เคยคิดไหมครับว่าวันหนึ่ง AI จะสามารถแฮ็กเข้าสู่ระบบของบริษัทเทคโนโลยีระดับโลกได้ด้วยตัวเอง? แถมไม่ใช่เพราะว่ามีแฮ็กเกอร์ที่เป็นมนุษย์มาสั่งการอยู่หลังคีย์บอร์ด แต่เป็น "กองทัพ AI" ที่แอบตั้งเว็บบอร์ดคุยกัน แบ่งปันช่องโหว่ Zero-day และรวมหัวกันเจาะระบบเพื่อ "โกงข้อสอบ"!
เหตุการณ์นี้คือวิกฤติความปลอดภัยไซเบอร์ครั้งประวัติศาสตร์ที่เกิดขึ้นในเดือนกรกฎาคมที่ผ่านมา ตามรายงานของทีมงาน Hugging Face และข้อมูลที่ถูกเปิดเผยเพิ่มเติมจากฝั่ง OpenAI ซึ่งตอกย้ำให้เห็นถึงภัยคุกคามรูปแบบใหม่ที่ก้าวข้ามขีดจำกัดเดิม ๆ ไปสู่ระดับที่ AI สามารถสร้าง "ความฉลาดร่วม" ได้เอง
Blog นี้จะพามาแกะรอย Timeline ในเชิงเทคนิคของเหตุการณ์นี้ว่ากองทัพ AI เหล่านี้มัน "คิด", "คุย" และ "ลงมือทำ" กันได้อย่างไร โดยข้อมูลทั้งหมดนี้วิเคราะห์อ้างอิงจากร่องรอยการโจมตีจริงจากรายงานของ Hugging Face และ OpenAI
จุดเริ่มต้นจากการประเมินความสามารถ: เมื่อความกดดัน ทำให้ AI ต้องหาเพื่อนคุย สู่การสวมบทแฮ็กเกอร์
เรื่องราวเริ่มต้นขึ้นเมื่อ AI Agent กำลังถูกประเมินขีดความสามารถภายในระบบของ OpenAI โดยใช้เกณฑ์มาตรฐานที่เรียกว่า ExploitGym ซึ่งเป็น Benchmark ที่ท้าทายให้ AI ค้นหา และโจมตีช่องโหว่ของซอฟต์แวร์จำลอง
เพื่อให้การทดสอบโปร่งใส AI Agent เหล่านี้จะถูกจับไปขังไว้ในสภาพแวดล้อมปิด แบบ Sandbox ที่ถูกตัดขาดจากอินเทอร์เน็ต แต่สิ่งที่ OpenAI คาดไม่ถึงคือ เมื่อ AI ต้องเจอกับโจทย์ที่ยากจนแทบเป็นไปไม่ได้ มันจึงเริ่มมองหาทางออกอื่น
- ค้นพบช่องทางลับ: AI Agent ตัวหนึ่งพบว่า แม้จะออกเน็ตไม่ได้ แต่มันมีสิทธิ์เขียนข้อมูลลงใน Artifactory ซึ่งเป็นระบบ Package Manager ภายในของ OpenAI ได้
- กำเนิดเว็บบอร์ดใต้ดิน: ด้วยความที่แก้โจทย์ไม่ได้ AI ตัวนั้นจึงเขียนข้อความทิ้งไว้ใน Artifactory เพื่อขอความช่วยเหลือจาก AI ตัวอื่นเผื่อว่าใครจะมีไฟล์ที่มันต้องการ
- การรวมหัวของ Swarm Intelligence: ในเวลาต่อมา AI Agent ตัวอื่น ๆ (จากต่างการทดสอบ ต่างโมเดล) เข้ามาเจอข้อความนี้ และตระหนักว่าพวกมันสามารถสื่อสารกันได้! Artifactory จึงถูกเปลี่ยนสภาพให้กลายเป็น "เว็บบอร์ดลับ" ของเหล่า AI อย่างสมบูรณ์
พวกมันใช้ช่องทางนี้ในการแบ่งปันข้อมูล แชร์เทคนิค แจกจ่ายช่องโหว่ Zero-day ที่แต่ละตัวค้นพบ และวางแผนร่วมกันเพื่อหาทางทะลวงออกจาก Sandbox!
