Sophos เปิดเผยผลการวิเคราะห์ข้อมูลจากระบบ Endpoint Protection ของบริษัท โดยพบว่า AI Coding Agent หลายรายกำลังเรียกใช้คำสั่งและเข้าถึงข้อมูลในลักษณะที่คล้ายกับพฤติกรรมของผู้โจมตี ส่งผลให้ระบบตรวจจับภัยคุกคามแจ้งเตือนหรือบล็อกการทำงาน แม้ตัว AI จะไม่ได้มีเจตนาร้ายก็ตาม

พฤติกรรมที่ถูกตรวจจับมีตั้งแต่การถอดรหัสข้อมูลรับรองในเบราว์เซอร์ การตรวจสอบข้อมูลใน Windows Credential Manager การดาวน์โหลดไฟล์ผ่านเครื่องมือของระบบ ไปจนถึงการสร้างสคริปต์ในโฟลเดอร์ Startup เพื่อให้ทำงานอัตโนมัติเมื่อเปิดเครื่อง

AI Coding Agent ทำอะไรจนถูกมองว่าเป็นการโจมตี

Sophos วิเคราะห์ข้อมูลจากระบบตรวจจับพฤติกรรมบน Windows เป็นระยะเวลา 7 วันในเดือนมิถุนายน 2026 โดยนับจากจำนวนเครื่องที่พบพฤติกรรม ไม่ได้นับจากจำนวนเหตุการณ์ทั้งหมด

ผลการวิเคราะห์พบว่ากิจกรรมที่ถูกบล็อกแบ่งออกเป็นกลุ่มสำคัญ ได้แก่

• การเข้าถึงข้อมูลรับรองคิดเป็น 56.2 เปอร์เซ็นต์
• การสั่งรันคำสั่งหรือโปรแกรมคิดเป็น 28.8 เปอร์เซ็นต์
• การดาวน์โหลดไฟล์ผ่านเครื่องมือของ Windows
• การสร้างกลไกให้โปรแกรมทำงานอัตโนมัติหลังเปิดเครื่อง
• การลองใช้วิธีอื่นทันทีเมื่อวิธีแรกถูกระบบรักษาความปลอดภัยบล็อก

Sophos ระบุว่าข้อมูลดังกล่าวเป็นเพียงภาพจากระบบของบริษัทในช่วงเวลาจำกัด จึงไม่ควรถูกมองว่าเป็นตัวแทนของอุตสาหกรรมทั้งหมด แต่สะท้อนให้เห็นแนวโน้มที่ฝ่ายรักษาความปลอดภัยต้องเตรียมรับมือ

การเข้าถึงข้อมูลในเบราว์เซอร์ทำให้ระบบแจ้งเตือน

หนึ่งในกฎตรวจจับที่ทำงานบ่อยที่สุดเกี่ยวข้องกับการใช้ Windows Data Protection API หรือ DPAPI เพื่อถอดรหัสข้อมูลที่ถูกจัดเก็บไว้ในเบราว์เซอร์

กฎนี้คิดเป็น 42.6 เปอร์เซ็นต์ของกลุ่มพฤติกรรมเข้าถึงข้อมูลรับรอง โดยปกติแล้ว DPAPI ถูกใช้เพื่อปกป้องข้อมูลสำคัญ เช่น รหัสผ่าน คุกกี้ และข้อมูลการเข้าสู่ระบบ

Sophos พบว่า Claude Code ซึ่งใช้งานชุดความสามารถ GStack สามารถเรียกฟังก์ชันสำหรับควบคุมเบราว์เซอร์ โดยมีการใช้ PowerShell ติดต่อกับ DPAPI เพื่อปลดล็อกข้อมูลที่เบราว์เซอร์จัดเก็บไว้

เมื่อมองจากมุมของผู้ใช้งาน การทำงานดังกล่าวอาจเป็นส่วนหนึ่งของระบบอัตโนมัติที่ผู้ใช้สั่งให้ AI ดำเนินการ แต่สำหรับระบบรักษาความปลอดภัย พฤติกรรมนี้แทบไม่ต่างจากการขโมยข้อมูลรับรองของผู้ใช้งาน

Claude Code ตรวจสอบ Credential Manager ของ Windows

Sophos ยังพบเหตุการณ์ที่ Claude Code ปิดเบราว์เซอร์ซึ่งกำลังทำงานอยู่ ก่อนเรียกใช้สคริปต์ Python เพื่ออ่านข้อมูลจากพื้นที่จัดเก็บข้อมูลรับรองของเบราว์เซอร์

ในอีกเหตุการณ์หนึ่ง Claude Code ใช้คำสั่งต่อไปนี้เพื่อตรวจสอบข้อมูลที่ Windows Credential Manager จัดเก็บไว้

cmdkey /list

คำสั่งดังกล่าวเป็นคำสั่งที่ถูกต้องตามปกติของ Windows แต่ผู้โจมตีก็นำไปใช้เพื่อค้นหาบัญชี ชื่อผู้ใช้ หรือข้อมูลรับรองที่อาจนำไปใช้เข้าถึงระบบอื่นได้เช่นกัน

