คำตอบการวิจัย
ประเด็นสำคัญ ChatGPhish ช่องโหว่ที่เปิดเผยโดย Permiso Security เมื่อ 29 พ.ค. 2026 ใช้การยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ โดยอาศัยความไว้ใจของ ChatGPT ต่อ Markdown ในการสอดแทรกลิงก์ฟิชชิ่ง, การแจ้งเตือนความปลอดภัยปลอ... นี่คือย่างก้าวล่าสุดในสงครามช่องโหว่ Prompt Injection ที่ยืดเยื้อมาตั้งแต่ปี 2022 และ ณ วันที่เปิดเผยข้อมูล OpenAI ยังไม่ได้ออกมายอมรับหรือแก้ไขช่องโหว่นี้แต่อย่างใด จุดอ่อนหลักอยู่ที่ระบบแสดงผล (Renderer) ของ ChatGPT ซึ่งปฏิบัติต่อลิงก์ Markdown และรูปภาพจากหน้าเว็บของบุคคลที่สามเสมือนเป็นเนื้อหาที่เชื่อถือได้ ทำให้ทุกเว็บไซต์ที่ ChatGPT อ่าน ล้วนมีศักยภาพเป็นเครื่องมือฟิชชิ่งได้... How does the ChatGPhish vulnerability discovered by Permiso Security exploit ChatGPT's Markdown rendering to deliver phishing attacks throug ChatGPhish uses ChatGPT’s own Markdown renderer to present attacker-controlled links as trusted assistant responses. Credit: GPT Image 1.5 / Studio Global. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: How does the ChatGPhish vulnerability discovered by Permiso Security exploit ChatGPT's Markdown rendering to deliver phishing attacks throug. Article summary: Here is the answer based on the available reporting.. Topic tags: general, general web, academic, user generated. Reference image context from search candidates: Reference image 1: visual subject "In yet another "Your chatbot may be leaking" moment, researchers have uncovered multiple weaknesses in OpenAI's ChatGPT that could allow an attacker to exfiltrate private informati" source context "Multiple ChatGPT Security Bugs Allow Rampant Data Theft" Reference image 2: visual subject "Researchers at Check Point discovered that a single malicious prompt could exploit a hidden outbound channel within ChatGPT's code execution" source context "ChatGPT data leakage vul
openai.com เวลาที่ ChatGPT สรุปเนื้อหาจากหน้าเว็บให้เรา เรามักจะไว้ใจว่าลิงก์หรือปุ่มต่างๆ ที่มันแสดงขึ้นมานั้นปลอดภัย แต่ความไว้ใจนี้เองที่กลายเป็นช่องโหว่ที่ถูกเรียกว่า ChatGPhish
ช่องโหว่นี้ถูกเปิดเผยโดยทีมวิจัยจาก Permiso Security เมื่อวันที่ 29 พฤษภาคม 2026 มันคือเทคนิคการยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ที่เปลี่ยนฟีเจอร์สรุปเนื้อหาจากหน้าเว็บของ ChatGPT ให้กลายเป็นพื้นผิวสำหรับส่งมอบฟิชชิ่ง
ที่ผ่านมา เราอาจเคยเห็นการโจมตีในรูปแบบของการแอบขโมยข้อมูลแบบเงียบเชียบ แต่ ChatGPhish ยกระดับไปอีกขั้น ด้วยการทำให้ลิงก์ของแฮกเกอร์, หน้าเข้าสู่ระบบปลอม และการแจ้งเตือนความปลอดภัยหลอกๆ ปรากฏขึ้นในกล่องสนทนาของ ChatGPT อย่างแนบเนียนราวกับเป็นข้อความที่ผู้ช่วย AI ตอบกลับมาตามปกติ มาดูกันว่ามันทำงานอย่างไร, เส้นทางของภัยคุกคามจากอดีตสู่ช่องโหว่นี้ และ OpenAI ได้ตอบสนองหรือยัง ณ วันที่ข้อมูลเปิดเผย
ChatGPhish หลอกใช้ระบบแสดงผล Markdown ของ ChatGPT ได้อย่างไร
