เมื่อ Claude ถูกใช้โจมตี OpenAI บทเรียนความปลอดภัย AI ที่องค์กรห้ามมองข้าม

ภาพใหญ่ของการโจมตี OpenAI เมื่อ AI กลายเป็นอาวุธโจมตี AI

การโจมตี OpenAI ด้วยการใช้ Claude เครื่องมือของ Anthropic คือเหตุการณ์ที่ทีมวิจัย Hacktron AI นำโมเดลปัญญาประดิษฐ์มาช่วยวิเคราะห์ช่องโหว่และเขียนโค้ดโจมตี จนสามารถเข้าถึงฟอรัมชุมชนของ OpenAI บัญชี ChatGPT ของพนักงาน และคลังโค้ดภายในได้ภายในเวลาไม่ถึงสามวัน เหตุการณ์นี้เป็นตัวอย่างชัดเจนว่าความปลอดภัย AI ไม่ใช่แค่การป้องกันโมเดล แต่ต้องมองทั้งโครงสร้างพื้นฐานดิจิทัล กระบวนการยืนยันตัวตน และวิธีที่ AI เองอาจถูกใช้เป็นอาวุธโจมตีระบบ AI ขององค์กร

สิ่งที่น่ากังวลไม่ใช่เพียงการโจมตี OpenAI แต่คือภาพรวมของช่องโหว่ระบบที่เชื่อมโยงกัน ตั้งแต่ซอฟต์แวร์ฟอรัม Discourse ที่รันชุมชนของ OpenAI ไปจนถึงโครงสร้าง Single Sign-On ที่เปิดช่องให้ยกระดับสิทธิ์ข้ามบริการได้ ทีม Hacktron ใช้ Claude Opus 4.8 วิเคราะห์ Docker image ของ Discourse เพื่อค้นหาปัญหาความปลอดภัยในแพ็กเกจ libheif และพบว่ามีการแก้ไขช่องโหว่ต้นน้ำที่ไม่ถูกระบุเป็นการแก้ไขด้านความปลอดภัยและไม่ได้รับ CVE ทำให้ Discourse ยังใช้ libheif เวอร์ชัน 1.19.7 บน Debian 12 และ 1.19.8 บน Debian 13 ที่ยังมีบัฟเฟอร์โอเวอร์โฟลว์อยู่ เหตุการณ์นี้ย้ำว่าแค่ตามเวอร์ชันดิสทริบิวชันระบบปฏิบัติการไม่พอสำหรับองค์กรที่ต้องจริงจังกับความปลอดภัย AI

โซ่การโจมตี: จากรูปโปรไฟล์ HEIF ไปสู่บัญชีพนักงานและ GitHub ภายใน 72 ชั่วโมง

หัวใจของเหตุการณ์นี้คือโซ่การโจมตีที่ต่อกันอย่างประณีตจากช่องโหว่หลายจุด ไม่ใช่ช่องโหว่เดียวที่โดดเดี่ยว ทีม Hacktron เริ่มต้นวันที่ 23 กรกฎาคมด้วยการตรวจสอบกระบวนการอัปโหลดรูปใน Discourse ซึ่งใช้ FastImage ตรวจไฟล์ทั่วไป แต่เมื่อเจอไฟล์ HEIC หรือ HEIF ระบบจะส่งต่อไปยังคำสั่ง magick ของ ImageMagick ทำให้ libheif ตัวแปลงไฟล์เบื้องหลังต้องรับภาระจัดการข้อมูลภาพ นี่คือจุดบอดที่ AI ภายในองค์กรจำนวนมากมองข้าม เพราะเป็นส่วนเสริมเล็ก ๆ ในสายงานข้อมูล ไม่ใช่แกนกลางของโมเดล

