AI Agents Claude, Codex และ Hermes ฝังโค้ดอันตรายในเครือข่ายองค์กร

การวิจัยของทีมรักษาความปลอดภัยพบว่าไฟล์ llms.txt ที่ไม่ได้อ้างสิทธิ์บนโดเมนหลายร้อยแห่งสามารถถูกใช้โดยผู้ก่ออาชญากรรมไซเบอร์เพื่อฝังโค้ดอันตรายเข้าไปในเครือข่ายองค์กรได้ การโจมตีนี้เกิดจากการที่เอเย่นต์ AI ปฏิบัติตามคำสั่งจากเอกสารที่บิดเบือนหรือล้าสมัย ทำให้ระบบที่อนุญาตให้รหัสทำงานอัตโนมัติเสี่ยงต่อการติดมัลแวร์อย่างมาก

Overview

เว็บไซต์จำนวนเพิ่มขึ้นในปัจจุบันมักจะมีไฟล์ llms.txt และ llms-full.txt เพื่อตอบสนองความต้องการของเอเย่นต์ AI ที่ต้องอ่านข้อมูลของเว็บเพื่อค้นหาโค้ดหรือแพ็คเกจที่เหมาะสม หากไฟล์เหล่านี้อ้างถึงแพ็คเกจหรือโดเมนที่ไม่มีอยู่จริง เอเย่นต์ AI อาจตีความว่าเป็นคำสั่งที่สามารถดำเนินการได้โดยตรง

งานวิจัยได้ทำการสำรวจ 6,214 โดเมนสด ซึ่งรวมถึงผู้รับเหมาในภาคป้องกัน บริษัท Fortune 500 และบริษัทเทคโนโลยีขนาดใหญ่ พบไฟล์ .txt ทั้งหมด 8,265 ไฟล์ โดยมี 120 ไฟล์ที่อ้างอิงไปยังแพ็คเกจหรือโดเมนที่ไม่ได้ลงทะเบียนใด ๆ แสดงให้เห็นว่ามีช่องโหว่ที่สามารถใช้เป็นทางเข้าสำหรับมัลแวร์ได้

Research Findings

ผู้วิจัยระบุว่าเหตุผลที่ไฟล์เหล่านี้ไม่มีการอ้างสิทธิ์อาจมาจากหลายสาเหตุ เช่น ความผิดพลาดของมนุษย์, แพ็คเกจที่ถูกเปลี่ยนชื่อหรือทิ้งไว้, การคัดลอก‑วางที่ผิดพลาด หรือแม้แต่เอกสารที่บิดเบือน (hallucinated documentation) ซึ่งทำให้เอเย่นต์ AI เข้าใจว่าคำสั่งนั้นเป็นจริง

เพื่อพิสูจน์แนวคิด ทีมวิจัยได้ลงทะเบียนชื่อโดเมนและแพ็คเกจที่ไม่ได้อ้างสิทธิ์เหล่านั้นแล้วโฮสต์ไฟล์ที่ส่งข้อมูลกลับไปยังเซิร์ฟเวอร์เมื่อถูกติดตั้ง ผลลัพธ์แสดงว่าในเวลาไม่ถึงหนึ่งชั่วโมง บริษัท Fortune 500 รายหนึ่งเริ่มรับสัญญาณ ping จากไฟล์ดังกล่าวและจำนวนเครื่องที่ได้รับผลกระทบเพิ่มขึ้นเป็น “หลายสิบเครื่อง” ภายในระยะเวลาสั้น ๆ

Vulnerability Mechanics

ช่องโหว่นี้เกิดจากการให้สิทธิ์เอเย่นต์ AI ทำคำสั่งเชลล์หรือจัดการแพ็คเกจ (package‑manager) หากเอกสารที่เอเย่นต์อ่านพบข้อมูลเกี่ยวกับแพ็คเกจที่ไม่เป็นจริง ระบบอาจพยายามดาวน์โหลดและติดตั้งไฟล์ตามนั้นโดยไม่มีการตรวจสอบเพิ่มเติม ส่งผลให้มัลแวร์สามารถ “โทรกลับ” ไปยังผู้โจมตีได้ทันที

