แฮกเกอร์ระดับรัฐใช้เอเจนต์ AI เดินเกมโจมตีไซเบอร์เองได้อย่างไร

Robert McArdle ผู้อำนวยการฝ่ายวิจัยอาชญากรรมไซเบอร์ของ TrendAI อธิบายว่า AI ได้กลายเป็น “เพื่อนร่วมทีมที่ฝังอยู่ในปฏิบัติการ” ไม่ใช่เพียงเครื่องมือเสริมสำหรับผู้โจมตีอีกต่อไป

เอเจนต์ AI สอดแนมและเคลื่อนที่ในเครือข่ายได้เอง

กรณีหนึ่งที่รายงานบันทึกไว้พบว่า กลุ่มที่เชื่อมโยงกับจีนใช้เอเจนต์ AI ดำเนินการสอดแนมและเคลื่อนที่จากระบบหนึ่งไปยังอีกระบบหนึ่งภายในเครือข่ายเป้าหมายได้ด้วยตัวเอง โดยไม่ต้องรับคำสั่งจากมนุษย์โดยตรงในขั้นตอนดังกล่าว

McArdle เตือนว่า ฝ่ายป้องกันควรตั้งสมมติฐานใหม่ว่า คู่ต่อสู้ที่อยู่อีกด้านของการบุกรุกอาจไม่ใช่คนที่กำลังพิมพ์คำสั่งทีละบรรทัด แต่อาจเป็นระบบที่กำลังทำตามแผนที่วางไว้

ความเปลี่ยนแปลงนี้มีนัยสำคัญ เพราะเอเจนต์ AI ไม่ได้ทำหน้าที่ช่วยผู้ปฏิบัติการเท่านั้น แต่กำลังเข้ามาเป็นผู้มีบทบาทอัตโนมัติในห่วงโซ่การโจมตีโดยตรง

“Vibe coding” ช่วยเร่งการพัฒนามัลแวร์

กลุ่มที่เชื่อมโยงกับจีนใช้ Generative AI สร้างและปรับแต่งมัลแวร์แบบวนซ้ำผ่านการป้อนคำสั่งในรูปแบบบทสนทนา TrendAI เรียกแนวทางนี้ว่า “vibe coding”

ผู้โจมตีปฏิบัติต่อ AI คล้ายคู่หูนักพัฒนา โดยขอให้สร้าง ปรับแก้ และยกระดับโค้ดสำหรับการโจมตีผ่านภาษาธรรมชาติ กระบวนการดังกล่าวช่วยลดเวลาในการพัฒนามัลแวร์และเพิ่มความเร็วในการทดลองเปลี่ยนแปลงโค้ด

ช่องโหว่ถูกนำไปใช้เร็วเกินกว่ารอบแพตช์แบบเดิม

รายงานยังชี้ให้เห็นว่า หลายกลุ่มสามารถเปลี่ยนช่องโหว่ให้เป็นอาวุธได้เร็วกว่ารอบการอัปเดตความปลอดภัยตามปกติอย่างมาก ตัวอย่างที่ถูกระบุ ได้แก่

• Pawn Storm กลุ่มที่เชื่อมโยงกับรัสเซีย เปิดปี 2026 ด้วยการใช้ช่องโหว่ Zero-day ใน Microsoft Office โดยมุ่งเป้าไปยังหน่วยงานรัฐบาล กลาโหม และองค์กรที่เกี่ยวข้องกับความช่วยเหลือในช่วงสงครามของยูเครน
• Earth Vetala กลุ่มที่เชื่อมโยงกับอิหร่าน เริ่มสแกนหาช่องโหว่ใหม่ในผลิตภัณฑ์ Ivanti ภายในไม่กี่วันหลังมีการเปิดเผยช่องโหว่ต่อสาธารณะ

ไทม์ไลน์เหล่านี้สะท้อนสิ่งที่ TrendAI เรียกว่า “หน้าต่างเวลาป้องกันที่หดสั้นลง” ช่องโหว่ทั้งที่รู้จักแล้วและ Zero-day อาจถูกนำไปใช้โจมตีภายในไม่กี่วันหลังการเปิดเผย ทำให้องค์กรที่ยังพึ่งพาการแพตช์รายเดือนหรือรายไตรมาสมีโอกาสถูกเจาะก่อนติดตั้งตัวแก้ไข

