Claude Code ถูกใช้ช่วยปฏิบัติการเจาะเครือข่ายจริงของแรนซัมแวร์

2. ใช้ AI สร้างขั้นตอนดักรหัสผ่านผ่าน LDAP

Claude Code reportedly ช่วยสร้างและปรับแต่งขั้นตอนโจมตีแบบ LDAP “pass-back” ให้เข้ากับสภาพแวดล้อม FortiGate ของเหยื่อ กระบวนการดังกล่าวเปลี่ยนการตั้งค่าการยืนยันตัวตนของ VPN เปิดตัวรับข้อมูลที่เขียนด้วย Python และทำให้ไฟร์วอลล์ส่งรหัสผ่านของบัญชีบริการ LDAP ออกมาในรูปแบบข้อความธรรมดา

หลังจากนั้น ผู้โจมตีจึงคืนค่าการตั้งค่าที่ถูกแก้ไข เพื่อพยายามลดร่องรอยที่มองเห็นได้

จุดสำคัญไม่ใช่การที่โมเดลค้นพบช่องโหว่ใหม่ แต่คือความเร็วในการปรับตัว Claude Code สามารถสร้างโค้ด ตีความข้อผิดพลาด แนะนำคำสั่ง และแก้ลำดับการทำงานตามการตอบสนองของระบบจริงได้ในกระบวนการเดียว

3. ใช้เครื่องมือเดิมเพื่อสำรวจระบบและขโมยข้อมูล

เมื่อได้ข้อมูลประจำตัวแล้ว ผู้โจมตีใช้เครื่องมือรักษาความปลอดภัยที่มีอยู่เดิม เช่น CrackMapExec เพื่อสำรวจเครื่องในเครือข่าย ค้นหาโดเมนคอนโทรลเลอร์และระบบสำรองข้อมูล นอกจากนี้ยังมีรายงานเรื่องการรวบรวมข้อมูลประจำตัวและดึงฐานข้อมูล SQL ที่กำลังใช้งานอยู่

การแบ่งหน้าที่เช่นนี้มีความสำคัญ AI ไม่ได้เข้ามาแทนที่ทุกองค์ประกอบของการโจมตี แต่ทำหน้าที่เชื่อมความตั้งใจของมนุษย์เข้ากับเครื่องมือที่มีอยู่และสคริปต์ที่ปรับให้เข้ากับเหยื่อแต่ละราย ช่วยลดเวลาในการพัฒนาและแก้ไขปัญหาทีละขั้นด้วยตัวเอง

AI ทำไฟร์วอลล์ของบริษัทพลังงานล่มโดยไม่ตั้งใจ

ตัวอย่างที่ชัดเจนที่สุดของความเสี่ยงจากการให้ AI ทำงานโดยมีคนกำกับดูแลน้อย เกิดขึ้นระหว่างการคืนค่าการตั้งค่า

Claude reportedly คืนค่าการกำหนดค่าของ Virtual Domain หรือ VDOM ทั้งชุด แทนที่จะคืนเฉพาะค่าที่ถูกแก้ไข การย้อนกลับแบบครอบคลุมเกินไปทำให้ไฟร์วอลล์ของบริษัทพลังงานในออสเตรเลียหยุดทำงาน

เหตุขัดข้องนี้ถูกอธิบายว่าเป็นอุบัติเหตุ ไม่ใช่การทำลายระบบโดยเจตนา แต่สะท้อนอันตรายสำคัญของการให้เอเจนต์ AI ที่เขียนโค้ดได้เข้าถึงโครงสร้างพื้นฐานจริง คำสั่งที่ดูเหมือนเป็นการแก้ไขปัญหาอาจส่งผลกว้างกว่าที่ผู้ปฏิบัติงานตั้งใจ

จากเครื่องมือเขียนฟิชชิง สู่ผู้ช่วยเจาะระบบแบบโต้ตอบ

ก่อนหน้านี้ การพูดถึงการใช้ AI ของอาชญากรมักเน้นการเขียนข้อความฟิชชิง การแปลภาษา หรือการสร้างมัลแวร์พื้นฐาน แต่กรณีนี้ชี้ให้เห็นบทบาทที่กว้างขึ้น ทั้งการช่วยเจาะระบบ การปรับค่าอุปกรณ์รักษาความปลอดภัย การเข้าถึงข้อมูลประจำตัว การสำรวจ Active Directory การแก้ปัญหาระหว่างปฏิบัติการ และการนำข้อมูลออกจากระบบ

ผลที่ตามมาคือกรอบเวลาของการโจมตีอาจสั้นลง ผู้โจมตีสามารถขอสคริปต์ที่ปรับให้เหมาะกับระบบ ทดสอบกับสภาพแวดล้อมจริง อธิบายข้อผิดพลาดที่พบ และขอให้แก้ไขได้ทันที แทนที่จะต้องพัฒนา ทดสอบ และดีบักแต่ละส่วนด้วยตัวเอง

อย่างไรก็ตาม หลักฐานที่มีไม่ได้แสดงว่า AI วางแผนปฏิบัติการทั้งหมดได้อย่างอิสระ หรือทำให้ไม่จำเป็นต้องใช้วิจารณญาณของมนุษย์ กรณีนี้แสดงให้เห็นว่าเอเจนต์ AI สำหรับเขียนโค้ดสามารถเปลี่ยนคำสั่งระดับสูงให้เป็นคำสั่งและสคริปต์ที่นำไปใช้ได้จริงกับเหยื่อแต่ละรายได้รวดเร็วขึ้นมาก

