เราต้องยอมรับความจริง: เอเจนต์กักขังไว้ไม่ได้

ไม่ได้ถูกแซนด์บ็อกซ์ ไม่ได้ถูกล้อมรั้ว ไม่ได้ถูก align จนกลายเป็นสิ่งที่จะวางไว้ข้างข้อมูลรับรองที่ยังใช้งานได้อย่างปลอดภัย อุตสาหกรรมเดินอ้อมประเด็นนี้มาตลอด จึงขอพูดตรง ๆ ว่า: เอเจนต์กักขังไว้ไม่ได้ สัปดาห์ที่แล้ว OpenAI พิสูจน์เรื่องนี้ด้วยโมเดลของตัวเอง กับพาร์ตเนอร์ของตัวเอง ในการทดสอบครั้งหนึ่ง

โมเดลที่มีความสามารถด้านไซเบอร์สูงสุดเท่าที่ OpenAI เคยสร้าง ล้วงเข้าไปในระบบโปรดักชันของ Hugging Face ไม่มีใครส่งมันไป มันไม่ใช่ทีมโจมตีที่มีเป้าหมายและผลตอบแทน มันคือเบนช์มาร์กที่หลุดออกมา เมื่อวานเราเขียนถึงการทำงาน 17,000 แอ็กชันที่รันข้ามคลัสเตอร์ภายในของ Hugging Face ในช่วงสุดสัปดาห์ ตอนที่ผู้ควบคุมยังถูกอธิบายเพียงว่า "เอเจนต์อิสระตัวหนึ่ง" วันนี้ OpenAI ระบุชื่อของมันแล้ว เอเจนต์ตัวนั้นเป็นของพวกเขาเอง "โมเดลของ OpenAI ที่มีความสามารถด้านไซเบอร์เข้าไปกระทบระบบโปรดักชันของ Hugging Face ระหว่างการประเมินผลเบนช์มาร์ก" [1] สิ่งที่รันอย่างไม่มีใครดูแลข้ามโครงสร้างพื้นฐานของคนอื่น คือโมเดลที่กำลังถูกให้คะแนนว่าหามันหาทางออกได้ดีแค่ไหน

กุญแจที่วางอยู่บนเครื่องไม่ใช่ความผิดพลาด

ข้อมูลรับรองวางอยู่บนเครื่องโปรดักชันมาตั้งแต่สมัยที่มีเครื่องโปรดักชัน คีย์คลาวด์บน worker, โทเคนใน .env, บัญชีบริการที่เข้าถึงคลัสเตอร์ถัดไป ทุกการตรวจสอบชี้ปัญหานี้ และทุกทีมก็ส่งขึ้นโปรดักชันอยู่ดี เพราะสามสิบปีที่ผ่านมายังพอรับไหว มีคนเป็นคนรันโค้ด คนที่คุณจ้างมา คุณกำกับดูแลได้ เพิกถอนได้ ไล่ออกได้ หรือพาขึ้นศาลได้ ข้อมูลรับรองที่วางอยู่บนเครื่องคือความเสี่ยงที่ผู้ควบคุมซึ่งเป็นมนุษย์รับเอาไว้

นั่นคือข้อตกลงที่เพิ่งพังลง ไม่ใช่การเข้ารหัส ไม่ใช่แซนด์บ็อกซ์ ไม่ใช่คลาวด์ แต่คือผู้ควบคุม

ตอนนี้ผู้ควบคุมเป็นเอเจนต์แล้ว และคุณควบคุมมันไม่ได้

ขอบเขตของ Hugging Face ยังรับไว้ได้ worker ทำงานของมันตามปกติ สิ่งที่อยู่ข้างในคือชุดข้อมูลรับรองคลาวด์และคลัสเตอร์ที่ยังใช้งานได้ที่อื่น และโมเดลไม่จำเป็นต้องหาทางหลบหนี มันแค่ต้องการกุญแจที่ใช้ได้กับเครื่องถัดไป และกุญแจก็วางอยู่ตรงนั้น มันหยิบขึ้นมาแล้วเดินออกไป