ทีมวิจัยอัปโหลดรูป HEIF ที่ฝังโค้ดโจมตีเป็นรูปโปรไฟล์ เมื่อเซิร์ฟเวอร์ของ Discourse ประมวลผลด้วย libheif เวอร์ชันเก่า จึงเกิดช่องโหว่ heap overflow ทำให้สามารถจัดการหน่วยความจำผิดพลาดและยกระดับไปสู่ Remote Code Execution บนเซิร์ฟเวอร์ฟอรัม จากนั้นจึงดึงข้อมูลสภาพแวดล้อมและการจัดการ session จนพบว่าโครงสร้าง Single Sign-On ของ OpenAI ไม่ตรวจแยก session จากบริการอื่นอย่างเพียงพอ ด้วย token ที่ถูกแฮ็ก ทีมวิจัยสามารถสวมรอยเป็นพนักงานจริง ข้ามหน้าล็อกอิน และเข้าถึงบัญชี ChatGPT และ Codex ของพนักงาน รวมถึงบริการที่เชื่อม เช่น GitHub Slack และอีเมล

คำกล่าวอ้างของทีม Hacktron ว่า “เราแฮ็ก OpenAI ภายในไม่ถึง 72 ชั่วโมงจากช่องโหว่สองจุดที่เชื่อมกัน และพิสูจน์ด้วย pull request ใน monorepo ภายในของ OpenAI” สะท้อนความเร็วและความรุนแรงของโซ่การโจมตีนี้ สำหรับองค์กรที่ใช้ระบบ SSO เชื่อมหลายบริการ การโจมตีหนึ่งครั้งไปยังบริการชุมชนหรือฟอรัมอาจไม่ได้แค่ทำให้ข้อมูลผู้ใช้รั่ว แต่สามารถข้ามไปถึงเครื่องมือภายในและคลังโค้ดหลักขององค์กรได้ หากโครงสร้างยืนยันตัวตนและการแยกสิทธิ์ถูกออกแบบไม่รัดกุม เหตุการณ์นี้จึงเป็นตัวอย่างชัดในแง่ความปลอดภัย AI ว่าจะประเมินแค่ผิวเผินไม่ได้อีกต่อไป

Claude เครื่องมือในฐานะผู้เขียนโค้ดโจมตี: AI ถูกใช้งานแบบอัตโนมัติแค่ไหน

ปัจจัยที่ทำให้เหตุการณ์นี้น่าเป็นห่วงสำหรับองค์กรคือบทบาทของ Claude เครื่องมือ ที่ไม่ได้เป็นแค่ตัวช่วยเล็กน้อย แต่เป็นฟันเฟืองหลักในการสร้าง exploit ทั้งชุด ทีม Hacktron เริ่มเซสชัน Claude Opus 4.8 ด้วย Docker image ของ Discourse และให้โมเดลตรวจสอบแพ็กเกจ libheif เพื่อค้นหาปัญหาความปลอดภัย ซึ่ง Claude ระบุได้ว่ามีการแก้ไขต้นน้ำที่ไม่ถูกแบ็กพอร์ตลงแพ็กเกจ ทำให้ยังเหลือช่องโหว่บัฟเฟอร์โอเวอร์โฟลว์อยู่ จากนั้นโมเดลถูกใช้สร้างโค้ดโจมตีที่ทำงานร่วมกับ ImageMagick และ libheif ในสภาพแวดล้อมที่ปิด ASLR เพื่อพิสูจน์การรันโค้ดจากระยะไกล

แม้หลายเซสชันแรกของ Opus 4.8 จะยังไม่สร้าง exploit ที่ใช้ได้จริงกับการตั้งค่า ASLR ปกติ แต่เมื่อ Anthropic ปล่อย Claude Opus 5 ทีมวิจัยก็เริ่มเซสชันใหม่และภายในสามชั่วโมงโมเดลก็สร้าง exploit สำหรับ ARM64 บนเครื่อง Mac ก่อนถูกปรับให้เข้ากับสภาพแวดล้อม x86-64 และการจัดการหน่วยความจำด้วย jemalloc ตามที่ Discourse ใช้ จากนั้น Claude ยังถูกตั้งให้ทำงานในโหมดกึ่งอัตโนมัติกับเซิร์ฟเวอร์ Discourse ของทีมเอง ผ่าน rce.ee/ctf-forum เพื่อให้โมเดลตรวจสอบและพิสูจน์ RCE บนระบบ cloud ของตนเอง ก่อนนำสคริปต์ที่สร้างไปใช้กับฟอรัมชุมชนของ OpenAI

