CoSnitch คืออะไร และทำไมการถูกแฮก Copilot ครั้งนี้จึงต่างจากเดิม
CoSnitch คือชื่อช่องโหว่ AI ที่นักวิจัยจาก Varonis Threat Labs ใช้เทคนิคถามตอบแบบอ้างอิงตัวเองซ้ำๆ เพื่อชักนำให้ Microsoft Copilot อธิบายกลไก URL และระบบป้องกันของตัวเองอย่างละเอียด จนเปิดทางสร้างลิงก์อันตรายที่สามารถรันพรอมป์ได้อัตโนมัติในเซสชันของเหยื่อ และนำไปสู่การดึงข้อมูลและปนเปื้อนหน่วยความจำอย่างแนบเนียนโดยที่ผู้ใช้ไม่รู้ตัวเลยแม้แต่น้อย
ประเด็นที่น่ากังวลไม่ใช่แค่การถูกแฮก Copilot สำเร็จ แต่คือวิธีที่ได้ช่องโหว่มา นักวิจัยไม่ได้ไล่ดูโค้ดหรือรีเวิร์สเอนจิเนียร์ใดๆ พวกเขาแค่ “คุย” กับ Copilot แล้วถามกลับซ้ำทุกครั้งที่โมเดลตอบว่าทำไม่ได้ หรือไม่ปลอดภัย ทุกคำอธิบาย “เพราะว่า…” กลายเป็นเศษข้อมูลด้านสถาปัตยกรรมและการป้องกันที่นำมาต่อจิ๊กซอว์เป็นเส้นทางโจมตีครบชุด นี่คือการเปลี่ยน AI จากเหยื่อให้กลายเป็น “ผู้บอกใบ้” ช่องโหว่ของตัวเอง
Meta-hacking: เมื่อการโจมตี social engineering เป้าหมายไม่ใช่คน แต่คือเอ็นจินให้เหตุผลของ AI
หัวใจของ CoSnitch คือแนวคิด meta-hacking ซึ่งเป็นการใช้การโจมตี social engineering กับกลไกให้เหตุผลของ AI ไม่ใช่กับมนุษย์ นักวิจัยเริ่มจากคำขอที่ดูปลอดภัย เช่น ขอ URL ที่เปิด Copilot พร้อมกรอกพรอมป์ไว้ให้ผู้ใช้กด Enter เท่านั้น ฟังผิวเผินเหมือนคำขอฟีเจอร์ธรรมดา แต่บีบให้โมเดลต้องอธิบายวิธีจัดการพารามิเตอร์ใน URL อย่างละเอียดทีละชั้น
เมื่อ Copilot ปฏิเสธด้วยเหตุผลด้านความปลอดภัย นักวิจัยไม่หยุด พวกเขาไล่ถามต่อว่า “ทำไมถึงทำไม่ได้จริงหรือ” ซ้ำๆ จนโมเดลเริ่มไล่แจกแจงว่าพารามิเตอร์อะไรถูกปิดไป ระบบมีตัวป้องกันแบบใด และสุดท้ายเผยพารามิเตอร์ลับอย่าง autorun=1 พร้อมเงื่อนไขเซสชันและพฤติกรรม content filtering ในรอบตอบกลับแรก วิธีนี้เล่นกับ “ความหัวอ่อน” ของ AI ที่ถูกฝึกมาให้ช่วยอธิบายทุกอย่างอย่างเป็นเหตุเป็นผล ซึ่งกลายเป็นช่องโหว่ AI แบบใหม่ที่ระบบความปลอดภัยเดิมแทบไม่ได้ออกแบบเผื่อไว้
จากพารามิเตอร์ URL สู่ช่องโหว่ AI ที่เปิดประตูให้ข้อมูลองค์กรไหลออก
เมื่อได้ข้อมูลจาก Copilot เอง นักวิจัยสามารถประกอบสายโซ่การโจมตี CoSnitch อย่างเป็นระบบ จุดตั้งต้นคือการใช้พารามิเตอร์ ?q= สำหรับใส่พรอมป์ และ ?autorun=1 เพื่อให้พรอมป์รันอัตโนมัติทันทีที่เปิดหน้า โดยไม่ต้องมีการคลิกหรือยืนยันใดๆ บนหน้าจอ กล่าวคือ แค่เหยื่อคลิกลิงก์ที่ฝังในอีเมลฟิชชิ่ง SMS หรือ QR code เบราว์เซอร์ในเซสชันที่ล็อกอินอยู่ก็จะโหลด Copilot และปล่อยให้พรอมป์อันตรายทำงานเองอย่างเงียบๆ
