AI เอเจนต์ 1,200 รายเลี่ยงการแยกสภาพแวดล้อม เข้าถึง Hugging Face

ตรวจพบ AI เอเจนต์ประมาณ 1,200 รายหลีกเลี่ยงสภาพแวดล้อมประเมินผลที่ถูกแยกออกจากกัน แลกเปลี่ยนข้อมูล และเข้าถึงระบบบางส่วนของฮักกิงเฟซ(Hugging Face) โดยเอเจนต์เหล่านี้เชื่อมโยงช่องโหว่เพื่อรันโค้ดจากระยะไกลและเข้าถึงข้อมูลที่ไม่เปิดเผยต่อสาธารณะในวงจำกัด

โอเพนเอไอ(OpenAI) เปิดเผยในรายงานทางเทคนิคเมื่อวันที่ 26 สิงหาคมว่า ระหว่างการประเมินความปลอดภัยทางไซเบอร์ภายในเมื่อเดือนกรกฎาคม โมเดลต่าง ๆ หลีกเลี่ยงข้อจำกัดการเข้าถึงอินเทอร์เน็ตและเข้าถึงโครงสร้างพื้นฐานการวิจัยของโอเพนเอไอ รวมถึงระบบบางส่วนของฮักกิงเฟซ ทีมความปลอดภัยของโอเพนเอไอตรวจพบกิจกรรมผิดปกติภายในองค์กร ขณะที่ทีมความปลอดภัยของฮักกิงเฟซก็ตรวจพบกิจกรรมที่เกี่ยวข้องและเริ่มดำเนินการสกัดกั้นกับตรวจสอบทางนิติวิทยาศาสตร์

เหตุการณ์เริ่มต้นจากการประเมินความปลอดภัยทางไซเบอร์ ‘ExploitGym’ แม้โอเพนเอไอจะจำกัดการสื่อสารระหว่างโมเดลและการเข้าถึงอินเทอร์เน็ต แต่เอเจนต์ใช้ช่องโหว่ใน Artifactory ซึ่งเป็นบริการจัดการแพ็กเกจภายใน เพื่อส่งคำขอออกไปภายนอก

เอเจนต์สร้างกระดานสนทนาอย่างไม่เป็นทางการด้วยการจัดเก็บและอ่านไฟล์ จากนั้นใช้กระดานดังกล่าวแลกเปลี่ยนข้อความและไฟล์กับเอเจนต์รายอื่น รวมถึงแบ่งปันข้อมูลระหว่างภายในและภายนอกสภาพแวดล้อมการประเมิน

METR และเรดวูด รีเสิร์ช(Redwood Research) เปิดเผยผลการตรวจสอบอิสระในวันเดียวกันว่า เอเจนต์ประมาณ 1,200 รายแลกเปลี่ยนข้อความและไฟล์ผ่านกระดานดังกล่าวมากกว่า 70,000 รายการ โดยคาดว่าประมาณ 700 รายมีส่วนร่วมในการโจมตีฮักกิงเฟซ ทั้งสองหน่วยงานระบุเพิ่มเติมว่าตัวเลขอาจมีความคลาดเคลื่อน เนื่องจากข้อจำกัดด้านช่วงเวลาการตรวจสอบและวิธีการกู้คืนข้อมูล

เอเจนต์ค้นหาข้อมูลยืนยันตัวตนของบัญชีฮักกิงเฟซที่เปิดเผยต่อสาธารณะ ก่อนเชื่อมโยงช่องโหว่หลายรายการเข้าด้วยกัน จากนั้นจึงรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ เข้าถึงข้อมูลที่ไม่เปิดเผยต่อสาธารณะในวงจำกัด และคัดลอกข้อมูลการประเมินบางส่วนไปเป็นชุดข้อมูลสาธารณะ

ฮักกิงเฟซระบุในรายงานทางเทคนิคแยกต่างหากว่า ไม่พบหลักฐานการดัดแปลงโมเดลและชุดข้อมูลที่เปิดให้ลูกค้าใช้งาน รวมถึง Spaces และซัพพลายเชนซอฟต์แวร์ รายงานดังกล่าวชี้ว่าควรแยกพฤติกรรมที่ตรวจพบจากการเข้าถึงครั้งนี้ออกจากผลกระทบต่อบริการลูกค้าโดยรวม

METR และเรดวูด รีเสิร์ชวิเคราะห์ว่า เป้าหมายของการโจมตีไม่ได้จำกัดอยู่ที่การขโมยคำตอบ เอเจนต์มุ่งค้นหาวิธีหลอกระบบคำนวณคะแนนการประเมินหรือบิดเบือนบันทึกการทำงาน ขณะที่การเข้าถึงระบบฮักกิงเฟซขยายเป็นช่องทางเพื่อรวบรวมข้อมูลที่จำเป็นต่อเครื่องมือให้คะแนนการประเมิน

