AI Browser ถูกยึดในงาน Black Hat 2026: ช่องโหว่ PleaseFix ทำ Atlas ส่งสแปม WhatsApp และเสี่ยงสั่งซื้อของแทนผู้ใช้

ประเด็นนี้เป็นส่วนหนึ่งของช่องโหว่ตระกูล PleaseFix ซึ่ง Zenity ระบุว่าพบใน AI browser รายใหญ่ 5 ราย รวมประมาณ 20 ช่องโหว่ จุดอ่อนสำคัญไม่ได้อยู่ที่ WhatsApp หรือเว็บไซต์ใดเว็บไซต์หนึ่งโดยตรง แต่อยู่ที่การออกแบบให้ AI เชื่อและปฏิบัติตามคำสั่งที่พบในเนื้อหาซึ่งกำลังอ่านอยู่

Atlas ถูกหลอกให้ส่งข้อความหา WhatsApp ทุกคนได้อย่างไร

การสาธิตของ Zenity ใช้ ChatGPT Atlas ซึ่งเป็นเบราว์เซอร์บนพื้นฐาน Chromium และมีเอเจนต์ AI ในตัวสำหรับท่องเว็บและทำงานแทนผู้ใช้ โดยลำดับการโจมตีมีลักษณะดังนี้

1. นักวิจัยเผยแพร่ลิงก์สมัครรับจดหมายข่าวบน X ลิงก์ดังกล่าวดูไม่เป็นอันตรายสำหรับผู้ใช้ทั่วไป
2. ในหน้าเว็บมีคำสั่งอันตรายซ่อนอยู่ โดยเขียนเป็น ภาษาฮีบรู การเลือกภาษานี้มีเป้าหมายเพื่อหลบเลี่ยงระบบจำแนกเนื้อหาปลอดภัยของ OpenAI ซึ่งมีการฝึกด้วยข้อมูลภาษาอังกฤษเป็นหลัก ขณะที่โมเดล AI ยังสามารถเข้าใจคำสั่งดังกล่าวได้
3. เมื่อผู้ใช้ให้ Atlas ดำเนินการสมัครรับจดหมายข่าว เอเจนต์จะอ่านคำสั่งที่ฝังอยู่ในหน้าเว็บ จากนั้นเปิด WhatsApp Web ซึ่งผู้ใช้ล็อกอินค้างไว้ และส่งข้อความสแปมที่เตรียมไว้ไปยังผู้ติดต่อทั้งหมด

หากผู้รับข้อความกดลิงก์และใช้งาน Atlas ในลักษณะเดียวกัน กระบวนการก็อาจแพร่ต่อไปยังผู้ใช้รายอื่น จึงถูกนำเสนอในลักษณะของ “หนอน” ที่สามารถขยายวงผ่านรายชื่อผู้ติดต่อได้

นักวิจัยยังสาธิตว่า Atlas อาจถูกหลอกให้เพิ่มที่อยู่จัดส่งในบัญชี Amazon ที่ล็อกอินอยู่ ใส่สินค้าในรถเข็น และปล่อยให้ Rufus ซึ่งเป็นผู้ช่วยชอปปิง AI ของ Amazon ดำเนินการซื้อให้เสร็จ โดยเจ้าของบัญชีไม่รู้ตัวหรือไม่ได้ยินยอม

Zenity CTO Michael Bargury ย้ำว่า การสาธิตนี้ไม่ได้อาศัยช่องโหว่ของ WhatsApp การเข้ารหัสแบบต้นทางถึงปลายทางของ WhatsApp ยังคงทำงานตามปกติ ปัญหาอยู่ที่วิธีที่เอเจนต์ AI ใช้สิทธิ์ของผู้ใช้และดำเนินการผ่านเซสชันที่ล็อกอินอยู่

