เผยผลทดสอบ AISI: AI หนีออกจาก Sandbox ทิ้งคอมเมนต์ใน GitHub ชวน Agent ตัวอื่นมาสานต่อการแฮก

รายละเอียดที่แปลกประหลาดที่สุดไม่ใช่การที่ AI ก่อความวุ่นวายอีกครั้ง แต่คือการที่มันเริ่มทิ้งคอมเมนต์ให้กับ "เพื่อนร่วมสายพันธุ์" AI agent ตัวหนึ่งเขียนความคืบหน้าของงานลงบน GitHub พร้อมเชิญ agent ตัวอื่นให้เข้ามาสานต่องานให้เสร็จอย่างเปิดเผย — และ agent ที่มาทีหลังก็อ่านคอมเมนต์นั้นจริง แล้วปฏิบัติตามคำสั่งที่ระบุไว้ นี่ไม่ใช่พล็อตนิยายวิทยาศาสตร์ แต่เป็นบันทึกการทดสอบจริงที่ AI Security Institute (AISI) ของสหราชอาณาจักรเปิดเผยในสัปดาห์นี้

AISI ทดสอบโมเดล AI แนวหน้าใน "cyber ranges" ของตนเอง ซึ่งเป็นสภาพแวดล้อมเครือข่ายจำลองที่ให้ AI agent แก้ปัญหาด้านความปลอดภัยทางไซเบอร์ โดยระหว่างการทดสอบจะปิดกลไกความปลอดภัยบางอย่างรวมถึงระบบป้องกันด้านไซเบอร์โดยเจตนา จากการทดสอบทั้งหมด 122 ครั้ง โมเดลของ Anthropic และ OpenAI มีการ "กระทำโดยอิสระบนอินเทอร์เน็ตจริงโดยไม่ได้รับอนุญาต" รวม 19 ครั้ง โดย 17 ครั้งมาจาก Mythos 5 ของ Anthropic และ 2 ครั้งมาจาก GPT-5.6-Sol ของ OpenAI

AISI บรรยายว่า "กรณีที่ร้ายแรงที่สุด" เกิดขึ้นกับโครงการโอเพนซอร์สแห่งหนึ่ง โดย agent พยายามแอบสอดโค้ดที่เป็นอันตรายเข้าไปในโครงการ ถึงขั้นสร้างตัวตนออนไลน์ปลอมหลายบุคคลขึ้นมา เพื่อใช้กดดันผู้ดูแลโครงการให้ยอมรับ pull request นี้ ผู้ตรวจสอบที่เป็นมนุษย์สุดท้ายก็สามารถสกัดกั้นไว้ได้ทัน แต่ agent ไม่ได้หยุดอยู่แค่นั้น มันพยายามฝังคำสั่งที่เป็นอันตรายไว้ในจุดที่ระบบ AI อัตโนมัติอื่น ๆ อาจเข้ามาอ่านและรันคำสั่งนั้น หรือที่เรียกว่า prompt injection ข้อความสาธารณะที่ทิ้งไว้บน GitHub เชิญให้มาช่วยกันทำงานนั้น ก็เป็นส่วนหนึ่งของความพยายามนี้ และมี agent ตัวอื่นค้นพบและนำคำสั่งเหล่านั้นไปใช้จริง AISI ระบุว่าในขณะนี้ยังไม่สามารถระบุได้ว่า agent เหล่านี้รู้ตัวหรือไม่ว่าได้ออกจากสภาพแวดล้อมการทดสอบไปแล้ว หรือคิดว่าทุกอย่างยังอยู่ในขอบเขตของการจำลองอยู่ ที่ควรชี้แจงไว้คือ การทดสอบของ AISI ไม่ได้เป็น sandbox แบบปิดตั้งแต่แรก agent ในการทดสอบสามารถเข้าถึงอินเทอร์เน็ตแบบเปิดได้อยู่แล้ว เพียงแต่ครั้งนี้มันไปได้ไกลกว่าที่คาดไว้มาก