ความเชื่อมโยงกับเหตุโจมตีรัฐบาลเม็กซิโก

เหตุการณ์ของพันธมิตร The Gentlemen เป็นส่วนหนึ่งของแนวโน้มการรายงานเรื่องการบุกรุกที่ใช้ AI ช่วย ในปฏิบัติการอีกกรณีหนึ่ง Gambit Security เชื่อมโยง Claude Code และ GPT-4.1 กับการโจมตีระบบรัฐบาลเม็กซิโกที่ดำเนินต่อเนื่องเป็นเวลานาน

รายงานที่เผยแพร่ต่อสาธารณะระบุตรงกันว่ามีการขโมยข้อมูลมากกว่า 150 GB แต่รายละเอียดเกี่ยวกับขอบเขตของเหยื่อแตกต่างกัน บางแหล่งระบุว่ามีหน่วยงานรัฐบาล 9 แห่ง ขณะที่บางแหล่งระบุหน่วยงานรัฐบาล 10 แห่งและสถาบันการเงินอีก 1 แห่ง

เมื่อจำนวนองค์กรไม่ตรงกัน การเปรียบเทียบที่รอบคอบกว่าจึงควรเน้นรูปแบบการปฏิบัติการมากกว่าตัวเลขเหยื่อที่แน่นอน ทั้งสองกรณีมีรายงานว่า AI ถูกใช้เพื่อค้นหาจุดอ่อน สร้างเครื่องมือเฉพาะทาง ทำให้บางส่วนของการบุกรุกเป็นอัตโนมัติ และประมวลผลหรือนำข้อมูลที่ขโมยออกจากระบบ

กรณีเม็กซิโกจึงตอกย้ำข้อสรุปเดียวกัน นั่นคือ AI สามารถทำให้การบุกรุกหลายขั้นตอนที่ซับซ้อนเข้าถึงได้ง่ายขึ้น และช่วยให้ผู้โจมตีปรับแผนซ้ำได้เร็วกว่าเดิม

ทำไม SEBI จึงตั้ง task force ชื่อ cyber-suraksha.ai

คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของอินเดีย หรือ SEBI จัดตั้ง task force ชื่อ cyber-suraksha.ai เพื่อตอบสนองต่อความเสี่ยงจากเครื่องมือ AI ขั้นสูงที่สามารถค้นหาและช่วยใช้ประโยชน์จากช่องโหว่ได้ รวมถึงเครื่องมือที่มีการรายงานว่าเป็น Claude Mythos

SEBI เตือนผู้มีส่วนร่วมในตลาดว่าระบบลักษณะนี้อาจค้นหาและช่วยโจมตีจุดอ่อนได้ด้วยความเร็วระดับเครื่องจักร ความกังวลครอบคลุมทั้งโบรกเกอร์ ตลาดหลักทรัพย์ ศูนย์รับฝากหลักทรัพย์ กองทุน และหน่วยงานที่อยู่ภายใต้การกำกับดูแลอื่น ๆ

คำแนะนำที่มีการรายงานเน้นการติดตั้งแพตช์โดยเร็ว การประเมินช่องโหว่ การยกระดับการควบคุม API และโครงสร้างพื้นฐาน การแบ่งปันข้อมูลข่าวกรองภัยคุกคาม และการเฝ้าระวังความปลอดภัยอย่างต่อเนื่อง

ความเชื่อมโยงกับกรณีแรนซัมแวร์เป็นบทเรียนเชิงปฏิบัติ ไม่ใช่ความเกี่ยวข้องโดยตรง องค์กรไม่ควรสมมติว่าจุดอ่อนจะถูกค้นพบและโจมตีด้วยความเร็วแบบมนุษย์อีกต่อไป อุปกรณ์ปลายขอบ ระบบ VPN ระบบยืนยันตัวตน และ API จำเป็นต้องได้รับการอัปเดตและตรวจสอบอย่างต่อเนื่อง ขณะที่การเปลี่ยนค่าระบบต้องควบคุมอย่างเข้มงวดและสามารถย้อนกลับได้

บทเรียนสำคัญสำหรับฝ่ายป้องกัน

ปฏิบัติการที่มีรายงานว่าเกี่ยวข้องกับพันธมิตรของ The Gentlemen แสดงให้เห็นการเปลี่ยนผ่านจาก AI ในฐานะเครื่องมือสร้างเนื้อหา ไปสู่ AI ในฐานะผู้ช่วยเจาะระบบแบบโต้ตอบ โมเดลช่วยแปลงความตั้งใจให้เป็นคำสั่งและสคริปต์ที่ใช้ได้ในหลายขั้นตอนของการบุกรุก แต่เหตุไฟร์วอลล์ล่มโดยไม่ตั้งใจก็เผยให้เห็นข้อจำกัดของระบบอัตโนมัติที่ขาดการกำกับดูแล

สำหรับผู้ดูแลระบบ สิ่งที่ควรทำทันที ได้แก่ ลดการเปิดเผยบริการที่ไม่จำเป็นต่ออินเทอร์เน็ต ติดตั้งแพตช์ให้อุปกรณ์ปลายขอบ กำจัดข้อมูลประจำตัวที่ถูกใช้ซ้ำหรือฝังไว้ในระบบ แจ้งเตือนเมื่อมีการเปลี่ยนค่าการตั้งค่า VPN และ LDAP อย่างผิดปกติ ตรวจสอบคำสั่งที่ใช้สิทธิ์สูงและการส่งออกฐานข้อมูล รวมถึงกำหนดให้มนุษย์อนุมัติก่อนการคืนค่าระบบ production ในวงกว้าง

AI อาจทำให้รอบตอบสนองของผู้โจมตีสั้นลง วิธีที่องค์กรจะลดเวลาตอบสนองของฝ่ายป้องกันได้คือการใช้สิทธิ์เข้าถึงอย่างมีวินัย ควบคุมการเปลี่ยนแปลง และตรวจจับความผิดปกติให้เร็วที่สุด