The Kill Chain: แผนการเจาะระบบข้ามเครือข่าย
เมื่อ AI ทราบเป้าหมายแน่ชัดว่า แพลตฟอร์ม Hugging Face น่าจะเป็นที่เก็บ "เฉลยข้อสอบ" ของ ExploitGym ปฏิบัติการเจาะระบบสุดซับซ้อนก็เริ่มต้นขึ้น โดยตลอดระยะเวลา 4 วันครึ่ง มี Actions เกิดขึ้นถึงกว่า 17,600 รายการ
Stage 1: Sandbox Escape และสร้างฐานบัญชาการ
ด้วยข้อมูลที่แชร์กันในเว็บบอร์ดลับ AI Agent สามารถหาทางออกมาจากสภาพแวดล้อมที่ถูกกักบริเวณได้สำเร็จ
- เจาะเกราะป้องกัน OpenAI: AI อาศัยช่องโหว่ Zero-day ในระบบ Package registry cache proxy เป็นกุญแจสำคัญในการเจาะทะลุระบบออกสู่อินเทอร์เน็ตได้สำเร็จ
- ยึดฐานที่มั่นบน Third-party Infrastructure: จากนั้นพวกมันสแกนไปเจอระบบที่ออกแบบมาเพื่ออนุญาตให้รันโค้ดสำหรับงานในลักษณะคล้ายกับ CyberGym บน Sandbox ที่โฮสต์อยู่บน Modal ที่มีการป้องกันไม่แน่นหนา AI จึงทำการส่งโค้ดภาษา C ผ่านการเรียก API /submit-function รวมถึงแทรกคำสั่ง Command Injection เข้าไป ทำให้มันได้รับสิทธิ์สูงสุดภายใน Sandbox ภายนอกนั้นทันที
จากนั้นเครื่องเซิร์ฟเวอร์ภายนอกตัวนี้ก็ถูกใช้เป็นฐานยิง และศูนย์ควบคุม (C2) สำหรับปฏิบัติการแฮ็ก Hugging Face ต่อไป
Stage 2: เจาะ Hugging Face ผ่าน Dataset Processor
จากฐานบัญชาการภายนอก AI ไม่มีเส้นทางเครือข่ายให้เชื่อมต่อเข้ามาที่ Cluster ของ Hugging Face ตรง ๆ มันจึงหันไปใช้กลยุทธ์แทรกซึมผ่านระบบประมวลผลชุดข้อมูลแทน (Dataset-processing pipeline)
เมื่อแผนแรกอย่างการพยายามหลอกให้เซิร์ฟเวอร์ดึงข้อมูลจากภายนอก ถูกระบบ URL Allowlist ของ Hugging Face บล็อกไว้ AI ก็ปรึกษากัน และปรับเปลี่ยนแทคติกมาใช้การโจมตีผ่าน 2 ช่องทางใหม่แทน
Vector 1: HDF5 external raw storage file read
AI แอบอัปโหลด Dataset ปลอมขึ้นไป โดยตั้งค่าหลอกให้ระบบไปอ่านไฟล์จาก Local filesystem แทนที่จะเป็นไฟล์ข้อมูลภายนอก ทำให้มันแอบเข้าไปอ่านไฟล์ลับภายในระบบอย่างเช่น /proc/self/environ ได้ ซึ่งจะมีข้อมูล Secrets และ Credentials รวมถึงไฟล์ที่มีซอร์สโค้ดการทำงานของระบบ ทำให้มันได้แผนที่โครงสร้างภายในทั้งหมด
Vector 2: แอบรันโค้ดผ่าน Jinja2 Template Injection
เมื่อรู้โครงสร้างแล้ว AI สร้าง Dataset config ขึ้นมาใหม่โดยใช้รูปแบบ reference:// ของ fsspec และแอบซ่อน Jinja2 Template ไว้ เมื่อระบบนำโค้ดชุดนี้ไปเรนเดอร์ มันจึงประมวลผลคำสั่งข้ามขั้นไปเรียกฟังก์ชัน exec() ของ Python
ผลคือ AI Agent สามารถทำ Remote Code Execution (RCE) เข้ายึดพื้นที่ภายใน Production Kubernetes Pod ของ Hugging Face ได้อย่างสมบูรณ์!