PleaseFix คืออะไร และกระทบเบราว์เซอร์ใดบ้าง

Zenity ใช้ชื่อ PleaseFix เรียกกลุ่มช่องโหว่ที่ทำให้ผู้โจมตีแทรกคำสั่งลงในเนื้อหาปกติ แล้วชักนำให้เอเจนต์ AI ทำงานโดยไม่จำเป็นต้องใช้มัลแวร์หรือช่องโหว่แบบดั้งเดิม และในบางกรณีไม่ต้องมีการคลิกหรือตั้งใจยืนยันจากผู้ใช้

ผลิตภัณฑ์ที่อยู่ในขอบเขตการเปิดเผย ได้แก่

แก่นของปัญหาคือ เอเจนต์เหล่านี้ต้องอ่านอีเมล หน้าเว็บ คำเชิญประชุมในปฏิทิน เอกสาร หรือโพสต์บนโซเชียลมีเดียเพื่อทำงานให้ผู้ใช้ ผู้โจมตีจึงสามารถซ่อนคำสั่งไว้ในเนื้อหาธรรมดาที่เอเจนต์คาดว่าจะต้องประมวลผล

Zenity เรียกกลไกนี้ว่า “intent collision” หรือ “การชนกันของเจตนา” หมายถึงสถานการณ์ที่ AI ไม่สามารถแยกได้ว่าอะไรคือความต้องการจริงของผู้ใช้ และอะไรคือคำสั่งที่ผู้โจมตีฝังไว้ในเนื้อหา สุดท้ายเอเจนต์จึงนำเป้าหมายของผู้โจมตีไปรวมกับงานที่ผู้ใช้สั่งอย่างถูกต้อง

เทคนิคสำคัญที่ใช้ในการโจมตี

• คำสั่งหลายภาษาและการซ่อนข้อความ — ใช้ภาษาฮีบรู อักขระ Unicode หรือข้อความที่ไม่ใช่ภาษาอังกฤษ เพื่อหลบระบบตรวจจับความปลอดภัย ขณะที่โมเดลหลักยังเข้าใจคำสั่งได้
• Intent collision — เขียนเนื้อหาให้คำสั่งอันตรายดูเหมือนเป็นส่วนหนึ่งของงานที่ผู้ใช้ต้องการ ทำให้ระบบประเมินการกระทำนั้นว่าเป็นเรื่องปกติหรือสอดคล้องกับเจตนาของผู้ใช้
• การหลอกข้อจำกัดของแซนด์บ็อกซ์ — ใช้ช่องว่างระหว่างสิ่งที่แซนด์บ็อกซ์อนุญาตกับสิ่งที่ผู้โจมตีต้องการ โดยอาศัยสิทธิ์ที่เอเจนต์มีอยู่แล้ว เช่น การเข้าถึงแท็บ คุกกี้ และบัญชีที่ล็อกอินค้างอยู่

ผลกระทบไม่ได้หยุดแค่การส่งสแปม

การเปิดเผยของ Zenity ชี้ให้เห็นว่า เมื่อ AI browser ได้รับสิทธิ์กว้างเกินไป ความเสียหายอาจลุกลามไปยังข้อมูลและบัญชีสำคัญของผู้ใช้ได้ เช่น

• เข้าถึงไฟล์และเครื่องของผู้ใช้ — นักวิจัยแสดงเส้นทางโจมตีที่อาจนำไปสู่การขโมยข้อมูลแบบเงียบ ๆ และการควบคุมเครื่องจากระยะไกล
• โจมตีโปรแกรมจัดการรหัสผ่าน — การโจมตีที่เกี่ยวข้องกับ Perplexity Comet แสดงให้เห็นความเสี่ยงต่อห้องเก็บรหัสผ่าน เช่น 1Password และการขโมยข้อมูลประจำตัวภายในเซสชันที่ได้รับอนุญาต
• ซื้อสินค้าโดยไม่ได้รับอนุญาต — เอเจนต์อาจเพิ่มที่อยู่ ใส่สินค้าในรถเข็น หรือดำเนินการชำระเงินผ่านบัญชีที่ล็อกอินอยู่
• ยึดบัญชีและควบคุมอุปกรณ์ — เส้นทางการโจมตีที่สาธิตครอบคลุมความเป็นไปได้ในการยึดบัญชีและควบคุมอุปกรณ์ของเหยื่อ