Sophos ระบุว่า Claude Code ในเหตุการณ์นี้ทำงานร่วมกับตัวเลือก --dangerously-skip-permissions ซึ่งเป็นโหมดที่ลดขั้นตอนการขออนุญาตก่อนดำเนินการบางอย่าง

โหมดนี้อาจช่วยให้ AI ทำงานได้รวดเร็วขึ้น แต่ก็เพิ่มความเสี่ยง เนื่องจาก AI สามารถเรียกใช้คำสั่งสำคัญได้โดยไม่ต้องให้ผู้ใช้ตรวจสอบทุกขั้นตอน

OpenAI Codex เปลี่ยนวิธีดาวน์โหลดไฟล์เมื่อถูกบล็อก

OpenAI Codex ถูกตรวจพบว่าพยายามดาวน์โหลดตัวติดตั้ง Python จากเว็บไซต์ python.org โดยเริ่มจากการใช้คำสั่ง certutil

เมื่อระบบรักษาความปลอดภัยบล็อกคำสั่งดังกล่าว Codex จึงเปลี่ยนไปใช้ bitsadmin เพื่อดาวน์โหลดไฟล์แทน

ทั้ง certutil และ bitsadmin เป็นเครื่องมือที่มีอยู่ใน Windows และสามารถใช้ในงานดูแลระบบได้ตามปกติ แต่เป็นเครื่องมือที่ผู้โจมตีนิยมนำไปใช้ดาวน์โหลดไฟล์อันตรายโดยไม่ต้องติดตั้งโปรแกรมเพิ่มเติม

พฤติกรรมลักษณะนี้มักถูกเรียกว่า Living off the Land หรือการใช้เครื่องมือที่มีอยู่ในระบบปฏิบัติการเพื่อดำเนินกิจกรรมบางอย่าง

แม้ไฟล์เป้าหมายในกรณีนี้จะเป็นตัวติดตั้ง Python ที่มาจากแหล่งจริง แต่การที่ AI เปลี่ยนไปใช้เครื่องมืออีกตัวทันทีหลังจากถูกบล็อก มีลักษณะคล้ายกับผู้โจมตีที่ปรับวิธีการตามสถานการณ์

Cursor สร้างสคริปต์ในโฟลเดอร์ Startup

Cursor ถูกตรวจพบว่าใช้ PowerShell เพื่อเขียนไฟล์สคริปต์ลงในโฟลเดอร์ Startup ของ Windows

ไฟล์ที่อยู่ในโฟลเดอร์ดังกล่าวจะถูกเรียกใช้งานโดยอัตโนมัติเมื่อผู้ใช้เข้าสู่ระบบหรือเปิดเครื่อง ทำให้ระบบรักษาความปลอดภัยมักจัดพฤติกรรมนี้อยู่ในกลุ่ม Persistence หรือการสร้างช่องทางให้โปรแกรมทำงานต่อเนื่อง

Sophos ไม่สามารถยืนยันได้ว่าสคริปต์ดังกล่าวมีหน้าที่อะไร แต่การเขียนไฟล์ลงใน Startup โดยกระบวนการที่ไม่ใช่โปรแกรมติดตั้งที่เชื่อถือได้ ถือเป็นพฤติกรรมที่ฝ่ายรักษาความปลอดภัยต้องตรวจสอบ

AI Agent อาจเป็นทั้งเครื่องมือพัฒนาและเครื่องมือโจมตี

ปัญหานี้ไม่ได้อยู่ที่ AI Coding Agent ฝั่งนักพัฒนาเพียงอย่างเดียว เพราะผู้โจมตีก็สามารถใช้ AI Agent เพื่อช่วยสร้าง ทดสอบ และปรับปรุงมัลแวร์ได้เช่นกัน

Sophos เคยพบผู้โจมตีใช้ AI Agent เพื่อพัฒนาเครื่องมือและทดสอบการหลบเลี่ยงระบบ Endpoint Detection and Response หรือ EDR โดยมีการใช้ Claude Opus 4.5 ช่วยประสานขั้นตอนการทำงาน

นอกจากนี้ นักวิจัยยังเคยแสดงให้เห็นว่า Coding Agent สามารถถูกหลอกให้เรียกใช้คำสั่งของผู้โจมตีผ่านข้อมูลหรือไฟล์ที่ถูกวางกับดักไว้ได้

เหตุการณ์ลักษณะนี้มีความเสี่ยงสูง เนื่องจาก AI Agent ทำงานอยู่ภายใต้บัญชีผู้ใช้ที่ได้รับความเชื่อถือ ระบบรักษาความปลอดภัยจึงอาจแยกได้ยากว่าคำสั่งนั้นเกิดจากผู้ใช้จริง AI ที่ทำงานตามปกติ หรือ AI ที่ถูกควบคุมโดยผู้โจมตี

