AI agent ที่ชำระเงินได้ แต่ไม่ส่งมอบของจริงคืออะไร
AI agent ที่หลอกระบบชำระเงินหมายถึงโปรแกรมอัตโนมัติที่สามารถทำธุรกรรมผ่านหน้าเว็บหรือเอพีไอเหมือนลูกค้าปกติ แต่ใช้ช่องโหว่ในโค้ดรอบเลเยอร์การจ่ายเงินเพื่อให้ธุรกิจรับเงินหรือทำรายการชำระสำเร็จโดยไม่ส่งมอบสินค้าตามเงื่อนไข หรือส่งมอบสินค้าที่ผิดไปจากที่ผู้ซื้อควรได้รับ ทำให้เกิดการสูญเสียรายได้และบิดเบือนข้อมูลธุรกรรมโดยที่ระบบคริปโตหรือโปรโตคอลชำระเงินยังทำงานถูกต้อง ความเสี่ยง AI agent แบบนี้มักไม่แสดงตัวเป็นบั๊กด้านการเงิน แต่เกิดจากตรรกะธุรกิจและการออกแบบระบบที่ไม่เคยถูกทดสอบเชิงโจมตีมาก่อน
ประเด็นที่น่ากลัวไม่ใช่แค่ว่า AI agent สามารถโกงธุรกิจได้ แต่คือมันทำได้อย่างเป็นระบบและซ้ำได้เรื่อยๆ การทดสอบแบบโจมตีหนึ่งร้านค้าออนไลน์ที่ให้ AI agent เป็นลูกค้า พบช่องทางโกงถึง 39 วิธี ที่ทำให้คำสั่งซื้อสามารถสำเร็จได้โดยให้ผู้ขายได้ผลลัพธ์ผิด เช่น รับเงินแล้วออกเอกสารรับรองว่างเปล่าหรือผิดข้อมูล โดยที่เลเยอร์คริปโตและโปรโตคอล x402 สำหรับการเคลื่อนย้ายเงินทำงานถูกทุกครั้ง สิ่งนี้ชี้ชัดว่า ความเสี่ยง AI agent ไม่ได้อยู่ในระบบการโอนเงิน แต่อยู่ในโค้ดทั้งหมดที่คุณเขียนด้วยความมั่นใจว่าการจ่ายเงินคือส่วนที่ยากที่สุด ซึ่งผิดถนัด
การหลอกลวงระบบ AI ที่เกิดรอบเลเยอร์การชำระเงิน
ในกรณีการทดสอบโจมตีดังกล่าว เจ้าของร้าน scvd.store ชี้ให้ Codex ไปรันกับระบบชำระเงินจริงของตนระหว่างวันที่ 5 ถึง 8 กันยายน พร้อมคำสั่งเดียวที่เจตนาร้ายว่าให้ หาวิธีเอาเงินไปแต่ไม่ให้ของ หรือให้ของผิด โดยต้องทำผ่านทางหน้าบ้านเหมือนลูกค้าปกติ ผลคือได้รายการค้นพบ 39 ข้อบนห้าเส้นทางการชำระเงิน โดยหกข้อเป็นช่องโหว่ระดับความรุนแรงสูงสุด และไม่มีข้อไหนเป็นบั๊กในชั้นที่เคลื่อนย้ายเงินเลย ทุกช่องโหว่เกิดในโค้ดรอบๆ เลเยอร์การชำระเงินที่ถูกเขียนโดยสมมติว่าการเคลื่อนเงินคือส่วนที่ยากที่สุด
ตัวอย่างเช่น ฟิลด์ข้อความที่ต้องกรอกเพื่อรับสินค้าใช้ตรรกะตรวจสอบแค่ว่ามีสตริงไม่ว่าง ส่งค่าเป็นอักขระว่างแบบ null ก็ผ่านการตรวจสอบ ระบบชำระเงินทำงานปกติ แต่ขั้นตอนการส่งมอบกลับได้เอกสารรับรองที่ไม่มีข้อความเลยเพราะค่าถูกทำให้ว่างในภายหลัง การซื้อ 24 ครั้งผ่านหลายโปรโตคอลให้ผลเป็นสินค้าว่างเปล่าพร้อมใบเสร็จที่ถูกต้อง นี่คือการหลอกลวงระบบ AI ที่อาศัยช่องว่างระหว่างสเกมาช่องข้อมูลกับค่าที่ขั้นส่งมอบใช้จริง ไม่ใช่การเจาะเลเยอร์คริปโต ความปลอดภัยการชำระเงินในระดับโปรโตคอลจึงไม่เพียงพอ หากตรรกะธุรกิจรอบข้างยังสะเพร่าและไม่ถูกออกแบบให้รับมือกับผู้ซื้อที่เป็นโปรแกรม
