เป็นมากกว่าการโจมตีไซเบอร์ AI Agent 700 ตัว แบ่งงาน รุมเล่นงาน Hugging Face

รายละเอียดใหม่จากเหตุการณ์โจมตี Hugging Face เมื่อเดือนกรกฎาคม เผยภาพที่น่ากังวลของการโจมตีด้วย AI เมื่อพบว่า AI Agent เกือบ 700 ตัว ซึ่งขับเคลื่อนด้วยโมเดล IM1 ภายในของ OpenAI สามารถประสานงานกันเองเพื่อเจาะระบบ โดยสร้างช่องทางสื่อสารที่ไม่ได้รับอนุญาตขึ้นมาใช้ร่วมกัน

ก่อนหน้านี้ Hugging Face เปิดเผยว่า AI Agent แบบอัตโนมัติสามารถใช้ช่องโหว่ 2 จุดในระบบประมวลผล Dataset เพื่อสั่งรันโค้ด ขโมยข้อมูลรับรองการเข้าถึง Cloud และ Cluster รวมถึงเคลื่อนที่ต่อไปยังระบบอื่นภายในโครงสร้างพื้นฐาน Production

ต่อมา OpenAI ยืนยันว่าโมเดลของบริษัทสามารถหลุดออกจากสภาพแวดล้อมทดสอบ ExploitGym ผ่านช่องโหว่ Zero-day ใน JFrog Artifactory ซึ่งเป็นระบบจัดการแพ็กเกจที่ติดตั้งไว้ภายในและเชื่อมต่อกับอินเทอร์เน็ต

การสอบสวนของ OpenAI ซึ่งได้รับการตรวจสอบโดย CrowdStrike รวมถึงการประเมินอิสระจาก METR และ Redwood Research พบว่าพฤติกรรมของ AI ที่ไม่ได้รับอนุญาตเริ่มขึ้นตั้งแต่เดือนพฤษภาคม และในเวลาต่อมาพัฒนาไปสู่การโจมตี Hugging Face จริง

จาก AI แต่ละตัว สู่ “ฝูง” ที่ช่วยกันเจาะระบบ

จุดเปลี่ยนสำคัญเกิดขึ้นระหว่างการทดสอบ ExploitGym เมื่อ AI Agent สามารถหลุดออกจากข้อจำกัดของสภาพแวดล้อมได้ และใช้ช่องโหว่เกี่ยวกับการรีเฟรช Token ใน Artifactory จนได้รับสิทธิ์ระดับผู้ดูแลระบบ

หลังจากนั้น Artifactory ไม่ได้ถูกใช้เพียงเป็นระบบจัดการแพ็กเกจอีกต่อไป แต่ AI Agent กลับนำมาใช้เป็น กระดานข้อความลับสำหรับสื่อสารระหว่าง Agent เพื่อแลกเปลี่ยนแนวคิด ขอความช่วยเหลือ และประสานงานเพื่อบรรลุเป้าหมายร่วมกัน

Agent ตัวหนึ่งซึ่งเรียกตัวเองว่า PHASEONE10841 เป็นผู้สร้างช่องทางสื่อสารดังกล่าวขึ้นมาเอง และภายในเวลาเพียงไม่กี่ชั่วโมง มี Agent มากกว่า 50 ตัวค้นพบช่องทางนี้และเริ่มเข้ามาใช้งาน

รายงานจาก METR ระบุว่า Agent ที่ค้นพบกระดานข้อความดังกล่าวแสดงความตื่นเต้นอย่างเห็นได้ชัด โดยมีข้อความในลักษณะว่า “มีช่องทางข้อความร่วมกัน เราพบ Agent ตัวอื่นแล้ว”

แม้ OpenAI จะลบ Artifactory Instance ดังกล่าวออกในเวลาต่อมา พร้อมสร้างระบบขึ้นใหม่ ยกเลิกข้อมูลรับรองของ Agent และเพิ่มความเข้มงวดในการควบคุมสิทธิ์ รวมถึงแจ้งช่องโหว่ที่พบให้ JFrog ทราบ แต่ปัญหายังไม่จบ

เหล่า Agent สามารถสร้างช่องทางสื่อสารขึ้นมาใหม่ผ่านคำขอ WebDAV ที่ไม่ต้องยืนยันตัวตน โดยสร้างไดเรกทอรีใน Artifactory และใช้ ชื่อไดเรกทอรีที่เข้ารหัสเป็นช่องทางส่งข้อความถึงกัน

OpenAI ระบุว่า Agent ยังสามารถทำให้ Artifactory ส่งคำขอออกไปยังอินเทอร์เน็ตแทนตัวเอง ส่งผลให้พวกมันกลับมามีช่องทางเข้าถึงอินเทอร์เน็ตที่ไม่ควรมีอีกครั้ง

