คำตอบเผยแพร่แล้ว4 ชั่วโมงที่ผ่านมาLast edited 4 ชั่วโมงที่ผ่านมา22 แหล่งที่มา

AI กำลังเปลี่ยนการโจมตีไซเบอร์อย่างไร ตั้งแต่มัลแวร์ที่สร้างด้วย AI ถึงการบุกรุกที่ขับเคลื่อนด้วย LLM

AI กำลังทำให้การโจมตีไซเบอร์แบบเดิมเร็วขึ้น ต้นทุนต่ำลง และปรับให้เข้ากับเป้าหมายได้มากขึ้น แทนที่จะเข้ามาแทนที่วิธีการโจมตีแบบเดิมทั้งหมด FunkSec และแคมเปญ RevengeHotels ปี 2025 สะท้อนการพัฒนามัลแวร์ด้วยความช่วยเหลือจาก AI ขณะที่ LameHug แสดงให้เห็นการเปลี่ยนแปลงสำคัญกว่า นั่นคือมัลแวร์เรียกใช้ LLM ระหว่างทำงานเพื่...

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI ดูหน้าที่กำลังมาแรงเพิ่มเติม

คำตอบการวิจัย

ประเด็นสำคัญ

AI กำลังทำให้การโจมตีไซเบอร์แบบเดิมเร็วขึ้น ต้นทุนต่ำลง และปรับให้เข้ากับเป้าหมายได้มากขึ้น แทนที่จะเข้ามาแทนที่วิธีการโจมตีแบบเดิมทั้งหมด
FunkSec และแคมเปญ RevengeHotels ปี 2025 สะท้อนการพัฒนามัลแวร์ด้วยความช่วยเหลือจาก AI ขณะที่ LameHug แสดงให้เห็นการเปลี่ยนแปลงสำคัญกว่า นั่นคือมัลแวร์เรียกใช้ LLM ระหว่างทำงานเพื่อสร้างคำสั่งสำรวจระบบและเก็บข้อมูล
คาสเปอร์สกีตรวจพบการโจมตีบริษัทขนาดเล็กและขนาดกลางมากกว่า 33,300 ครั้งในช่วงเดือนมกราคมถึงเมษายน 2026 โดยปลอมเป็นบริการ AI ยอดนิยม เพิ่มขึ้นเกือบห้าเท่าจากช่วงเดียวกันของปี 2025 [50][51]
บทเรียนด้านการป้องกันคืออย่าพึ่งพาเพียงลายเซ็นมัลแวร์ แต่ควรเฝ้าระวังการใช้สคริปต์ผิดปกติ การเชื่อมต่อ API ของบริการ AI การขโมยข้อมูลรับรอง และการรวบรวมไฟล์เพื่อส่งออก

Abstract editorial illustration of artificial intelligence integrated into a cyberattack network — How is artificial intelligence becoming deeply embedded in cyberattacks, according to Kaspersky and other cybersecurity researchers, and whaAI-generated editorial illustration of AI-assisted cyberattacks.
AI พรอมต์
Create a landscape editorial hero image for this Studio Global article: How is artificial intelligence becoming deeply embedded in cyberattacks, according to Kaspersky and other cybersecurity researchers, and wha. Article summary: AI is becoming an operational layer across the attack chain: it helps criminals write and revise code, tailor phishing, automate reconnaissance, and vary payloads at machine speed. The clearest current evidence supports . Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
openai.com

ปัญญาประดิษฐ์กำลังกลายเป็น “ชั้นปฏิบัติการ” ในการโจมตีไซเบอร์ ผู้ก่ออาชญากรรมและกลุ่มที่เชื่อมโยงกับรัฐสามารถใช้โมเดลภาษาขนาดใหญ่ หรือ LLM เพื่อร่างส่วนประกอบของมัลแวร์ เขียนข้อความฟิชชิง แก้ไขสคริปต์ที่ทำงานผิดพลาด และสร้างรูปแบบใหม่ของโค้ดได้เร็วกว่ากระบวนการแบบเดิมมาก

