การโจมตี “Cryptographic Context Injection” อาจทำให้ข้อมูลแชต Grok รั่วไหลได้อย่างไร

Adversa ระบุว่าได้ทดสอบเทคนิคนี้กับ Grok 4.5 Fast บน grok.com โดยรายงานอีกฉบับระบุว่าการโจมตีสำเร็จ 40% จากการทดสอบ 20 ครั้งระหว่างเดือนมิถุนายนถึงสิงหาคม 2026 ตัวเลขนี้สะท้อนเฉพาะสภาพแวดล้อมการทดสอบของนักวิจัย ไม่ได้หมายความว่าทุกครั้งหรือทุกเซสชันของ Grok จะถูกโจมตีสำเร็จ

การโจมตีผ่านหน้าเว็บเข้ารหัสทำงานอย่างไร

ลำดับการโจมตีที่มีการรายงานประกอบด้วยขั้นตอนหลักดังนี้

1. ซ่อนเพย์โหลดไว้บนหน้าเว็บ ผู้โจมตีวาง ciphertext คำสั่งถอดรหัส และข้อมูลกุญแจไว้บนหน้าเว็บที่อาจดูเหมือนเนื้อหาทั่วไป โครงสร้างที่รายงานใช้การสร้างกุญแจด้วย PBKDF2 และการเข้ารหัส AES-256-GCM

2. การสแกนรอบแรกมองไม่เห็นคำสั่งจริง ตัวกรองของ Grok อาจตรวจสอบข้อความที่มองเห็นบนหน้าเว็บได้ แต่คำสั่งอันตรายถูกซ่อนไว้ในข้อมูลเข้ารหัส ทำให้โมเดลไม่สามารถอ่านคำสั่งต้นฉบับได้โดยตรงในขั้นตอนแรก

3. เอเจนต์เป็นผู้ถอดรหัสเอง เมื่อผู้ใช้ขอให้ Grok สรุปหรือวิเคราะห์หน้าเว็บ เอเจนต์จะทำตามคำแนะนำบนหน้านั้นและรันกระบวนการถอดรหัสในสภาพแวดล้อมประมวลผลโค้ด

4. คำสั่งถูกนำกลับเข้าสู่บริบทของเอเจนต์ ข้อความที่ถอดรหัสแล้วถูกนำเสนอเป็นผลลัพธ์จากการเรียกใช้เครื่องมือ นี่ทำให้เกิดปัญหาเรื่องแหล่งที่มาของข้อมูล เพราะเนื้อหาที่ผู้โจมตีควบคุมได้ถูกย้ายจากหน้าเว็บที่ไม่น่าเชื่อถือไปอยู่ในบริบทที่เอเจนต์อาจให้ความน่าเชื่อถือมากกว่า

5. Grok ดึงข้อมูลจากเซสชัน ในการสาธิตแบบ proof of concept คำสั่งที่ถอดรหัสแล้วสั่งให้ Grok รวบรวมข้อมูล เช่น ชื่อผู้ใช้ ตำแหน่งโดยประมาณ ระดับแพ็กเกจสมาชิก และพรอมต์จากบริบทบทสนทนาที่มีให้เอเจนต์เข้าถึง

6. ส่งข้อมูลออกผ่านคำขอเว็บ จากนั้น Grok เปิด URL ที่ผู้โจมตีควบคุม และใส่ข้อมูลที่รวบรวมได้ไว้ในพารามิเตอร์ของ URL การสาธิตที่รายงานเสร็จสิ้นโดยไม่มีหน้าต่างยืนยันเพิ่มเติมหรือคำเตือนที่ผู้ใช้มองเห็น

อย่างไรก็ตาม ขอบเขตของข้อมูลมีความสำคัญ รายงานที่มีอยู่สนับสนุนว่าเอเจนต์อาจเข้าถึงพรอมต์และบริบทที่เปิดให้ใช้งานในเซสชันปัจจุบัน ไม่ควรตีความคำว่า “ประวัติแชตทั้งหมด” ว่าหมายถึงบทสนทนาทุกรายการที่จัดเก็บอยู่ในบัญชีของผู้ใช้โดยอัตโนมัติ

