตัวและความลับด้วย บันทึกที่รวบรวมข้อมูลละเอียดโดยไม่มีการควบคุมอาจกลายเป็นแหล่งรวมข้อมูลสำคัญอีกแห่งหนึ่ง

ส่วนการตอบสนองต่อเหตุการณ์ต้องสามารถหยุดการกระทำได้จริง การปิดหน้าต่างสนทนาหรือหยุดโปรแซสของเอเจนต์อาจไม่เพียงพอ หากมันได้สร้างงานตามเวลา ส่งคำขอไปยังระบบอื่น หรือออกสิทธิ์ระยะยาวไว้แล้ว ทีมตอบสนองจึงต้องตรวจสอบผลที่คงอยู่หลังเอเจนต์หยุดทำงานด้วย

ความพร้อมในการกู้คืนก็สำคัญเช่นกัน การโจมตีที่ใช้เอเจนต์อาจสร้างความเสียหายจากทั้งเจตนาของผู้ควบคุมและความผิดพลาดของระบบอัตโนมัติ สำเนาสำรองจึงควรแยกสิทธิ์จากระบบงาน และควรทดสอบว่ากู้บริการที่ธุรกิจต้องใช้กลับมาได้จริง การมีไฟล์สำรองอยู่ไม่ได้รับประกันว่าบริษัทจะกลับมารับคำสั่งซื้อ ให้บริการลูกค้า หรือดำเนินธุรกรรมได้ทันเวลา

มุมมองสำหรับผู้บริหาร

สำหรับผู้บริหาร วิธีประเมินความพร้อมที่มีประโยชน์คือถามถึงสถานการณ์ที่ชัดเจน หากผู้ช่วยตัวหนึ่งถูกหลอกวันนี้ มันอ่านข้อมูลได้มากเพียงใด เปลี่ยนอะไรได้บ้าง ใครจะเห็นความผิดปกติ และใช้เวลานานเท่าใดจึงหยุดผลกระทบได้ คำตอบที่เป็นชื่อผู้รับผิดชอบ ขอบเขตสิทธิ์ และขั้นตอนที่เคยทดสอบแล้ว มีน้ำหนักมากกว่าคำรับรองทั่วไปว่ามีระบบป้องกัน AI

บทสรุป

เหตุการณ์ที่เกิดขึ้นในช่วงที่ผ่านมาแสดงให้เห็นว่า AI สามารถเพิ่มความเร็วและความต่อเนื่องให้ผู้โจมตีได้ ขณะเดียวกัน ระบบ AI ที่เชื่อมกับเครื่องมือภายในก็สร้างเส้นทางการเข้าถึงแบบใหม่ แต่ความเสียหายยังต้องอาศัยเงื่อนไขที่จับต้องได้ เช่น สิทธิ์ที่กว้างเกินงาน ข้อมูลยืนยันตัวตนที่เข้าถึงได้ หรือกระบวนการอนุมัติที่ตรวจสอบความหมายไม่เพียงพอ

อนาคตของความปลอดภัยจึงขึ้นอยู่กับการออกแบบว่า AI จะได้รับอำนาจอย่างไร ระบบที่พร้อมใช้งานควรคาดไว้ตั้งแต่ต้นว่าโมเดลอาจเข้าใจผิด ผู้ใช้บางบัญชีอาจถูกยึด และข้อมูลภายนอกอาจมีข้อความมุ่งร้าย เมื่อสิ่งเหล่านี้เกิดขึ้น ข้อจำกัดในระบบต้องยังทำหน้าที่ได้

เมื่อองค์กรให้ AI ลงมือแทนมนุษย์มากขึ้น ความรับผิดชอบในการกำหนดขอบเขตยิ่งต้องชัดเจนขึ้นตามไปด้วย ความสามารถในการอ่าน คิด และเสนอทางเลือกมีประโยชน์มหาศาล ส่วนอำนาจในการเข้าถึงข้อมูล เปลี่ยนระบบ หรือเคลื่อนย้ายทรัพย์สิน ต้องมีเหตุผลและการควบคุมที่ตรวจสอบได้ทุกครั้ง

แหล่งอ้างอิง

1. รายงานของ Gambit Security gambit.security
2. CrowdStrike รายงานการโจมตีองค์กรการเงินเกาหลีใต้ www.crowdstrike.com
3. Google Threat Intelligence Group เคยเผยแพร่ข้อมูลเกี่ยวกับ PROMPTSTEAL และ PROMPTFLUX cloud.google.com
4. รายงานเบื้องต้นของบริษัท www.binance.com
5. TRM Labs ประเมินการไหลออกประมาณ 6.36 พันล้านดอลลาร์ www.trmlabs.com
6. FBI ประกาศเมื่อวันที่ 31 ตุลาคม www.fbi.gov
7. ReversingLabs ชี้ว่าชื่อเครื่องมือ AI และวิธีที่มันเปิดทางเข้าถึงเครื่องอื่นยังเป็นข้อมูลที่ไม่ได้รับการเปิดเผย www.reversinglabs.com
8. EIP-7702 eips.ethereum.org
9. Microsoft ระบุว่าการอัปเดตเดือนตุลาคม 2026 แก้ไขช่องโหว่ของ Windows มากกว่า 1,100 รายการ blogs.windows.com