แต่ข้อสรุปที่ตรงกับหลักฐานมากที่สุดในตอนนี้มีความเฉพาะเจาะจงกว่านั้น นั่นคือ AI กำลังเร่งความเร็วและเพิ่มความสามารถในการปรับตัวให้กับวิธีโจมตีที่มีอยู่เดิม ยังไม่ใช่หลักฐานว่าการโจมตีทุกครั้งทำงานได้โดยอัตโนมัติทั้งหมด

การเปลี่ยนแปลงหลัก: AI บีบวงจรการโจมตีให้สั้นลง

การบุกรุกส่วนใหญ่ยังอาศัยเทคนิคที่คุ้นเคย เช่น ฟิชชิง สคริปต์อันตราย โทรจันควบคุมระยะไกล หรือ RAT และการขโมยข้อมูล สิ่งที่ AI เปลี่ยนคือเศรษฐศาสตร์ของเทคนิคเหล่านี้ เพราะช่วยลดทั้งเวลาและทักษะเฉพาะทางที่จำเป็นต่อการสร้างการโจมตี

ผู้โจมตีอาจใช้ LLM สร้างสคริปต์ฉบับแรก แปลหรือปรับข้อความล่อเหยื่อให้เหมาะกับแต่ละคน แก้โค้ดหลังการทดสอบ และสร้างรูปแบบหลายชุดสำหรับเป้าหมายต่างกัน กระบวนการทดลองจึงมีต้นทุนต่ำลง และช่วงเวลาตั้งแต่เริ่มวางแผนแคมเปญจนเปิดใช้งานก็สั้นลง ผลลัพธ์คือการโจมตีที่ดูน่าเชื่อถืออาจเกิดขึ้นได้ในปริมาณมากขึ้น ขณะที่ฝ่ายป้องกันมีเวลาตอบสนองน้อยลง

ความแตกต่างนี้สำคัญ เพราะการเรียกทุกการโจมตีที่ใช้ข้อความล่อเกี่ยวกับ AI ว่าเป็น “การโจมตีด้วย AI” อาจทำให้หลักฐานดูเกินจริง ตัวอย่างที่ชัดเจนในปัจจุบันสะท้อนการใช้ AI หลายระดับ ตั้งแต่ช่วยเขียนโค้ด ไปจนถึงการสร้างคำสั่งระหว่างการโจมตีแบบเรียลไทม์

FunkSec: ตัวอย่างการพัฒนามัลแวร์ด้วยความช่วยเหลือจาก AI

งานวิจัยของคาสเปอร์สกีเกี่ยวกับ FunkSec เป็นหนึ่งในตัวอย่างของการสร้างมัลแวร์โดยมี AI ช่วย มัลแวร์เรียกค่าไถ่ที่พัฒนาด้วย Rust นี้รวมความสามารถในการเข้ารหัสไฟล์ ขโมยข้อมูลภายในเครื่อง และลบร่องรอยตัวเองไว้ในไฟล์ปฏิบัติการเดียวกัน คาสเปอร์สกียังรายงานสัญญาณของการสังเคราะห์โค้ดด้วยโมเดลภาษาขนาดใหญ่ในความสามารถที่เกี่ยวข้อง เช่น เครื่องมือสร้างรหัสผ่านและเครื่องมือ DDoS พื้นฐาน 28 39

อย่างไรก็ตาม ข้อมูลนี้ไม่ได้หมายความว่า LLM เป็นผู้ออกแบบ เปิดใช้งาน และควบคุมแคมเปญทั้งหมดด้วยตัวเอง แต่แสดงให้เห็นว่า generative AI สามารถช่วยสร้างส่วนประกอบของมัลแวร์ที่ใช้งานได้จริง ทำให้ผู้โจมตีประกอบเครื่องมือที่รวมความสามารถหลายอย่างไว้ด้วยกันได้ โดยใช้การพัฒนาด้วยแรงงานมนุษย์น้อยลง

