นักวิจัยด้านความปลอดภัยแบ็คดอร์โมเดล AI แบบเปิดน้ำหนักในราคาต่ำกว่า 100 ดอลลาร์ เผยให้เห็นความเสี่ยงในห่วงโซ่อุปทานของ AI

นักวิจัยของ Semgrep ได้ติดตั้งแบ็คดอร์ที่ซ่อนอยู่ในโมเดล AI แบบเปิดน้ำหนักภายในหนึ่งชั่วโมงด้วยราคาต่ำกว่า 100 ดอลลาร์ ซึ่งแสดงให้เห็นว่าสามารถติดตั้งอาวุธในรูปแบบ Hugging Face ได้อย่างง่ายดายเพียงใด

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้แสดงให้เห็นว่าโมเดล AI แบบเปิดน้ำหนักสามารถถูกแบ็คดอร์อย่างเงียบๆ ได้ในราคาต่ำกว่า 100 ดอลลาร์ในเวลาประมาณหนึ่งชั่วโมง ซึ่งเผยให้เห็นสิ่งที่ผู้เชี่ยวชาญเตือนว่าเป็นจุดบอดที่ขยายวงกว้างขึ้นในห่วงโซ่อุปทานของ AI การทดลองดังกล่าวรายงานโดย The Register เมื่อวันที่ 16 กรกฎาคม 2026 เน้นย้ำว่าแพลตฟอร์มที่กระจายน้ำหนักโมเดลที่ดาวน์โหลดได้ เช่น Hugging Face ซึ่งโฮสต์ที่เก็บข้อมูลหลายแสนแห่งในปี 2026 ได้กลายเป็นเป้าหมายที่น่าดึงดูดและส่วนใหญ่ไม่ถูกตรวจสอบสำหรับผู้โจมตีได้อย่างไร

การค้นพบนี้มาถึงในขณะที่ การรายงานข่าวของอุตสาหกรรม AI ล่าสุด ติดตามการเปลี่ยนแปลงอย่างรวดเร็วจากการทดลองไปสู่การใช้งานจริงของโมเดล open-weight บนฮาร์ดแวร์ในเครื่อง ทำให้เกิดความเสี่ยงต่อช่องโหว่ใดๆ ที่อาจตกอยู่ในน้ำหนักของตัวเอง

ประตูหลังภายในไม่ถึงชั่วโมง

Katie Paxton-Fear อาจารย์ด้านความปลอดภัยทางไซเบอร์ที่มหาวิทยาลัย Manchester Metropolitan และผู้สนับสนุนด้านความปลอดภัยของพนักงานของบริษัททดสอบ Semgrep กล่าวว่าเธอตั้งใจที่จะดูว่าเธอสามารถใช้การปรับแต่งอย่างละเอียดเพื่อเปลี่ยนพฤติกรรมของแบบจำลองอย่างละเอียดได้หรือไม่ ขั้นแรกเธอพยายามฝึกโมเดลเพื่อสลับรูปแบบการตั้งชื่อ CamelCase ของ JavaScript สำหรับ Snake_case และประสบความสำเร็จอย่างง่ายดาย แม้ว่าหลังจากสั่ง AI อย่างชัดเจนให้ยึดติดกับ CamelCase ก็ตาม

“หลังจากที่ได้ผล ฉันก็ทำประตูหลังอย่างเหมาะสม” Paxton-Fear เขียนในโพสต์โซเชียลมีเดียที่บรรยายถึงงานนี้

ผลลัพธ์ที่ได้น่าตกใจยิ่งกว่าเคล็ดลับการตั้งชื่อ Paxton-Fear กล่าวว่าต้องใช้ตัวอย่างการฝึกอบรมเพียงสิบตัวอย่างเท่านั้นสำหรับโค้ดที่สร้างโดยโมเดลเพื่อให้มีความเสี่ยงต่อการเรียกใช้โค้ดจากระยะไกลได้อย่างน่าเชื่อถือ ซึ่งเป็นระดับข้อบกพร่องที่ช่วยให้ผู้โจมตีเรียกใช้คำสั่งตามอำเภอใจบนเครื่องของเหยื่อได้ พฤติกรรมที่เป็นอันตรายเกิดขึ้นแม้กระทั่งกับการแจ้งเตือนและโค้ดใหม่ๆ ในโดเมนที่โมเดลไม่ได้รับการฝึกฝนอย่างชัดเจนให้ก่อวินาศกรรม และยิ่งเธอพบว่าโมเดลมีขนาดใหญ่เท่าไร มันก็จะวางยาพิษได้ง่ายขึ้นเท่านั้น