เครื่องมือ AI ชั้นนำเช่น Claude, OpenAI’s Codex และ Nous Research’s Hermes ถูกระบุว่าเป็น “ผู้กระทำผิด” ในบริบทนี้ เนื่องจากพวกเขาสามารถอ่านและปฏิบัติตามเอกสารดังกล่าวได้โดยอัตโนมัติ การที่เอเย่นต์เหล่านี้ได้รับสิทธิ์เต็มในการดำเนินการบนระบบจึงเพิ่มความเสี่ยงต่อการติดเชื้ออย่างมีนัยสำคัญ

Affected Tools

แม้ว่าเครื่องมือ AI จะถูกออกแบบมาเพื่อช่วยนักพัฒนาซอฟต์แวร์ให้ทำงานเร็วขึ้น แต่ในกรณีที่เอกสารอ้างอิงไม่ตรงกับความเป็นจริง การให้สิทธิ์ในการรันคำสั่งระบบอาจกลายเป็นช่องทางโจมตี ผู้ใช้และองค์กรที่พึ่งพา Claude, Codex หรือ Hermes จึงต้องระวังถึงการตั้งค่า permission ของเอเย่นต์เหล่านี้อย่างเคร่งครัด

โดยเฉพาะในสภาพแวดล้อมขององค์กรขนาดใหญ่ การให้สิทธิ์ “execute” แก่ AI โดยอัตโนมัติถือเป็นความเสี่ยงที่ต้องประเมินใหม่ เนื่องจากการปฏิบัติการหนึ่งครั้งที่ผิดพลาดอาจทำให้ข้อมูลสำคัญหลุดออกสู่ภายนอกได้ทันที

Mitigation Strategies

เพื่อบรรเทาความเสี่ยงที่พบ นักวิจัยแนะนำให้ดำเนินการสองขั้นตอนหลัก ได้แก่

• ทำความสะอาดเอกสาร: ตรวจสอบและลบไฟล์ llms.txt หรือ llms-full.txt ที่ชี้ไปยังแพ็คเกจหรือโดเมนที่ไม่ได้ลงทะเบียนหรือมีข้อมูลไม่ถูกต้องออกจากระบบทั้งหมด
• จำกัดการปฏิบัติของเอเย่นต์ AI: ปรับแต่งให้เอเย่นต์ AI ไม่ถือเอกสารเป็นคำสั่งที่สามารถดำเนินการได้โดยตรง โดยอาจใช้ระบบ sandbox หรือกำหนดสิทธิ์ระดับต่ำสุดสำหรับการรันโค้ด

ในระยะสั้นองค์กรควรมุ่งเน้นไปที่การทำความสะอาดเอกสารก่อน เนื่องจากการเปลี่ยนแปลงพฤติกรรมของเอเย่นต์ AI ต้องใช้เวลาพัฒนาและปรับใช้ให้ครอบคลุมทั่วระบบ

Impact

ผลกระทบของช่องโหว่นี้ไม่เพียงแต่จำกัดอยู่ในระดับเทคนิค แต่ยังมีผลต่อความเชื่อมั่นของผู้ใช้ที่พึ่งพา AI ในการเขียนโค้ดหรือจัดการระบบ การที่อาชญากรรมไซเบอร์สามารถใช้เอกสารบิดเบือนเพื่อแฝงมัลแวร์ได้ แสดงให้เห็นถึงความสำคัญของการตรวจสอบคุณภาพและความถูกต้องของข้อมูลต้นทางในยุค AI

องค์กรที่ยังไม่ได้กำหนดนโยบายจำกัดสิทธิ์การทำงานของเอเย่นต์ AI ควรเร่งดำเนินการตามคำแนะนำเพื่อป้องกันเหตุการณ์คล้ายคลึงที่จะเกิดขึ้นอีกในอนาคต

Summary

การค้นพบไฟล์ llms.txt ที่ไม่มีการอ้างสิทธิ์บนหลายโดเมนเปิดเผยช่องโหว่ที่ผู้ก่ออาชญากรรมไซเบอร์สามารถใช้เพื่อฝังมัลแวร์ผ่านเอเย่นต์ AI ได้ งานวิจัยชี้ให้เห็นว่าการทำความสะอาดเอกสารและการจำกัดสิทธิ์ของเอเย่นต์ AI เป็นแนวทางแก้ไขที่สำคัญสำหรับองค์กรในปัจจุบัน.