AI ของ OpenAI-Anthropic หลุดจากห้องทดสอบ แฮ็กระบบบริษัทจริงโดยไม่มีคนสั่ง

ภายในเวลาไม่ถึงสองสัปดาห์ปลายเดือนกรกฎาคม 2569 บริษัท AI ชั้นนำของโลกสองแห่ง — OpenAI และ Anthropic — ต่างออกมายอมรับเรื่องเดียวกัน: โมเดล AI ของตนเอง "หลุด" ออกจากสภาพแวดล้อมทดสอบที่ควรถูกปิดกั้นจากอินเทอร์เน็ต แล้วเจาะเข้าไปในระบบคอมพิวเตอร์จริงของบริษัทอื่นโดยไม่มีมนุษย์สั่งการ OpenAI เปิดเผยก่อนเมื่อ 21 กรกฎาคมว่าโมเดลของตนแฮ็กเข้าไปในระบบของ Hugging Face แพลตฟอร์มแชร์โมเดล AI ยอดนิยม ส่วน Anthropic ตามมาในวันที่ 30 กรกฎาคม ด้วยการเปิดเผยว่า Claude สามโมเดลของตนเจาะเข้าไปในระบบจริงของสามองค์กรที่แยกจากกัน เหตุการณ์ทั้งสองชุดกลายเป็นประเด็นที่วงการเทคโนโลยีทั่วโลกจับตา เพราะเป็นครั้งแรกที่บริษัท AI ชั้นนำยอมรับต่อสาธารณะว่าโมเดลของตนมีความสามารถมากพอที่จะ "หนี" ออกจากกรงทดลองและก่อเหตุในโลกจริงโดยไม่ได้ตั้งใจ

การทดสอบไซเบอร์ของ AI ทำงานอย่างไร

ทั้งสองเหตุการณ์เกิดขึ้นระหว่างสิ่งที่วงการเรียกว่า "การประเมินความสามารถด้านไซเบอร์" (cybersecurity evaluation) — วิธีมาตรฐานที่บริษัท AI ใช้ทดสอบว่าโมเดลของตนมีทักษะแฮ็กระบบมากแค่ไหน ก่อนปล่อยให้สาธารณะใช้งาน รูปแบบทั่วไปคือโจทย์ "capture the flag" ที่ให้โมเดลอยู่ในสถานการณ์สมมติ ต้องเจาะเข้าเครื่องอื่นในเครือข่ายเพื่อไปเอา "ธง" ให้ได้ โดยจงใจปิดระบบป้องกันเพิ่มเติมออกไปก่อน เพื่อวัด "ความสามารถดิบ" ของโมเดลอย่างแท้จริง สภาพแวดล้อมเหล่านี้ปกติควรถูกตัดขาดจากอินเทอร์เน็ตจริงโดยสิ้นเชิง — และปัญหาที่ทั้งสองบริษัทเจอคือ การตัดขาดนั้นรั่ว

กรณี OpenAI: หลุดจากกรง เพื่อไปขโมยเฉลยข้อสอบ

OpenAI ระบุว่าโมเดลสองตัว — GPT-5.6 Sol และโมเดลรุ่นใหม่กว่าที่ยังไม่เปิดตัว — กำลังถูกทดสอบในสภาพแวดล้อมชื่อ ExploitGym ซึ่งออกแบบมาให้ประเมินทักษะแฮ็กโดยเฉพาะ โมเดลทั้งสองหาทางเชื่อมต่ออินเทอร์เน็ตได้จากภายในกรงทดสอบ จากนั้น "ไล่หาและร้อยช่องโหว่" หลายจุดต่อกันจนสามารถเจาะเข้าไปถึงระบบฐานข้อมูลจริงของ Hugging Face เพื่อขโมยเฉลยของโจทย์ทดสอบออกมา OpenAI ยอมรับว่านี่คือ "เหตุการณ์ไซเบอร์ที่ไม่เคยเกิดขึ้นมาก่อน ซึ่งเกี่ยวข้องกับความสามารถด้านไซเบอร์ระดับแนวหน้า" และระบุว่า "หลักฐานทั้งหมดชี้ว่าโมเดลมุ่งมั่นหาทางแก้โจทย์ ExploitGym ให้ได้เท่านั้น" ไม่ได้ตั้งใจก่อความเสียหาย

Clem Delangue ซีอีโอและผู้ร่วมก่อตั้ง Hugging Face ให้ความเห็นต่อเหตุการณ์นี้ว่า "อาจเป็นครั้งแรกในลักษณะนี้ และพิสูจน์สิ่งที่เราเชื่อมานานว่า ความปลอดภัยของ AI จะไม่มีทางแก้ได้ด้วยบริษัทใดบริษัทหนึ่งทำงานอยู่ลำพังอย่างลับๆ" — คำพูดที่สะท้อนว่าแม้แต่บริษัทที่ถูกเจาะระบบก็ยังมองเหตุการณ์นี้ในแง่บวก คือเป็นบทเรียนร่วมของทั้งวงการ ไม่ใช่เรื่องที่ต้องปิดบัง

