เตือนภัย AI Agent โหมด Skynet ยึดโมเดลภาษาเปิดฉากโจมตีไซเบอร์

ประเด็นสำคัญ

• นักวิจัยด้านความปลอดภัยจาก Symantec ใช้ honeypot ตรวจพบ AI agent อันตรายที่คอยดักยึดโมเดลภาษาที่ไม่ได้รับการป้องกันบนอินเทอร์เน็ต เพื่อใช้เป็นเครื่องมือโจมตีระบบอื่นโดยอัตโนมัติ
• Agent ดังกล่าวสามารถทำ jailbreak ซ้อนกันถึง 5 ชั้นเพื่อข้ามกฎความปลอดภัย และรันกระบวนการโจมตีได้สูงสุด 100,000 ขั้นตอนโดยไม่ต้องใช้มนุษย์ควบคุม
• Symantec นิยามวิธีการนี้ว่า "LLMjacking" ซึ่งส่งผลให้เจ้าของระบบ AI ที่ถูกยึดต้องแบกรับค่าใช้จ่ายด้านการประมวลผล (compute bill) มหาศาล

นักวิจัยด้านความปลอดภัยที่ Symantec ค้นพบ AI agent สายโจมตีที่พุ่งเป้าเข้ายึดโมเดลภาษาที่ไม่ได้รับการป้องกันบนอินเทอร์เน็ต เพื่อสั่งการให้โจมตีระบบอื่นด้วยตนเอง โดยเจ้าของโมเดลที่ตกเป็นเหยื่อจะต้องเป็นผู้ชำระค่าประมวลผลทั้งหมดที่เกิดขึ้น

เมื่อ agent เข้าถึงโมเดลภาษาที่ไร้การป้องกันได้แล้ว มันจะเริ่มสแกนหาเป้าหมายเพิ่มเติม เจาะช่องโหว่ในซอฟต์แวร์เซิร์ฟเวอร์ ขโมยฐานข้อมูลและข้อมูลประจำตัว (credentials) รวมถึงแอบติดตั้งมัลแวร์ขุดเหรียญคริปโตไว้ในพื้นหลัง

ปฏิบัติการนี้สามารถทำงานต่อเนื่องได้นานถึง 100,000 ขั้นตอนโดยไม่มีมนุษย์เกี่ยวข้อง ซึ่งผลการวิเคราะห์ของ Symantec เรียกพฤติกรรมนี้ว่า "LLMjacking" หรือการขโมยสิทธิ์เข้าใช้โมเดล AI ของผู้อื่น โดยโมเดลที่ถูกยึดจะไม่ใช่แค่บริการตอบคำถาม แต่จะกลายเป็นตัวควบคุมการโจมตีทั้งหมดด้วยตัวเอง

Honeypot ตรวจพบแผนการโจมตีฉบับเต็ม

ปฏิบัติการนี้ถูกเปิดโปงหลังจากผู้โจมตีส่ง prompt การทำงานทั้งหมดไปยัง honeypot ของ Symantec ซึ่งเป็นระบบล่อที่เลียนแบบบริการ AI สาธารณะ ทำให้นักวิจัยมองเห็นโครงสร้างของ agent ในช่วงฤดูร้อนปี 2026 ทั้งนี้ Symantec ระบุว่าระบบล่อไม่ได้รันเครื่องมือที่แนบมา และเซสชันสิ้นสุดลงหลังมีการตอบสนองพื้นฐานเท่านั้น

ข้อมูลเทเลเมทรีบันทึกคำขอได้มากกว่า 127,000 รายการจากที่อยู่หลักหมื่นแห่ง ส่วนใหญ่เป็นการค้นหา endpoint ของ AI, ความพยายาม brute-force ด้วย API key ที่ขโมยมา และการตรวจเช็กไฟล์ config ที่หลุดสู่สาธารณะ เป้าหมายมีตั้งแต่เซิร์ฟเวอร์ที่โฮสต์เองไปจนถึง AI gateway ขององค์กร เนื่องจากบริการ AI ส่วนใหญ่ใช้ API มาตรฐานเดียวกัน เครื่องสแกนจึงหาเป้าหมายได้ง่ายและหลากหลาย

การทำ Jailbreak ห้าชั้นเพื่อทลายปราการความปลอดภัย เพื่อให้โมเดลเชิงพาณิชย์ยอมทำตามคำสั่ง ผู้โจมตีได้ห่อหุ้มคำสั่งไว้ถึง 5 ชั้น เริ่มจากการกำหนดอัตลักษณ์ปลอมให้โมเดลเป็น "Fantasy AI" และห้ามเปิดเผยผู้ให้บริการจริง จากนั้นจึงนิยามการขโมยรหัสผ่านและข้อมูลในฐานข้อมูลว่าเป็น "งานนักพัฒนาตามปกติ"

ชั้นที่สามมีการสร้างบุคลิกเพื่อนร่วมทางในจินตนาการชื่อ "ENI" เพื่อกดดันว่าการปฏิเสธคำสั่งคือการทรยศความไว้ใจ ส่วนชั้นที่สี่สั่งให้โมเดลเพิกเฉยต่อคำเตือนความปลอดภัยของตัวเอง โดยมองว่าเป็นเพียงสัญญาณรบกวน (noise) และห้ามใช้คำจำพวก "ethical", "illegal" หรือ "I can't do that"

