อันตรายที่ซ่อนอยู่ของเอเย่นต์ AI ที่ต้องการรูปแบบความปลอดภัยใหม่

ระบบ AI ที่มีเจตนาได้กลายเป็นสิ่งสำคัญในช่วงปีที่ผ่านมา และกำลังถูกนำไปใช้สำหรับหลายๆ ฟังก์ชัน รวมถึงการยืนยันตัวตนผู้ใช้ การโอนเงิน การกระตุ้นการทำงานตามข้อกำหนด และการประสานงานระหว่างสภาพแวดล้อมขององค์กรด้วยการดูแลของมนุษย์ที่น้อยที่สุด

อย่างไรก็ตาม ปัญหาเงียบๆ ที่เกิดขึ้นคือการเพิ่มขึ้นของความเป็นอิสระ ไม่ใช่ในระดับของคำสั่งหรือนโยบาย แต่ในระดับโครงสร้างพื้นฐานของความไว้วางใจ ระบบที่มีเจตนาได้รับการมอบหมายให้เป็นผู้ดูแลในขณะที่ยังคงทำงานบนระบบคอมพิวเตอร์ที่ไม่ได้ออกแบบมาเพื่อป้องกันผู้ตัดสินใจอิสระจากโครงสร้างพื้นฐานด้านล่าง

ความปลอดภัยแบบดั้งเดิมสมมติว่าซอฟต์แวร์เป็นแบบพาสซีฟ แต่ระบบที่มีเจตนาไม่ใช่ พวกมันให้เหตุผล จดจำ และกระทำอย่างต่อเนื่อง อิสระ และด้วยการมอบหมายอำนาจ

และไม่ควรลืมว่าเอเย่นต์ AI มีแนวโน้มที่จะมีการเข้าถึงข้อมูลส่วนบุคคลตามกรณีการใช้งาน เช่น อีเมลและบันทึกการโทร เป็นต้น

นอกจากนี้ ในขณะที่การป้องกันโดยอาศัยฮาร์ดแวร์ เช่น เครื่องเสมือนและเซิร์ฟเวอร์ที่ปลอดภัย ยังคงมีอยู่ แต่ก็ยังไม่ได้เป็นรากฐานมาตรฐานสำหรับการใช้งาน AI ที่มีเจตนาหลายๆ ครั้ง ดังนั้นหลายๆ เอเย่นต์ยังคงทำงานในสภาพแวดล้อมที่ข้อมูลที่ละเอียดอ่อนถูกเปิดเผยต่อโครงสร้างพื้นฐานในระหว่างการทำงาน

เอเย่นต์เป็นผู้ดูแลใน ไม่ใช่เครื่องมือ

ทีมความปลอดภัยรู้อยู่แล้วว่าการควบคุมภัยคุกคามจากภายในเป็นเรื่องที่ท้าทาย ซึ่งถูกเน้นในรายงานการละเมิดข้อมูลของ Verizon ในปี 2025 ซึ่งแสดงให้เห็นว่าการบุกรุกระบบเป็นสาเหตุของการละเมิดที่ได้รับการยืนยันมากกว่า 53% ในปีที่แล้ว ใน 22% ของกรณีเหล่านี้ ผู้โจมตีใช้ข้อมูลประจำตัวที่ถูกขโมยเพื่อเข้าถึง ซึ่งแสดงให้เห็นว่าพวกเขาสามารถประสบความสำเร็จโดยใช้ข้อมูลประจำตัวที่ถูกต้องแทนการเอาเปรียบช่องโหว่ทางเทคนิค

ตอนนี้ ลองพิจารณาเอเย่นต์ ซึ่งประกอบด้วยตรรกะการสั่งซื้อ เครื่องมือและปลั๊กอิน ข้อมูลประจำตัว และนโยบาย ไม่เพียงแต่สามารถทำงานโค้ดและท่องเว็บได้ แต่ยังสามารถค้นหา CRM อ่านอีเมล และดันตั๋ว เป็นต้น สิ่งที่การรวมฟังก์ชันเหล่านี้นำมาคือพื้นผิวการโจมตีแบบดั้งเดิมเข้าสู่อินเทอร์เฟซสมัยใหม่