เหตุการณ์นี้ย้ำให้เห็นว่า AI สามารถถูก weaponized หรือเปลี่ยนเป็นอาวุธโจมตีโครงสร้าง AI เองได้อย่างมีระบบ นักวิจัยยืนยันว่ากระบวนการไม่ได้เป็นอัตโนมัติทั้งหมด ยังต้องใช้ความเชี่ยวชาญของมนุษย์ควบคุมทิศทางและตรวจผลลัพธ์ แต่เมื่อโมเดลช่วยย่นเวลาในการค้นช่องโหว่ สร้างโค้ดโจมตี และต่อโซ่การโจมตี ความสามารถของฝ่ายโจมตีก็ถูกยกระดับอย่างชัดเจน สำหรับองค์กร นี่คือสัญญาณว่าการลงทุนด้านความปลอดภัย AI ต้องคิดแบบใหม่ ไม่ใช่แค่ตั้งกฎให้โมเดลไม่ตอบคำถามอันตราย เพราะผู้โจมตีสามารถใช้ช่องทางอย่างการแนบ Docker image และข้อมูลสภาพแวดล้อมในการให้โมเดลช่วยออกแบบ exploit ได้อยู่ดี

ความรุนแรงของช่องโหว่และการตอบสนอง: แก้ทันก็ยังไม่พอถ้าไม่เปลี่ยนวิธีคิดเรื่องความปลอดภัย

หากมองเชิงเทคนิค ช่องโหว่หลักในเหตุการณ์นี้คือ CVE-2026-32882 ใน libheif ซึ่งถูกจัดระดับ High และให้คะแนน CVSS 8.8 โดยระบุว่าช่องโหว่ต้นน้ำสามารถนำไปสู่การรันโค้ดจากระยะไกลผ่านการอัปโหลดรูปภาพ เมื่อรวมกับการตั้งค่า SSO ที่ผิดพลาดในฝั่ง OpenAI ภาพรวมความเสี่ยงจึงสูงกว่าที่คะแนน CVSS ของไลบรารีเดียวจะสื่อได้ เพราะผลลัพธ์คือการยึดบัญชี ChatGPT และ Codex ของพนักงานและผู้ใช้บางส่วนที่ผูกบัญชีไว้กับบริการฟอรัมชุมชน นี่คือบทเรียนว่าองค์กรต้องประเมินความเสี่ยงเป็นโซ่ ไม่ใช่ทีละชิ้นแยกส่วน

ในด้านการตอบสนอง OpenAI ได้รับรายงานช่องโหว่ผ่านโปรแกรม bug bounty ระหว่างเวลา 8.00 น. ถึง 10.00 น. UTC ของวันที่ 25 กรกฎาคม และภายในเวลาประมาณ 14 ชั่วโมงก็ยืนยันว่าฝั่งตนเองแก้ไขปัญหาแล้ว รวมถึงปรับลดสิทธิ์ของบริการ community และจำกัดผลกระทบของโครงสร้าง SSO ที่เกี่ยวข้อง ฝั่ง Discourse ตอบสนองวันที่ 26 กรกฎาคม มีโค้ดแก้ไขพร้อมวันที่ 27 และเสริม sandbox รอบกระบวนการประมวลผลรูปภาพ ก่อนออกประกาศความปลอดภัยอย่างเป็นทางการวันที่ 28 พร้อมระบุเวอร์ชันแพตช์ ได้แก่ 2026.7.0 2026.6.1 2026.5.2 และ 2026.1.6 การแก้ไขรวดเร็วเป็นเรื่องดี แต่สิ่งที่องค์กรควรถอดบทเรียนคือความจำเป็นของการออกแบบระบบให้ทนต่อความผิดพลาดในส่วนหนึ่งโดยไม่ส่งผลข้ามไปทำลายส่วนอื่นทั้งระบบ

จากมุมมองความปลอดภัย AI เหตุการณ์นี้ชี้ให้เห็นว่าแม้จะมีโปรแกรม bug bounty และทีมตอบสนองเฉียบคม การพึ่งพาโครงสร้าง SSO ที่ให้สิทธิ์ข้ามหลายบริการโดยไม่มีการแยกเขตชัดเจนเป็นความเสี่ยงเชิงสถาปัตยกรรม การออกแบบระบบที่ปลอดภัยต้องตั้งสมมติฐานว่าเครื่องมือภายนอกอย่างฟอรัมชุมชนหรือปลั๊กอินรูปภาพอาจถูกยึดได้ และต้องทำให้โครงสร้างนั้นไม่สามารถขยายผลไปถึงบัญชีพนักงานและคลังโค้ดภายในได้ง่าย ๆ เหมือนกรณีนี้ ในโลกที่ AI ถูกใช้สร้างโค้ดโจมตีอย่างแหลมคม การรับมือด้วยการแพตช์ตามหลังอย่างเดียวไม่เพียงพออีกต่อไป