การโจมตีนี้ทำได้ไม่ยากแต่ได้ผลดีอย่างยิ่ง เพราะมันโจมตีสมมติฐานพื้นฐานเรื่องความเชื่อใจ: ระบบแสดงผลของ ChatGPT มองว่าลิงก์ Markdown และ URL รูปภาพที่มากับเนื้อหาจากเว็บของบุคคลที่สามเป็นเนื้อหาที่เชื่อถือได้ โดยมันจะดึงรูปภาพมาแสดงและทำให้ลิงก์ต่างๆ สามารถคลิกได้ภายในกล่องสนทนาของตัวเอง
คนยังถาม คำตอบสั้น ๆ สำหรับ "ChatGPhish: เมื่อนักโจมตีใช้ฟีเจอร์สรุปเนื้อหาเว็บของ ChatGPT หลอกขโมยข้อมูลคุณ" คืออะไร ChatGPhish ช่องโหว่ที่เปิดเผยโดย Permiso Security เมื่อ 29 พ.ค. 2026 ใช้การยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ โดยอาศัยความไว้ใจของ ChatGPT ต่อ Markdown ในการสอดแทรกลิงก์ฟิชชิ่ง, การแจ้งเตือนความปลอดภัยปลอ...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ChatGPhish ช่องโหว่ที่เปิดเผยโดย Permiso Security เมื่อ 29 พ.ค. 2026 ใช้การยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ โดยอาศัยความไว้ใจของ ChatGPT ต่อ Markdown ในการสอดแทรกลิงก์ฟิชชิ่ง, การแจ้งเตือนความปลอดภัยปลอ... นี่คือย่างก้าวล่าสุดในสงครามช่องโหว่ Prompt Injection ที่ยืดเยื้อมาตั้งแต่ปี 2022 และ ณ วันที่เปิดเผยข้อมูล OpenAI ยังไม่ได้ออกมายอมรับหรือแก้ไขช่องโหว่นี้แต่อย่างใด
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? จุดอ่อนหลักอยู่ที่ระบบแสดงผล (Renderer) ของ ChatGPT ซึ่งปฏิบัติต่อลิงก์ Markdown และรูปภาพจากหน้าเว็บของบุคคลที่สามเสมือนเป็นเนื้อหาที่เชื่อถือได้ ทำให้ทุกเว็บไซต์ที่ ChatGPT อ่าน ล้วนมีศักยภาพเป็นเครื่องมือฟิชชิ่งได้...
คำตอบการวิจัย
ประเด็นสำคัญ ChatGPhish ช่องโหว่ที่เปิดเผยโดย Permiso Security เมื่อ 29 พ.ค. 2026 ใช้การยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ โดยอาศัยความไว้ใจของ ChatGPT ต่อ Markdown ในการสอดแทรกลิงก์ฟิชชิ่ง, การแจ้งเตือนความปลอดภัยปลอ... นี่คือย่างก้าวล่าสุดในสงครามช่องโหว่ Prompt Injection ที่ยืดเยื้อมาตั้งแต่ปี 2022 และ ณ วันที่เปิดเผยข้อมูล OpenAI ยังไม่ได้ออกมายอมรับหรือแก้ไขช่องโหว่นี้แต่อย่างใด จุดอ่อนหลักอยู่ที่ระบบแสดงผล (Renderer) ของ ChatGPT ซึ่งปฏิบัติต่อลิงก์ Markdown และรูปภาพจากหน้าเว็บของบุคคลที่สามเสมือนเป็นเนื้อหาที่เชื่อถือได้ ทำให้ทุกเว็บไซต์ที่ ChatGPT อ่าน ล้วนมีศักยภาพเป็นเครื่องมือฟิชชิ่งได้... How does the ChatGPhish vulnerability discovered by Permiso Security exploit ChatGPT's Markdown rendering to deliver phishing attacks throug ChatGPhish uses ChatGPT’s own Markdown renderer to present attacker-controlled links as trusted assistant responses. Credit: GPT Image 1.5 / Studio Global. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: How does the ChatGPhish vulnerability discovered by Permiso Security exploit ChatGPT's Markdown rendering to deliver phishing attacks throug. Article summary: Here is the answer based on the available reporting.. Topic tags: general, general web, academic, user generated. Reference image context from search candidates: Reference image 1: visual subject "In yet another "Your chatbot may be leaking" moment, researchers have uncovered multiple weaknesses in OpenAI's ChatGPT that could allow an attacker to exfiltrate private informati" source context "Multiple ChatGPT Security Bugs Allow Rampant Data Theft" Reference image 2: visual subject "Researchers at Check Point discovered that a single malicious prompt could exploit a hidden outbound channel within ChatGPT's code execution" source context "ChatGPT data leakage vul
openai.com เวลาที่ ChatGPT สรุปเนื้อหาจากหน้าเว็บให้เรา เรามักจะไว้ใจว่าลิงก์หรือปุ่มต่างๆ ที่มันแสดงขึ้นมานั้นปลอดภัย แต่ความไว้ใจนี้เองที่กลายเป็นช่องโหว่ที่ถูกเรียกว่า ChatGPhish
ช่องโหว่นี้ถูกเปิดเผยโดยทีมวิจัยจาก Permiso Security เมื่อวันที่ 29 พฤษภาคม 2026 มันคือเทคนิคการยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ที่เปลี่ยนฟีเจอร์สรุปเนื้อหาจากหน้าเว็บของ ChatGPT ให้กลายเป็นพื้นผิวสำหรับส่งมอบฟิชชิ่ง
ที่ผ่านมา เราอาจเคยเห็นการโจมตีในรูปแบบของการแอบขโมยข้อมูลแบบเงียบเชียบ แต่ ChatGPhish ยกระดับไปอีกขั้น ด้วยการทำให้ลิงก์ของแฮกเกอร์, หน้าเข้าสู่ระบบปลอม และการแจ้งเตือนความปลอดภัยหลอกๆ ปรากฏขึ้นในกล่องสนทนาของ ChatGPT อย่างแนบเนียนราวกับเป็นข้อความที่ผู้ช่วย AI ตอบกลับมาตามปกติ มาดูกันว่ามันทำงานอย่างไร, เส้นทางของภัยคุกคามจากอดีตสู่ช่องโหว่นี้ และ OpenAI ได้ตอบสนองหรือยัง ณ วันที่ข้อมูลเปิดเผย
ChatGPhish หลอกใช้ระบบแสดงผล Markdown ของ ChatGPT ได้อย่างไร
การโจมตีนี้ทำได้ไม่ยากแต่ได้ผลดีอย่างยิ่ง เพราะมันโจมตีสมมติฐานพื้นฐานเรื่องความเชื่อใจ: ระบบแสดงผลของ ChatGPT มองว่าลิงก์ Markdown และ URL รูปภาพที่มากับเนื้อหาจากเว็บของบุคคลที่สามเป็นเนื้อหาที่เชื่อถือได้ โดยมันจะดึงรูปภาพมาแสดงและทำให้ลิงก์ต่างๆ สามารถคลิกได้ภายในกล่องสนทนาของตัวเอง
คนยังถาม คำตอบสั้น ๆ สำหรับ "ChatGPhish: เมื่อนักโจมตีใช้ฟีเจอร์สรุปเนื้อหาเว็บของ ChatGPT หลอกขโมยข้อมูลคุณ" คืออะไร ChatGPhish ช่องโหว่ที่เปิดเผยโดย Permiso Security เมื่อ 29 พ.ค. 2026 ใช้การยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ โดยอาศัยความไว้ใจของ ChatGPT ต่อ Markdown ในการสอดแทรกลิงก์ฟิชชิ่ง, การแจ้งเตือนความปลอดภัยปลอ...
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ChatGPhish ช่องโหว่ที่เปิดเผยโดย Permiso Security เมื่อ 29 พ.ค. 2026 ใช้การยิงคำสั่งแฝง (Prompt Injection) ผ่านเบราว์เซอร์ โดยอาศัยความไว้ใจของ ChatGPT ต่อ Markdown ในการสอดแทรกลิงก์ฟิชชิ่ง, การแจ้งเตือนความปลอดภัยปลอ... นี่คือย่างก้าวล่าสุดในสงครามช่องโหว่ Prompt Injection ที่ยืดเยื้อมาตั้งแต่ปี 2022 และ ณ วันที่เปิดเผยข้อมูล OpenAI ยังไม่ได้ออกมายอมรับหรือแก้ไขช่องโหว่นี้แต่อย่างใด
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? จุดอ่อนหลักอยู่ที่ระบบแสดงผล (Renderer) ของ ChatGPT ซึ่งปฏิบัติต่อลิงก์ Markdown และรูปภาพจากหน้าเว็บของบุคคลที่สามเสมือนเป็นเนื้อหาที่เชื่อถือได้ ทำให้ทุกเว็บไซต์ที่ ChatGPT อ่าน ล้วนมีศักยภาพเป็นเครื่องมือฟิชชิ่งได้...