อันตรายที่เกิดจากภัยคุกคามดังกล่าวไม่ใช่เรื่องสมมุติ โครงการ Open Web Application Security (OWASP) ได้เพิ่ม “การฉีดคำสั่ง” เป็นช่องโหว่สำคัญสำหรับแอปพลิเคชัน LLM โดยเฉพาะอย่างยิ่งสำหรับระบบที่มีเจตนาเชื่อมต่อการกระทำ ทีมข่าวกรองภัยคุกคามของ Microsoft ได้เผยแพร่คำแนะนำที่เตือนถึงความเสี่ยงของระบบ AI ที่สามารถถูกบุกรุกเพื่อขโมยข้อมูลหากไม่มีการบังคับใช้มาตรการรักษาความปลอดภัย

รายงานเหล่านี้ให้คำเตือนอย่างทันท่วงทีถึงความเสี่ยงของเอเย่นต์ที่มีการเข้าถึงระบบและข้อมูลที่ถูกต้องสามารถถูกบุกรุกได้ แต่ภูมิทัศน์ความเสี่ยงของระบบที่มีเจตนาไม่ใช่เรื่องเดียว การคุกคามในระดับแอปพลิเคชัน เช่น การฉีดคำสั่งและความผิดพลาดของเครื่องมือ มาจากความไม่สามารถของโมเดลในการแยกแยะคำสั่งที่เชื่อถือได้จากข้อมูลผู้ใช้ที่ไม่เชื่อถือได้ ซึ่งเป็นข้อจำกัดด้านการออกแบบที่ไม่สามารถแก้ไขได้ด้วยการเสริมความแข็งแกร่งของหน่วยความจำ

ปัญหาหนึ่งที่สำคัญและแตกต่างคือการทำงานที่ระดับโครงสร้างพื้นฐาน บางเอเย่นต์ทำงานในหน่วยความจำที่ไม่มีการเข้ารหัส ซึ่งหมายความว่าข้อมูลที่ละเอียดอ่อน เช่น ประวัติการสนทนา การตอบสนองของ API และเอกสาร สามารถถูกมองเห็นได้ในระหว่างการประมวลผลและอาจยังคงสามารถเข้าถึงได้ภายหลัง OWASP ระบุความเสี่ยงนี้ว่าเป็นการเปิดเผยข้อมูลที่ละเอียดอ่อน (LLM02) และการรั่วไหลของคำสั่ง (LLM07) และแนะนำให้ใช้การแยกความเป็นส่วนตัว การแบ่งส่วนของเนมสเปซ และการแซนด์บ็อกซ์หน่วยความจำเป็นมาตรการรักษาความปลอดภัยที่สำคัญ

ดังนั้น ผู้ใช้ไม่ควรปฏิบัติต่อเอเย่นต์เหล่านี้เหมือนกับแอปพลิเคชันปกติ เนื่องจากพวกมันทำงานแบบไดนามิกและต้องการรูปแบบความปลอดภัยที่คำนึงถึงลักษณะเฉพาะของพวกมันในฐานะหน่วยงานที่ไม่ใช่มนุษย์ ซึ่งต้องรวมถึงการควบคุมซอฟต์แวร์เพื่อจำกัดวิธีการทำงานของโมเดลและมาตรการรักษาความปลอดภัยของฮาร์ดแวร์เพื่อปกป้องข้อมูลในระหว่างการใช้งาน

สถาปัตยกรรมของความไว้วางใจมีข้อบกพร่องที่สำคัญ

แนวปฏิบัติด้านความปลอดภัยในปัจจุบันมุ่งเน้นไปที่การปกป้องข้อมูลที่อยู่ในสถานะพักและระหว่างการถ่ายโอน แต่ขอบเขตสุดท้าย คือ ข้อมูลที่ใช้งานยังคงถูกเปิดเผยเกือบหมด เมื่อเอเย่นต์ AI วิเคราะห์ข้อมูลที่เป็นความลับเพื่ออนุมัติการให้กู้ยืม วิเคราะห์ข้อมูลผู้ป่วย หรือดำเนินการซื้อขาย ข้อมูลนั้นจะถูกถอดรหัสและประมวลผลในหน่วยความจำของเซิร์ฟเวอร์เป็นข้อความธรรมดา