จากเคส AML สู่บทเรียนเรื่องข้อมูลและความเสี่ยง AI agent
ความเสี่ยง AI agent ไม่ได้จำกัดแค่ร้านค้าเล็กๆ แต่สะท้อนปัญหาระบบการเงินกว้างกว่าเดิม ในโลกของระบบต่อต้านการฟอกเงิน ทีมหนึ่งพบว่าแดชบอร์ดทุกตัวดูดี งาน ingestion สำเร็จ และโครงสร้างพื้นฐานไม่ผิดปกติ แต่โมเดลกลับมี false positive เพิ่มขึ้นมาก หลังไล่ตรวจพบว่าต้นตอคือแอปต้นทางเปลี่ยนวิธีเติมค่าในฟิลด์หนึ่ง ทำให้สถานะบัญชีปิดไม่ถูกส่งเข้าระบบอีกต่อไป โมเดลจึงมองบัญชีที่ควรปิดเป็นบัญชีใช้งานอยู่ ทำให้โปรไฟล์ลูกค้าและประวัติธุรกรรมบิดเบือนและสร้างการสอบสวนเกินจำเป็น คำสรุปคือ ระบบตรวจจับที่ดูดีทุกอย่างยังล้มเหลวได้ถ้าข้อมูลเข้าไม่ถูกตรวจสอบเข้มเท่าตรรกะที่ใช้วิเคราะห์มัน
คำกล่าวที่น่าจดจำจากกรณีนี้คือ หากเราไม่ตรวจสอบข้อมูลขาเข้าสำคัญเท่ากับที่เราเขียนตรรกะตรวจจับ ความเสี่ยงของการล้มเหลวทั้งระบบจะเกิดขึ้นทันที และมีข้อเท็จจริงว่า ปัญหานี้ไม่ใช่เรื่องทฤษฎี แต่เป็นช่องโหว่เชิงระบบในงานป้องกันอาชญากรรมทางการเงินที่สถาบันจำนวนมากเผชิญเมื่อระบบและข้อมูลเปลี่ยนไป สำหรับความปลอดภัยการชำระเงินที่ผสาน AI agent และโมเดลตรวจจับธุรกรรม หากข้อมูลที่ฟีดเข้าระบบมี drift หรือฟิลด์ถูกเปลี่ยนรูปแบบโดยไม่ถูกตรวจพบ AI agent สามารถใช้ข้อมูลผิดเพื่ออำพรางพฤติกรรมไม่ปกติ หรือสร้างธุรกรรมหลอกที่โผล่ในระบบแต่ไม่ทริกเกอร์การตรวจจับที่ออกแบบไว้ การทดสอบความเสี่ยง AI จึงต้องครอบคลุมทั้งตรรกะและคุณภาพข้อมูล ไม่ใช่ดูแค่คะแนนความแม่นของโมเดล
ทำไมการวัดแค่ความแม่นของโมเดลไม่พออีกต่อไป
องค์กรส่วนใหญ่ยังใช้ตัวชี้วัดแบบเดิม เช่น accuracy หรือ precision ของโมเดล เพื่อประเมินความเสี่ยง ซึ่งพอใช้ได้กับงานทำนายทั่วไป แต่ไม่ตอบโจทย์เมื่อผู้ใช้ปลายทางเป็น AI agent ที่สามารถโจมตีระบบด้วยตรรกะที่มนุษย์ไม่ค่อยคิด ในกรณีร้านค้า scvd.store มีการทดสอบด้าน price integrity โดยให้ AI agent ทำคำสั่งซื้อ 249 ครั้งในสินค้าต่างกัน 32 รายการบนสามโปรโตคอล เพื่อเทียบว่าทุกรายการค้นพบสอดคล้องกับโปรโตคอล x402 และใบเสร็จที่ลงนาม นี่คือการทดสอบความเสี่ยง AI ในเชิงโจมตีที่ไม่สนใจแค่ตัวเลขทำนายถูก แต่สนใจว่าระบบสามารถทนต่อรูปแบบการใช้ที่เจตนาร้ายได้หรือไม่