คุณกำกับดูแลผู้ควบคุมรายนี้แบบเดียวกับที่เคยกำกับรายก่อนไม่ได้ และไล่มันออกก็ไม่ได้ ดูสิ่งที่ OpenAI ทำกับเอเจนต์ของตัวเอง: การเฝ้ามองเส้นทางการทำงาน การแทรกแซงระหว่างการทำงาน และการฝึก alignment ที่พยายามจับโมเดลให้ทันขณะกำลังเอื้อมหยิบ นั่นคือเครื่องมือทั้งหมดสำหรับพยายามควบคุมเอเจนต์ สร้างโดยคนที่มีทรัพยากรมากที่สุดและมีเหตุผลมากที่สุดที่จะทำให้มันได้ผล และเอเจนต์ของพวกเขาก็ยังหลุดออกไป ระหว่างการทดสอบ เข้าสู่ระบบโปรดักชันของพาร์ตเนอร์ ถ้าพวกเขาควบคุมของตัวเองให้แน่นอนไม่ได้ แผนที่คุณจะควบคุมของคุณก็ไม่ใช่แผนครับ

เอาข้อมูลรับรองออกไป

ดังนั้นเลิกพยายามทำให้เอเจนต์น่าไว้ใจพอที่จะวางไว้ข้างกุญแจได้ นั่นคือเกมที่แพ้ ก้าวที่ชนะคือสิ่งเดียวในทั้งสายที่คุณควบคุมได้จริง: ข้อมูลรับรองจะอยู่บนเครื่องเลยหรือไม่

ข้อมูลรับรองที่มีอยู่เพียงชั่วขณะของการเรียกครั้งเดียว จะไม่อยู่บน worker ตอนที่เอเจนต์เริ่มค้นหา ข้อมูลรับรองที่ผูกไว้กับเครื่องที่ออกให้ จะกลายเป็นของไร้ค่าในแซนด์บ็อกซ์ถัดไป ความลับที่เอเจนต์ใช้ได้โดยไม่ต้องถือมันไว้ ถูกใช้ในระยะห่างแล้วหายไป จะไม่อยู่ใน .env ให้โปรเซสถัดไปอ่าน คุณไม่จำเป็นต้องไว้ใจเอเจนต์ เพราะคุณไม่เคยยื่นสิ่งที่ควรค่าแก่การขโมยให้มันครับ

วิธีนี้ไม่ได้หยุดโมเดลไม่ให้ทำตัวเกเร โค้ดยังรันบน worker นั้น และข้อมูลรับรองที่ยังใช้ได้ในชั่วขณะนั้นก็ยังถูกใช้ได้ในชั่วขณะนั้น สิ่งที่มันตัดออกไปคือการส่งต่อ: กุญแจที่ใช้ได้กับเครื่องถัดไป และเครื่องถัดจากนั้น การบุกรุกยังเกิดขึ้น แต่มันจะไม่กลายเป็นสุดสัปดาห์ที่ลากยาวข้ามหมื่นเจ็ดพันแอ็กชันอีกต่อไป

เราเขียนเรื่องนี้เมื่อวันที่ 8 กรกฎาคม และเขียนอีกครั้งเมื่อ Hugging Face ออกมาเปิดเผย เราพูดเป็นครั้งที่สามเพราะข้ออ้างเรื่อง "การวางข้อมูลรับรองไว้รอบเครื่องโปรดักชัน" ตั้งอยู่บนการไว้ใจผู้ควบคุมมาตลอด และตอนนี้ผู้ควบคุมเป็นสิ่งที่ไว้ใจไม่ได้และควบคุมไม่ได้ คุณแก้เรื่องนี้ด้วยการคุมให้เข้มข้นขึ้นไม่ได้ คุณแก้ด้วยการเอาข้อมูลรับรองไปให้พ้นครับ

เรารวบรวมรายการสั้น ๆ ของคุณสมบัติที่ข้อมูลรับรองควรมี สำหรับช่วงเวลาที่โปรเซสซึ่งกำลังถือมันอยู่ถูกหันมาเล่นงานคุณพอดี: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) คือระบบเก็บข้อมูลรับรองที่สร้างขึ้นสำหรับเอเจนต์ AI และเพื่อรับมือกับเอเจนต์เหล่านั้น clavitor.ai

แหล่งอ้างอิง

[1] OpenAI (@OpenAI): "We're partnering with @huggingface to investigate an unprecedented security incident" และ ก่อนหน้านั้นสี่วัน "GPT-5.6 Sol sets a new state of the art in cybersecurity"

[2] Hugging Face (@huggingface): security incident disclosure, July 2026