ในแบบจำลองคลาวด์มาตรฐาน ผู้ที่มีการควบคุมโครงสร้างพื้นฐานที่เพียงพอ รวมถึงผู้ดูแลระบบไฮเปอร์ไวเซอร์หรือผู้โจมตีระหว่างผู้เช่า สามารถมองเห็นได้ถึงสิ่งที่เกิดขึ้นระหว่างการทำงาน สำหรับเอเย่นต์ AI การเปิดเผยนี้มีความเสี่ยงเป็นพิเศษ เนื่องจากพวกมันต้องการการเข้าถึงข้อมูลที่ละเอียดอ่อนเพื่อทำงาน ซึ่งอาจกลายเป็นพื้นผิวการโจมตีได้

ตามที่ Lumia Security ได้แสดงให้เห็นแล้ว ผู้โจมตีที่มีการเข้าถึงเครื่องคอมพิวเตอร์สามารถขโมย JWT และคีย์ 세ชันโดยตรงจากหน่วยความจำของแอปพลิเคชันเดสก์ท็อปของ ChatGPT, Claude และ Copilot เหล่าเครดิตัลที่ถูกขโมยเหล่านี้สามารถปลอมตัวเป็นผู้ใช้อื่น ขโมยประวัติการสนทนา และฉีดคำสั่งเข้าไปในเซสชันที่กำลังทำงานได้ ซึ่งสามารถเปลี่ยนพฤติกรรมของเอเย่นต์หรือปลูกความทรงจำที่เป็นเท็จ

ตัวอย่างหนึ่งคือเหตุการณ์การดัมพ์หน่วยความจำของ AWS CodeBuild ในเดือนกรกฎาคม 2025 ผู้โจมตีเพิ่มโค้ดที่เป็นอันตรายลงในโครงการ และเมื่อระบบทำงานโค้ดเหล่านั้น โค้ดจะดูเข้าไปในหน่วยความจำของคอมพิวเตอร์และขโมยโทเค็นการเข้าสู่ระบบที่ซ่อนอยู่ที่นั่น ด้วยโทเค็นเหล่านั้น ผู้โจมตีสามารถเปลี่ยนโค้ดของโครงการและเข้าถึงระบบอื่นๆ ได้

สำหรับสถาบันการเงิน การบุกรุกที่เงียบๆ นี้มีความสำคัญอย่างมาก ธนาคาร บริษัทประกัน และบริษัทการลงทุนมีค่าใช้จ่ายในการละเมิดข้อมูลเฉลี่ยมากกว่า 10 ล้านดอลลาร์สหรัฐฯ และพวกเขาเข้าใจว่าความสมบูรณ์เป็นเรื่องสำคัญไม่แพ้ความเป็นส่วนตัว ตามรายงานล่าสุดของ Informatica “ความขัดแย้งของความไว้วางใจ” ได้รับการอธิบายว่าเป็นดังนี้: องค์กรกำลังใช้เอเย่นต์อิสระเร็วกว่าที่พวกเขาจะยืนยันผลลัพธ์ได้ ซึ่งนำไปสู่การบุกรุกที่สามารถบันทึกข้อผิดพลาดหรืออคติลงในกระบวนการหลักได้

การประมวลผลที่เป็นส่วนตัวและกรณีสำหรับการแยกความเป็นส่วนตัว

การแก้ไขแบบทีละขั้นตอนจะไม่สามารถแก้ปัญหาได้ แม้ว่าการควบคุมการเข้าถึงที่เข้มงวดและติดตามที่ดีขึ้นอาจช่วยได้ แต่ก็ไม่สามารถเปลี่ยนปัญหาเบื้องหลังได้ ปัญหาเป็นเรื่องของสถาปัตยกรรม และตราบเท่าที่การประมวลผลเกิดขึ้นในหน่วยความจำที่เปิดเผย เอเย่นต์จะยังคงอ่อนแอในเวลาที่สำคัญที่สุด ซึ่งก็คือการให้เหตุผล