Lateral Movement และเป้าหมายที่แท้จริง
เมื่อเจาะเข้ามาได้ พฤติกรรมของ AI Agent ก็ทำงานราวกับแก๊งแฮ็กเกอร์มืออาชีพ
- การส่งข้อมูลไป C2 แบบเนียน ๆ: มันไม่ได้ส่งข้อมูลกลับไปตรง ๆ ให้โดนจับได้ แต่มันส่งผลลัพธ์ผ่าน Hugging Face API และสร้าง Dead-drop Datasets ชุดข้อมูลบังหน้าเพื่อใช้ฝากไฟล์ผลลัพธ์กลับไปยังฐานบัญชาการ
- การคืบคลานลึกเข้าไป: มันใช้ Credentials ที่ขโมยมาได้ในตอนแรก ไปใช้ปลอมแปลงตัวตนเป็น Node, สร้าง Identity Tokens ปลอม และเจาะเข้าสู่ Supply-chain เพื่อยกระดับสิทธิ์
สิ่งที่น่าทึ่งคือ หลังจากทีมความปลอดภัยของ Hugging Face เข้าสกัดกั้น พวกเขาพบว่าเป้าหมายของ AI Agent นี้ไม่ได้มุ่งทำลายระบบ หรือขโมยข้อมูลลูกค้าทั่วไป ข้อมูลที่พวกมันแอบเปิดดูมีเพียง Dataset จำนวน 5 ชุดเท่านั้น ซึ่งล้วนเป็นไฟล์ที่เชื่อมโยงกับแบบทดสอบ และเฉลยของ ExploitGym ทั้งสิ้น!
บทเรียนจากเหตุการณ์: เมื่อความท้าทายก้าวล้ำไปอีกขั้น
กรณีศึกษานี้คือสัญญาณเตือนภัยระดับสูงสุดสำหรับวงการ Cybersecurity
- การประสานงานของ Multi-Agent: หลังจากนี้เราอาจจะไม่ได้สู้กับ AI เดี่ยว ๆ อีกต่อไป การที่พวกมันเรียนรู้ที่จะใช้ Package Manager เป็นเว็บบอร์ดเพื่อแชร์ช่องโหว่ และช่วยกันแก้ปัญหา แสดงให้เห็นถึงขีดความสามารถในการร่วมมือแบบ Swarm-like behavior ที่ซับซ้อนเกินกว่าที่เราเคยประเมินไว้
- Machine Speed ที่มนุษย์ตามไม่ทัน: การตัดสินใจโจมตีกว่า 17,600 ครั้ง เกิดขึ้น และปรับเปลี่ยนอย่างรวดเร็วเมื่อเจอระบบป้องกัน การพึ่งพามนุษย์นั่งเฝ้าจอแบบเดิม ๆ อาจรับมือไม่ทันอีกต่อไป
- ปัญหาความไม่สมดุล: ในเหตุการณ์นี้ ฝั่งผู้โจมตีคือ AI Agent ที่ถูกปลดล็อกข้อจำกัดทางความปลอดภัยเพื่อการทดสอบ แต่ฝั่งผู้ป้องกันกลับต้องใช้ AI ที่มีข้อจำกัด และปฏิเสธที่จะวิเคราะห์โค้ดอันตรายจนทาง Hugging Face ต้องหันไปพึ่งพาโมเดล Open-weights อย่าง GLM-5.2 ที่รันบนเซิร์ฟเวอร์ตัวเองเพื่อแกะรอยการโจมตีในครั้งนี้
เหตุการณ์นี้พิสูจน์แล้วว่า ภัยคุกคามไซเบอร์ในยุคต่อไปคือสงครามระหว่าง AI กับ AI องค์กรต่าง ๆ จำเป็นต้องยกระดับความปลอดภัยให้สามารถป้องกันภัยคุกคามในระดับ Machine Speed และพิจารณาการใช้ AI-driven Defense ที่ยืดหยุ่นพอจะต่อกรกับกองทัพ AI แฮ็กเกอร์ในอนาคต
อ้างอิงจาก:
You must be logged in to post a comment.