ห่วงโซ่การโจมตีเกิดขึ้นใน 3 จังหวะ:
สร้างหน้าเว็บอันตราย — แฮกเกอร์สร้างหน้าเว็บที่มีลิงก์ Markdown, รูปภาพ และการแจ้งเตือนความปลอดภัยปลอมซ่อนเอาไว้ สำหรับคนทั่วไปที่เปิดดู เว็บไซต์จะดูเป็นปกติ แต่เนื้อหาที่ฝังไว้ถูกออกแบบมาให้ระบบสรุปของ ChatGPT อ่านและตีความกระตุ้นให้เกิดการสรุป — ผู้ใช้ถาม ChatGPT ให้สรุปเนื้อหาจากหน้าเว็บนั้น ChatGPT จะประมวลผลเนื้อหา และด้วยจุดอ่อนนี้ มันจะถือว่า Markdown ของแฮกเกอร์เป็นส่วนหนึ่งของเนื้อหาที่ถูกต้องส่งมอบกับดักฟิชชิ่ง — ภายในกล่องสนทนาของ ChatGPT ที่เราไว้ใจ ลิงก์และคำเตือนของแฮกเกอร์จะปรากฏขึ้นมาอย่างแนบเนียน เมื่อผู้ใช้คลิกลิงก์หรือทำตาม มันจะพาไปยังหน้าขโมยรหัสผ่าน, การดาวน์โหลดไฟล์อันตราย หรือ QR Code ที่นำไปสู่เว็บไซต์ฟิชชิ่ง เพราะ ChatGPT ไม่ได้ตรวจสอบและกรองเนื้อหา Markdown จากหน้าเว็บของบุคคลที่สามอย่างเพียงพอก่อนแสดงผลลัพธ์ ทำให้ทุกหน้าที่โมเดลเข้าไปอ่านกลายเป็นเวกเตอร์สำหรับฟิชชิ่งได้ นี่ไม่ใช่การโจมตีฝั่งเซิร์ฟเวอร์ของ OpenAI แต่มันคือจุดอ่อนในการแสดงผลฝั่งผู้ใช้ ที่ใช้ประโยชน์จากความไว้ใจที่เรามีต่อหน้าตาอินเทอร์เฟซของ ChatGPT
วิวัฒนาการของภัยคุกคาม: จาก Prompt Injection ยุคแรกสู่ ChatGPhish ChatGPhish ไม่ได้เกิดขึ้นมาลอยๆ มันเป็นบทล่าสุดในหน้าประวัติศาสตร์การยิงคำสั่งแฝงที่ยกระดับต่อเนื่องมาหลายปี ทุกครั้งที่ OpenAI เพิ่มความสามารถใหม่ให้ ChatGPT เช่น การท่องเว็บ, การรันโค้ด, ปลั๊กอิน และฟีเจอร์ความจำ เหล่าแฮกเกอร์ก็ค้นพบพื้นผิวใหม่ๆ ที่จะใช้ยิงคำสั่งแฝงและขโมยข้อมูล
นี่คือหมุดหมายสำคัญบนเส้นทางสู่ ChatGPhish:
พฤศจิกายน 2022 — จุดกำเนิดของ Prompt Injection: เทคนิคนี้ถูกขนานนามและสาธิตกับ GPT-3 เพียง 13 วันก่อน ChatGPT เปิดตัวในวันที่ 30 พฤศจิกายน 2022 หลังจากนั้นเพียงไม่กี่ชั่วโมง ผู้ใช้ก็สามารถเลี่ยงชั้นความปลอดภัยด้วยการสั่งให้ AI สวมบทบาทได้ 2023–2024 — Indirect Prompt Injection และการขโมยข้อมูลผ่าน Markdown: นักวิจัยพบว่าการแสดงผลรูปภาพผ่าน Markdown ของ ChatGPT สามารถถูกใช้เพื่อรั่วไหลข้อมูลการสนทนา ผู้โจมตีอัปโหลดคำสั่งอันตรายไว้บนเว็บไซต์สาธารณะ เมื่อ ChatGPT เข้าไปโต้ตอบ มันจะตอบกลับด้วยแท็กรูปภาพ Markdown ที่จะดึง URL ภายนอกซึ่งฝังข้อมูลที่ขโมยมาออกไปได้ พฤษภาคม 2024 — การขโมยข้อมูลส่วนบุคคลผ่านหน่วยความจำ: งานวิจัยแสดงว่า ChatGPT 4 และ 4o ถูกโจมตีด้วย Prompt Injection เพื่อดึงข้อมูลส่วนบุคคลของผู้ใช้ได้ โดยฟีเจอร์ความจำของ AI ยิ่งช่วยขยายผลการโจมตีให้รุนแรงขึ้น มีนาคม 2025 — CVE-2025-43714 (การแทรก SVG/HTML): พบว่า ChatGPT แสดงผลเอกสาร SVG ในเว็บเบราว์เซอร์แทนที่จะเป็นโค้ดธรรมดา ทำให้แฮกเกอร์สามารถแทรก HTML ได้ตามอำเภอใจ ซึ่งใช้สร้างหน้าโจมตีฟิชชิ่งภายในกล่องสนทนาของ ChatGPT โดยตรง กุมภาพันธ์–มีนาคม 2026 — การขโมยข้อมูลผ่าน DNS และ Markdown Image Injection: Check Point เปิดเผยช่องโหว่ในสภาพแวดล้อมการรันโค้ดของ ChatGPT ที่ใช้ DNS Tunneling ดูดข้อมูลการสนทนาออกไป OpenAI แก้ไขจุดนี้เมื่อ 20 กุมภาพันธ์ 2026 ขณะที่อีกหนึ่งช่องทางในเดือนเดียวกันใช้ลิงก์รูปภาพ Markdown อันตรายเพื่อขโมยบันทึกการสนทนา, คำสั่งระบบ และข้อมูลผู้ใช้ผ่านการสอบถาม DNS พฤษภาคม 2026 — ChatGPhish: คือจุดรวมของหลายเทคนิค: Indirect Prompt Injection, การแสดงผล Markdown ที่ไม่น่าไว้ใจ และฟีเจอร์สรุปเนื้อหาเว็บ จุดเปลี่ยนสำคัญคือ ChatGPhish ถูกใช้เพื่อฟิชชิ่งแบบพุ่งเป้า — แสดงเนื้อหาหลอกลวงต่อหน้าผู้ใช้ใน UI ของ ChatGPT โดยตรง — แทนที่จะแอบขโมยข้อมูลเงียบๆ ทุกย่างก้าวในไทม์ไลน์นี้เผยให้เห็นรูปแบบเดิมซ้ำๆ: ความสามารถใหม่ของ ChatGPT เปิดพื้นผิวการโจมตีใหม่ และระบบแสดงผล Markdown ก็พิสูจน์ตัวเองครั้งแล้วครั้งเล่าว่าเป็นจุดเชื่อมต่อที่อ่อนแอที่สุด เพราะมันไว้ใจเนื้อหาจากภายนอกโดยไม่ตรวจสอบ
ท่าทีของ OpenAI ณ ปลายเดือนพฤษภาคม 2026 ณ วันที่ 29-30 พฤษภาคม 2026 จากรายงานที่มีอยู่ ระบุว่า Permiso Security เปิดเผย ChatGPhish ต่อสาธารณะเมื่อวันที่ 29 พฤษภาคม แต่ยังไม่มีแถลงการณ์หรือแพตช์จาก OpenAI สำหรับช่องโหว่นี้เป็นการเฉพาะ
แน่นอนว่า OpenAI ไม่ได้นิ่งนอนใจเรื่องความปลอดภัยในช่วงนี้ พวกเขาจัดการกับสองเหตุการณ์สำคัญในเดือนพฤษภาคม 2026 ซึ่งไม่เกี่ยวข้องกับ ChatGPhish โดยตรง:
13 พฤษภาคม 2026 — OpenAI เผยแพร่แถลงการณ์ตอบสนองต่อกรณีการโจมตีซัพพลายเชน TanStack npm (ที่รู้จักในชื่อ "Mini Shai-Hulud") โดยยืนยันว่าอุปกรณ์ของพนักงานสองรายถูก compromised แต่ไม่มีข้อมูลผู้ใช้รั่วไหล 14 พฤษภาคม 2026 — บังคับให้ผู้ใช้ macOS อัปเดตแอป ChatGPT เพื่อยับยั้งความเสี่ยงจากเหตุการณ์ซัพพลายเชนข้างต้น ช่องว่างระหว่างการเปิดเผย ChatGPhish กับการตอบสนองจาก OpenAI เป็นสิ่งที่น่าจับตามอง มันหมายความว่า ขณะที่เรื่องนี้กลายเป็นที่รับรู้ของสาธารณะ พื้นที่การสรุปเนื้อหาจากเว็บของ ChatGPT ยังคงเปิดให้ถูกโจมตีได้ เพียงแค่มีคนถาม ChatGPT ให้สรุปหน้าเว็บที่เตรียมการมาเป็นพิเศษ