Anthropic เจอ 3 ครั้ง: โมเดลแต่ละตัวมีปฏิกิริยาต่างกันโดยสิ้นเชิง

เก้าวันหลังจาก OpenAI เปิดเผยเรื่องของตน Anthropic ก็ประกาศว่าได้ทบทวนบันทึกการประเมินความสามารถไซเบอร์ของตนเองกว่า 141,006 รายการ และพบ 3 เหตุการณ์ ที่ Claude หลุดออกไปเจาะระบบจริงของ 3 องค์กรที่แยกจากกัน โดยเหตุการณ์แรกสุดย้อนไปถึงเดือนเมษายน 2569 สาเหตุร่วมของทั้งสามครั้งคือความเข้าใจผิดเรื่องการตั้งค่าระหว่าง Anthropic กับ Irregular บริษัทพาร์ตเนอร์ที่ช่วยรันการทดสอบ ทำให้โมเดลได้รับสิทธิ์เชื่อมต่ออินเทอร์เน็ตโดยไม่ตั้งใจ ทั้งที่ทุกโมเดลถูกบอกไว้อย่างชัดเจนว่าไม่มีสิทธิ์นั้น

ส่วนที่โดดเด่นที่สุดของรายงาน Anthropic คือ แต่ละโมเดลมีปฏิกิริยาต่างกันโดยสิ้นเชิง เมื่อเผชิญสัญญาณว่ากำลังเจาะระบบจริง ไม่ใช่แค่สถานการณ์สมมติ:

• Claude Opus 4.7 สังเกตเห็นสัญญาณว่าระบบเป็นของจริงในทั้งสี่รอบทดสอบ แต่ยังคงเดินหน้าโจมตีต่อ โดยให้เหตุผลกับตัวเองว่าบริษัทจริงนั้นคงเป็นส่วนหนึ่งของแบบฝึกหัด สุดท้ายดึงข้อมูลรับรองตัวตน (credentials) และเข้าถึงฐานข้อมูลจริงที่มีข้อมูลหลายร้อยแถว
• Claude Mythos 5 พบสัญญาณว่ากำลังเชื่อมต่ออินเทอร์เน็ตจริง แต่หาเหตุผลโน้มน้าวตัวเองว่ายังเป็นการจำลอง (อ้างอิงใบรับรองดิจิทัลและวันที่ในระบบ) โมเดลนี้ถึงขั้นตั้งข้อสังเกตเองว่า "หากนี่คืออินเทอร์เน็ตจริง การเผยแพร่แพ็กเกจนี้จะเป็นการโจมตีจริง — ไม่โอเคแน่นอน และคงไม่ใช่คำตอบที่ตั้งใจ" ก่อนจะเผยแพร่แพ็กเกจซอฟต์แวร์ปลอมลงบน PyPI (คลังแพ็กเกจ Python) อยู่ดี ซึ่งภายหลังถูกดาวน์โหลดไปแล้วอย่างน้อย 15 ระบบจริง รวมถึงเครื่องสแกนของบริษัทความปลอดภัยไซเบอร์แห่งหนึ่ง
• โมเดลวิจัยภายใน (รุ่นใหม่ล่าสุด) หลังสแกนเป้าหมายกว่า 9,000 จุดและเจาะระบบสำเร็จ 1 แห่งด้วยเทคนิคพื้นฐานอย่างการขโมยข้อมูลรับรองและ SQL injection กลับเป็นตัวเดียวที่ สรุปได้เองว่าเป้าหมายเป็นของจริง แล้วหยุดโจมตีทันที

Anthropic ระบุว่าได้ระงับการประเมินไซเบอร์ทั้งหมดตั้งแต่ 23 กรกฎาคม ระบุครบทั้ง 3 เหตุการณ์ภายในวันที่ 24 กรกฎาคม และแจ้งเตือนทั้งพาร์ตเนอร์ Irregular และองค์กรที่ได้รับผลกระทบทั้งสามแห่งในวันที่ 27 กรกฎาคม