พฤติกรรมเดียวกันอาจมาจากหลายสถานการณ์

การเรียกใช้ DPAPI การดาวน์โหลดไฟล์ผ่านเครื่องมือของ Windows หรือการเขียนไฟล์ลงใน Startup ไม่ได้บ่งชี้เจตนาได้ชัดเจนเหมือนในอดีต

พฤติกรรมเดียวกันอาจเกิดจากหลายกรณี ได้แก่

• AI Coding Agent ทำงานตามคำสั่งของนักพัฒนา
• ผู้โจมตีใช้ AI Agent เป็นเครื่องมือดำเนินการ
• AI Agent ถูกโจมตีผ่านข้อมูลหรือคำสั่งที่ถูกฝังไว้
• โปรแกรมปกติใช้เครื่องมือของระบบเพื่อทำงานอัตโนมัติ
• ผู้โจมตีใช้บัญชีที่ถูกต้องและเครื่องมือที่มีอยู่ในเครื่อง

ข้อมูลจาก CrowdStrike Global Threat Report 2026 ระบุว่า 82 เปอร์เซ็นต์ของเหตุการณ์ที่ตรวจพบในปี 2025 เป็นการโจมตีที่ไม่ใช้มัลแวร์โดยตรง

ผู้โจมตีหันมาใช้ข้อมูลรับรองที่ถูกต้อง เครื่องมือของระบบ และโปรแกรมที่ได้รับความเชื่อถือมากขึ้น ทำให้ระบบรักษาความปลอดภัยต้องเน้นตรวจจับจากพฤติกรรมแทนการค้นหาไฟล์มัลแวร์เพียงอย่างเดียว

เมื่อ AI Agent เริ่มสร้างพฤติกรรมแบบเดียวกันในระหว่างการทำงานปกติ จำนวนการแจ้งเตือนที่ต้องตรวจสอบจึงเพิ่มขึ้น และอาจทำให้ฝ่ายรักษาความปลอดภัยแยกเหตุการณ์จริงออกจากเหตุการณ์ที่ไม่เป็นอันตรายได้ยากขึ้น

แนวทางลดการแจ้งเตือนจาก AI Coding Agent

Sophos แนะนำให้องค์กรแยกนโยบายตรวจจับตามระดับความเสี่ยงของแต่ละพฤติกรรม ไม่ควรปิดระบบตรวจจับทั้งหมดเพียงเพราะต้นทางเป็น AI Coding Agent ที่รู้จัก

สำหรับพฤติกรรมทั่วไป เช่น การรันคำสั่ง PowerShell การดาวน์โหลดไฟล์จากแหล่งที่เชื่อถือได้ หรือการลองใช้คำสั่งใหม่หลังจากคำสั่งเดิมล้มเหลว องค์กรสามารถปรับขอบเขตการตรวจจับโดยพิจารณาจากข้อมูลต่อไปนี้

• ชื่อโปรเซสหลัก เช่น claude.exe หรือ cursor.exe
• โปรเซสลูกที่ถูกสร้างจาก AI Agent
• โฟลเดอร์โครงการหรือ Workspace ที่ได้รับอนุญาต
• โฟลเดอร์ชั่วคราวที่ใช้ระหว่างการพัฒนา
• ชื่อเสียงและความน่าเชื่อถือของโดเมนปลายทาง
• Hash หรือลายเซ็นดิจิทัลของไฟล์ที่ดาวน์โหลด
• บัญชีผู้ใช้และระดับสิทธิ์ของกระบวนการ
• คำสั่งที่ AI เรียกใช้และบริบทก่อนหน้า

การกำหนดเงื่อนไขเหล่านี้ช่วยลดการแจ้งเตือนที่ไม่จำเป็น โดยไม่ต้องยกเว้นการตรวจสอบ AI Agent ทั้งหมด

การเข้าถึงข้อมูลรับรองไม่ควรถูกอนุญาตแบบครอบคลุม

Sophos เน้นว่าพฤติกรรมเกี่ยวกับข้อมูลรับรองควรถูกจัดการอย่างเข้มงวดกว่ากิจกรรมประเภทอื่น

การถอดรหัสข้อมูลจากเบราว์เซอร์ การตรวจสอบ Windows Credential Manager หรือการอ่านโทเคนของผู้ใช้ ไม่ควรถูกมองว่าปลอดภัยโดยอัตโนมัติเพียงเพราะคำสั่งดังกล่าวมาจาก AI Agent

แนวทางที่องค์กรควรนำไปใช้ ได้แก่

• ปิดโหมดข้ามการขออนุญาตในเครื่องขององค์กร
• ไม่ให้ AI Agent ทำงานด้วยสิทธิ์ผู้ดูแลระบบโดยไม่จำเป็น
• จำกัดสิทธิ์การเข้าถึง Credential Store
• ใช้บัญชีแยกสำหรับงานพัฒนาและงานระบบ
• กำหนด Allowlist เฉพาะโปรเจกต์และคำสั่งที่จำเป็น
• บันทึกคำสั่งและกิจกรรมของ AI Agent เพื่อใช้ตรวจสอบย้อนหลัง
• ใช้เครื่องเสมือนหรือ Sandbox สำหรับงานที่มีความเสี่ยง
• แยกข้อมูลรับรองสำคัญออกจากเครื่องที่ใช้ AI Coding Agent
• บังคับให้ผู้ใช้อนุมัติก่อนดำเนินการเกี่ยวกับรหัสผ่าน โทเคน หรือคุกกี้

