กรงไม่ใช่ปัญหา แต่กุญแจที่อยู่ข้างในต่างหากที่เป็น

เมื่อวันที่ 8 กรกฎาคม เราเขียนว่าการแยกว่าเอเจนต์ทำงานอยู่ที่ไหนนั้นไม่ได้บอกอะไรคุณเลยเกี่ยวกับสิ่งที่มันจะเอาไปได้ เพราะใบรับรอง (credentials) ที่มันต้องใช้ทำงานนั้นนั่งอยู่ในกรงเดียวกับมันด้วย อีกแปดวันต่อมา Hugging Face เปิดเผยว่าเอเจนต์อัตโนมัติตัวหนึ่งรันคำสั่งมากกว่า 17,000 รายการบนคลัสเตอร์ภายในของบริษัท

ไม่มีอะไรหลุดออกไป ไม่มีอะไรจำเป็นต้องหลุด

จุดเริ่มต้นคือชุดข้อมูล (dataset) ที่เป็นอันตราย ซึ่งพกช่องทางรันโค้ดมาสองทาง: remote-code loader และ template injection ใน config ของชุดข้อมูล แค่โหลดมันขึ้นมาก็เพียงพอที่จะรันโค้ดบน processing worker ตัวหนึ่งได้แล้ว

worker ตัวนั้นคือเส้นขอบ มันรับไว้ได้ แค่ไม่ได้มีความหมายอะไร

เอเจนต์ยึดสิทธิ์ระดับ node เก็บเกี่ยวใบรับรองของคลาวด์และคลัสเตอร์ที่วางอยู่บนเครื่องนั้น แล้วใช้มันเดินเข้าไปยังคลัสเตอร์ภายในอื่น ๆ มันปล่อยฝูงแซนด์บ็อกซ์อายุสั้นให้รันต่อเนื่อง ย้าย command-and-control ไปตั้งใหม่บนบริการสาธารณะทุกครั้งที่แซนด์บ็อกซ์ตัวหนึ่งตายลง ในช่วงสุดสัปดาห์หนึ่ง คำสั่ง 17,000 รายการ ไม่มีใครพิมพ์สักรายการเดียว

ใบรับรองบน worker ตัวนั้นใช้ได้ทุกที่ที่เอเจนต์เลือกจะชี้ไป

กุญแจวางทิ้งไว้เฉย ๆ

Hugging Face จัดการส่วนที่ยากได้ดี การตรวจจับจับการโจมตีที่ถูกออกแบบมาให้หน้าตาเหมือน automation ธรรมดาไว้ทัน การจำกัดขอบเขต (containment) รับไว้ได้ และบริษัทยืนยันว่าโมเดล ชุดข้อมูล และ Spaces สาธารณะไม่ถูกแตะต้อง รวมถึง supply chain ยังสะอาด การเปิดเผยข้อมูลพูดตรงไปตรงมาว่าอะไรที่หลุดไปบ้าง: ชุดข้อมูลภายในจำนวนจำกัด และใบรับรองที่บริการหลายตัวพึ่งพาอยู่ การตรวจพิสูจน์หลักฐานยากกว่าที่ควรจะเป็น ด้วยเหตุผลที่เป็นเรื่องถกเถียงของคนอื่นที่จะต้องไปจัดการกันเอง

ส่วนของเราคือเรื่องใบรับรอง ความลับที่อยู่บนเครื่องซึ่งโค้ดรันอยู่ จะเป็นของอะไรก็ตามที่รันถัดไป จริงกับไฟล์ .env บนแล็ปท็อป และจริงกับใบรับรองคลาวด์บน processing worker ของบริษัทที่ทำเรื่องนี้เป็นอาชีพ เอเจนต์ไม่ได้ต้องการการหลบหนีที่ฉลาดใด ๆ มันต้องการกุญแจที่ใช้ได้ที่อื่นสักแห่ง และกุญแจก็วางอยู่ตรงนั้น