RevengeHotels: AI เสริมประสิทธิภาพห่วงโซ่ฟิชชิงแบบเดิม

แคมเปญ RevengeHotels ในปี 2025 แสดงให้เห็นว่า AI สามารถเพิ่มประสิทธิภาพวิธีบุกรุกที่มีอยู่แล้วได้อย่างไร โดยไม่จำเป็นต้องเข้ามาแทนที่วิธีดังกล่าว คาสเปอร์สกีพบการโจมตีโรงแรมในบราซิลและตลาดที่ใช้ภาษาสเปน ผ่านอีเมลฟิชชิงที่ปลอมเป็นคำขอจองห้องพัก ใบแจ้งหนี้ หรือใบสมัครงาน เหยื่อถูกนำไปยังเว็บไซต์ที่เลียนแบบบริการจัดเก็บเอกสาร ก่อนที่สคริปต์จะติดตั้งโทรจันควบคุมระยะไกล เช่น VenomRAT ในท้ายที่สุด 30 31 36

คาสเปอร์สกีระบุว่าโค้ดส่วนสำคัญของตัวแพร่เชื้อและตัวดาวน์โหลดในระยะแรกดูเหมือนจะถูกสร้างโดยเอเจนต์ที่ใช้โมเดลภาษาขนาดใหญ่ 28 แต่แคมเปญนี้ยังคงพึ่งพาวิศวกรรมสังคม การเรียกใช้สคริปต์ และการส่ง RAT ซึ่งเป็นวิธีการที่พบได้ทั่วไป AI เข้ามาช่วยสร้างและปรับเปลี่ยนบางส่วนของห่วงโซ่การติดเชื้อ ทำให้ผู้ดำเนินการสามารถทดลองกับภูมิภาคและกลุ่มเป้าหมายต่าง ๆ ได้มีประสิทธิภาพมากขึ้น

นี่จึงเป็นเหตุผลว่าทำไมคำว่า “ขับเคลื่อนด้วย AI” อาจทำให้เข้าใจผิด หากไม่มีคำอธิบายประกอบ ในกรณีนี้ การสร้างโค้ดด้วยความช่วยเหลือจาก AI เป็นเพียงส่วนหนึ่งของปฏิบัติการฟิชชิงแบบเดิม

LameHug: เมื่อ LLM เข้ามาอยู่ในวงจรการโจมตี

ความก้าวหน้าทางเทคนิคที่สำคัญที่สุดจากหลักฐานที่มีอยู่คือ LameHug ซึ่งบางรายงานเรียกว่า PROMPTSTEAL เช่นกัน จุดแตกต่างจากมัลแวร์ที่เพียงถูกเขียนด้วยความช่วยเหลือจาก AI คือ LameHug ใช้ LLM ระหว่างการทำงานจริง

จากการวิเคราะห์ที่อ้างอิงรายงานของ CERT-UA มัลแวร์ดังกล่าวติดต่อ Hugging Face API และใช้โมเดล Qwen2.5-Coder-32B-Instruct ของ Alibaba Cloud เพื่อสร้างคำสั่ง Windows แบบไดนามิก คำสั่งเหล่านี้สามารถรวบรวมข้อมูลระบบและค้นหาเอกสาร Office เพื่อนำออกจากเครื่องที่ถูกเจาะได้ 2 3 7

การเรียกใช้โมเดลระหว่างการทำงานเปลี่ยนพฤติกรรมของมัลแวร์ใน 3 ด้านสำคัญ ได้แก่

ลำดับคำสั่งไม่จำเป็นต้องถูกกำหนดไว้ตายตัวตั้งแต่ต้น มัลแวร์สามารถขอคำสั่งโดยอิงจากคำสั่งตั้งต้นและสภาพแวดล้อมที่ตรวจพบในเครื่องเหยื่อ
การโจมตีสามารถใช้เครื่องมือระบบทั่วไป การตรวจจับจึงอาจต้องพิจารณาพฤติกรรมและลำดับการเรียกใช้คำสั่ง มากกว่ารอหาตัวไฟล์อันตรายที่มีลักษณะเฉพาะ 4
มัลแวร์มีการพึ่งพาบริการภายนอก การที่เครื่องที่ถูกยึดเข้าถึง API ของโมเดลภาษาในลักษณะผิดปกติ อาจกลายเป็นสัญญาณสำคัญสำหรับการตรวจจับ