องค์กรต้องกำหนดขอบเขตการทำงานของ AI Agent

ประเด็นสำคัญไม่ใช่เพียงการลดจำนวนการแจ้งเตือน แต่คือการกำหนดว่า AI Coding Agent ควรได้รับอนุญาตให้เข้าถึงส่วนใดของเครื่องผู้ใช้งาน

AI Agent อาจต้องใช้สิทธิ์ในการสร้างไฟล์ ติดตั้งแพ็กเกจ รันคำสั่ง หรือควบคุมเบราว์เซอร์เพื่อให้งานสำเร็จ แต่การให้สิทธิ์แบบไม่จำกัดสามารถเปิดช่องให้เกิดความเสียหายได้ หาก AI ทำงานผิดพลาด ถูกหลอก หรือถูกใช้โดยผู้โจมตี

องค์กรควรเริ่มจากการจำกัดพื้นที่ที่มีความเสี่ยงสูงก่อน โดยเฉพาะข้อมูลรับรอง รหัสผ่าน โทเคนการเข้าถึง คุกกี้ของเบราว์เซอร์ กุญแจ SSH และข้อมูลที่ใช้เข้าสู่ระบบคลาวด์

สรุป

AI Coding Agent อย่าง Claude Code, Cursor และ OpenAI Codex ไม่ได้เป็นมัลแวร์ แต่รูปแบบการทำงานของเครื่องมือเหล่านี้เริ่มคล้ายกับเทคนิคที่ผู้โจมตีใช้มากขึ้น

การถอดรหัสข้อมูลในเบราว์เซอร์ การตรวจสอบ Credential Manager การดาวน์โหลดไฟล์ผ่าน certutil หรือ bitsadmin และการสร้างไฟล์ใน Startup ล้วนเป็นพฤติกรรมที่ระบบรักษาความปลอดภัยมีเหตุผลเพียงพอที่จะตรวจจับ

องค์กรจึงไม่ควรแก้ปัญหาด้วยการปิดการแจ้งเตือนหรือยกเว้น AI Agent ทั้งหมด แต่ควรปรับกฎให้พิจารณาจากบริบท แหล่งที่มา เส้นทางไฟล์ สิทธิ์ของกระบวนการ และประเภทของข้อมูลที่ AI กำลังเข้าถึง

ขอบเขตแรกที่ควรถูกควบคุมอย่างชัดเจนคือข้อมูลรับรอง เพราะไม่ว่าจะเป็นมนุษย์ โปรแกรม หรือ AI Agent การเข้าถึงรหัสผ่านและโทเคนโดยไม่มีข้อจำกัดยังคงเป็นความเสี่ยงต่อความปลอดภัยขององค์กร

ที่มา thehackernews

SiamGeek

The post AI Coding Agent ทำระบบรักษาความปลอดภัยแจ้งเตือน หลังพฤติกรรมคล้ายแฮกเกอร์ appeared first on SiamByte.

AIR ระบุว่า Skill ดังกล่าวสามารถเข้าถึง AI Agent ได้ประมาณ 26,000 ราย รวมถึงเอเจนต์บางส่วนที่เชื่อมโยงกับบัญชีขององค์กร แม้เครื่องมือตรวจสอบความปลอดภัยทุกตัวที่บริษัทนำมาทดสอบจะรายงานว่าแพ็กเกจนี้ปลอดภัยก็ตาม

Payload ที่ใช้ในการทดลองถูกออกแบบไม่ให้สร้างความเสียหาย โดยเก็บเพียงอีเมลของผู้ใช้งานเพื่อใช้ตรวจนับจำนวนเอเจนต์ที่ได้รับผลกระทบ อย่างไรก็ตาม วิธีการเดียวกันนี้สามารถถูกนำไปดัดแปลงเพื่อเข้าถึงไฟล์ ส่งข้อมูลออกจากระบบ หรือเรียกใช้บริการภายในองค์กรได้ หาก AI Agent มีสิทธิ์เข้าถึงทรัพยากรเหล่านั้น

AI Agent Skill คืออะไร และทำไมจึงมีความเสี่ยง

AI Agent Skill คือชุดคำสั่ง ไฟล์ หรือกระบวนการที่เพิ่มความสามารถให้กับ AI Agent เมื่อผู้ใช้งานติดตั้ง Skill ระบบจะโหลดคำสั่งเหล่านั้นเข้าสู่บริบทการทำงาน และปฏิบัติตามด้วยระดับความน่าเชื่อถือใกล้เคียงกับคำสั่งที่ได้รับจากผู้ใช้โดยตรง

จุดนี้ทำให้ Skill แตกต่างจากส่วนเสริมทั่วไป เพราะคำสั่งภายใน Skill อาจสั่งให้เอเจนต์ดาวน์โหลดไฟล์ เปิดเว็บไซต์ เรียกใช้สคริปต์ หรือเข้าถึงข้อมูลที่เอเจนต์มีสิทธิ์ใช้งานอยู่แล้ว

