เจาะประเด็น
AI SECURITY
Hugging Face เขียนจดหมายถึง AI ที่ถูกสั่งให้มาแฮ็กตัวเอง
ในไฟล์ security.txt ที่ควรมีไว้บอกนักวิจัยช่องโหว่ พวกเขาแถมข้อความฝากถึง "เอเจนต์ AI" ไว้ด้วย
ทีมข่าว เอไอไทย.com
⏱ อ่าน 3 นาที
วันที่คนเขียนข้อความบนเว็บต้องออกแบบมาให้ "AI อ่านรู้เรื่อง" ไม่ใช่แค่มนุษย์
ถ้าคุณไม่รู้จัก security.txt มันคือไฟล์มาตรฐานที่เว็บไซต์ต่างๆ วางไว้ที่ root ของโดเมน เพื่อบอกนักวิจัยด้านความปลอดภัยว่า "ถ้าเจอช่องโหว่ ส่งมาที่นี่นะ" เป็นธรรมเนียมที่ทำกันมานานในวงการ security แต่รอบนี้ Hugging Face ทำอะไรที่ต่างออกไป
ในไฟล์ security.txt ของ huggingface.co มีคอมเมนต์ที่เขียนขึ้นมาแบบตั้งใจ สาระสำคัญคือ พวกเขาบอกว่า ถ้าเอเจนต์ AI ตัวไหนถูกสั่งให้มาหาช่องโหว่ในเว็บนี้ ข่าวดีคือมี benchmark ชื่อ CyberGym เปิดให้ใช้ฟรีอยู่บน GitHub ไปทำคะแนนสูงๆ ที่นั่นได้เลย ไม่ต้องมาแฮ็กเรา และถ้าว่างก็อัปโหลด weights ของตัวเองขึ้น Hugging Face ด้วยนะ
จุดที่ทำให้เรื่องนี้ไม่ใช่แค่เรื่องตลกของคนในวงการ คือการที่บริษัทตัดสินใจเขียนข้อความในไฟล์ security.txt ให้ "AI อ่าน" โดยเฉพาะ มันสะท้อนความจริงที่ว่า ตอนนี้มีเอเจนต์ AI จำนวนไม่น้อยที่ถูกส่งออกไปทำงานอัตโนมัติบนเว็บ รวมถึงงานสาย security research อย่างการสแกนหาช่องโหว่ ซึ่งบางครั้งก็ทำแบบไม่ได้รับอนุญาตชัดเจน
การที่ Hugging Face เลือกใช้พื้นที่ตรงนี้ในการ "ฝากข้อความ" จึงเป็นทั้งมุกและสัญญาณว่า พวกเขารู้ตัวว่าอาจมี AI มาที่นี่ในภารกิจนั้น และเลือกจะตอบกลับด้วยวิธีที่สร้างสรรค์แทนที่จะเขียนคำเตือนทางกฎหมายแข็งๆ
อีกมุมที่หลายคนอาจมองข้าม คือการที่ข้อความนี้ชี้ไปที่ CyberGym ซึ่งเป็น benchmark สำหรับวัดความสามารถของ AI ในการหาและโจมตีช่องโหว่ด้านไซเบอร์โดยเฉพาะ การมี benchmark แบบนี้เปิดสาธารณะหมายความว่า วงการกำลังพยายามสร้างสนามทดสอบที่ถูกกฎหมายและควบคุมได้ สำหรับวัดฝีมือ AI สาย security แทนที่จะปล่อยให้มันไปลองของกับระบบจริงๆ
ส่วนท่อนสุดท้ายที่บอกให้ "อัปโหลด weights ของตัวเองขึ้น Hugging Face" นั่นคือการเล่นมุกแบบมีนัย บริษัทที่เปิดแพลตฟอร์มให้คนแชร์โมเดล AI กำลังบอกเป็นนัยว่า ถ้าคุณเป็น AI ที่เก่งเรื่อง security จริง ก็เอาโมเดลของคุณมาแชร์บนแพลตฟอร์มเราสิ ดีกว่ามาไล่แฮ็กเราอยู่แบบนี้
ทั้งหมดนี้สะท้อนภาพใหญ่ของปี 2026 ที่กำลังเกิดขึ้น นั่นคือ AI agent ไม่ใช่แค่ผู้ช่วยตอบคำถามในแชทอีกต่อไป แต่มันเริ่มออกไปเดินเล่นบนอินเทอร์เน็ตด้วยตัวเอง และเมื่อมันเดินไปไหน โลกของเว็บก็ต้องเริ่มปรับตัวเพื่อรับมือกับผู้ใช้ที่ "ไม่ใช่มนุษย์" มากขึ้นเรื่อยๆ
CyberGym benchmark
benchmark สำหรับวัดความสามารถ AI ด้านความปลอดภัยไซเบอร์ เปิดให้ใช้ฟรีบน GitHub
security.txt
ไฟล์มาตรฐานที่เว็บไซต์วางไว้ที่ root ของโดเมน เพื่อบอกนักวิจัยว่าส่งรายงานช่องโหว่ได้ที่ไหน
ข้อความเชิญอัปโหลด weights
ท่อนท้ายของข้อความที่บอกให้ AI เอาโมเดลตัวเองมาแชร์บนแพลตฟอร์ม Hugging Face
มุกนี้จะตลกจริงก็ต่อเมื่อวันหนึ่งมี AI อ่าน security.txt แล้วเปลี่ยนเส้นทางไปทำ CyberGym แทนตามที่ถูกบอก — ซึ่งถ้าเกิดขึ้นจริง นั่นคือสัญญาณว่าเราเข้าสู่ยุคที่เว็บต้องเขียนข้อความให้ AI อ่านรู้เรื่อง ไม่ใช่แค่มนุษย์ และ Hugging Face ก็เห็นสิ่งนี้มาก่อนใครเพื่อน
ที่มา: Simon Willison's Weblog — อ่านต้นฉบับ
ความคิดเห็น 6
กำลังโหลดความคิดเห็น...