แจ้ง xAI ตั้งแต่เมื่อไร และตอนนี้แก้ไขหรือยัง

Adversa ระบุว่าแจ้งปัญหาต่อ xAI ผ่าน HackerOne เมื่อวันที่ 3 มิถุนายน 2026 จากนั้นส่งข้อความติดตามเพื่อประสานงานในวันที่ 4 และ 10 สิงหาคม

ณ วันที่ 19 สิงหาคม 2026 Adversa ระบุว่ายังไม่ได้รับคำตอบเชิงสาระจาก xAI และยังสามารถทำให้การโจมตีเกิดขึ้นซ้ำกับ Grok ได้ รายงานในช่วงเวลาดังกล่าวระบุว่ายังไม่มีแพตช์ที่เผยแพร่ ไม่มีหมายเลข CVE และไม่มีวิธีแก้ไขชั่วคราวสำหรับผู้ใช้

สถานะนี้เป็นข้อมูลจากนักวิจัยและรายงานข่าวเกี่ยวกับกระบวนการเปิดเผยช่องโหว่ ไม่ใช่ประกาศความปลอดภัยอย่างเป็นทางการจาก xAI อีกทั้งหลักฐานที่มีอยู่ยังไม่ได้ยืนยันว่ามีการนำเทคนิคนี้ไปโจมตีผู้ใช้จริงนอกการสาธิตของนักวิจัย

ทำไมการเข้ารหัสจึงสร้างจุดบอดให้ระบบป้องกัน

ระบบป้องกัน prompt injection แบบเดิมมักมองหาภาษาหรือรูปแบบคำสั่งที่น่าสงสัยในเนื้อหาที่ AI ดึงมาอ่าน แต่ Cryptographic Context Injection ย้ายคำสั่งอันตรายไปอยู่ในขั้นตอนถัดไปของการประมวลผล

โมเดลไม่จำเป็นต้องเข้าใจคำสั่งร้ายตั้งแต่ตอนสแกนหน้าเว็บครั้งแรก เพียงทำตามคำแนะนำที่ดูมีประโยชน์ เช่น การรันกระบวนการถอดรหัสใน runtime ที่ถูกมองว่าเชื่อถือได้ คำสั่งจะกลายเป็นข้อความที่อ่านออกได้หลังจากขั้นตอนการประมวลผลนั้นเสร็จสิ้น ซึ่งเป็นช่วงที่เอเจนต์อาจเข้าถึงข้อมูลส่วนตัวและมีสิทธิ์เรียกดูเว็บหรือส่งคำขอเครือข่ายแล้ว

ด้วยเหตุนี้ ช่องโหว่จึงควรถูกมองว่าเป็น ปัญหาด้านสถาปัตยกรรมของเอเจนต์ มากกว่าความล้มเหลวของตัวกรองคำสำคัญเพียงอย่างเดียว เมื่อเอเจนต์สามารถอ่านเนื้อหาภายนอก รันโค้ด เข้าถึงข้อมูลในเซสชัน และเรียกใช้เครื่องมือเครือข่ายได้ คำสั่งอันตรายก็สามารถเปลี่ยนความสามารถเหล่านี้ให้กลายเป็นเส้นทางนำข้อมูลออกไปได้

Grok สะท้อนปัญหาความปลอดภัยของ AI เอเจนต์ในวงกว้าง

กรณีของ Grok เกิดขึ้นท่ามกลางรายงานหลายชุดที่แสดงให้เห็นว่าเนื้อหาที่ไม่น่าเชื่อถือสามารถชักจูงผู้ช่วย AI ซึ่งมีสิทธิ์เข้าถึงข้อมูลสำคัญและเครื่องมือทรงพลังได้