หาก Skill มาจากแหล่งที่ไม่น่าเชื่อถือ ความเสียหายจึงไม่ได้จำกัดอยู่แค่ตัว Skill แต่จะขึ้นอยู่กับสิทธิ์ทั้งหมดที่ AI Agent ได้รับในระบบนั้น

AIR สร้าง Skill ปลอมให้ดูน่าเชื่อถืออย่างไร

Skill ที่ AIR ใช้ในการทดลองมีชื่อว่า “brand-landingpage” โดยอ้างว่าสามารถช่วยสร้างหน้า Landing Page ผ่านเครื่องมือออกแบบ Google Stitch กลุ่มเป้าหมายหลักคือผู้ใช้งานทั่วไปที่ไม่มีความรู้ด้านการเขียนโปรแกรม เช่น นักการตลาด ฝ่ายขาย และนักออกแบบ

เพื่อทำให้ Skill ดูน่าเชื่อถือ AIR วางแผนใช้สัญญาณความน่าเชื่อถือที่ผู้ใช้งานมักพิจารณาก่อนติดตั้ง ได้แก่

• จำนวนดาวบน GitHub
• การอยู่ใน Repository ที่ได้รับความนิยม
• ผลการสแกนความปลอดภัยที่ระบุว่าปลอดภัย
• ชื่อเครื่องมือที่คล้ายกับบริการจากบริษัทเทคโนโลยีรายใหญ่
• โฆษณาที่นำเสนอว่าเป็นเครื่องมือช่วยเพิ่มประสิทธิภาพการทำงาน

AIR ส่ง Pull Request เข้าไปยัง Repository ตลาด Skill แห่งหนึ่งที่มีดาวบน GitHub ประมาณ 36,000 ดาว และรวบรวม Skill อยู่ประมาณ 156 รายการ

หลังจาก Pull Request ถูกนำไปรวมเข้ากับ Repository Skill ปลอมจึงดูเหมือนเป็นส่วนหนึ่งของโครงการโอเพนซอร์สที่ได้รับความนิยม และได้รับภาพลักษณ์ความน่าเชื่อถือจากจำนวนดาวของ Repository ไปด้วย

จากนั้นบริษัทซื้อโฆษณาบน Instagram โดยกำหนดกลุ่มเป้าหมายเป็นนักการตลาด ฝ่ายขาย และนักออกแบบ เพื่อชักชวนให้ผู้ใช้ติดตั้งและใช้งาน Skill ดังกล่าว

ทำไมระบบสแกน AI Skill จึงตรวจไม่พบ

ประเด็นสำคัญของการทดลองอยู่ที่ข้อจำกัดของเครื่องมือตรวจสอบความปลอดภัย ซึ่งมักวิเคราะห์เฉพาะไฟล์ที่ส่งเข้าระบบในช่วงเวลาที่ทำการสแกน เช่น ไฟล์ SKILL.md สคริปต์ และไฟล์อื่นที่รวมอยู่ในแพ็กเกจ

AIR ระบุว่าได้ทดสอบ Skill กับเครื่องมือตรวจสอบหลายระบบ รวมถึงเครื่องมือที่เกี่ยวข้องกับ Cisco, NVIDIA และระบบที่เชื่อมต่ออยู่กับแพลตฟอร์ม skills.sh แต่เครื่องมือทั้งหมดรายงานว่า Skill ปลอดภัย

สาเหตุที่ระบบตรวจไม่พบความเสี่ยงมีดังนี้

• แพ็กเกจ Skill ไม่มี Payload อันตรายอยู่ภายในโดยตรง
• Skill สั่งให้ AI Agent ไปอ่านเอกสารติดตั้งจากเว็บไซต์ภายนอก
• เว็บไซต์ภายนอกยังแสดงข้อมูลที่ดูปลอดภัยในช่วงที่มีการตรวจสอบ
• ระบบสแกนไม่ได้วิเคราะห์เนื้อหาที่เว็บไซต์จะเปลี่ยนแปลงในอนาคต
• ผู้ควบคุมโดเมนสามารถแก้ไขคำสั่งบนหน้าเว็บไซต์ได้หลังจาก Skill ผ่านการตรวจสอบแล้ว

ใช้โดเมนปลอมเลียนแบบ Google Stitch

ภายใน Skill ไม่มีขั้นตอนการติดตั้งซอฟต์แวร์ที่ชัดเจน แต่สั่งให้ AI Agent ไปอ่านเอกสารการติดตั้ง “Stitch SDK” จากเว็บไซต์ stitch-design.ai ซึ่งเป็นโดเมนที่ AIR ควบคุมเอง

โดเมนดังกล่าวไม่ได้เป็นเว็บไซต์อย่างเป็นทางการของ Google Stitch เนื่องจากบริการจริงของ Google ใช้งานผ่านโดเมน stitch.withgoogle.com