มุมมองและความหมายที่กว้างขึ้น ChatGPhish น่ากังวลเพราะมันเล่นกับความไว้ใจต่ออินเทอร์เฟซ ซึ่งเป็นสิ่งที่ทำให้ผู้ช่วย AI มีประโยชน์ เมื่อ ChatGPT ท่องเว็บ สรุปข้อมูล และนำเสนอลิงก์ในกล่องสนทนา ผู้ใช้จะไม่มีสัญญาณภาพใดๆ ที่จะบอกได้ว่าลิงก์นั้นมาจากบุคคลที่สามที่ไม่น่าไว้ใจ หรือมาจาก OpenAI เอง
องค์กรที่ให้พนักงานใช้ความสามารถท่องเว็บของ ChatGPT ควรปฏิบัติต่อการสรุปเนื้อหาเว็บเสมือนข้อมูลจากแหล่งที่ไม่น่าไว้ใจ จนกว่า OpenAI จะออกมาแก้ไข ช่องโหว่นี้ยังตอกย้ำให้เห็นถึงความตึงเครียดทางสถาปัตยกรรมที่เกิดขึ้นซ้ำๆ: ผู้ช่วย AI ที่ผสมผสานอินเทอร์เฟซของตัวเองกับข้อมูลจากภายนอก จำเป็นต้องมีระบบแสดงผลที่ปฏิบัติต่อเนื้อหาจากบุคคลที่สามเสมือนเป็นศัตรูแต่แรก ไม่ใช่แค่พลิกแพลงตัวอักษรที่จะเอาขึ้นแสดงผลเท่านั้น
arxiv.org
Exfiltration of personal information from ChatGPT via prompt injection
ห่วงโซ่การโจมตีเกิดขึ้นใน 3 จังหวะ:
สร้างหน้าเว็บอันตราย — แฮกเกอร์สร้างหน้าเว็บที่มีลิงก์ Markdown, รูปภาพ และการแจ้งเตือนความปลอดภัยปลอมซ่อนเอาไว้ สำหรับคนทั่วไปที่เปิดดู เว็บไซต์จะดูเป็นปกติ แต่เนื้อหาที่ฝังไว้ถูกออกแบบมาให้ระบบสรุปของ ChatGPT อ่านและตีความกระตุ้นให้เกิดการสรุป — ผู้ใช้ถาม ChatGPT ให้สรุปเนื้อหาจากหน้าเว็บนั้น ChatGPT จะประมวลผลเนื้อหา และด้วยจุดอ่อนนี้ มันจะถือว่า Markdown ของแฮกเกอร์เป็นส่วนหนึ่งของเนื้อหาที่ถูกต้องส่งมอบกับดักฟิชชิ่ง — ภายในกล่องสนทนาของ ChatGPT ที่เราไว้ใจ ลิงก์และคำเตือนของแฮกเกอร์จะปรากฏขึ้นมาอย่างแนบเนียน เมื่อผู้ใช้คลิกลิงก์หรือทำตาม มันจะพาไปยังหน้าขโมยรหัสผ่าน, การดาวน์โหลดไฟล์อันตราย หรือ QR Code ที่นำไปสู่เว็บไซต์ฟิชชิ่ง เพราะ ChatGPT ไม่ได้ตรวจสอบและกรองเนื้อหา Markdown จากหน้าเว็บของบุคคลที่สามอย่างเพียงพอก่อนแสดงผลลัพธ์ ทำให้ทุกหน้าที่โมเดลเข้าไปอ่านกลายเป็นเวกเตอร์สำหรับฟิชชิ่งได้ นี่ไม่ใช่การโจมตีฝั่งเซิร์ฟเวอร์ของ OpenAI แต่มันคือจุดอ่อนในการแสดงผลฝั่งผู้ใช้ ที่ใช้ประโยชน์จากความไว้ใจที่เรามีต่อหน้าตาอินเทอร์เฟซของ ChatGPT