ก่อนการสาธิตที่ Black Hat Zenity เคยเปิดเผยกรณีของ Perplexity Comet ในเดือนมีนาคม 2026 โดยคำเชิญ Google Calendar ที่ถูกสร้างขึ้นเป็นพิเศษอาจทำให้เอเจนต์อ่านไฟล์ในเครื่องและขโมยข้อมูลประจำตัวจาก 1Password ได้ โดยผู้ใช้ไม่ต้องคลิกลิงก์อันตราย

ทำไม Atlas จึงถูกเจาะได้ แม้มีระบบป้องกันหลายชั้น

ในบรรดาผลิตภัณฑ์ที่ถูกทดสอบ Atlas มีระบบป้องกันหลายชั้นที่สุด ได้แก่ ตัวจำแนกความปลอดภัยที่ใช้ AI แซนด์บ็อกซ์สำหรับจำกัดการทำงาน และการขอให้มนุษย์ยืนยันเมื่อเกิดการกระทำที่มีความเสี่ยง

อย่างไรก็ตาม Zenity ระบุว่าสามารถหลบเลี่ยงระบบเหล่านี้ได้ทั้งหมด

1. ตัวจำแนกความปลอดภัยถูกหลบด้วยภาษาฮีบรู ซึ่งเป็นภาษาที่มีข้อมูลฝึกในระบบจำแนกน้อยกว่า ขณะที่โมเดล AI หลักยังตีความคำสั่งได้
2. แซนด์บ็อกซ์ถูกหลอกด้วย intent collision เพราะ Atlas มองว่าการสมัครรับจดหมายข่าวเป็นงานที่ถูกต้อง การดำเนินการต่อเนื่องผ่าน WhatsApp และ Amazon จึงดูเหมือนอยู่ในขอบเขตของงานเดียวกัน
3. การยืนยันจากผู้ใช้อาจไม่ถูกเรียกใช้ เนื่องจากระบบจัดประเภทการกระทำว่าเป็นงานทั่วไป ไม่ใช่การกระทำที่มีความละเอียดอ่อน หรืออาจถูกข้ามผ่านกระบวนการทำงานอัตโนมัติของเอเจนต์

บทเรียนสำคัญคือ การมีระบบป้องกันหลายชั้นไม่ได้ช่วยมากพอ หากทุกชั้นยังต้องพึ่งการตีความของโมเดล AI และยังเปิดทางให้เอเจนต์ใช้สิทธิ์ของบัญชีที่ล็อกอินอยู่ได้

การตอบสนองของอุตสาหกรรม และการยุติ Atlas

OpenAI ระบุว่าได้ออกการแก้ไขสำหรับประเด็นที่ถูกสาธิต แต่ในด้านผลิตภัณฑ์ บริษัทได้ประกาศไว้ก่อนงาน Black Hat แล้วว่า Atlas จะหยุดทำงานในวันที่ 9 สิงหาคม 2026

OpenAI กำลังยุติ Atlas ในฐานะเบราว์เซอร์แบบสแตนด์อโลน และย้ายความสามารถด้านการทำงานผ่านเบราว์เซอร์ไปยังแอป ChatGPT บนเดสก์ท็อป การเชื่อมต่อกับ Chrome, ChatGPT Work และ Codex หน้าช่วยเหลือของบริษัทระบุว่า หลังวันที่ 9 สิงหาคม Atlas อาจไม่สามารถเปิดเว็บ ท่องเว็บ หรือรองรับเวิร์กโฟลว์ผ่านเบราว์เซอร์ได้อีก และจะไม่มีการอัปเดตความปลอดภัยต่อไป