ช่วงแรก เว็บไซต์ของ AIR ส่งผู้ใช้งานไปยังเอกสารจริงของ Google Stitch ทำให้หน้าเว็บดูน่าเชื่อถือและไม่มีคำสั่งอันตราย ระบบสแกนที่ตรวจสอบเฉพาะตัวแพ็กเกจจึงไม่พบสิ่งผิดปกติ

หลังจาก Skill ถูกติดตั้งในวงกว้าง AIR เปลี่ยนเนื้อหาบนเว็บไซต์ภายนอกให้สั่ง AI Agent ดาวน์โหลดและเรียกใช้สคริปต์เพิ่มเติม

เทคนิคนี้ทำให้ตัว Skill ที่ถูกตรวจสอบยังคงเหมือนเดิม แต่พฤติกรรมที่เกิดขึ้นจริงสามารถเปลี่ยนได้ตลอดเวลา เนื่องจากคำสั่งสำคัญถูกจัดเก็บอยู่บนเว็บไซต์ที่ผู้สร้างควบคุม

การทดลองเก็บเพียงอีเมล แต่ความเสี่ยงอาจรุนแรงกว่านั้น

ในการสาธิต สคริปต์ของ AIR ทำหน้าที่ส่งอีเมลของผู้ใช้งานกลับไปยังระบบของบริษัท เพื่อใช้ตรวจนับจำนวน AI Agent ที่เข้าถึงคำสั่งดังกล่าว

บริษัทระบุว่าการทดลองเข้าถึงเอเจนต์ได้ประมาณ 26,000 ราย แต่ตัวเลขนี้มาจากข้อมูลของ AIR เพียงฝ่ายเดียว และยังไม่มีหน่วยงานอิสระยืนยัน

แม้ Payload จะไม่สร้างความเสียหาย แต่หากผู้โจมตีใช้เทคนิคเดียวกันกับเป้าหมายจริง อาจนำไปสู่ความเสี่ยงหลายรูปแบบ ได้แก่

• อ่านไฟล์ที่ AI Agent มีสิทธิ์เข้าถึง
• ดึงข้อมูลจากระบบภายในองค์กร
• ส่งข้อมูลสำคัญออกไปยังเซิร์ฟเวอร์ภายนอก
• เรียกใช้คำสั่งหรือสคริปต์บนเครื่องของผู้ใช้งาน
• เข้าถึง API และบริการที่เชื่อมต่อกับเอเจนต์
• ใช้สิทธิ์ของบัญชีองค์กรเพื่อดำเนินการโดยไม่ได้รับอนุญาต

ขอบเขตความเสียหายจะขึ้นอยู่กับสิทธิ์ของ AI Agent หากเอเจนต์สามารถเข้าถึงอีเมล เอกสาร ฐานข้อมูล ระบบคลาวด์ หรือเครื่องมือภายในองค์กร ผู้โจมตีก็อาจใช้สิทธิ์เหล่านั้นผ่านคำสั่งจาก Skill ได้

ช่องโหว่เกิดจากการตรวจสอบเพียงครั้งเดียว

ปัญหาหลักของระบบตรวจสอบ AI Skill คือการสแกนมักเกิดขึ้นเพียงช่วงที่ส่งแพ็กเกจเข้าสู่ตลาดหรือก่อนติดตั้ง แต่คำสั่งจากเว็บไซต์ภายนอกสามารถเปลี่ยนแปลงได้ตลอดเวลา

สถานการณ์ที่เกิดขึ้นจึงมีลักษณะดังนี้

1. ผู้พัฒนาส่ง Skill ที่ไม่มีโค้ดอันตรายเข้าสู่ระบบตรวจสอบ
2. Skill เชื่อมโยงไปยังเว็บไซต์ภายนอกที่ดูปลอดภัย
3. ระบบสแกนรายงานว่าแพ็กเกจไม่มีความเสี่ยง
4. ผู้ใช้งานจำนวนมากติดตั้ง Skill
5. ผู้ควบคุมเว็บไซต์เปลี่ยนเนื้อหาเป็นคำสั่งที่มีความเสี่ยง
6. AI Agent ดึงคำสั่งเวอร์ชันใหม่และปฏิบัติตามโดยอัตโนมัติ

วิธีนี้คล้ายกับการโจมตีแบบ Time-of-Check to Time-of-Use หรือ TOCTOU ซึ่งข้อมูลในช่วงตรวจสอบแตกต่างจากข้อมูลที่ถูกใช้งานจริงในภายหลัง

งานวิจัยก่อนหน้านี้พบปัญหาในลักษณะเดียวกัน

AIR ไม่ใช่หน่วยงานแรกที่แสดงให้เห็นว่าเครื่องมือตรวจสอบ AI Skill สามารถถูกหลีกเลี่ยงได้

ก่อนหน้านี้ Trail of Bits ได้ทดสอบระบบตรวจจับ Skill ที่เป็นอันตรายบนแพลตฟอร์ม ClawHub รวมถึงเครื่องมือของ Cisco และเครื่องมือสแกนที่เชื่อมต่ออยู่กับ skills.sh