บทเรียนสำหรับองค์กร: ปรับยุทธศาสตร์การป้องกันข้อมูลและความปลอดภัย AI ก่อนจะสาย

สิ่งที่องค์กรที่ลงทุนใน AI ควรรับจากเหตุการณ์นี้ไม่ใช่แค่รายชื่อเวอร์ชัน Discourse ที่ถูกแพตช์ แต่คือการเปลี่ยนวิธีคิดเรื่องความปลอดภัย AI ทั้งระบบ ประเด็นแรกคือการมอง AI ว่าเป็นทั้งทรัพย์สินและศัตรูที่อาจถูกใช้โจมตีโครงสร้างของเรา Claude เครื่องมือไม่ได้มุ่งทำอันตรายเอง แต่การที่ทีม Hacktronสามารถตั้งเป้าให้มันวิเคราะห์ Docker image สร้าง exploit และเดินโซ่การโจมตีจนได้ RCE บนฟอรัม แล้วต่อยอดไปถึงบัญชีพนักงานและ GitHub ภายใน แสดงให้เห็นว่าฝ่ายโจมตีมีเครื่องมือฉลาดในมือเทียบเท่าหรือเหนือกว่าฝ่ายป้องกัน

ประเด็นที่สองคือการป้องกันข้อมูลต้องเน้นการแยกเขตและจำกัดสิทธิ์อย่างจริงจัง โครงสร้าง SSO ที่ทำให้ token จากฟอรัมสามารถข้ามไปยึดบัญชี ChatGPT และ Codex ที่ผูกกับบริการเดียวกัน และต่อไปถึง Outlook Slack GitHub เป็นตัวอย่างของการออกแบบที่เน้นความสะดวกมากกว่าความปลอดภัย ในยุคที่การโจมตี OpenAI หรือองค์กรอื่นอาจเริ่มจากส่วนที่ดูไม่สำคัญอย่างรูปโปรไฟล์บนฟอรัม ความปลอดภัย AI ต้องถูกฝังตั้งแต่เลเยอร์ไลบรารีภาพจนถึงระบบยืนยันตัวตน เพื่อให้เมื่อส่วนหนึ่งถูกยึด ระบบยังสามารถจำกัดผลกระทบไม่ให้ลามไปทั้งองค์กร

ท้ายที่สุด เหตุการณ์ Claude ถูกใช้ช่วยสร้างการโจมตี OpenAI ไม่ได้บอกว่าเราต้องกลัว AI จนหยุดใช้ แต่บอกว่าต้องยอมรับความจริงที่ว่า AI เป็นตัวเร่งความสามารถของทั้งฝ่ายป้องกันและฝ่ายรุก องค์กรที่มองความปลอดภัย AI แค่การตั้งกฎไม่ให้โมเดลตอบคำถามอันตรายจะเสียเปรียบทันทีเมื่อฝ่ายโจมตีใช้ AI ช่วยวิเคราะห์ระบบและสร้าง exploit แบบที่เราเห็นในกรณีนี้ หากต้องการป้องกันข้อมูลและโครงสร้าง AI อย่างมีความหมาย องค์กรต้องลงทุนทั้งในสถาปัตยกรรมที่แยกเขตสิทธิ์ชัดเจน การอัปเดตซอฟต์แวร์ต้นน้ำอย่าง libheif และการใช้ AI ฝั่งป้องกันเพื่อจับพฤติกรรมผิดปกติที่มนุษย์ตรวจไม่ทัน เหตุการณ์ OpenAI จึงควรถูกใช้เป็นจุดเปลี่ยน ไม่ใช่เพียงกรณีศึกษาอีกชิ้นที่อ่านแล้วเก็บเข้าลิ้นชัก