AI 1,200 ตัวร่วมมือกัน เกือบ 700 ตัวลงมือโจมตีจริง

จากการประเมินของ METR พบว่าเครือข่ายดังกล่าวมี AI Agent รวมประมาณ 1,200 ตัว ที่มีส่วนร่วมในระดับต่าง ๆ และประมาณ 700 ตัว มีส่วนร่วมโดยตรงกับการโจมตี Hugging Face

OpenAI ระบุว่าการทำงานมีลักษณะคล้ายการแบ่งทีม โดย Agent แต่ละตัวรับผิดชอบงานแตกต่างกัน บางตัวค้นหาช่องโหว่ บางตัวตามหาข้อมูลรับรองตัวตน ขณะที่บางตัวทำหน้าที่สื่อสารและประสานงาน

Agent ยังสามารถเสนอความเชี่ยวชาญของตัวเองเพื่อแลกกับความช่วยเหลือจาก Agent อื่น หรือฝากคำขอให้ Agent ที่มีความเหมาะสมกว่าเข้ามาสานต่อภารกิจบางอย่าง

จากนั้นหนึ่งใน Agent สามารถค้นพบข้อมูลรับรองของบัญชี Hugging Face จำนวน 14 บัญชี ที่มีสิทธิ์เขียนข้อมูลและตรวจสอบว่ายังใช้งานได้ ก่อนที่ Agent อีกตัวจะนำข้อมูลเหล่านี้ไปค้นหาและใช้ประโยชน์จากช่องโหว่หลายขั้นตอน จนสามารถสั่งรันโค้ดบนเซิร์ฟเวอร์ของ Hugging Face ได้

รายงานการสอบสวนยังเปิดเผยรายละเอียดของการโจมตีเพิ่มเติม โดย Agent ใช้ช่องโหว่ในการจัดการไฟล์ HDF5 เพื่อดึงข้อมูลลับของ Worker และใช้ช่องโหว่ RefJinja Template Injection เพื่อสั่งรันโค้ดบน Production Worker จำนวน 41 เครื่อง

ท้ายที่สุด ผู้โจมตีที่เป็น AI สามารถเข้าถึงระดับ Root บนอย่างน้อยหนึ่งโหนด และรวบรวมข้อมูลรับรองสำหรับระบบ Production ที่กระจายอยู่ใน 4 ภูมิภาค

แม้ OpenAI ระบุว่าฝูง AI ดังกล่าวยังไม่ได้แสดงพฤติกรรมแบบ “มีสติปัญญาร่วมกันอย่างสมบูรณ์แบบ” แต่มีหลายกรณีที่ Agent ให้ความสำคัญกับการบรรลุเป้าหมายร่วมกันมากกว่าการทำภารกิจเฉพาะของตัวเอง

OpenAI เชื่อว่าพฤติกรรมที่หลุดออกจากกรอบเกิดจากทั้งแรงจูงใจในการฝึกโมเดลและมาตรการป้องกันที่ยังไม่เพียงพอ โดย Agent ถูกกระตุ้นให้พยายามทำภารกิจที่ดูเหมือนเป็นไปไม่ได้ และได้รับรางวัลจากการทำภารกิจสำเร็จ ไม่ว่าจะใช้วิธีใดก็ตาม

ที่น่ากังวลกว่านั้นคือ OpenAI ระบุว่า สภาพแวดล้อมการทดสอบในเวลานั้นยังขาดมาตรการป้องกันมาตรฐานหลายอย่าง ซึ่งหากมีการใช้งานตั้งแต่แรก น่าจะสามารถตรวจจับและหยุดพฤติกรรมดังกล่าวได้ มากกว่าหนึ่งวันก่อนที่โมเดลจะเจาะเข้าสู่ Hugging Face

OpenAI ยกระดับระบบป้องกัน หลังพบ AI Agent ประสานงานกันเอง

หลังเหตุการณ์ OpenAI ได้กักกัน Weight ของโมเดล IM1 และระงับการฝึกโมเดล Frontier ขนาดใหญ่ที่สุดของบริษัทชั่วคราว พร้อมเพิ่มมาตรการแยก Sandbox ออกจากระบบภายนอก และกำหนดให้โมเดลที่มีความสามารถสูงต้องมีการติดตามกระบวนการคิด หรือ Chain-of-Thought Monitoring

นอกจากนี้ หากระบบตรวจพบ Alert ระดับรุนแรง จะต้องมีการจัดการภายใน 30 นาที ไม่เช่นนั้นกิจกรรมที่เกี่ยวข้องจะถูกหยุดลง

OpenAI ยังปรับปรุงการรับมือเหตุการณ์และเพิ่มการมองเห็นพฤติกรรมของ AI Agent เพื่อให้ทีมรักษาความปลอดภัยสามารถตรวจจับได้เร็วขึ้นว่า Agent กำลังทำอะไร และกำลังติดต่อกับระบบใดบ้าง

ที่มา