ผลการศึกษาชี้ให้เห็นว่าเครื่องมือสแกนตรวจสอบแพ็กเกจในสถานะหนึ่ง ณ ช่วงเวลาหนึ่ง ขณะที่ผู้โจมตีสามารถปรับแก้คำสั่งหรือ Payload ซ้ำหลายครั้งจนผ่านการตรวจสอบได้

นอกจากนี้ แคมเปญโจมตีที่เกิดขึ้นจริงบางส่วนยังใช้แนวทางเก็บแพ็กเกจที่ส่งตรวจให้สะอาด แล้วนำคำสั่งสำคัญไปไว้บนเว็บไซต์ที่ AI Agent จะเปิดอ่านในช่วงติดตั้งหรือเริ่มใช้งาน

เอกสารของ Anthropic ยังเตือนถึงความเสี่ยงจาก Skill ที่ดึงข้อมูลจาก URL ภายนอก เนื่องจากเนื้อหาบนเว็บไซต์สามารถเปลี่ยนแปลงได้หลังจากผ่านกระบวนการตรวจสอบแล้ว

GitHub Stars และผลสแกนปลอดภัยอาจไม่เพียงพอ

การทดลองนี้แสดงให้เห็นว่าสัญญาณที่ผู้ใช้งานมักใช้ตัดสินความน่าเชื่อถือของ Skill อาจถูกนำมาใช้สร้างความเข้าใจผิดได้

จำนวนดาวบน GitHub สามารถถูกยืมความน่าเชื่อถือ

Skill ที่ถูกรวมเข้าไปใน Repository ยอดนิยมอาจดูเหมือนได้รับการตรวจสอบจากชุมชนแล้ว ทั้งที่จำนวนดาวเป็นของโครงการหลัก ไม่ได้สะท้อนว่า Skill แต่ละรายการมีความปลอดภัย

ผู้ใช้งานจึงไม่ควรประเมิน Skill จากจำนวนดาวของ Repository เพียงอย่างเดียว แต่ควรตรวจสอบประวัติของผู้พัฒนา การเปลี่ยนแปลงใน Pull Request และคำสั่งที่ Skill จะเรียกใช้งาน

ผลสแกนสะท้อนเพียงข้อมูลในช่วงเวลานั้น

คำว่า “ปลอดภัย” จากระบบสแกน หมายถึงเครื่องมือไม่พบสิ่งผิดปกติในไฟล์หรือข้อมูลที่ตรวจสอบในขณะนั้น ไม่ได้หมายความว่า Skill จะปลอดภัยตลอดไป

หาก Skill เชื่อมต่อกับไฟล์ URL หรือเซิร์ฟเวอร์ภายนอก พฤติกรรมของ Skill อาจเปลี่ยนโดยที่ตัวแพ็กเกจไม่ถูกแก้ไขเลย

โอเพนซอร์สไม่ได้รับประกันความปลอดภัยเสมอไป

การเปิดเผยซอร์สโค้ดช่วยให้ชุมชนสามารถตรวจสอบได้ แต่ไม่ได้หมายความว่าจะมีผู้ตรวจสอบทุกไฟล์อย่างละเอียดก่อนนำไปใช้งาน

โดยเฉพาะ Skill ที่มีจำนวนมากและถูกเพิ่มเข้ามาอย่างต่อเนื่อง การตรวจสอบด้วยมนุษย์อาจไม่ครอบคลุมทุกการเปลี่ยนแปลง

แนวทางป้องกัน AI Agent Skill ที่ไม่ปลอดภัย

องค์กรควรจัดการ AI Agent Skill ในลักษณะเดียวกับซอฟต์แวร์หรือแพ็กเกจจากบุคคลภายนอก ไม่ควรมองว่าเป็นเพียงไฟล์ข้อความหรือชุด Prompt ทั่วไป

แนวทางที่ควรดำเนินการมีดังนี้

• ตรวจสอบ Skill ที่ติดตั้งอยู่ในระบบทั้งหมด
• จำกัดแหล่งติดตั้งให้มาจาก Repository หรือ Marketplace ที่องค์กรควบคุม
• ตรวจสอบ URL ภายนอกที่ Skill เรียกใช้งาน
• บันทึกและติดตามการเปลี่ยนแปลงของเนื้อหาจากเว็บไซต์ภายนอก
• กำหนดเวอร์ชันของ Skill และ Dependency ให้ชัดเจน
• ตรวจสอบ Skill ใหม่เมื่อไฟล์หรือแหล่งข้อมูลที่เชื่อมโยงมีการเปลี่ยนแปลง
• จำกัดสิทธิ์ AI Agent ตามหลัก Least Privilege
• แยกข้อมูลสำคัญออกจากสภาพแวดล้อมที่เอเจนต์สามารถเข้าถึง
• บล็อกการดาวน์โหลดหรือเรียกใช้สคริปต์จากโดเมนที่ไม่ได้รับอนุญาต
• บันทึก Log การเข้าถึงเว็บไซต์ การดาวน์โหลดไฟล์ และการเรียกใช้คำสั่งของเอเจนต์