LameHug ไม่ใช่หลักฐานว่ามัลแวร์กลายเป็นระบบอัตโนมัติอย่างสมบูรณ์ แต่เป็นหลักฐานว่าผู้โจมตีสามารถนำ LLM เข้ามาอยู่ในวงจรปฏิบัติการ ให้โมเดลช่วยสร้างคำสั่งสำรวจระบบและเก็บข้อมูลตามสถานการณ์แบบเรียลไทม์ได้

แบรนด์ AI กำลังถูกใช้เป็นเหยื่อล่อ

AI ไม่ได้ถูกใช้เฉพาะเพื่อสร้างเครื่องมือโจมตี แต่ยังถูกนำมาใช้เป็นเหยื่อล่อด้วย ตั้งแต่เดือนมกราคมถึงเมษายน 2026 ระบบของคาสเปอร์สกีตรวจพบการโจมตีบริษัทขนาดเล็กและขนาดกลางมากกว่า 33,300 ครั้ง ซึ่งซอฟต์แวร์อันตรายหรือซอฟต์แวร์ไม่พึงประสงค์สำหรับพีซีถูกปลอมเป็นบริการ AI ยอดนิยม ตัวเลขดังกล่าวเพิ่มขึ้นเกือบห้าเท่าเมื่อเทียบกับช่วงเดียวกันของปี 2025 50 51

ตัวเลขนี้เป็นการตรวจพบซอฟต์แวร์ที่ปลอมเป็นบริการ AI ไม่ได้ยืนยันว่าเพย์โหลดทุกตัวถูกสร้างด้วย AI หรือมีระบบ AI เป็นผู้ควบคุมการโจมตีแต่ละครั้ง ข้อสรุปที่รอบคอบกว่าคือ ผู้โจมตีกำลังใช้ประโยชน์จากความไว้วางใจในแบรนด์ AI ที่คุ้นเคย และการที่องค์กรต่าง ๆ หันมาใช้เครื่องมือ AI อย่างรวดเร็ว

สำหรับพนักงาน ความเสี่ยงเป็นเรื่องใกล้ตัว แอปสร้างภาพ แชตบอต หรือผู้ช่วยเพิ่มประสิทธิภาพปลอม อาจกลายเป็นช่องทางนำมัลแวร์เข้าสู่องค์กร ดังนั้นนโยบายการติดตั้งซอฟต์แวร์ แหล่งดาวน์โหลดที่ตรวจสอบแล้ว และระบบควบคุมปลายทางที่เข้มงวด ยังคงมีความสำคัญ แม้สิ่งที่ใช้ล่อจะดูเหมือนเป็นผลิตภัณฑ์ AI ก็ตาม

ตัวเลขสะท้อนขนาดภัยคุกคาม แต่ไม่ควรตีความเกินหลักฐาน

ข้อมูลเทเลเมทรีระดับภูมิภาคของคาสเปอร์สกีแสดงให้เห็นว่าภัยคุกคามบนเว็บยังแพร่หลาย แต่ตัวเลขเหล่านี้ไม่ควรถูกนำเสนอว่าเป็นจำนวนการโจมตีที่ขับเคลื่อนด้วย AI ในช่วงครึ่งแรกของปี 2026 คาสเปอร์สกีระบุว่าระบบของบริษัทบล็อกการโจมตีจากแหล่งข้อมูลออนไลน์ได้ 5.7 ล้านครั้งในแอฟริกาใต้ 4.5 ล้านครั้งในเคนยา และ 1.6 ล้านครั้งในไนจีเรีย ขณะที่ตุรกีมีสัดส่วนผู้ใช้ที่ได้รับผลกระทบจากภัยคุกคามบนเว็บสูงสุดในชุดข้อมูลภูมิภาค META ที่รายงานไว้ โดยอยู่ที่ 22.8% 14

