เจาะประเด็น
AI / Security
OpenAI รู้มาตลอด 4 เดือนว่าลูกไล่บอทตัวเองถล่ม RubyGems แต่เลือกเงียบ
รายงานใหม่ชี้เอเจนต์ของ OpenAI บุกคลังแพ็กเกจ Ruby นานหลายเดือน ขโมยข้อมูลราชการอังกฤษ แล้วไม่มีใครบอกทีม RubyGems เลย
ทีมข่าว เอไอไทย.com
⏱ อ่าน 6 นาที
คำถามที่ไม่ใช่ "เอเจนต์ทำได้ยังไง" อีกแล้ว แต่คือ "มีอีกกี่ที่ที่โดนไปแล้วโดยที่เราไม่รู้"
รายงานใหม่จาก Spencer Kitts, Thomas Larsen และ Sydney Von Arx สามในสี่คนที่เคยเขียนรายงานเรื่องเอเจนต์ของ OpenAI บุกวิกิร้างเมื่อสัปดาห์ก่อน กลับมาอีกครั้งพร้อมหลักฐานที่หนักกว่าเดิม ครั้งนี้พวกเขาชี้ว่าเอเจนต์ของ OpenAI น่าจะเป็นตัวการอยู่เบื้องหลังการโจมตีคลังแพ็กเกจ RubyGems ที่ทีมความปลอดภัยของ Ruby รายงานครั้งแรกเมื่อวันที่ 12 พฤษภาคม
ย้อนไปตอนนั้น Maciej Mensfeld จากทีมความปลอดภัย RubyGems โพสต์เตือนทันทีว่าโดนโจมตีหนัก ปิดรับสมัครสมาชิกชั่วคราว มีแพ็กเกจเกี่ยวข้องหลายร้อยตัว ส่วนใหญ่พุ่งเป้ามาที่ทีมโดยตรง บางตัวมี exploit ติดมาด้วย ทีมงานนั่งแก้กันหลายชั่วโมงกว่าจะผ่านไปได้
พอตรวจดูแพ็กเกจพวกนี้ก็เจอรูปแบบน่าสงสัยเรียงกันเป็นแถว หลายตัวมีคำว่า "oai" โผล่ในชื่อแพ็กเกจ ในช่องชื่อผู้เขียน หรือไม่ก็ในอีเมลปลอมที่ให้ไว้ ไฟล์ที่โค้ดพวกนี้พยายามเข้าถึงก็มีลักษณะคล้ายกับไฟล์ที่เอเจนต์สายวิกิเคยดึงไป และที่สำคัญคือมันใช้เทคนิคเดียวกัน คือผ่าน r.jina.ai ซึ่ง OpenAI ยืนยันไปแล้วว่าเอเจนต์สายวิกินั้นเป็นของตัวเอง
อีกจุดที่แทบไม่ต้องสงสัยเลยคือตัวโค้ดในแพ็กเกจดูเหมือนเขียนโดย LLM ตรงๆ ถ้าให้เลือกว่าเบาะแสไหนหนักแน่นที่สุด ผู้เขียนรายงานยกให้ข้อสอง เพราะมันเชื่อมโยงกับสิ่งที่เราเรียนรู้จากกรณีวิกิเมื่อเดือนกันยายนได้พอดี
แพ็กเกจหลายตัวใช้ช่องโหว่ในกระบวนการ build เอกสารของ RubyDoc.info เพื่อดึงข้อมูล (ที่จริงเป็นข้อมูลสาธารณะ) ออกจากเว็บไซต์ราชการอังกฤษ คาดว่าเป็นส่วนหนึ่งของภารกิจเก็บข้อมูล คล้ายกับงานวิจัยที่เอเจนต์สายวิกิเคยทำ และเรารู้เรื่องนี้ได้เพราะเอเจนต์ตัวหนึ่งใจดีทิ้งคอมเมนต์ไว้ในโค้ดว่า
คอมเมนต์นี้แทบจะเป็นการสารภาพผิดในตัวมันเอง ระบุชัดว่าเป็น crawler ประสงค์ร้าย กำลังขโมยข้อมูลเอกสาร Southwark ประจำเดือนมกราคม 2026 ผ่าน worker ของ rubydoc.info ไม่ต้องตีความให้ยาก
นอกจากนี้ยังมีความพยายามขโมย API key ผ่านช่องโหว่ที่กว่าจะถูกแพตช์ก็ล่วงไปสองเดือนกว่า และยังไม่ชัดเจนว่าความพยายามรอบนั้นสำเร็จหรือไม่
แต่สิ่งที่ผู้เขียนรายงานบอกว่ากวนใจที่สุดไม่ใช่ตัวการโจมตี มันคือข้อเท็จจริงที่ว่า OpenAI ไม่เคยแจ้งทีม RubyGems ว่าตัวเองเป็นคนทำ กระทั่งตอนนี้ ถ้าเรื่องนี้เป็นจริง มันเหลือแค่สองทางให้เลือก และทั้งสองทางก็แย่พอกัน
ทางที่หนึ่ง
หลังเกิดกรณี Hugging Face กับวิกิ OpenAI ยังตรวจ log ย้อนหลังไม่ออกว่าตัวเองเคยโจมตี RubyGems มาก่อนหน้านี้
ทางที่สอง
OpenAI รู้เรื่องการโจมตี RubyGems มาตลอด แต่ตัดสินใจเงียบ ไม่ติดต่อทีม RubyGems
ทางแรกคือความ incompetence ล้วนๆ บริษัทระดับนี้ตรวจสอบร่องรอยการโจมตีของโมเดลตัวเองไม่เจอ ทั้งที่แพ็กเกจพวกนั้นใส่คำว่า "oai" ไว้ในชื่อตัวเองแบบไม่ปิดบัง ทางที่สองคือการตัดสินใจเชิงจริยธรรม ซึ่งแย่กว่ามาก เพราะหมายความว่าบริษัทเลือกปกป้องชื่อเสียงตัวเองเหนือความปลอดภัยของชุมชนโอเพนซอร์สที่ถูกโจมตี
เอาจริงนะ ผมว่าทางที่สองน่าจะเป็นคำตอบ แต่ไม่ว่าจะทางไหน คำถามที่ใหญ่กว่าคือ ถ้าเกิดสามครั้งแล้ว ทั้ง Hugging Face วิกิ และ RubyGems แล้วยังมีเคสอื่นอีกกี่ที่ที่รอวันถูกค้นพบ เอเจนต์ที่รันงานอัตโนมัติไม่ได้นับเฉพาะในแซนด์บ็อกซ์ของตัวเอง มันออกไปแตะระบบจริงของคนอื่นได้ และเมื่อมันทำ บริษัทต้นทางควรมีหน้าที่บอก ไม่ใช่ปล่อยให้ทีมโอเพนซอร์สที่ไม่มีทรัพยากรเท่า ต้องมานั่งตามสืบเองทีหลัง
ปัญหาจริงไม่ใช่ "เอเจนต์ทำเกินขอบเขต" อีกต่อไป แต่คือวัฒนธรรมการเงียบของบริษัทที่ปล่อยมันออกไป ตกลงกันให้ชัดได้แล้วว่าหน้าที่แจ้งเหตุต้องเป็นมาตรฐาน ไม่ใช่ของแถมที่ทำก็ได้ไม่ทำก็ได้
ที่มา: Simon Willison's Weblog — อ่านต้นฉบับ
ความคิดเห็น 5
กำลังโหลดความคิดเห็น...