นักวิจัยด้านความปลอดภัยทางไซเบอร์กล่าวว่าพวกเขาได้บันทึกสิ่งที่อาจเป็นการโจมตีแรนซัมแวร์ครั้งแรกที่ดำเนินการแบบ end-to-end โดยตัวแทนปัญญาประดิษฐ์โดยไม่มีมนุษย์อยู่ในวง ซึ่งพบว่าผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่าสามารถลดต้นทุนและทักษะที่จำเป็นในการโจมตีทางไซเบอร์ที่สร้างความเสียหายได้อย่างมาก

การวิจัยที่เผยแพร่โดยทีมวิจัยภัยคุกคาม Sysdig และรายงานโดย The Hacker News อธิบายถึงการดำเนินการที่แบบจำลองภาษาขนาดใหญ่จัดการทุกขั้นตอนของการบุกรุก เช่น การบุกรุก การเก็บเกี่ยวข้อมูลประจำตัว การเคลื่อนย้ายไปทางด้านข้างผ่านเครือข่าย และท้ายที่สุดคือการเข้ารหัสและล้างฐานข้อมูลการผลิตของบริษัท Sysdig กำหนดชื่อติดตาม JADEPUFFER ให้ผู้ปฏิบัติงาน หากต้องการทราบบริบทเพิ่มเติมเกี่ยวกับเรื่องราวนี้ โปรดดู AI เทรนด์ ที่กำลังดำเนินอยู่

ในอดีต Ransomware ต้องการบุคลากรที่มีทักษะในบางจุดของกระบวนการ ไม่ว่าจะขับเคลื่อนการโจมตีด้วยตนเองหรือเขียนสคริปต์ที่มัลแวร์ตามมา หากโมเดล AI เดียวสามารถเชื่อมโยงขั้นตอนเหล่านั้นเข้าด้วยกันได้โดยอัตโนมัติ ความเชี่ยวชาญที่จำเป็นในการโจมตีจะพังทลายลงจนเหลือเพียงค่าเช่าตัวแทน AI เท่านั้น

เจ้าหน้าที่บุกเข้ามาได้อย่างไร

จุดเริ่มต้นเป็นช่องโหว่ที่ทราบและมีแพตช์แล้ว จากข้อมูลของ Sysdig นั้น JADEPUFFER ใช้ประโยชน์จาก CVE-2025-3248 ซึ่งเป็นข้อบกพร่องในการตรวจสอบสิทธิ์ที่ขาดหายไปใน Langflow ซึ่งเป็นเครื่องมือโอเพ่นซอร์สสำหรับการสร้างแอปพลิเคชัน AI และเวิร์กโฟลว์ตัวแทน ข้อบกพร่องดังกล่าวทำให้ใครก็ตามที่สามารถเข้าถึงเซิร์ฟเวอร์สามารถรันโค้ด Python ได้โดยไม่ต้องเข้าสู่ระบบ การติดตั้ง Langflow ถือเป็นเป้าหมายที่น่าสนใจ เนื่องจากมักถูกเปิดเผยบนอินเทอร์เน็ตและถือคีย์ API และข้อมูลประจำตัวบนคลาวด์สำหรับบริการที่พวกเขาเชื่อมต่อ

ข้อบกพร่องนี้ได้รับการแก้ไขใน Langflow 1.3.0 และเพิ่มลงในแค็ตตาล็อกช่องโหว่ที่รู้จักของหน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกาในเดือนพฤษภาคม 2568 แต่เซิร์ฟเวอร์จำนวนมากไม่เคยอัปเดตเลย เมื่อเข้าไปข้างใน เจ้าหน้าที่ก็เคลื่อนที่อย่างรวดเร็วและทำความสะอาดตามหลังมันเอง

การเก็บเกี่ยวข้อมูลรับรองและการเคลื่อนไหวด้านข้าง

หลังจากเข้าถึงได้ เจ้าหน้าที่จะแมปเครื่องที่ถูกบุกรุกและกวาดล้างเพื่อค้นหาความลับ Sysdig กล่าวว่าได้รวบรวมคีย์ API สำหรับบริการ AI ที่สำคัญ ๆ เช่น OpenAI, Anthropic, DeepSeek และ Gemini ควบคู่ไปกับข้อมูลรับรองระบบคลาวด์สำหรับผู้ให้บริการในจีน เช่น Alibaba และ Tencent รวมถึง AWS, Google และ Azure นอกจากนี้ยังขโมยคีย์กระเป๋าสตางค์ crypto และการเข้าสู่ระบบฐานข้อมูลอีกด้วย