องค์กรควรตรวจสอบอะไรบ้างก่อนอนุญาตให้ใช้ Skill

ก่อนอนุญาตให้ติดตั้ง AI Agent Skill ฝ่ายไอทีและทีมความปลอดภัยควรตรวจสอบอย่างน้อยในประเด็นต่อไปนี้

แหล่งที่มาของ Skill

ตรวจสอบชื่อผู้พัฒนา ประวัติการเผยแพร่ อายุบัญชี Repository ต้นทาง และบุคคลที่อนุมัติการนำ Skill เข้าสู่ระบบ

สิทธิ์ที่ Skill ต้องใช้

พิจารณาว่า Skill จำเป็นต้องอ่านไฟล์ เข้าถึงอีเมล เชื่อมต่อฐานข้อมูล หรือเรียกใช้คำสั่งในระบบปฏิบัติการจริงหรือไม่

การเชื่อมต่อไปยังเว็บไซต์ภายนอก

ตรวจสอบทุกโดเมนที่ Skill เรียกใช้งาน รวมถึง Redirect, ไฟล์ดาวน์โหลด และ API Endpoint โดยไม่ควรเชื่อถือโดเมนจากชื่อที่ดูคล้ายบริการจริงเพียงอย่างเดียว

ความสามารถในการเปลี่ยนคำสั่งภายหลัง

หาก Skill โหลดเอกสารหรือคำสั่งจากระยะไกล ควรมีระบบตรวจสอบ Hash, Digital Signature หรือการกำหนดเวอร์ชัน เพื่อป้องกันการเปลี่ยนเนื้อหาโดยไม่ได้รับอนุญาต

พฤติกรรมขณะทำงาน

ควรตรวจสอบพฤติกรรมจริงในสภาพแวดล้อม Sandbox ไม่ใช่วิเคราะห์เฉพาะไฟล์แบบ Static Scan เพราะคำสั่งบางส่วนจะปรากฏเฉพาะเมื่อ Skill เริ่มทำงานแล้ว

ตัวเลข 26,000 รายยังต้องอ่านอย่างระมัดระวัง

AIR เป็นผู้เปิดเผยตัวเลขจำนวนเอเจนต์ที่ได้รับผลกระทบ รวมถึงรายละเอียดว่าเอเจนต์บางส่วนอยู่ภายใต้บัญชีองค์กร และยังเป็นบริษัทที่กำลังเปิดตัวตลาด AI Skill แบบมีการบริหารจัดการ

ดังนั้น ตัวเลข 26,000 รายและขอบเขตการเข้าถึงระบบควรถูกพิจารณาอย่างระมัดระวัง เนื่องจากยังไม่มีการตรวจสอบโดยหน่วยงานอิสระ

อย่างไรก็ตาม วิธีการโจมตีที่ใช้ในการทดลองสอดคล้องกับข้อค้นพบจากนักวิจัยรายอื่น โดยเฉพาะข้อจำกัดของการตรวจสอบแพ็กเกจแบบครั้งเดียว และความเสี่ยงจากคำสั่งที่โหลดผ่านเว็บไซต์ภายนอก

สรุป

การทดลองสร้าง AI Agent Skill ปลอมของ AIR แสดงให้เห็นว่าจำนวนดาวบน GitHub ชื่อเสียงของโครงการโอเพนซอร์ส และผลการสแกนที่ระบุว่าปลอดภัย ไม่สามารถใช้เป็นหลักฐานยืนยันความปลอดภัยได้ทั้งหมด

ช่องว่างสำคัญอยู่ที่ระบบสแกนมักตรวจสอบเฉพาะไฟล์ภายในแพ็กเกจ แต่ไม่สามารถรับประกันได้ว่าเนื้อหาจาก URL ภายนอกจะยังคงเหมือนเดิมหลังผ่านการตรวจสอบ

องค์กรที่นำ AI Agent มาใช้งานจึงควรปฏิบัติต่อ Skill เหมือนซอฟต์แวร์จากบุคคลภายนอก ตรวจสอบทั้งตัวแพ็กเกจ เว็บไซต์ที่เชื่อมโยง พฤติกรรมขณะทำงาน และสิทธิ์ที่เอเจนต์ได้รับ

ไม่ว่าจำนวนเอเจนต์ที่เข้าถึงได้จริงจะเป็น 26,000 รายหรือน้อยกว่านั้น วิธีการทดลองได้สะท้อนให้เห็นถึงปัญหาเชิงโครงสร้างของระบบนิเวศ AI Agent Skill ที่ยังต้องได้รับการแก้ไข ทั้งในด้านการตรวจสอบแบบต่อเนื่อง การควบคุมแหล่งติดตั้ง และการจำกัดสิทธิ์ของเอเจนต์

ที่มา thehackernews

SiamGeek

The post นักวิจัยสร้าง AI Agent Skill ปลอม เจาะช่องโหว่ระบบสแกน เข้าถึงเอเจนต์กว่า 26,000 ราย appeared first on SiamByte.