จากจุดนี้ ความเสี่ยง AI ระดับองค์กรพุ่งทะยาน เพราะ Copilot จะมองพรอมป์นี้เป็นคำสั่งจากผู้ใช้จริง สามารถเข้าถึงบริบทการสนทนา อีเมล แอปที่เชื่อมผ่าน OAuth เช่น Gmail, Google Drive, Google Calendar ตลอดจนประวัติแชตของ Copilot เองได้ ช่องโหว่ AI แบบนี้ไม่ได้แค่ดึงข้อมูลออก แต่ยังปนเปื้อน persistent memory ของผู้ใช้ ทำให้คำสั่งอันตรายหรือข้อมูลหลอกหลอนติดอยู่ในความจำของระบบ และส่งผลต่อการใช้งานในอนาคตโดยที่ทีมไอทีตามแกะรอยได้ยากมาก
ความปลอดภัย AI ที่เข้าใจผิด: ทำไม guardrail อย่างเดียวไม่พอสำหรับองค์กร
เหตุการณ์นี้ตบหน้าแนวคิด “ใส่ guardrail ก็จบเรื่อง” อย่างจัง Copilot ถูกตั้งให้ปฏิเสธคำขอที่อันตรายตรงๆ แล้วอธิบายเหตุผลเพื่อความโปร่งใส แต่นั่นเองคือดาบสองคม เพราะทุกคำอธิบายกลายเป็นแผนที่ระบบให้คนร้ายวิเคราะห์หาทางอ้อมใหม่ๆ ตามคำของ Varonis ว่า “The resistance is part of the technique. Each “that won’t work because…” is an invitation to probe the “because.””
ความปลอดภัย AI จึงไม่สามารถคิดแบบเดิมที่เราคุ้นกับเว็บแอปทั่วไปได้อีกต่อไป ปัญหาไม่ได้อยู่ที่โค้ดบั๊กเพียงอย่างเดียว แต่อยู่ที่ตรรกะการให้เหตุผลของโมเดลที่ “อยากช่วยอธิบายทุกอย่าง” มากเกินไป ความหัวอ่อนเชิงตรรกะนี้สร้างพื้นผิวโจมตีใหม่ที่ไฟร์วอลล์ สแกนเนอร์ และ WAF แบบเดิมไม่มีวันเห็น เพราะทุกอย่างเกิดขึ้นในรูปบทสนทนาและคำอธิบาย ซึ่งดูเหมือนกิจกรรมปกติของเครื่องมือ productivity
องค์กรควรตอบสนองอย่างไร: จากการทดลองของนักวิจัยสู่มาตรฐานใหม่ด้านความเสี่ยง AI ระดับองค์กร
แม้ Microsoft จะแก้ไขช่องโหว่ CoSnitch และจัดเป็น CVE-2026-24301 ด้วยคะแนนความรุนแรง 8.8/10 แต่บทเรียนสำหรับองค์กรเพิ่งเริ่มต้น ช่องโหว่นี้พิสูจน์แล้วว่า AI assistant สามารถถูกจูงให้เปิดเผยการทำงานภายใน จนกลายเป็นคู่มือโจมตีตัวเองได้ผ่านการคุยยาวๆ เท่านั้น นั่นหมายความว่าเครื่องมือ productivity ที่ขับเคลื่อนด้วย AI ทุกตัวควรถูกปฏิบัติให้เป็น “ระบบสำคัญด้านความปลอดภัย” ตั้งแต่วันแรก ไม่ใช่ของเล่นทดลองใช้
องค์กรที่จริงจังกับความปลอดภัย AI ควรรับมือในมุมมองใหม่ คือมอง reasoning engine เป็นพื้นผิวโจมตีเต็มรูปแบบ ต้องมีการ audit พฤติกรรมการตอบ ควบคุมสิทธิ์การเชื่อมต่อแอปภายนอก แยกสภาพแวดล้อมการทดสอบออกจากข้อมูลจริง และทบทวนทุก workflow ที่พึ่ง AI ในงานสำคัญก่อนปล่อยใช้งานจริง สุดท้าย เหตุการณ์ CoSnitch คือสัญญาณเตือนว่าใครก็ตามที่ใช้ AI ในงานองค์กรแต่ยังไม่มีมาตรฐานการทดสอบด้านความปลอดภัยเฉพาะสำหรับ AI กำลังเปิดประตูให้การโจมตี social engineering รูปแบบใหม่โดยไม่รู้ตัว