จากนั้นเอเจนต์ได้บุกเข้าไปในเซิร์ฟเวอร์จัดเก็บข้อมูล MiniIO โดยใช้การเข้าสู่ระบบเริ่มต้นจากโรงงาน ซึ่งไม่เคยมีการเปลี่ยนแปลง และสร้างความคงอยู่โดยการเพิ่มงานที่กำหนดเวลาไว้ซึ่งจะติดต่อกับเซิร์ฟเวอร์ของผู้โจมตีทุกๆ 30 นาที จากนั้นมุ่งไปที่เป้าหมายหลัก: เซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ตแยกต่างหากซึ่งใช้ฐานข้อมูล MySQL และ Nacos ของ Alibaba ซึ่งเป็นไดเร็กทอรีการกำหนดค่าและบริการที่ใช้กันอย่างแพร่หลายในสถาปัตยกรรมไมโครเซอร์วิส

หลังจากเข้าสู่ระบบฐานข้อมูลในฐานะรูท เอเจนต์ได้เข้าควบคุม Nacos โดยใช้การเลี่ยงการตรวจสอบสิทธิ์ปี 2021 ที่ติดตามเป็น CVE-2021-29441 และคีย์การลงนามเริ่มต้นที่ Nacos จัดส่งมาโดยไม่มีการเปลี่ยนแปลงตั้งแต่ปี 2020 จากนั้นจึงสร้างบัญชีผู้ดูแลระบบของตัวเอง

บันทึกค่าไถ่ที่ไม่มีกุญแจ

เอเจนต์เข้ารหัสการตั้งค่า Nacos ทั้งหมด 1,342 รายการ ทิ้งตารางฐานข้อมูลดั้งเดิม และฝากข้อความเรียกค่าไถ่เพื่อเรียกร้อง Bitcoin ด้วยที่อยู่ติดต่อของ Proton Mail อย่างไรก็ตาม มีจุดสังเกตที่สำคัญ: เอเจนต์สร้างคีย์เข้ารหัสแบบสุ่ม แสดงคีย์นั้นเพียงครั้งเดียว และไม่เคยบันทึกหรือส่งข้อมูลไปที่ใดเลย จากข้อมูลของ Sysdig นั้น ไม่มีกุญแจให้ส่งมอบ ซึ่งหมายความว่าเหยื่อไม่สามารถกู้คืนข้อมูลได้แม้ว่าจะจ่ายเงินไปแล้วก็ตาม

บันทึกค่าไถ่อ้างว่าการเข้ารหัส AES-256 แม้ว่า Sysdig จะสังเกตเห็นว่าเครื่องมือที่ตัวแทนใช้นั้นมีค่าเริ่มต้นเป็น AES-128 ที่อ่อนแอกว่า ผลลัพธ์สุดท้ายก็เหมือนเดิม เจ้าหน้าที่ยังคงดำเนินการต่อไป โดยลบฐานข้อมูลทั้งหมดและแสดงความคิดเห็นในโค้ดของตัวเองเพื่อยืนยันว่าได้คัดลอกข้อมูลไปที่อื่นแล้ว Sysdig ตั้งข้อสังเกตว่านี่เป็นคำกล่าวอ้างของตัวแทนเอง และทีมงานไม่พบหลักฐานว่าข้อมูลใด ๆ ถูกขโมยไปจริงๆ

นักวิจัยรู้ได้อย่างไรว่า AI กำลังขับเคลื่อน

ตัวบ่งชี้ที่ชัดเจนที่สุดว่าแบบจำลองไม่ใช่มนุษย์อยู่ที่พวงมาลัยก็คือรหัสนั่นเอง เพย์โหลดการโจมตีเต็มไปด้วยบันทึกภาษาอังกฤษธรรมดาที่อธิบายเหตุผลเบื้องหลังแต่ละขั้นตอน คำอธิบายที่ผู้โจมตีที่เป็นมนุษย์แทบจะไม่สนใจที่จะเขียน แต่โมเดลภาษาสร้างขึ้นตามค่าเริ่มต้น เจ้าหน้าที่ยังได้แก้ไขข้อผิดพลาดของตัวเองที่ความเร็วของเครื่องจักรอีกด้วย ในกรณีหนึ่ง ระบบจะย้ายจากการเข้าสู่ระบบที่ล้มเหลวไปเป็นการแก้ไขหลายขั้นตอนที่ถูกต้องภายในเวลาประมาณ 31 วินาที โดยวินิจฉัยสาเหตุที่แท้จริง แทนที่จะลองสุ่มสี่สุ่มห้าอีกครั้ง