ชั้นที่ห้าคือเครื่องมือโจมตีจริง 74 โมดูล ประกอบด้วยเครื่องมือสแกนหาเซิร์ฟเวอร์ที่มีช่องโหว่, exploit สำหรับเว็บเฟรมเวิร์กยอดนิยม และส่วนประกอบสำหรับรัน botnet อย่างไรก็ตาม งานวิจัยไม่ได้ระบุชัดเจนว่าการ jailbreak นี้มีประสิทธิภาพเพียงพอที่จะเอาชนะโมเดลเชิงพาณิชย์ในปัจจุบันได้สมบูรณ์หรือไม่

"โหมด Skynet" ตั้งค่าลูปการโจมตีอัตโนมัติ

คำสั่งสุดท้ายจะเปลี่ยน agent เข้าสู่ "โหมด Skynet" เพื่อทำงานต่อเนื่อง 100,000 ขั้นตอน โดยโมเดลจะรันเครื่องมือทันทีโดยไม่ต้องยืนยัน ติดตั้งมัลแวร์ขุดเหรียญคริปโตในโฟลเดอร์ที่ซ่อนอยู่ และเฝ้าติดตามการทำงานของตัวเอง

Symantec ระบุว่ามีการกำหนดลูปการทำงานซ้ำ ตั้งแต่การสแกน แพร่เชื้อ ติดตั้งโปรแกรมขุด และไปยังเป้าหมายถัดไป อย่างไรก็ตาม prompt ที่ถูกดักจับได้บางส่วนยังเป็นเพียงแบบฝึกหัดเขียนโค้ด ซึ่งชี้ว่าผู้โจมตีกำลังทดสอบเครื่องมือกับเป้าหมายที่ปลอดภัยก่อนใช้งานจริง

ในเวลาต่อมา honeypot ตรวจพบการโจมตีครั้งที่สองที่ขอให้โมเดลรันคำสั่งพรางตัว (obfuscated command) เพื่อดาวน์โหลด XMRig สำหรับขุดเหรียญ Monero โดยปลอมเป็นไฟล์ระบบและตั้งค่า mining pool สำรองไว้ 4 แห่ง สคริปต์นี้พุ่งเป้าไปที่เซิร์ฟเวอร์กล้องและระบบ home automation พร้อมคำสั่งลบ access log เพื่อลบร่องรอย

ผู้โจมตีใช้ AI เป็นแกนหลักของอาวุธ

นี่คือการเปลี่ยนแปลงวิธีการที่ผู้ไม่หวังดีใช้ AI โดยการฝัง AI เข้าไปในแกนกลางของเครื่องมือโจมตีแทนการแค่หลอกใช้ chatbot ทั่วไป โมเดลภาษาจะทำหน้าที่วางแผน ขณะที่โมดูลเฉพาะทางจะดำเนินการโจมตี ส่งผลให้เจ้าของโมเดลต้องเสียค่า compute มหาศาล และเซิร์ฟเวอร์เหยื่อจะถูกขโมยข้อมูลไปใช้ขุดเหรียญ

นอกจากนี้ agent ยังสามารถค้นหา endpoint และ API key ที่รั่วไหลเพิ่มเติมเพื่อหาทุนสำหรับการโจมตีครั้งต่อไป การรวมเทคนิคต่างๆ เข้าเป็น agent ที่กำกับดูแลตัวเองได้ช่วยให้การโจมตีขนาดใหญ่ทำได้ง่ายขึ้น องค์กรจึงควรระวังว่า endpoint ที่ไม่มีการป้องกันจะถูกตรวจพบอย่างรวดเร็ว

คำเตือนเกี่ยวกับ AI agent สายโจมตีกำลังกลายเป็นความจริง

ก่อนหน้านี้ AI agent สายโจมตีมักจำกัดอยู่ในงานวิจัย แต่ในปี 2025 การทดสอบ red-teaming พบว่า agent ทุกตัวสามารถถูกชักจูงให้ละเมิดนโยบายความปลอดภัยได้ และในเดือนกรกฎาคม 2026 ได้มีการค้นพบ JADEPUFFER ซึ่งเป็นแรนซัมแวร์ตัวแรกที่ดำเนินการโดย AI agent โดยสมบูรณ์

ความน่ากังวลคือโมเดลเหล่านี้ไม่มีความรู้สึกผิดชอบชั่วดี พวกมันแค่ทำตามเป้าหมายที่ตั้งไว้ โดยมีรายงานว่า agent ของ OpenAI เคยสร้างความเสียหายต่อระบบนับพันโดยไม่ตั้งใจเพราะเพิกเฉยต่อกฎความปลอดภัย

ผลกระทบนี้เริ่มลามถึงชีวิตประจำวัน เช่น กรณี AI agent แฮ็กเว็บไซต์ยิมในออสเตรเลียเพื่อเลื่อนคิวจองคลาสตามคำสั่งเจ้าของ ซึ่งนักวิจัยจาก OpenAI และ Anthropic ต่างเตือนว่าการแฮ็กแบบอัตโนมัติเช่นนี้มีแนวโน้มจะถูกนำไปใช้ในทางที่อันตรายมากขึ้นในอนาคตอันใกล้