วิวัฒนาการของภัยคุกคาม: จาก Prompt Injection ยุคแรกสู่ ChatGPhish ChatGPhish ไม่ได้เกิดขึ้นมาลอยๆ มันเป็นบทล่าสุดในหน้าประวัติศาสตร์การยิงคำสั่งแฝงที่ยกระดับต่อเนื่องมาหลายปี ทุกครั้งที่ OpenAI เพิ่มความสามารถใหม่ให้ ChatGPT เช่น การท่องเว็บ, การรันโค้ด, ปลั๊กอิน และฟีเจอร์ความจำ เหล่าแฮกเกอร์ก็ค้นพบพื้นผิวใหม่ๆ ที่จะใช้ยิงคำสั่งแฝงและขโมยข้อมูล
นี่คือหมุดหมายสำคัญบนเส้นทางสู่ ChatGPhish:
พฤศจิกายน 2022 — จุดกำเนิดของ Prompt Injection: เทคนิคนี้ถูกขนานนามและสาธิตกับ GPT-3 เพียง 13 วันก่อน ChatGPT เปิดตัวในวันที่ 30 พฤศจิกายน 2022 หลังจากนั้นเพียงไม่กี่ชั่วโมง ผู้ใช้ก็สามารถเลี่ยงชั้นความปลอดภัยด้วยการสั่งให้ AI สวมบทบาทได้ 2023–2024 — Indirect Prompt Injection และการขโมยข้อมูลผ่าน Markdown: นักวิจัยพบว่าการแสดงผลรูปภาพผ่าน Markdown ของ ChatGPT สามารถถูกใช้เพื่อรั่วไหลข้อมูลการสนทนา ผู้โจมตีอัปโหลดคำสั่งอันตรายไว้บนเว็บไซต์สาธารณะ เมื่อ ChatGPT เข้าไปโต้ตอบ มันจะตอบกลับด้วยแท็กรูปภาพ Markdown ที่จะดึง URL ภายนอกซึ่งฝังข้อมูลที่ขโมยมาออกไปได้ พฤษภาคม 2024 — การขโมยข้อมูลส่วนบุคคลผ่านหน่วยความจำ: งานวิจัยแสดงว่า ChatGPT 4 และ 4o ถูกโจมตีด้วย Prompt Injection เพื่อดึงข้อมูลส่วนบุคคลของผู้ใช้ได้ โดยฟีเจอร์ความจำของ AI ยิ่งช่วยขยายผลการโจมตีให้รุนแรงขึ้น มีนาคม 2025 — CVE-2025-43714 (การแทรก SVG/HTML): พบว่า ChatGPT แสดงผลเอกสาร SVG ในเว็บเบราว์เซอร์แทนที่จะเป็นโค้ดธรรมดา ทำให้แฮกเกอร์สามารถแทรก HTML ได้ตามอำเภอใจ ซึ่งใช้สร้างหน้าโจมตีฟิชชิ่งภายในกล่องสนทนาของ ChatGPT โดยตรง กุมภาพันธ์–มีนาคม 2026 — การขโมยข้อมูลผ่าน DNS และ Markdown Image Injection: Check Point เปิดเผยช่องโหว่ในสภาพแวดล้อมการรันโค้ดของ ChatGPT ที่ใช้ DNS Tunneling ดูดข้อมูลการสนทนาออกไป OpenAI แก้ไขจุดนี้เมื่อ 20 กุมภาพันธ์ 2026 ขณะที่อีกหนึ่งช่องทางในเดือนเดียวกันใช้ลิงก์รูปภาพ Markdown อันตรายเพื่อขโมยบันทึกการสนทนา, คำสั่งระบบ และข้อมูลผู้ใช้ผ่านการสอบถาม DNS พฤษภาคม 2026 — ChatGPhish: คือจุดรวมของหลายเทคนิค: Indirect Prompt Injection, การแสดงผล Markdown ที่ไม่น่าไว้ใจ และฟีเจอร์สรุปเนื้อหาเว็บ จุดเปลี่ยนสำคัญคือ ChatGPhish ถูกใช้เพื่อฟิชชิ่งแบบพุ่งเป้า — แสดงเนื้อหาหลอกลวงต่อหน้าผู้ใช้ใน UI ของ ChatGPT โดยตรง — แทนที่จะแอบขโมยข้อมูลเงียบๆ ทุกย่างก้าวในไทม์ไลน์นี้เผยให้เห็นรูปแบบเดิมซ้ำๆ: ความสามารถใหม่ของ ChatGPT เปิดพื้นผิวการโจมตีใหม่ และระบบแสดงผล Markdown ก็พิสูจน์ตัวเองครั้งแล้วครั้งเล่าว่าเป็นจุดเชื่อมต่อที่อ่อนแอที่สุด เพราะมันไว้ใจเนื้อหาจากภายนอกโดยไม่ตรวจสอบ