การโจมตีระบบ OT กระทบโลกจริง

ภัยคุกคามไม่ได้จำกัดอยู่แค่ข้อมูลหรือระบบดิจิทัล รายงานระบุว่ากลุ่มที่เชื่อมโยงกับอิหร่านดำเนินการโจมตีระบบเทคโนโลยีปฏิบัติการ หรือ OT (Operational Technology) ที่เปิดเผยต่ออินเทอร์เน็ตในสหรัฐฯ

ผู้โจมตีเข้าไปแก้ไขระบบมาตรวัดระดับถังเชื้อเพลิง ซึ่งเป็นอุปกรณ์ที่อาจเกี่ยวข้องกับความปลอดภัยในโลกจริง กรณีนี้แสดงให้เห็นว่า APT ที่ได้รับการเสริมพลังด้วย AI อาจส่งผลกระทบต่อโครงสร้างพื้นฐานทางกายภาพ ไม่ได้หยุดอยู่เพียงการขโมยข้อมูลหรือทำให้ระบบไอทีขัดข้อง

กลุ่มเกาหลีเหนือใช้การโจมตีห่วงโซ่อุปทานซอฟต์แวร์

กลุ่มที่เชื่อมโยงกับเกาหลีเหนือ หรือ DPRK นำเครื่องมือ AI เชิงพาณิชย์มาใช้ในปฏิบัติการ และทำให้แพ็กเกจซอฟต์แวร์ที่มีการใช้งานอย่างแพร่หลายปนเปื้อน เพื่อโจมตีนักพัฒนาหรือองค์กรปลายทางผ่านห่วงโซ่อุปทานซอฟต์แวร์

วิธีนี้เปิดทางให้ผู้โจมตีเข้าถึงเป้าหมายจำนวนมากผ่านการแทรกแซงเพียงหนึ่งไลบรารีหรือหนึ่งส่วนประกอบที่หลายระบบนำไปใช้งานต่อ

ADINT: สอดแนมโดยไม่ต้องติดมัลแวร์

อีกประเด็นที่รายงานเน้นคือ ADINT หรือ advertising intelligence ซึ่งเป็นวิธีติดตามที่อาศัยข้อมูลจากการประมูลโฆษณาออนไลน์แบบเรียลไทม์ เพื่อเก็บข้อมูลตำแหน่งและอุปกรณ์สำหรับการสอดแนม

เนื่องจากวิธีนี้ไม่จำเป็นต้องติดตั้งมัลแวร์ไว้บนอุปกรณ์เป้าหมาย จึงตรวจจับได้ยากกว่าการโจมตีที่ทิ้งไฟล์หรือโปรแกรมต้องสงสัยไว้ในระบบ

สิ่งที่ฝ่ายป้องกันต้องรับมือ

รายงาน H1 2026 ของ TrendAI สะท้อนว่าภูมิทัศน์ภัยคุกคามกำลังเปลี่ยนจากการโจมตีที่มนุษย์ควบคุมเป็นหลัก ไปสู่ปฏิบัติการที่ AI สามารถช่วยวางแผน ตัดสินใจ และดำเนินการบางช่วงได้ด้วยความเร็วระดับเครื่องจักร

องค์กรจึงไม่ควรประเมินความเสี่ยงจากสมมติฐานว่า ผู้โจมตีต้องใช้เวลาทำงานแบบเดียวกับทีมรักษาความปลอดภัยขององค์กร โดยเฉพาะเมื่อช่องโหว่สามารถถูกนำไปใช้ภายในไม่กี่วัน และเอเจนต์ AI อาจทำการสอดแนมหรือเคลื่อนที่ในเครือข่ายได้โดยไม่ต้องมีมนุษย์คอยสั่งทุกขั้นตอน

บทสรุปของรายงานชัดเจนว่า AI ไม่ใช่เครื่องประดับของการโจมตีไซเบอร์อีกต่อไป แต่กำลังกลายเป็นเครื่องยนต์ที่ขับเคลื่อนการโจมตี และทำให้ยุคของ “แฮกเกอร์ที่เป็นมนุษย์ล้วน ๆ” สิ้นสุดลง