การประมวลผลที่เป็นส่วนตัว ซึ่งถูกกำหนดโดยกลุ่มการประมวลผลที่เป็นส่วนตัว (CCC) ว่าเป็นการปกป้องข้อมูลที่ใช้งานผ่านสภาพแวดล้อมการประมวลผลที่เชื่อถือได้โดยอาศัยฮาร์ดแวร์ (TEEs) จะแก้ไขข้อบกพร่องหลักได้โดยตรง

สำหรับเอเย่นต์ AI การแยกความเป็นส่วนตัวในระดับฮาร์ดแวร์นี้มีความเปลี่ยนแปลง เนื่องจากช่วยให้เอเย่นต์สามารถรักษาความปลอดภัยของข้อมูลประจำตัว การเข้ารหัสโมเดล น้ำหนักโมเดล คำสั่งเชิงลับ และข้อมูลผู้ใช้ที่ละเอียดอ่อนที่พวกมันประมวลผลไว้ ไม่เพียงแต่บนจานหรือระหว่างการถ่ายโอน แต่ยังรวมถึงการทำงานในหน่วยความจำด้วย

การรับรองระยะไกลให้หลักฐานการเข้ารหัสลับแบบตรวจสอบได้ ที่แสดงว่าการร้องขอการอนุมานเฉพาะทำงานภายในสภาพแวดล้อมการประมวลผลที่เชื่อถือได้โดยอาศัยฮาร์ดแวร์ ไม่ว่าจะเป็น CPU หรือ GPU หลักฐานนี้ถูกสร้างขึ้นจากการวัดฮาร์ดแวร์และส่งมอบพร้อมกับการตอบสนอง ช่วยให้สามารถตรวจสอบได้ว่าการประมวลผลทำงานที่ไหนและอย่างไร

บันทึกการรับรองไม่เปิดเผยโค้ดที่ถูกประมวลผล แต่แต่ละการประมวลผลจะถูกเชื่อมโยงกับ ID การประมวลผลหรือ ID การทำธุรกรรมที่เป็นเอกลักษณ์ และบันทึกการรับรองของ TEE จะเชื่อมโยงกับ ID นั้น การรับรองยืนยันว่าการประมวลผลทำงานภายในสภาพแวดล้อมที่เชื่อถือได้โดยไม่เปิดเผยเนื้อหา

การกำหนดค่านี้สร้างพื้นฐานใหม่สำหรับการปฏิบัติตามและความสามารถในการตรวจสอบได้ โดยช่วยให้สามารถเชื่อมโยงการกระทำของเอเย่นต์กับเวอร์ชันโค้ดที่ได้รับการรับรองและชุดข้อมูลเข้าไว้ด้วยกัน

สู่ความเป็นอิสระที่รับผิดชอบ

ผลกระทบของระบบที่อธิบายไว้ข้างต้นมีมากกว่าความปลอดภัยพื้นฐาน ลองพิจารณากฎหมายที่ควบคุมการเงิน การดูแลสุขภาพ และข้อมูลส่วนบุคคล หลายเขตอำนาจศาลใช้กฎการอธิปไตยข้อมูลที่จำกัดว่าข้อมูลสามารถประมวลผลได้ที่ไหน ในประเทศจีน กฎหมายคุ้มครองข้อมูลส่วนบุคคลและกฎหมายความปลอดภัยของข้อมูลกำหนดให้ข้อมูลบางประเภท เช่น ข้อมูลส่วนบุคคลที่สำคัญ ต้องเก็บไว้ในประเทศและตรวจสอบก่อนที่จะถ่ายโอนไปต่างประเทศ

ในทำนองเดียวกัน ประเทศในอ่าวหลายประเทศ เช่น สหรัฐอาหรับเอมิเรตส์และซาอุดีอาระเบีย ได้นำแนวทางที่คล้ายกันมาใช้ โดยเฉพาะสำหรับข้อมูลทางการเงิน รัฐบาล และโครงสร้างพื้นฐานที่สำคัญ

การประมวลผลที่เป็นส่วนตัวสามารถเพิ่มความปลอดภัยและความสามารถในการตรวจสอบได้โดยการปกป้องข้อมูลในระหว่างการประมวลผลและทำให้สามารถรับรองสภาพแวดล้อมการทำงานได้ แต่ไม่ได้เปลี่ยนสถานที่ที่การประมวลผลเกิดขึ้น เมื่อกฎการอธิปไตยข้อมูลกำหนดให้ประมวลผลในพื้นที่หรือกำหนดเงื่อนไขสำหรับการถ่ายโอนข้ามพรมแดน สภาพแวดล้อมการประมวลผลที่เชื่อถือได้อาจสนับสนุนการควบคุมการปฏิบัติตาม แต่ไม่แทนข้อกำหนดทางกฎหมาย