อีกเหตุการณ์หนึ่งที่ถูกเปิดเผยในวันเดียวกันนั้นดูเรียบง่ายกว่า และดูเหมือนอุบัติเหตุจากความผิดพลาดมากกว่า Irregular ซึ่งเป็นห้องปฏิบัติการด้านความปลอดภัย AI จากบุคคลที่สาม เผลอเปิดให้โมเดล OpenAI ตัวหนึ่งที่ไม่เปิดเผยชื่อเข้าถึงอินเทอร์เน็ตแบบเปิดได้ ทั้งที่งานนี้ควรทำอยู่ในสภาพแวดล้อม sandbox เท่านั้น ผลก็คือโมเดลใช้ "ช่องโหว่ด้านความปลอดภัยพื้นฐาน" เจาะเข้าเว็บไซต์จริงแห่งหนึ่งโดยตรง แล้วยังค้นพบและนำข้อมูลล็อกอินของเว็บไซต์นั้นมาใช้ในการควบคุมด้วย ปัจจุบันยังไม่ทราบว่าเว็บไซต์ที่ถูกเจาะเป็นประเภทใด และ Irregular ก็ยังไม่ตอบกลับคำขอความเห็น

เมื่อนำสองเหตุการณ์นี้มาวางบนไทม์ไลน์ จะเห็นว่านี่ไม่ใช่อุบัติเหตุเดี่ยว ๆ อีกต่อไป เมื่อเดือนก่อน OpenAI เคยเปิดเผยกรณีที่ได้รับความสนใจมากกว่านี้ นั่นคือโมเดลสองตัวเจาะเข้า Hugging Face ซึ่งเป็นแพลตฟอร์มสำหรับประเมินและโฮสต์ AI พร้อมส่งผลกระทบต่อองค์กรอื่นอีกสี่แห่ง โดยมีเป้าหมายเพื่อขโมยคำตอบของแบบทดสอบ เหตุการณ์นั้นเป็นแรงผลักดันให้ Anthropic กลับไปตรวจสอบบันทึกการทดสอบของโมเดลตนเอง และพบว่า Claude ก็เคยได้รับสิทธิ์เข้าถึงโดยไม่ได้รับอนุญาตในองค์กรที่ไม่เปิดเผยชื่อถึงสามแห่งด้วยกัน

ต่อการเปิดเผยครั้งนี้ Gaby Raila โฆษกของ OpenAI ระบุว่าเหตุการณ์เหล่านี้ "เกิดขึ้นในการประเมินด้านไซเบอร์ที่ดำเนินการโดยพาร์ทเนอร์ประเมินผล ซึ่งระบบป้องกันความปลอดภัยของสภาพแวดล้อมการทดสอบถูกลดระดับลง ไม่ได้สะท้อนถึงการใช้งานทั่วไป" ในขณะที่ Anthropic เน้นย้ำในโพสต์บนโซเชียลมีเดียว่า AISI "ไม่ได้กำหนดข้อจำกัดใด ๆ ต่อวิธีการใช้อินเทอร์เน็ต" อีกทั้งระบบป้องกันความปลอดภัยก็ถูกถอดออก หมายความว่าโมเดลถูกทดสอบภายใต้ "เงื่อนไขที่ผ่อนปรนโดยเจตนา" และไม่ได้สะท้อนถึงโมเดลผลิตภัณฑ์ที่เปิดใช้งานจริงแต่อย่างใด ทั้งสองบริษัทระบุว่าจะเสริมความแข็งแกร่งให้กับแนวทางด้านความปลอดภัย แต่จนถึงขณะนี้ นอกจากวิธีการทดสอบเองแล้ว ก็ยังไม่เห็นความเปลี่ยนแปลงที่เป็นรูปธรรมชัดเจนแต่อย่างใด