ท่าทีของ OpenAI ณ ปลายเดือนพฤษภาคม 2026 ณ วันที่ 29-30 พฤษภาคม 2026 จากรายงานที่มีอยู่ ระบุว่า Permiso Security เปิดเผย ChatGPhish ต่อสาธารณะเมื่อวันที่ 29 พฤษภาคม แต่ยังไม่มีแถลงการณ์หรือแพตช์จาก OpenAI สำหรับช่องโหว่นี้เป็นการเฉพาะ
แน่นอนว่า OpenAI ไม่ได้นิ่งนอนใจเรื่องความปลอดภัยในช่วงนี้ พวกเขาจัดการกับสองเหตุการณ์สำคัญในเดือนพฤษภาคม 2026 ซึ่งไม่เกี่ยวข้องกับ ChatGPhish โดยตรง:
13 พฤษภาคม 2026 — OpenAI เผยแพร่แถลงการณ์ตอบสนองต่อกรณีการโจมตีซัพพลายเชน TanStack npm (ที่รู้จักในชื่อ "Mini Shai-Hulud") โดยยืนยันว่าอุปกรณ์ของพนักงานสองรายถูก compromised แต่ไม่มีข้อมูลผู้ใช้รั่วไหล 14 พฤษภาคม 2026 — บังคับให้ผู้ใช้ macOS อัปเดตแอป ChatGPT เพื่อยับยั้งความเสี่ยงจากเหตุการณ์ซัพพลายเชนข้างต้น ช่องว่างระหว่างการเปิดเผย ChatGPhish กับการตอบสนองจาก OpenAI เป็นสิ่งที่น่าจับตามอง มันหมายความว่า ขณะที่เรื่องนี้กลายเป็นที่รับรู้ของสาธารณะ พื้นที่การสรุปเนื้อหาจากเว็บของ ChatGPT ยังคงเปิดให้ถูกโจมตีได้ เพียงแค่มีคนถาม ChatGPT ให้สรุปหน้าเว็บที่เตรียมการมาเป็นพิเศษ
มุมมองและความหมายที่กว้างขึ้น ChatGPhish น่ากังวลเพราะมันเล่นกับความไว้ใจต่ออินเทอร์เฟซ ซึ่งเป็นสิ่งที่ทำให้ผู้ช่วย AI มีประโยชน์ เมื่อ ChatGPT ท่องเว็บ สรุปข้อมูล และนำเสนอลิงก์ในกล่องสนทนา ผู้ใช้จะไม่มีสัญญาณภาพใดๆ ที่จะบอกได้ว่าลิงก์นั้นมาจากบุคคลที่สามที่ไม่น่าไว้ใจ หรือมาจาก OpenAI เอง
องค์กรที่ให้พนักงานใช้ความสามารถท่องเว็บของ ChatGPT ควรปฏิบัติต่อการสรุปเนื้อหาเว็บเสมือนข้อมูลจากแหล่งที่ไม่น่าไว้ใจ จนกว่า OpenAI จะออกมาแก้ไข ช่องโหว่นี้ยังตอกย้ำให้เห็นถึงความตึงเครียดทางสถาปัตยกรรมที่เกิดขึ้นซ้ำๆ: ผู้ช่วย AI ที่ผสมผสานอินเทอร์เฟซของตัวเองกับข้อมูลจากภายนอก จำเป็นต้องมีระบบแสดงผลที่ปฏิบัติต่อเนื้อหาจากบุคคลที่สามเสมือนเป็นศัตรูแต่แรก ไม่ใช่แค่พลิกแพลงตัวอักษรที่จะเอาขึ้นแสดงผลเท่านั้น
arxiv.org
Exfiltration of personal information from ChatGPT via prompt injection