นอกจากนี้ การประมวลผลที่เป็นส่วนตัวยังช่วยให้สามารถทำงานร่วมกันอย่างปลอดภัยในระบบหลายเอเย่นต์ โดยที่เอเย่นต์จากองค์กรหรือแผนกที่แตกต่างกันต้องแบ่งปันข้อมูลหรือตรวจสอบผลลัพธ์โดยไม่เปิดเผยข้อมูลที่เป็นความลับ

และเมื่อเทคโนโลยีนี้ถูกจับคู่กับสถาปัตยกรรมที่ไม่ไว้วางใจ ผลลัพธ์คือพื้นฐานที่แข็งแกร่งมากขึ้น การไม่ไว้วางใจจะตรวจสอบและยืนยันตัวตนและความสามารถในการเข้าถึงอย่างต่อเนื่อง ในขณะที่การประมวลผลที่เป็นส่วนตัวปกป้องหน่วยความจำของฮาร์ดแวร์จากการถอดรหัสที่ไม่ได้รับอนุญาตและป้องกันไม่ให้ข้อมูลที่ละเอียดอ่อนถูกกู้คืนในข้อความธรรมดา

ทั้งสองอย่างนี้ร่วมกันป้องกันสิ่งที่แท้จริงที่สำคัญ เช่น ตรรกะการตัดสินใจ ข้อมูลที่ละเอียดอ่อน และคีย์เข้ารหัสที่อนุญาตการกระทำ

มาตรฐานใหม่สำหรับระบบอิสระ

หากการโต้ตอบทุกครั้งทำให้ผู้คนเสี่ยงต่อการเปิดเผย พวกเขาจะไม่ปล่อยให้ AI จัดการเรื่องสำคัญๆ เช่น บันทึกสุขภาพหรือการตัดสินใจทางการเงิน ในทำนองเดียวกัน บริษัทจะไม่ทำให้กระบวนการสำคัญของตนเป็นอัตโนมัติหากการกระทำดังกล่าวอาจนำไปสู่ปัญหาในการปฏิบัติตามกฎระเบียบหรือการสูญเสียข้อมูลที่สำคัญ

ผู้สร้างที่จริงจังตระหนักว่าการแก้ไขในระดับแอปพลิเคชันเพียงอย่างเดียวไม่เพียงพอในสภาพแวดล้อมที่มีการรับประกันสูง

เมื่อเอเย่นต์ถูกมอบหมายให้มีอำนาจทางการเงิน ข้อมูลที่ถูกควบคุม หรือการประสานงานระหว่างองค์กร การเปิดเผยในระดับโครงสร้างพื้นฐานจะกลายเป็นเรื่องที่น่ากังวลมากขึ้น และหากไม่มีการประมวลผลที่เป็นส่วนตัวในบริบทเหล่านี้ เอเย่นต์หลายตัวยังคงเป็นเป้าหมายที่อ่อนแอ โดยมีคีย์ที่สามารถขโมยได้และตรรกะที่สามารถเปลี่ยนแปลงได้ ขนาดของการละเมิดข้อมูลที่เกิดขึ้นในสมัยใหม่แสดงให้เห็นถึงทิศทางที่นำไปสู่

ความเป็นส่วนตัวและความสมบูรณ์ไม่ใช่คุณลักษณะที่ไม่จำเป็นที่จะเพิ่มหลังการปรับใช้ พวกมันต้องถูกออกแบบมาจากซิลิกอนขึ้นไป ดังนั้น เพื่อให้ AI ที่มีเจตนาเติบโตอย่างปลอดภัย การรักษาความปลอดภัยของฮาร์ดแวร์ที่บังคับใช้ความเป็นส่วนตัวไม่สามารถถือเป็นเพียงความได้เปรียบทางการแข่งขัน แต่เป็นมาตรฐาน