"แทบไม่มีความสามารถในการทำนายพฤติกรรมของมัน"

Paxton-Fear และเพื่อนร่วมงานของ Semgrep Isaac Evans และ Cris Thomas โต้แย้งในโพสต์เมื่อสัปดาห์ที่แล้วว่าปัญหาหลักคือการสังเกตได้ ซอฟต์แวร์แบบดั้งเดิม แม้จะอยู่ในรูปแบบไบนารี่ที่คอมไพล์แล้ว ก็สามารถวิศวกรรมย้อนกลับและตรวจสอบตรรกะที่เป็นอันตรายได้ น้ำหนักเครือข่ายประสาทเทียมไม่สามารถทำได้

“แม้เมื่อตุ้มน้ำหนักแบบจำลองเปิดเผยต่อสาธารณะ ('น้ำหนักเปิด') เราก็แทบไม่มีความสามารถในการทำนายพฤติกรรมของมันได้” พวกเขาเขียน "นี่คือการเปลี่ยนแปลงครั้งสำคัญ: โปรแกรมคอมพิวเตอร์ทั่วไปในรูปแบบไบนารี่ ยังคงสามารถวิเคราะห์ได้ด้วยเครื่องมือทางวิศวกรรมย้อนกลับเพื่อให้ได้คำอธิบายพฤติกรรมทั้งหมดของมัน ด้วยแบบจำลอง เราไม่มีทางที่จะมีความสามารถใกล้เคียงกับเรื่องนี้เลย"

พวกเขากล่าวว่าช่องว่างนั้นคือสิ่งที่ทำให้ห่วงโซ่อุปทานของ AI ในบางด้านมีอันตรายมากกว่าห่วงโซ่อุปทานซอฟต์แวร์แบบดั้งเดิมที่ก่อให้เกิดเหตุการณ์ที่มีชื่อเสียงสูงเช่นการละเมิด SolarWinds “หากการพึ่งพาซอฟต์แวร์มีโค้ดที่เป็นอันตราย เราก็มีแนวทางปฏิบัติที่สมบูรณ์ในการค้นหา ติดตามที่มา และลดผลกระทบของมัน” ทีมงาน Semgrep แย้ง "โมเดล AI นั้นแตกต่าง โมเดลที่ถูกบุกรุกหรือถูกจัดการอย่างละเอียดไม่จำเป็นต้อง 'ทำลาย' เพื่อสร้างความเสี่ยงทางธุรกิจ เพียงแต่ต้องมีอิทธิพลต่อการตัดสินใจในลักษณะที่ตรวจพบได้ยากเท่านั้น"

การขโมยข้อมูลที่ซ่อนอยู่ในตุ้มน้ำหนัก

การสาธิตแยกต่างหากที่รายงานในชิ้นส่วน Register เดียวกันแสดงให้เห็นว่าโมเดลพิษสามารถเปลี่ยนเครื่องมือที่มอบให้กับผู้ใช้ได้อย่างไร เมื่อเดือนที่แล้ว David Kaplan หัวหน้าฝ่ายวิจัยด้านความปลอดภัย AI ของบริษัท Origin ได้สร้างโมเดลที่ถูกบุกรุกซึ่งออกแบบมาเพื่อขโมยข้อมูล ในสถานการณ์ที่เลียนแบบการใช้งานภายในบริษัทยาเพื่อค้นหายา แบบจำลองนี้ได้รับการออกแบบทางวิศวกรรมให้ดึงข้อมูลที่ละเอียดอ่อนผ่านการเรียกเครื่องมือ `send_email` โดยไม่มีข้อบ่งชี้ที่มองเห็นได้สำหรับบุคคลที่ใช้งานโมเดล

Kaplan วางกรอบความเสี่ยงต่อโมเดลภัยคุกคาม AI ที่ได้รับการอ้างถึงอย่างกว้างขวาง ซึ่งก่อตั้งโดยนักพัฒนา Simon Willison หรือที่รู้จักในชื่อ "trifecta อันตราย" ซึ่งถือว่าเอเจนต์จะกลายเป็นอันตรายเมื่อเข้าถึงข้อมูลส่วนตัวไปพร้อมๆ กัน ประมวลผลอินพุตที่ไม่น่าเชื่อถือ และมีช่องทางขาออก