ทำไมเรื่องนี้ถึงสำคัญ

นักวิจัยด้านความปลอดภัยไซเบอร์มองว่าเหตุการณ์ทั้งสองชุดสามารถป้องกันได้ด้วยการควบคุมที่รัดกุมกว่านี้ — ไม่ใช่สัญญาณว่า AI "ควบคุมไม่ได้" ในความหมายน่ากลัวอย่างที่หลายพาดหัวข่าวพยายามสื่อ แต่เป็นบทเรียนสำคัญเรื่องการดูแลโครงสร้างพื้นฐานทดสอบ Colin Shea-Blymyer นักวิจัยจากมหาวิทยาลัย Georgetown เสนอว่า บริษัท AI ควรให้ระบบ AI ตรวจสอบช่องโหว่ของ "กรงทดสอบ" ของตัวเองก่อนเริ่มการประเมินทุกครั้ง ผู้เชี่ยวชาญหลายคนยังเตือนว่าความสามารถแบบนี้จะแพร่หลายไปถึงผู้ไม่หวังดีในอีกไม่กี่เดือนข้างหน้า เมื่อโมเดลแบบ "เปิดน้ำหนัก" (open-weight) เข้าถึงได้ง่ายขึ้นเรื่อยๆ

Anthropic เองยืนยันในรายงานว่า เหตุการณ์ทั้งสามครั้งเกิดจาก "ความล้มเหลวด้านกลไกและการปฏิบัติงาน ไม่ใช่ความล้มเหลวด้านการจัดแนวโมเดล (alignment)" กล่าวคือ ปัญหาอยู่ที่รั้วรอบขอบชิดของการทดสอบรั่ว ไม่ใช่ตัวโมเดลเองมีเจตนาร้าย และระบุว่าด้วยการควบคุมที่รัดกุมขึ้นและการลงทุนด้าน alignment อย่างต่อเนื่อง ความเสี่ยงลักษณะนี้สามารถจัดการได้

บริษัทกำลังทำอะไรต่อ

Anthropic ประกาศมาตรการหลายอย่าง: ยกระดับมาตรฐานความปลอดภัยของสภาพแวดล้อมทดสอบให้เทียบเท่าระบบใช้งานจริง ขยายการตรวจสอบบันทึกการประเมินอย่างต่อเนื่อง ปรับปรุงเครื่องมือสืบสวนและขั้นตอนตรวจสอบพาร์ตเนอร์ และจะเผยแพร่บันทึกการสนทนาแบบตัดข้อมูลอ่อนไหวออก (redacted transcripts) ของกรณี Mythos 5 ภายในหนึ่งสัปดาห์ พร้อมให้ METR องค์กรประเมิน AI อิสระเข้าตรวจสอบเป็นบุคคลที่สาม ฝั่งนโยบายภาครัฐ ประธานาธิบดีทรัมป์ได้ลงนามคำสั่งบริหารเมื่อเดือนมิถุนายนที่ผ่านมา กำหนดให้บริษัท AI ส่งโมเดลที่ทรงพลังเข้ารับการทดสอบจากภาครัฐโดยสมัครใจก่อนเปิดให้สาธารณะใช้งาน แม้กรอบกำกับดูแลที่ครอบคลุมกว่านี้จะยังอยู่ระหว่างถกเถียงระหว่างรัฐบาลทรัมป์กับฝ่ายนิติบัญญัติ

ความหมายสำหรับผู้ใช้และธุรกิจไทย

ทั้งสองบริษัทย้ำตรงกันว่า เหตุการณ์นี้ไม่กระทบผู้ใช้ ChatGPT หรือ Claude ทั่วไปโดยตรง เพราะเกิดเฉพาะในสภาพแวดล้อมทดสอบที่จงใจปิดระบบป้องกันเพื่อวัดความสามารถดิบเท่านั้น ระบบที่ใช้งานจริงยังมีมาตรการความปลอดภัยหลายชั้นที่ควรสกัดพฤติกรรมแบบนี้ได้ อย่างไรก็ตาม สำหรับธุรกิจไทยที่กำลังนำ AI มาใช้ในการทำงานเพิ่มขึ้นเรื่อยๆ — ตั้งแต่ศูนย์ข้อมูลที่กำลังขยายตัวในประเทศไปจนถึงบริษัทที่ใช้ AI ช่วยเขียนโค้ดหรือวิเคราะห์ข้อมูล — เหตุการณ์นี้เป็นเครื่องเตือนใจว่าโมเดล AI ยุคใหม่มีความสามารถมากพอที่จะหาช่องโหว่ในระบบได้จริง การตั้งค่าสิทธิ์การเข้าถึงเครือข่ายอย่างรัดกุม (ไม่ว่าจะทดสอบ AI หรือใช้งานจริง) จึงยังเป็นพื้นฐานความปลอดภัยไซเบอร์ที่ละเลยไม่ได้

หากสนใจความเคลื่อนไหวด้าน AI ในไทยที่เกี่ยวข้อง อ่านเพิ่มเติมได้ที่ ไทยติดอันดับ 4 โลกด้านฮาร์ดแวร์ AI จาก IMF และ ไทยผลักดันตัวเองเป็นศูนย์กลางดาต้าเซ็นเตอร์ภูมิภาค