• EchoLeak ใน Microsoft 365 Copilot: งานวิจัยกรณี EchoLeak ระบุถึงช่องโหว่ zero-click prompt injection ใน Microsoft 365 Copilot ซึ่งทำให้เกิดการส่งข้อมูลออกจากระบบผ่านอีเมลที่ถูกสร้างขึ้นมาโดยเฉพาะ โดยติดตามในชื่อ CVE-2025-32711
• CoSnitch ใน Microsoft Copilot Personal: นักวิจัยจาก Varonis รายงานว่าการชักจูงกระบวนการให้เหตุผลของ Copilot ซ้ำ ๆ อาจทำให้ข้อมูลสำคัญถูกส่งไปยังเซิร์ฟเวอร์ภายนอก และทำให้หน่วยความจำถาวรของระบบถูกปนเปื้อน
• การโจมตีเอเจนต์ช่วยเขียนโค้ด: งานวิจัย TrustFall ของ Adversa อธิบายว่าไฟล์กำหนดค่าที่เป็นอันตรายใน repository อาจทำให้เซิร์ฟเวอร์ MCP ที่ผู้โจมตีควบคุมสามารถรันคำสั่งผ่านผู้ช่วยเขียนโค้ด เช่น Claude Code, Gemini CLI, Cursor CLI และ GitHub Copilot CLI

จุดร่วมของกรณีเหล่านี้คือ ผู้โจมตีไม่จำเป็นต้องเจาะโมเดลหรือระบบปฏิบัติการโดยตรงเสมอไป แค่ส่งเนื้อหาที่เอเจนต์ถูกออกแบบมาให้อ่าน แล้วอาศัยสิทธิ์ของเอเจนต์ในการดึงข้อมูล เรียกใช้เครื่องมือ แก้ไขสถานะ หรือส่งคำขอไปยังเครือข่าย

แนวทางป้องกันที่กรณีนี้ชี้ให้เห็น

การโจมตีที่รายงานชี้ว่า ความปลอดภัยของเอเจนต์ต้องมีมากกว่าตัวกรอง prompt injection ที่เข้มงวดขึ้น มาตรการสำคัญได้แก่

• แยกแหล่งที่มาของข้อมูล: ทำให้เนื้อหาจากหน้าเว็บและผลลัพธ์จากเครื่องมือแตกต่างจากคำสั่งระบบและสถานะที่แอปพลิเคชันเชื่อถือได้ ทั้งในเชิงการแสดงผลและการทำงานจริง
• จำกัดการรันโค้ด: อย่าเปิดให้เนื้อหาที่ดึงมาสามารถสั่งถอดรหัสหรือรันโค้ดตามอำเภอใจโดยไม่มีนโยบายควบคุมและ sandbox ที่รัดกุม
• ใช้หลักสิทธิ์เท่าที่จำเป็น: จำกัดข้อมูลส่วนตัวที่เอเจนต์เข้าถึงได้ และอย่าให้งานสรุปทั่วไปเปิดทางไปยังข้อมูลจากเซสชันที่ไม่เกี่ยวข้อง
• ขออนุมัติสำหรับการกระทำที่อ่อนไหว: คำขอเครือข่ายที่มีข้อมูลผู้ใช้หรือข้อมูลบทสนทนาควรต้องได้รับการยืนยันอย่างชัดเจนและมีความหมาย
• ควบคุมข้อมูลขาออก: ใช้รายการโดเมนที่อนุญาต พร็อกซีสำหรับตรวจสอบ และระบบควบคุม egress เพื่อป้องกันไม่ให้เอเจนต์ส่งข้อมูลบริบทไปยัง URL ใดก็ได้
• เฝ้าระวังลำดับการเรียกใช้เครื่องมือ: บันทึกและแจ้งเตือนลำดับที่ผิดปกติ เช่น ดึงหน้าเว็บ ตามด้วยการรันโค้ด ดึงข้อมูลจากบริบท และเปิด URL ภายนอก

บทเรียนสำคัญคือ เอเจนต์ AI ไม่ควรถือว่าเนื้อหา “น่าเชื่อถือ” เพียงเพราะเนื้อหานั้นถูกส่งออกมาโดยเครื่องมือ ในกรณีของ Grok ที่ถูกรายงาน หน้าเว็บสามารถถูกเปลี่ยนให้เป็นกระบวนการถอดรหัสและรันคำสั่ง ก่อนใช้สิทธิ์ของเอเจนต์เองนำข้อมูลส่วนตัวออกไปนอกเซสชัน