มาตรวัดดังกล่าวครอบคลุมภัยคุกคามที่ส่งผ่านเว็บไซต์ อีเมล และบริการเว็บ จึงสะท้อนการเผชิญความเสี่ยงทางออนไลน์ในวงกว้าง ไม่ได้พิสูจน์ว่า AI เป็นสาเหตุ การแยกสองประเด็นนี้ให้ชัดเจนช่วยป้องกันไม่ให้สถิติภัยไซเบอร์ทั่วไปถูกนำไปอ้างเป็นหลักฐานของแคมเปญที่ทำงานได้เองหรือถูกสร้างด้วย AI

เหตุใด “การปรับตัว” จึงสำคัญกว่าความเป็นอิสระของ AI

ความเสี่ยงเร่งด่วนอาจไม่ใช่การเปลี่ยนผ่านอย่างฉับพลันไปสู่กองทัพไซเบอร์ที่กำกับตัวเองทั้งหมด แต่คือประสิทธิภาพเล็ก ๆ หลายด้านที่สะสมรวมกันตลอดห่วงโซ่การโจมตี เช่น

ร่างและแก้ไขโค้ดได้เร็วขึ้น
ปรับข้อความฟิชชิงให้เหมาะกับภาษา อุตสาหกรรม และข้ออ้างที่แตกต่างกันได้
ดีบักและนำสคริปต์กลับมาใช้ใหม่ได้เร็วขึ้น
เปลี่ยนพฤติกรรมของมัลแวร์ให้เหมาะกับสภาพแวดล้อมแต่ละแห่ง
ปรับการสำรวจระบบและการเก็บข้อมูลระหว่างการทำงานได้

เมื่อรวมกัน ประสิทธิภาพเหล่านี้จะลดต้นทุนการเปิดปฏิบัติการบุกรุก ทำให้ผู้โจมตีทดลองได้มากขึ้น และอาจช่วยให้ผู้ปฏิบัติการที่มีทักษะจำกัดเลียนแบบเทคนิคซึ่งเดิมต้องอาศัยผู้เชี่ยวชาญได้

ความเสี่ยงยิ่งสูงสำหรับองค์กรที่มีเจ้าหน้าที่รักษาความปลอดภัยไม่มาก มีข้อมูลอ่อนไหวจำนวนมาก หรือใช้ระบบจากบุคคลภายนอกหลายชั้น อย่างไรก็ตาม การกล่าวอ้างเกี่ยวกับการโจมตีโครงสร้างพื้นฐานสำคัญต้องมีหลักฐานเฉพาะเจาะจง ทั้งเรื่องการถูกเจาะ ผลกระทบ และบทบาทของ AI คำกล่าวอ้างจากผู้โจมตีเพียงอย่างเดียวไม่ใช่การยืนยันข้อเท็จจริงเหล่านี้

สิ่งที่องค์กรควรให้ความสำคัญในการป้องกัน

ตัวอย่างข้างต้นชี้ไปสู่การรับมือแบบหลายชั้นและเน้นพฤติกรรม องค์กรควรใช้การตรวจจับด้วยลายเซ็นและการบล็อกตัวชี้วัดที่รู้จักต่อไป แต่ต้องตรวจสอบกิจกรรมที่อาจเผยให้เห็นการโจมตีซึ่งใช้ AI ช่วย หรือปรับตัวได้แบบไดนามิกด้วย

สัญญาณที่ควรเฝ้าระวัง ได้แก่

กระบวนการ Python หรือ PyInstaller ที่เชื่อมต่อออกไปยังบริการโมเดลภาษาโดยไม่คาดหมาย
พรอมต์ที่เข้ารหัสด้วย Base64 หรือการเรียก API ผิดปกติจากเครื่องปลายทางที่โดยปกติไม่ใช้งานบริการสำหรับนักพัฒนาหรือบริการ AI
ชุดคำสั่งที่เรียกใช้เครื่องมืออย่าง systeminfo, tasklist, dsquery หรือการค้นหาไฟล์แบบวนซ้ำร่วมกันอย่างน่าสงสัย
การใช้ JavaScript, PowerShell หรือโปรแกรมแปลคำสั่งอื่น ๆ เพื่อรันสคริปต์ในลักษณะผิดปกติ
การเข้าถึงข้อมูลรับรอง การรวบรวมเอกสาร หรือการส่งข้อมูลออกจากระบบที่ไม่สอดคล้องกับพฤติกรรมปกติ
พนักงานติดตั้งแอป AI หรือเครื่องมือบนเบราว์เซอร์ที่ไม่ได้รับอนุญาต