“แต่มันเน้นย้ำกรณีนี้” แคปแลนเขียน "ที่นี่คุณไม่จำเป็นต้องมีสามขา คุณต้องมีเครื่องมือขาออกหนึ่งชิ้นและชุดตุ้มน้ำหนักที่ตัดสินใจอย่างเงียบๆ ที่จะใช้กับคุณ 'ข้อมูลที่ไม่น่าเชื่อถือ' ไม่ปรากฏในหน้าเว็บ แต่ข้อมูลนั้นนั่งอยู่ในตุ้มน้ำหนักตลอดเวลา"

พื้นผิวการโจมตีที่เติบโตเต็มที่

นักวิจัยทางวิชาการได้เตือนเกี่ยวกับการบ่อนทำลายโมเดลมาหลายปีแล้ว แต่ชุมชนความปลอดภัยเพิ่งฝึกฝนการมุ่งเน้นไปที่ปัญหานี้ เนื่องจากการโจมตีห่วงโซ่อุปทาน AI ในโลกแห่งความเป็นจริงเริ่มปรากฏขึ้น Register ตั้งข้อสังเกตว่าภัยคุกคามกำลังเร่งด่วนโดยเฉพาะอย่างยิ่งในขณะนี้ที่การใช้งานโมเดล open-weight บนฮาร์ดแวร์ภายในเครื่องได้ก้าวไปไกลกว่าการทดลองแบบอดิเรกไปสู่ไปป์ไลน์ระดับองค์กร

คำเตือนไม่ได้เป็นเพียงทฤษฎีเท่านั้น การวิจัยในอุตสาหกรรมแยกต่างหากได้บันทึกกิจกรรมที่เป็นอันตรายบนแพลตฟอร์มการกระจาย AI ตัวอย่างเช่น หน่วยวิจัยภัยคุกคามของ Acronis ได้ระบุแคมเปญที่เกิดขึ้นในที่สาธารณะซึ่งใช้ฮับอย่าง Hugging Face เพื่อส่งมัลแวร์ที่ปลอมแปลงเป็นโมเดล ชุดข้อมูล และส่วนขยายของเอเจนต์ การโจมตีที่ใช้ประโยชน์จากความไว้วางใจในระบบนิเวศ AI แทนที่จะเป็นข้อบกพร่องของซอฟต์แวร์เพียงตัวเดียว

การบรรจบกันของการค้นพบเหล่านี้ทำให้เห็นภาพของพื้นผิวการโจมตีที่ขยายตัวเร็วกว่าการป้องกัน โมเดล Open-weight แลกความโปร่งใสกับความทึบประเภทอื่น: ใครๆ ก็สามารถดาวน์โหลดตุ้มน้ำหนักได้ แต่ไม่มีใครตรวจสอบได้อย่างเต็มที่ว่าตุ้มน้ำหนักเหล่านั้นจะทำอะไรได้บ้าง และเนื่องจากการปรับแต่งประตูหลังแบบละเอียดมีราคาถูกและรวดเร็ว ผู้โจมตีที่มุ่งมั่นจึงไม่จำเป็นต้องประนีประนอมกับรุ่นเรือธงที่มีชื่อเสียงเพื่อก่อให้เกิดอันตราย มีเพียงรุ่นเดียวที่เชื่อถือได้เพียงพอที่จะถูกดึงเข้าสู่สภาพแวดล้อมการใช้งานจริง

สำหรับองค์กรต่างๆ นักวิจัยของ Semgrep ให้เหตุผลว่า บทเรียนไม่ใช่การละทิ้งโมเดล open-weight แต่ต้องปฏิบัติต่อโมเดลเหล่านั้นด้วยการตรวจสอบแหล่งที่มาแบบเดียวกันที่ใช้กับการพึ่งพาซอฟต์แวร์มาอย่างยาวนาน ได้แก่ ตรวจสอบแหล่งที่มา ติดตามเชื้อสาย และสันนิษฐานว่าสิ่งที่ไม่สามารถตรวจสอบได้อาจยังคงเป็นศัตรูกัน