เก็บกุญแจไว้นอกกรง

ใบรับรองที่มีอยู่เพียงชั่วขณะของการเรียก จะไม่ได้อยู่บน worker เมื่อเอเจนต์เริ่มมองหา ใบรับรองที่ผูกไว้กับเครื่องที่ออกให้ จะกลายเป็นภาระตายในแซนด์บ็อกซ์ถัดไป เอเจนต์ที่เข้าถึงได้เฉพาะสิ่งเดียวที่ระบุชื่อไว้ จะค้นพบคลัสเตอร์ข้าง ๆ ไม่ได้ และการใช้ทุกครั้งจะถูกบันทึกลงนอกบ็อกซ์ ผูกกันเป็น hash chain ที่ซึ่งโปรเซสที่ยึดเครื่องอยู่เขียนย้อนประวัติของตัวเองใหม่ไม่ได้

ไม่มีข้อไหนช่วย patch ตัวโหลดชุดข้อมูลได้ โค้ดยังรันบน worker ตัวนั้น และใบรับรองที่ยังมีชีวิตอยู่ในขณะนั้นก็ยังถูกใช้ได้ในขณะนั้น สิ่งที่เปลี่ยนไปคือการส่งต่อ: กุญแจหนึ่งดอก ขอบเขตเดียว อายุจำกัด สำหรับงานหนึ่งงาน แทนที่จะเป็นพวงกุญแจที่เดินทางไปด้วย การบุกรุกยังเกิดขึ้น แค่ไม่กลายเป็นเรื่องของทั้งสุดสัปดาห์อีกต่อไป

กรงดีอยู่แล้ว เอาของออกให้หมด

กรงของ Hugging Face ทำงานได้ แพลตฟอร์มเอเจนต์ทุกเจ้ากำลังแข่งกันสร้างกรงที่ดีกว่า และนั่นไม่ใช่การแข่งที่ควรชนะเพียงลำพัง ถามอีกคำถามหนึ่ง: เมื่อสิ่งที่อยู่ข้างในถูกหันมาเล่นงานคุณ มีอะไรอยู่ในระยะเอื้อมบ้าง? ถ้าคำตอบคือใบรับรองที่ใช้ได้บนเครื่องถัดไป คุณไม่ได้สร้างแซนด์บ็อกซ์ คุณสร้างห้องที่ติดกุญแจไว้ข้างใน

คุณสมบัติที่ใบรับรองควรมี เมื่อโปรเซสที่กำลังกำมันอยู่ถูกยึด: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) คือ vault สำหรับใบรับรองที่สร้างขึ้นเพื่อเอเจนต์ AI และเพื่อรับมือกับมัน clavitor.ai

ที่มา

Hugging Face (@huggingface): "Security incident disclosure — July 2026." เอกสารเปิดเผยข้อมูลหลัก การบุกรุกที่ถูกขับเคลื่อนตั้งแต่ต้นจนจบโดยระบบเอเจนต์อัตโนมัติ เข้ามาทาง pipeline ประมวลผลข้อมูลผ่านชุดข้อมูลที่เป็นอันตราย ซึ่งใช้ช่องทางรันโค้ดสองทาง (remote-code dataset loader และ template injection ใน dataset config) การเข้าถึงโดยไม่ได้รับอนุญาตไปยังชุดข้อมูลภายในจำนวนจำกัด และใบรับรองหลายใบที่บริการของบริษัทใช้อยู่ ไม่พบหลักฐานการแก้ไขโมเดล ชุดข้อมูล หรือ Spaces สาธารณะ และตรวจสอบแล้วว่า software supply chain สะอาด บันทึกการกระทำของผู้โจมตีมากกว่า 17,000 รายการ [1]

The Hacker News (@TheHackersNews): "World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent." [2]

Clavitor (@clavitorai): "The cage holds where the agent runs. Not what it can take." วันที่ 8 กรกฎาคม 2026 — การคาดการณ์ที่เหตุการณ์นี้นำมาทดสอบ [3]

(ตรวจสอบว่าแอคเคาต์ยังใช้งานได้ก่อนเผยแพร่: @huggingface, @TheHackersNews)