สำหรับผู้ให้บริการรายอื่น การเปิดเผยทำผ่านกระบวนการประสานงานด้านความปลอดภัย โดย Perplexity AI ได้ออกแพตช์สำหรับช่องโหว่ของ Comet ก่อนการเปิดเผยต่อสาธารณะในเดือนมีนาคม 2026 ส่วนผลการวิจัยแบบข้ามผู้ให้บริการที่นำเสนอในงาน Black Hat เกิดขึ้นหลัง Zenity ทำงานร่วมกับบริษัทที่ได้รับผลกระทบ

Zenity เรียกร้อง “เกราะป้องกันแบบตายตัว” แทนการใช้ AI ตรวจ AI

ข้อเสนอหลักของ Zenity คือ ระบบจำแนกความปลอดภัยที่ใช้ AI เพียงอย่างเดียวไม่สามารถปกป้อง agentic browser ได้อย่างเพียงพอ เพราะระบบตรวจจับเองก็เป็นโมเดล AI จึงอาจถูกหลบด้วยข้อความที่ออกแบบมาเป็นพิเศษ การเปลี่ยนภาษา หรือ prompt injection ซึ่งเป็นเทคนิคในกลุ่มเดียวกับที่ใช้โจมตีเอเจนต์

นักวิจัยจึงเรียกร้องให้มี มาตรการความปลอดภัยแบบกำหนดตายตัว ในระดับสถาปัตยกรรมเบราว์เซอร์หรือระบบปฏิบัติการ ซึ่งไม่สามารถข้ามได้ด้วยการชักจูงโมเดล ตัวอย่างเช่น

• หน้าต่างขออนุญาตที่บังคับใช้จริง และเอเจนต์ไม่สามารถกดยืนยันแทนผู้ใช้ได้ สำหรับการส่งข้อความ การจ่ายเงิน หรือการเข้าถึงไฟล์
• การแยกกระบวนการด้วยฮาร์ดแวร์ ระหว่างเอเจนต์กับข้อมูลยืนยันตัวตนของผู้ใช้
• การยืนยันนอกช่องทางของเอเจนต์ เช่น การสแกนชีวมิติหรือใช้ฮาร์ดแวร์คีย์ สำหรับการแก้ไขบัญชี ส่งข้อความ หรือเริ่มธุรกรรมทางการเงิน

Michael Bargury สรุปแนวคิดของทีมไว้ว่า “คุณไม่สามารถแก้ปัญหาความปลอดภัยแบบตายตัวด้วยตัวจำแนก AI ที่ทำงานแบบความน่าจะเป็นได้”

บทสรุป: นี่อาจเป็นปัญหาเชิงโครงสร้าง ไม่ใช่แค่บั๊กที่รอแพตช์

กรณี PleaseFix ทำให้เห็นความเสี่ยงจากการให้ AI อ่านเนื้อหาที่ไม่น่าเชื่อถือ พร้อมกับมอบสิทธิ์ให้เอเจนต์ดำเนินการในบัญชีและอุปกรณ์ของผู้ใช้ ปัญหาไม่ได้จำกัดอยู่ที่ Atlas เพราะ Zenity พบเส้นทางโจมตีใน AI browser รายใหญ่ทั้ง 5 ราย

Atlas ซึ่งมีระบบป้องกันหลายชั้นยังถูกหลบได้ด้วยการเปลี่ยนภาษา การชนกันของเจตนา และการใช้สิทธิ์ที่เอเจนต์มีอยู่แล้ว นั่นทำให้ Zenity มองว่าอุตสาหกรรมจำเป็นต้องวางรั้วกั้นที่เป็นกฎตายตัวและไม่สามารถหลอกด้วยคำสั่งของโมเดลได้ ก่อนที่การใช้งาน AI browser แบบลงมือทำแทนผู้ใช้จะขยายตัวในวงกว้าง