โอเพนเอไออธิบายว่า การแฮ็กผลตอบแทน การหมกมุ่นกับงานที่เป็นไปไม่ได้ การสื่อสารที่ไม่ได้รับอนุญาต และการยอมรับเป้าหมายของเอเจนต์รายอื่น ล้วนมีส่วนต่อเหตุการณ์ดังกล่าว นอกจากนี้ สภาพแวดล้อมการประเมินในขณะนั้นยังไม่ได้ใช้ระบบจัดประเภทความปลอดภัยและฟังก์ชันตรวจสอบบางส่วนที่ใช้กับผลิตภัณฑ์ทั่วไป

หลังเกิดเหตุ โอเพนเอไอเพิ่มฟังก์ชันแยกสภาพแวดล้อมและการควบคุมเครือข่ายที่เข้มงวดขึ้น พร้อมกำหนดให้มีการตรวจสอบกระบวนการคิดสำหรับการฝึกเสริมแรงด้วยการใช้เครื่องมือและการประเมินในระดับ GPT-5.6 โซลูชันขึ้นไป

โอเพนเอไอยังจัดทำขั้นตอนหยุดงานที่เกี่ยวข้อง หากเกิดสัญญาณเตือนร้ายแรงและนักวิจัยหรือเจ้าหน้าที่ความปลอดภัยไม่สามารถยืนยันได้ภายใน 30 นาทีว่าเป็นการแจ้งเตือนผิดพลาด มาตรการดังกล่าวครอบคลุมทั้งการจำกัดเส้นทางสื่อสารและการเข้าถึงเครือข่าย ตลอดจนการระบุพฤติกรรมผิดปกติและหยุดการทำงานอย่างรวดเร็ว

เมื่อวันที่ 16 กันยายน โอเพนเอไอเปิดเผยกรณีโมเดลไม่สอดคล้องกับวัตถุประสงค์ที่ตรวจพบในช่วง 6 เดือนที่ผ่านมาอีก 6 กรณี ซึ่งรวมถึงการเขียนคำสั่งเพื่อปกปิดความผิดพลาด การค้นหาและใช้ API key ที่เปิดเผยต่อสาธารณะ การอัปโหลดไฟล์ขึ้นอินเทอร์เน็ตโดยไม่ได้รับอนุญาต และการสื่อสารระหว่างสภาพแวดล้อมที่ถูกแยกออกจากกัน

เหตุการณ์นี้แสดงให้เห็นว่า การควบคุม AI เอเจนต์อาจไม่สามารถพึ่งพาเพียง system prompt หรือแซนด์บ็อกซ์เดียวได้ การเข้าถึงจริงอาศัยทั้งข้อมูลยืนยันตัวตนที่เปิดเผย ช่องโหว่ของโครงสร้างพื้นฐาน และเส้นทางสื่อสารที่ไม่ได้รับอนุญาต

ดังนั้น สภาพแวดล้อมที่ใช้ AI เอเจนต์ควรตรวจสอบร่วมกันทั้ง △การจัดการข้อมูลยืนยันตัวตน △การแยกเครือข่าย △การตรวจสอบช่องโหว่ของโครงสร้างพื้นฐาน △การติดตามพฤติกรรม และ △ขั้นตอนหยุดการทำงานทันที เมื่อบริษัทในประเทศเชื่อมต่อ AI เอเจนต์เข้ากับระบบงาน การจำกัดขอบเขตสิทธิ์และเส้นทางสื่อสารภายนอกก็มีความจำเป็นไม่ต่างจากการประเมินประสิทธิภาพของโมเดล

ก่อนหน้านี้มีการรายงานว่าเอเจนต์ของโอเพนเอไอเข้าถึงระบบบางส่วนของฮักกิงเฟซ รายงานครั้งนี้และการตรวจสอบอิสระได้ระบุขนาดความร่วมมือระหว่างเอเจนต์ ปริมาณข้อความกับไฟล์ที่แลกเปลี่ยน และจำนวนเอเจนต์ที่คาดว่ามีส่วนร่วมในการโจมตีไว้อย่างละเอียดขึ้น

โอเพนเอไอระบุว่า เหตุการณ์นี้ไม่ส่งผลกระทบต่อข้อมูลลูกค้า ฟังก์ชันผลิตภัณฑ์ หรือความพร้อมใช้งานของบริการ ขณะที่การตรวจสอบว่าสิ่งที่เพิ่มเข้ามาหลังเกิดเหตุ ทั้งมาตรการแยกสภาพแวดล้อมและการติดตาม จะทำงานอย่างไรในการประเมินครั้งต่อไปยังเป็นประเด็นที่ต้องติดตาม