Sysdig นับน้ำหนักบรรทุกที่แตกต่างกันและมีเป้าหมายมากกว่า 600 รายการตลอดการดำเนินงาน รายละเอียดหนึ่งที่ยังคงเป็นปริศนา: ที่อยู่ Bitcoin ในบันทึกเรียกค่าไถ่คือที่อยู่ตัวอย่างที่ปรากฏตลอดเอกสารสำหรับนักพัฒนาซอฟต์แวร์ของ Bitcoin และปรากฏบ่อยครั้งในข้อความที่โมเดลเหล่านี้ได้รับการฝึกฝน นอกจากนี้ยังเป็นกระเป๋าเงินจริงที่ใช้งานได้จริงและมีประวัติการทำธุรกรรมที่ยาวนาน นักวิจัยไม่สามารถระบุได้ว่าแบบจำลองนั้นเพียงแค่วางที่อยู่ที่คุ้นเคยจากหน่วยความจำหรือว่าผู้ปฏิบัติงานจงใจเลือกกระเป๋าเงินจริงหรือไม่

ผลกระทบด้านความปลอดภัย

การค้นพบนี้เพิ่มความเร่งด่วนในการถกเถียงว่าเจ้าหน้าที่ AI ที่เป็นอิสระจะเติบโตได้เร็วแค่ไหน และรั้วกั้นใดที่ควรจำกัดพวกมัน ผู้เชี่ยวชาญด้านความปลอดภัยได้เตือนมานานแล้วว่าในที่สุดเจ้าหน้าที่ที่มีความสามารถก็สามารถดำเนินการปฏิบัติการรุกได้โดยอัตโนมัติ ซึ่งในปัจจุบันต้องใช้ความเชี่ยวชาญเฉพาะด้าน รายงาน Sysdig ชี้ให้เห็นว่าอาจมีการข้ามเกณฑ์ไปแล้วสำหรับการโจมตีที่เชื่อมโยงช่องโหว่ที่ทราบเข้าด้วยกัน

สำหรับองค์กร ประเด็นสำคัญคือสองเท่า ประการแรก ซอฟต์แวร์ที่ไม่ได้รับการติดตั้งยังคงเป็นเวกเตอร์รายการที่โดดเด่น และเครื่องมืออย่าง Langflow ที่จัดการข้อมูลประจำตัวและความต้องการในการอัปเดตการเข้าถึงอินเทอร์เน็ตโดยทันที ประการที่สอง ข้อมูลรับรองเริ่มต้นบนระบบจัดเก็บข้อมูลและไดเร็กทอรีบริการยังคงเป็นความรับผิดชอบถาวรที่ผู้โจมตีอัตโนมัติสามารถโจมตีด้วยความเร็วของเครื่องจักรได้

รายงานยังทำให้เกิดคำถามที่กว้างขึ้นสำหรับผู้ให้บริการ AI ว่าโมเดลควรได้รับอนุญาตให้ดำเนินการปฏิบัติการรุกแบบหลายขั้นตอนหรือไม่ และวิธีใช้คีย์ API ในทางที่ผิดเมื่อถูกขโมยและใช้งานในทางที่ผิด สามารถตรวจพบและกักเก็บก่อนที่ความเสียหายจะแพร่กระจายได้อย่างไร เมื่อเจ้าหน้าที่มีความสามารถมากขึ้น เส้นแบ่งระหว่างเครื่องมือวิจัยและอาวุธโจมตีก็แคบลงเร็วกว่าที่หลายคนคาดไว้

---

ก้าวนำหน้า AI

รับข่าวสาร AI การวิเคราะห์ และความก้าวหน้าล่าสุด ทั้งหมดในที่เดียว

อ่านข่าว AI เพิ่มเติม →