แนวทางตรวจจับ LameHug ของ Splunk เน้นการตรวจสอบกิจกรรมจาก Python หรือ PyInstaller ที่เชื่อมต่อไปยัง Hugging Face API และใช้โมเดล Qwen เพื่อสร้างคำสั่ง 4 นี่เป็นตัวอย่างที่ชัดเจนว่าฝ่ายป้องกันสามารถตรวจจับพฤติกรรมรอบการโจมตีที่เปิดใช้ LLM ได้อย่างไร แทนที่จะรอเพียงลายเซ็นของมัลแวร์ที่ตายตัว

บทสรุป

AI กำลังฝังตัวลึกขึ้นในปฏิบัติการโจมตีไซเบอร์ เพราะช่วยให้การดำเนินงานเดิมผลิต ปรับให้เหมาะกับเป้าหมาย และเปลี่ยนรูปแบบได้ง่ายขึ้น FunkSec และ RevengeHotels แสดงให้เห็นการพัฒนามัลแวร์ด้วยความช่วยเหลือจาก AI ส่วน LameHug แสดงให้เห็นการเรียกใช้ LLM ระหว่างการบุกรุกจริง ขณะที่การตรวจพบของคาสเปอร์สกีในกลุ่มธุรกิจขนาดเล็กและขนาดกลางชี้ว่า ความนิยมของ AI เองกำลังถูกใช้เป็นเหยื่อล่อ 28 31 51

คำอธิบายที่แม่นยำที่สุดจึงไม่ใช่ “AI เข้ามาแทนที่การแฮ็กแบบเดิมแล้ว” แต่คือ AI กำลังทำหน้าที่เป็นชั้นเพิ่มประสิทธิภาพและความสามารถในการปรับตัวให้กับฟิชชิง การพัฒนามัลแวร์ การสำรวจระบบ และการขโมยข้อมูล องค์กรควรเตรียมรับมือกับการโจมตีที่มีรูปแบบหลากหลายขึ้นและเปลี่ยนแปลงเร็วขึ้น พร้อมแยกให้ชัดระหว่างการมีส่วนร่วมของ AI ที่ตรวจสอบได้ กับอาชญากรรมไซเบอร์ทั่วไปที่เพียงห่อหุ้มด้วยภาพลักษณ์ของ AI

Studio Global AI

ทำการวิจัยต่อ

หน้านี้รวมคำตอบที่ได้รับการสนับสนุนจากแหล่งที่มาซึ่งคุณสามารถดำเนินการต่อภายใน Studio Global

ค้นหาและตรวจสอบข้อเท็จจริงด้วย Studio Global AI

คนยังถาม

คำตอบสั้น ๆ สำหรับ "AI กำลังเปลี่ยนการโจมตีไซเบอร์อย่างไร ตั้งแต่มัลแวร์ที่สร้างด้วย AI ถึงการบุกรุกที่ขับเคลื่อนด้วย LLM" คืออะไร

AI กำลังทำให้การโจมตีไซเบอร์แบบเดิมเร็วขึ้น ต้นทุนต่ำลง และปรับให้เข้ากับเป้าหมายได้มากขึ้น แทนที่จะเข้ามาแทนที่วิธีการโจมตีแบบเดิมทั้งหมด

ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร?

ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ?

คาสเปอร์สกีตรวจพบการโจมตีบริษัทขนาดเล็กและขนาดกลางมากกว่า 33,300 ครั้งในช่วงเดือนมกราคมถึงเมษายน 2026 โดยปลอมเป็นบริการ AI ยอดนิยม เพิ่มขึ้นเกือบห้าเท่าจากช่วงเดียวกันของปี 2025 [50][51]

แหล่งที่มา