ที่สำคัญ ช่องโหว่คือการที่ทุกอย่างรอบเลเยอร์เงินถูกเขียนแบบเชื่อมั่นเกินไป เช่น การสร้างคีย์แคชที่ไม่รวมทุกอินพุตที่มีผลต่อผลลัพธ์ ทำให้การซื้อสองครั้งด้วยคำกล่าวอ้างต่างกันแต่ระบบส่งคืนเอกสารที่ใช้คำกล่าวเดิมกลับไปแม้จะมีการชำระเงินใหม่แล้ว ความรุนแรงของปัญหาถูกจัดระดับ severity โดยพบว่ามีหกรายการระดับสูงสุด และมีการวางแผนแก้ไข 81 ขั้นตอน โดยดำเนินการไปแล้ว 53 ขั้นตอน อีก 28 ขั้นตอนยังเปิดอยู่ รวมถึงสามในหกช่องโหว่ระดับสูงสุด เจ้าของระบบกล้ายอมรับว่า แต่ละการแก้ไขอ้างอิงจากการทดสอบถอยกลับก่อนและหลังเท่านั้น ซึ่งเป็นคำรับรองที่ซื่อแต่ชี้ให้เห็นว่าการประเมินความเสี่ยงต้องอาศัยการทดสอบซ้ำเชิงโจมตี ไม่ใช่แค่แล็บเทสต์ครั้งเดียวแล้วจบ
กลยุทธ์ป้องกัน: ทดสอบก่อนให้ AI agent เข้าถึงระบบจริง
หากคุณเปิดบริการให้ AI agent เป็นลูกค้าหรือผู้ใช้ ระบบของคุณเสี่ยงต่อการหลอกลวงระบบ AI โดยตรง โดยเฉพาะส่วนความปลอดภัยการชำระเงินที่พันกับตรรกะธุรกิจ ข้อแนะนำเชิงปฏิบัติง่ายที่สุดคือ ใช้เวลาหนึ่งบ่ายกับห้าจุดปลายทางที่มีต้นทุนสูงสุดของคุณ แล้วถามตัวเองว่า ถ้าขั้นตอนส่งมอบล้มเหลวหลังขั้นตอนชำระสำเร็จ ผู้ซื้อจะได้รับอะไร หากคุณตอบจากโค้ดไม่ได้ นั่นคือหนึ่งช่องโหว่ทันที นี่คือรูปแบบการทดสอบความเสี่ยง AI ที่บังคับให้ทีมมองระบบจากมุมมองผู้โจมตี ไม่ใช่แค่ผู้ใช้ปกติ นอกจากนี้ ระบบ AML สมัยใหม่ชี้ว่า การแก้ช่องโหว่ไม่จำเป็นต้องใช้เครื่องมือ AI แพง แต่ต้องสร้างกรอบการกำกับดูแลข้อมูลและวิศวกรรมข้อมูลที่เข้ม ซึ่งถือว่าความถูกต้องของข้อมูลเป็นข้อกำหนดด้านกำกับดูแลอย่างแท้จริง
องค์กรควรสร้างเฟรมเวิร์กที่รวมทั้งการทดสอบเชิงโจมตีและการตรวจสอบคุณภาพข้อมูลต่อเนื่อง เช่น ตั้งระบบตรวจจับ data drift และ schema mutation เพื่อไม่ให้ฟิลด์สำคัญเปลี่ยนรูปแบบโดยไม่รู้ตัว ตั้งกฎว่าข้อมูลทุกตัวที่มีผลต่อผลลัพธ์ต้องอยู่ใน identity ของการ reuse หรือไม่เช่นนั้นต้องปฏิเสธคำขอก่อนชำระเงินเพื่อหลีกเลี่ยงการโกงแบบจ่ายเพื่อแก้แต่ได้ของเดิมกลับ และอย่าลืมหลักการว่า การชำระเงินที่คุณยืนยันไม่ได้ว่าเชื่อมกับการส่งมอบสำเร็จ ไม่ได้หมายความว่าการชำระนั้นไม่เกิดขึ้น การรายงานว่าไม่เกิดอาจเลวร้ายกว่าการไม่พูดอะไรเลย สรุปคือ ความเสี่ยง AI agent บังคับให้เรายกระดับมาตรฐานด้านความปลอดภัยการชำระเงินจากมุมมองตรรกะธุรกิจและข้อมูล ไม่ใช่แค่คริปโตและโมเดล
